Oni predlažu modernizaciju procesa pokretanja Linuxa

Novo pokretanje Linuxa funkcionirat će iu budućnosti s fokusom na robusnost i jednostavnost.

Lennart Poettering (tvorac Systemd-a) dao do znanja nedavno prijedlog za modernizaciju procesa dizanja distribucija Linuxa, s ciljem rješavanja postojećih problema i pojednostaviti organizaciju potpunog provjerenog pokretanja, potvrđujući autentičnost kernela i temeljnog okruženja sustava.

Predložene promjene svode se na stvaranje jedinstvene univerzalne UKI slike (Objedinjena slika kernela) koji spaja sliku jezgre Linux upravljački program za učitavanje kernela iz UEFI-ja (UEFI boot stub) a okruženje sustava initrd učitano u memoriju, koji se koristi za početnu inicijalizaciju u fazi prije montiranja FS-a.

Umjesto slike ramdiska initrd, cijeli sustav se može pakirati u UKI, omogućujući stvaranje potpuno provjerenih sistemskih okruženja koja se učitavaju u RAM. UKI slika pakirana je kao izvršna datoteka u PE formatu, koja se ne može učitati samo s tradicionalnim programima za podizanje sustava, već se može pozvati i izravno iz UEFI firmwarea.

Mogućnost poziva iz UEFI-ja omogućuje korištenje valjanosti i provjere integriteta digitalnog potpisa koji pokriva ne samo kernel, već i sadržaj initrd. U isto vrijeme, podrška za pozive iz tradicionalnih pokretačkih programa omogućuje značajke spremanja kao što je isporuka višestrukih verzija kernela i automatsko vraćanje na radnu jezgru u slučaju da se nakon instaliranja najnovije verzije otkriju problemi s novom jezgrom.

Trenutno, koristi većina distribucija Linuxa lanac "firmware → digitalno potpisan sloj Microsoft shim → digitalno potpisan distribucijski GRUB boot loader → digitalno potpisan distribucijski Linux kernel → nepotpisano initrd okruženje → FS root" u procesu inicijalizacije. Nedostaje initrd provjera u tradicionalnim distribucijama stvara sigurnosne probleme, budući da, između ostalog, ovo okruženje izvlači ključeve za dešifriranje korijena FS-a.

Provjera initrd slike nije podržana, budući da se ova datoteka generira na korisnikovom lokalnom sustavu i ne može se ovjeriti digitalnim potpisom distribucije, što otežava organiziranje provjere pri korištenju SecureBoot moda (kako bi potvrdio initrd, korisnik treba generirati vaše ključeve i učitati ih u UEFI firmware).

Osim toga, postojeća organizacija pokretanja ne dopušta korištenje informacija iz TPM PCR registara (Registar konfiguracije platforme) za kontrolu integriteta komponenti korisničkog prostora osim shima, gruba i kernela. Među postojećim problemima spominje se i kompliciranje ažuriranja bootloadera te nemogućnost ograničavanja pristupa ključevima u TPM-u za starije verzije operativnog sustava koji su nakon instaliranja ažuriranja postali irelevantni.

Glavni ciljevi provedbe nova arhitektura pokretanja:

• Pružite potpuno verificirani postupak preuzimanja, pokrivajući sve faze od firmvera do korisničkog prostora i potvrđujući valjanost i integritet preuzetih komponenti.
• Povezivanje kontroliranih resursa s TPM PCR registrima s odvajanjem po vlasnicima.
• Sposobnost prethodnog izračuna PCR vrijednosti na temelju pokretanja kernela, initrd-a, konfiguracije i ID-a lokalnog sustava.
• Zaštita od napada vraćanja povezanih s vraćanjem na prethodnu ranjivu verziju sustava.
• Pojednostavite i poboljšajte pouzdanost ažuriranja.
• Podrška za nadogradnje OS-a koje ne zahtijevaju ponovnu primjenu ili lokalno dodjeljivanje resursa zaštićenih TPM-om.
• Priprema sustava za daljinsku certifikaciju za potvrdu ispravnosti operativnog sustava i konfiguracije pokretanja.
• Mogućnost pridruživanja osjetljivih podataka određenim fazama pokretanja, na primjer izdvajanjem ključeva šifriranja za korijen FS-a iz TPM-a.
• Osigurajte siguran, automatski i tihi proces za otključavanje ključeva za dešifriranje pogona s korijenskom particijom.
• Upotreba čipova koji podržavaju specifikaciju TPM 2.0, s mogućnošću vraćanja na sustave bez TPM-a.

Potrebne promjene implementirati novu arhitekturu već su uključeni u bazu koda systemd i utječu na komponente kao što su systemd-stub, systemd-measure, systemd-cryptenroll, systemd-cryptsetup, systemd-pcrphase i systemd-creds.

Konačno ako vas zanima više o tome, detalje možete provjeriti u sljedeći link.