ULennart Poettering ucebise uyilo olutsha lwebhuthi eqinisekisiweyo Linux

ULennart Poettering upapashe isindululo sokuphucula inkqubo yokuqalisa. Linux-дистрибутивов, нацеленное на решение имеющихся проблем и упрощение организации полноценной верифицированной загрузки, подтверждающей достоверность ядра и базового системного окружения. Необходимые для применения новой архитектуры изменения уже включены в кодовую базу systemd и затрагивают такие компоненты, как systemd-stub, systemd-measure, systemd-cryptenroll, systemd-cryptsetup, systemd-pcrphase и systemd-creds.

Предложенные изменения сводятся к созданию единого универсального образа UKI (Unified Kernel Image), объединяющего образ ядра Linux, обработчик для загрузки ядра из UEFI (UEFI boot stub) и загружаемое в память системное окружение initrd, применяемое для начальной инициализации на стадии до монтирования корневой ФС. Вместо образа RAM-диска initrd в UKI может быть упакована и вся система, что позволяет создавать полностью верифицированные системные окружения, загружаемые в оперативную память. UKI-образ оформляется в виде исполняемого файла в формате PE, который может быть загружен не только при помощи традиционных загрузчиков, и напрямую вызван из прошивки UEFI.

Ukukwazi ukufowuna kwi-UEFI kukuvumela ukuba usebenzise i-digital signature integrity check engabandakanyi kuphela i-kernel, kodwa kunye nemixholo ye-initrd. Kwangaxeshanye, inkxaso yokufowuna ukusuka kwizilayishi zemveli zemveli ikuvumela ukuba ugcine izinto ezinje njengokuhanjiswa kweenguqulelo ezininzi zekernel kunye nokubuyela umva ngokuzenzekelayo kwikernel esebenzayo ukuba iingxaki zichongiwe ngekernel entsha emva kokufaka uhlaziyo.

В настоящее время в большинстве дистрибутивов Linux в процессе инициализации используется цепочка «прошивка → заверенная цифровой подписью Microsoft shim-прослойка → заверенный цифровой подписью дистрибутива загрузчик GRUB → заверенное цифровой подписью дистрибутива ядро Linux → не заверенное окружение initrd → корневая ФС». Отсутствие верификации initrd в традиционных дистрибутивах создаёт проблемы с безопасностью, так как среди прочего в данном окружении осуществляется извлечение ключей для расшифровки корневой ФС.

Ukuqinisekiswa komfanekiso we-initrd akuxhaswanga kuba le fayile yenziwe kwinkqubo yendawo yomsebenzisi kwaye ayinakuqinisekiswa ngotyikityo lwedijithali lwekhithi yokuhambisa, enzima kakhulu umbutho wokuqinisekisa xa usebenzisa imo yeSecureBoot (ukuqinisekisa i-initrd, i umsebenzisi ufuna ukwenza ezabo izitshixo kwaye azilayishe kwi-firmware ye-UEFI). Ukongezelela, umbutho wangoku we-boot awuvumeli ukusetyenziswa kolwazi oluvela kwi-TPM PCR (iRejista yoLungiselelo lwePlatform) ukulawula ingqibelelo yamacandelo esithuba somsebenzisi ngaphandle kwe-shim, i-grub kunye ne-kernel. Phakathi kweengxaki ezikhoyo, ubunzima bokuhlaziya i-bootloader kunye nokungakwazi ukukhawulela ukufikelela kwizitshixo kwi-TPM kwiinguqulelo ezindala ze-OS eziye zangabalulekanga emva kokufaka ukuhlaziywa nazo zikhankanyiwe.

Iinjongo eziphambili zokwazisa uyilo olutsha lokulayisha zezi:

• Ukubonelela ngenkqubo ye-boot eqinisekisiwe ngokupheleleyo esuka kwi-firmware ukuya kwindawo yomsebenzisi, eqinisekisa ukunyaniseka kunye nokunyaniseka kwamacandelo alayishwayo.
• Ukudibanisa izixhobo ezilawulwayo kwiirejista ze-TPM zePCR, ezahlulwe ngumnini.
• Ukukwazi ukubala kwangaphambili amaxabiso ePCR ngokusekwe kwikernel, initrd, uqwalaselo kunye ne-ID yenkqubo yendawo esetyenziswa ngexesha lokuqalisa.
• Ukukhuselwa kuhlaselo lokubuyela emva olunxulunyaniswa nokubuyela umva kuguqulelo olusesichengeni lwangaphambili lwenkqubo.
• Yenza lula kwaye wandise ukuthembeka kohlaziyo.
• Inkxaso yohlaziyo lwe-OS olungadingi ukuphinda kufakwe isicelo okanye unikezelo lwasekhaya lwezibonelelo ezikhuselweyo zeTPM.
• Inkqubo ilungele ukuqinisekiswa okude ukuze kuqinisekiswe ukuchaneka kwe-OS elayishiweyo kunye nezicwangciso.
• Ukukwazi ukuncamathela idata enovakalelo kwizigaba ezithile zokuqalisa, umzekelo, ukukhupha izitshixo zoguqulelo oluntsonkothileyo kwinkqubo yefayile yengcambu kwi TPM.
• Ukubonelela ngenkqubo ekhuselekileyo, ezenzekelayo, kunye nengahlawulelwayo yomsebenzisi yokuvula izitshixo zokususa uguqulelo lwenkqubo yokwahlula iingcambu.
• Ukusetyenziswa kweetshiphusi ezixhasa ukucaciswa kwe-TPM 2.0, kunye nokukwazi ukubuyela umva kwiinkqubo ngaphandle kwe-TPM.

umthombo: opennet.ru