Nagpanukala si Lennart Poettering ng isang bagong arkitektura para sa na-verify na bota Linux

Naglathala ang Lennart Poettering ng isang panukala upang gawing moderno ang proseso ng bota. Linux-дистрибутивов, нацеленное на решение имеющихся проблем и упрощение организации полноценной верифицированной загрузки, подтверждающей достоверность ядра и базового системного окружения. Необходимые для применения новой архитектуры изменения уже включены в кодовую базу systemd и затрагивают такие компоненты, как systemd-stub, systemd-measure, systemd-cryptenroll, systemd-cryptsetup, systemd-pcrphase и systemd-creds.

Предложенные изменения сводятся к созданию единого универсального образа UKI (Unified Kernel Image), объединяющего образ ядра Linux, обработчик для загрузки ядра из UEFI (UEFI boot stub) и загружаемое в память системное окружение initrd, применяемое для начальной инициализации на стадии до монтирования корневой ФС. Вместо образа RAM-диска initrd в UKI может быть упакована и вся система, что позволяет создавать полностью верифицированные системные окружения, загружаемые в оперативную память. UKI-образ оформляется в виде исполняемого файла в формате PE, который может быть загружен не только при помощи традиционных загрузчиков, и напрямую вызван из прошивки UEFI.

Ang kakayahang mag-invoke mula sa UEFI ay nagbibigay-daan sa digital signature integrity at validity verification, na sumasaklaw hindi lamang sa kernel kundi pati na rin sa initrd contents. Ang suporta para sa invocation mula sa mga tradisyunal na bootloader ay nagpapanatili din ng mga feature gaya ng pagbibigay ng maraming bersyon ng kernel at awtomatikong rollback sa gumaganang kernel kung may nakitang mga isyu sa bagong kernel pagkatapos mag-install ng update.

В настоящее время в большинстве дистрибутивов Linux в процессе инициализации используется цепочка «прошивка → заверенная цифровой подписью Microsoft shim-прослойка → заверенный цифровой подписью дистрибутива загрузчик GRUB → заверенное цифровой подписью дистрибутива ядро Linux → не заверенное окружение initrd → корневая ФС». Отсутствие верификации initrd в традиционных дистрибутивах создаёт проблемы с безопасностью, так как среди прочего в данном окружении осуществляется извлечение ключей для расшифровки корневой ФС.

Ang pag-verify ng initrd na imahe ay hindi suportado dahil ang file na ito ay nabuo sa lokal na system ng user at hindi maaaring digital na lagdaan ng pamamahagi. Ito ay lubos na nagpapalubha sa pag-verify kapag gumagamit ng SecureBoot mode (upang i-verify ang initrd, ang user ay dapat bumuo ng kanilang sariling mga susi at i-load ang mga ito sa UEFI firmware). Higit pa rito, hindi pinapayagan ng kasalukuyang organisasyon ng boot ang paggamit ng impormasyon mula sa TPM PCR (Platform Configuration Register) upang subaybayan ang integridad ng mga bahagi ng user-space maliban sa shim, grub, at kernel. Kasama sa iba pang mga isyung binanggit ang kahirapan sa pag-update ng bootloader at ang kawalan ng kakayahang paghigpitan ang pag-access sa mga TPM key para sa mga mas lumang bersyon ng OS na naging lipas na pagkatapos i-install ang update.

Ang mga pangunahing layunin ng pagpapatupad ng bagong arkitektura ng boot ay:

• Nagbibigay ng ganap na na-verify na proseso ng pag-boot, na sumasaklaw sa lahat ng mga yugto mula sa firmware hanggang sa espasyo ng user, at pagkumpirma sa bisa at integridad ng mga naka-boot na bahagi.
• Nagbubuklod ng mga kinokontrol na mapagkukunan sa mga rehistro ng TPM PCR na may dibisyon ng mga may-ari.
• Kakayahang mag-pre-calculate ng mga halaga ng PCR batay sa kernel, initrd, configuration, at local system identifier na ginamit sa boot.
• Proteksyon laban sa mga pag-atake ng rollback, na kinasasangkutan ng pagbabalik sa isang dating masusugatan na bersyon ng system.
• Pagpapasimple at pagpapahusay sa pagiging maaasahan ng mga update.
• Suporta para sa mga update sa OS na hindi nangangailangan ng muling paggamit o lokal na pagbibigay ng mga mapagkukunang protektado ng TPM.
• Ang system ay handa na para sa malayuang sertipikasyon upang kumpirmahin ang kawastuhan ng bootable na OS at mga setting.
• Ang kakayahang mag-attach ng sensitibong data sa mga partikular na yugto ng boot, tulad ng pagkuha ng mga encryption key para sa root filesystem mula sa TPM.
• Nagbibigay ng secure, awtomatiko, at walang user na proseso para sa pag-unlock ng mga key para i-decrypt ang isang drive na may root partition.
• Paggamit ng mga chip na sumusuporta sa detalye ng TPM 2.0, na may kakayahang mag-roll back sa mga system na walang TPM.

Pinagmulan: opennet.ru