Lennart Poettering amechapisha pendekezo la kusasisha mchakato wa kuwasha kwa usambazaji wa Linux, unaolenga kutatua shida zilizopo na kurahisisha upangaji wa buti kamili iliyothibitishwa ambayo inathibitisha kuegemea kwa kernel na mazingira ya mfumo wa msingi. Mabadiliko yanayohitajika ili kutekeleza usanifu mpya tayari yamejumuishwa kwenye msingi wa mfumo na huathiri vipengele kama vile systemd-stub, systemd-measure, systemd-cryptenroll, systemd-cryptsetup, systemd-pcrphase na systemd-creds.
Mabadiliko yanayopendekezwa yanatokana na uundaji wa picha moja ya ulimwengu wote UKI (Picha ya Kernel Iliyounganishwa), ikichanganya picha ya kernel ya Linux, kidhibiti cha kupakia kernel kutoka kwa UEFI (UEFI boot stub) na mazingira ya mfumo wa initrd iliyopakiwa kwenye kumbukumbu, inayotumika kwa uanzishaji wa awali kwenye hatua kabla ya kuweka mzizi wa FS. Badala ya picha ya initrd RAM disk, mfumo mzima unaweza kuunganishwa katika UKI, ambayo inakuwezesha kuunda mazingira ya mfumo yaliyothibitishwa kikamilifu yaliyopakiwa kwenye RAM. Picha ya UKI imeundwa kama faili inayoweza kutekelezwa katika umbizo la PE, ambayo inaweza kupakiwa sio tu kwa kutumia vipakiaji vya jadi, lakini inaweza kuitwa moja kwa moja kutoka kwa firmware ya UEFI.
Uwezo wa kupiga simu kutoka kwa UEFI hukuruhusu kutumia ukaguzi wa uadilifu wa saini ya dijiti ambayo inashughulikia sio tu kernel, lakini pia yaliyomo kwenye initrd. Wakati huo huo, usaidizi wa kupiga simu kutoka kwa vipakiaji vya jadi hukuruhusu kuhifadhi vipengee kama vile uwasilishaji wa matoleo kadhaa ya kernel na urejeshaji wa kiotomatiki kwa kernel inayofanya kazi ikiwa shida zitagunduliwa na kernel mpya baada ya kusakinisha sasisho.
Hivi sasa, katika usambazaji mwingi wa Linux, mchakato wa uanzishaji hutumia msururu "programu β safu ya Microsoft shim iliyotiwa saini kidijitali β kipakiaji cha boot ya GRUB kilichotiwa sahihi kidijitali na usambazaji β kinu cha Linux kilichotiwa saini kidijitali β mazingira ya initrd yasiyotiwa saini β mzizi FS." Ukosefu wa uthibitishaji wa initrd katika usambazaji wa jadi hujenga matatizo ya usalama, kwa kuwa, kati ya mambo mengine, katika mazingira haya funguo za kufuta mfumo wa faili za mizizi zinarejeshwa.
Uthibitishaji wa picha ya initrd hauhimiliwi kwa kuwa faili hii imetolewa kwenye mfumo wa ndani wa mtumiaji na haiwezi kuthibitishwa na saini ya dijiti ya kifaa cha usambazaji, ambayo inatatiza sana shirika la uthibitishaji wakati wa kutumia modi ya SecureBoot (kuthibitisha initrd, the mtumiaji anahitaji kutoa funguo zao na kuzipakia kwenye firmware ya UEFI). Kwa kuongeza, shirika la sasa la boot hairuhusu matumizi ya taarifa kutoka kwa rejista za TPM PCR (Sajili ya Usanidi wa Mfumo) ili kudhibiti uadilifu wa vipengele vya nafasi ya mtumiaji isipokuwa shim, grub na kernel. Miongoni mwa matatizo yaliyopo, utata wa uppdatering bootloader na kutokuwa na uwezo wa kuzuia upatikanaji wa funguo katika TPM kwa matoleo ya zamani ya OS ambayo yamekuwa yasiyo na maana baada ya kufunga sasisho pia yanatajwa.
Malengo makuu ya kuanzisha usanifu mpya wa upakiaji ni:
- Kutoa mchakato wa kuwasha uliothibitishwa kikamilifu ambao unaanzia kwenye programu dhibiti hadi nafasi ya mtumiaji, kuthibitisha uhalali na uadilifu wa vipengee vinavyowashwa.
- Kuunganisha rasilimali zinazodhibitiwa na rejista za TPM PCR, zikitenganishwa na mmiliki.
- Uwezo wa kuhesabu mapema maadili ya PCR kulingana na kernel, initrd, usanidi na kitambulisho cha mfumo wa ndani kinachotumiwa wakati wa kuwasha.
- Ulinzi dhidi ya mashambulizi ya kurejesha nyuma yanayohusiana na kurejesha toleo la awali la mfumo hatarishi.
- Rahisisha na uongeze uaminifu wa masasisho.
- Usaidizi wa masasisho ya Mfumo wa Uendeshaji ambayo hauhitaji kutuma maombi tena au utoaji wa ndani wa rasilimali zinazolindwa na TPM.
- Mfumo uko tayari kwa udhibitisho wa mbali ili kuthibitisha usahihi wa OS iliyopakiwa na mipangilio.
- Uwezo wa kuambatisha data nyeti kwa hatua fulani za kuwasha, kwa mfano, kutoa funguo za usimbaji fiche za mfumo wa faili wa mizizi kutoka kwa TPM.
- Kutoa mchakato salama, otomatiki na usio na mtumiaji wa kufungua funguo za kusimbua hifadhi ya kugawanya mizizi.
- Matumizi ya chip zinazotumia vipimo vya TPM 2.0, zenye uwezo wa kurejesha mifumo bila TPM.
Chanzo: opennet.ru