I utgÄvan av Fedora 38 föreslÄs det att genomföra det första steget mot en moderniserad startprocess, som tidigare föreslagits av Lennart Poettering, för att organisera en fullstÀndig verifierad uppstart som omfattar alla steg frÄn firmware till anvÀndarutrymme, och inte bara kÀrnan och bootloadern. Förslaget har Ànnu inte övervÀgts av FESCo (Fedora Engineering Steering Committee), som ansvarar för den tekniska delen av utvecklingen av Fedora-distro.
Komponenterna för att genomföra den föreslagna idén Àr redan integrerade i systemd 252 och syftar till att anvÀnda en enhetlig kÀrna UKI (Unified Kernel Image), som genereras i distributionens infrastruktur och Àr signerad med distributionens digitala signatur, istÀllet för initrd-bilden som skapas lokalt vid installation av kÀrnpaketet. UKI förenar i en fil en hanterare för att ladda kÀrnan frÄn UEFI (UEFI boot stub), Linux-kÀrnbilden och den laddade initrd-miljön. NÀr UKI-bilden anropas frÄn UEFI ges möjlighet att kontrollera integriteten och Àktheten genom den digitala signaturen, inte bara för kÀrnan utan Àven för innehÄllet i initrd, vars Àkthetskontroll Àr viktig eftersom nycklar för att dekryptera rotfilsystemet extraheras i denna miljö.
PÄ grund av de betydande kommande förÀndringarna planeras implementeringen att delas upp i flera steg. I det första steget kommer stödet för UKI att lÀggas till bootloadern och publiceringen av en valfri UKI-bild som fokuserar pÄ uppstart. virtuella maskiner med en begrÀnsad uppsÀttning komponenter och drivrutiner, samt verktyg kopplade till installation och uppdatering av UKI. I de andra och tredje stegen planeras det att sluta vidarebefordra instÀllningar i kÀrnans kommandorad och sluta lagra nycklar i initrd.
KĂ€lla: opennet.ru
