{"id":105384,"date":"2022-10-26T15:36:38","date_gmt":"2022-10-26T13:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/lennart-pottering-predlozhil-novuyu-arhitekturu-verificzirovannoj-zagruzki-linux"},"modified":"2022-10-26T15:36:38","modified_gmt":"2022-10-26T13:36:38","slug":"lennart-pottering-predlozhil-novuyu-arhitekturu-verificzirovannoj-zagruzki-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/lennart-pottering-predlozhil-novuyu-arhitekturu-verificzirovannoj-zagruzki-linux","title":{"rendered":"Lennart Poettering f\u00f6reslog en ny arkitektur f\u00f6r verifierad uppstart av Linux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Lennart Poettering har publicerat ett f\u00f6rslag om en uppgradering av bootprocessen f\u00f6r Linux-distributioner, vilket syftar till att l\u00f6sa befintliga problem och f\u00f6renkla organiseringen av en fullst\u00e4ndig verifierad bootning som bekr\u00e4ftar integriteten hos k\u00e4rnan och det grundl\u00e4ggande systemmilj\u00f6n. De n\u00f6dv\u00e4ndiga \u00e4ndringarna f\u00f6r att till\u00e4mpa den nya arkitekturen har redan inkluderats i kodbasen f\u00f6r systemd och ber\u00f6r komponenter s\u00e5som systemd-stub, systemd-measure, systemd-cryptenroll, systemd-cryptsetup, systemd-pcrphase och systemd-creds. <\/p>\n
De f\u00f6reslagna \u00e4ndringarna handlar om att skapa en enhetlig universell bild kallad UKI (Unified Kernel Image), som kombinerar Linux k\u00e4rnbild, en handl\u00e4ggare f\u00f6r att ladda k\u00e4rnan fr\u00e5n UEFI (UEFI boot stub) och det systemmilj\u00f6 som laddas i minnet initrd, som anv\u00e4nds f\u00f6r initialisering f\u00f6re montering av rotfilsystemet. Ist\u00e4llet f\u00f6r bilden av RAM-disken initrd kan hela systemet packas i UKI, vilket m\u00f6jligg\u00f6r skapandet av fullst\u00e4ndigt verifierade systemmilj\u00f6er som laddas i RAM-minnet. UKI-bilden presenteras som en k\u00f6rbar fil i PE-format, vilken kan laddas inte bara med traditionella laddare, utan ocks\u00e5 direkt anropas fr\u00e5n UEFI-firmware. <\/p>\n
M\u00f6jligheten att anropas fr\u00e5n UEFI m\u00f6jligg\u00f6r anv\u00e4ndning av integritetskontroll och verifikation genom digital signatur, som omfattar inte bara k\u00e4rnan utan \u00e4ven inneh\u00e5llet i initrd. Samtidigt g\u00f6r st\u00f6d f\u00f6r anrop fr\u00e5n traditionella laddare det m\u00f6jligt att bibeh\u00e5lla s\u00e5dana funktioner som att tillhandah\u00e5lla flera versioner av k\u00e4rnan och automatiskt \u00e5terg\u00e5 till den fungerande k\u00e4rnan om problem med den nya k\u00e4rnan uppt\u00e4cks efter att uppdateringen har installerats. <\/p>\n
F\u00f6r n\u00e4rvarande anv\u00e4nds en kedja i de flesta Linux-distributioner under initieringsprocessen: \"firmware \u2192 Microsofts signerade shim-bootloader \u2192 signerad bootloader fr\u00e5n distributionen GRUB \u2192 signerad k\u00e4rna fr\u00e5n distributionen Linux \u2192 osignerad initrd-milj\u00f6 \u2192 rotfilssystem.\" Avsaknaden av verifiering av initrd i traditionella distributioner skapar s\u00e4kerhetsproblem, eftersom bland annat nycklar f\u00f6r dekryptering av rotfilssystemet extraheras i denna milj\u00f6. <\/p>\n
Verifiering av initrd-bilden st\u00f6ds inte eftersom denna fil skapas p\u00e5 anv\u00e4ndarens lokala system och inte kan certifieras med en digital signatur fr\u00e5n distributionen, vilket g\u00f6r det mycket sv\u00e5rt att organisera kontrollen vid anv\u00e4ndning av SecureBoot-l\u00e4get (f\u00f6r att certifiera initrd m\u00e5ste anv\u00e4ndaren generera sina egna nycklar och ladda upp dem i UEFI-firmware). Dessutom till\u00e5ter den befintliga boot-organisationen inte att information fr\u00e5n TPM PCR-register (Platform Configuration Register) anv\u00e4nds f\u00f6r att kontrollera integriteten hos anv\u00e4ndarutrymmets komponenter, f\u00f6rutom shim, grub och k\u00e4rnan. Bland de befintliga problemen n\u00e4mns \u00e4ven sv\u00e5righeten med att uppdatera bootloadern och avsaknaden av m\u00f6jlighet att begr\u00e4nsa \u00e5tkomsten till nycklar i TPM f\u00f6r gamla versioner av OS som blivit irrelevanta efter att uppdateringen installerats. <\/p>\n
Huvudsyften med att inf\u00f6ra den nya boot-arkitekturen: <\/p>\n
\n
Att tillhandah\u00e5lla en helt verifierad boot-process som t\u00e4cker alla steg fr\u00e5n firmware till anv\u00e4ndarutrymmet och som bekr\u00e4ftar \u00e4ktheten och integriteten hos de laddade komponenterna.\n
Bindning av kontrollerade resurser till TPM PCR-register med uppdelning efter \u00e4gare.\n
M\u00f6jlighet att f\u00f6rhandsber\u00e4kna PCR-v\u00e4rden baserat p\u00e5 de som anv\u00e4nds vid inladdning av k\u00e4rnan, initrd, konfiguration och lokalt system-ID.\n
Skydd mot rollback-attacker som \u00e4r relaterade till att \u00e5terg\u00e5 till en tidigare s\u00e5rbar version av systemet.\n
F\u00f6renkling och \u00f6kning av tillf\u00f6rlitligheten f\u00f6r uppdateringar.\n
St\u00f6d f\u00f6r OS-uppdateringar som inte kr\u00e4ver \u00e5teranv\u00e4ndning eller lokal f\u00f6rberedelse av TPM-skyddade resurser.\n
Systemets beredskap f\u00f6r att genomf\u00f6ra fj\u00e4rrattestation f\u00f6r att bekr\u00e4fta korrektheten hos det laddade OS:et och inst\u00e4llningarna.\n
M\u00f6jlighet att bifoga konfidentiella data till specifika steg i uppstarten, till exempel att h\u00e4mta krypteringsnycklar fr\u00e5n TPM f\u00f6r rotfilssystemet.\n
Att tillhandah\u00e5lla en s\u00e4ker, automatisk och anv\u00e4ndaroberoende process f\u00f6r att l\u00e5sa upp nycklar f\u00f6r att dekryptera disken med rotpartitionen.\n
Anv\u00e4ndning av chip som st\u00f6der TPM 2.0-specifikationen, med m\u00f6jlighet att g\u00e5 tillbaka till system utan TPM. <\/ul>\n