Boot Linux baru akan bekerja dengan baik di masa depan dengan fokus pada ketahanan dan kesederhanaan.
Puisi Lennart (pencipta Systemd) membuatnya dikenal baru saja proposal untuk memodernisasi proses boot dari distribusi Linux, dengan tujuan untuk memecahkan masalah yang ada dan sederhanakan pengorganisasian boot terverifikasi penuh, yang mengonfirmasi keaslian kernel dan lingkungan sistem yang mendasarinya.
Perubahan yang Diusulkan direduksi menjadi pembuatan gambar UKI universal tunggal (Gambar Kernel Terpadu) yang menggabungkan gambar kernel Driver Linux untuk memuat kernel dari UEFI (UEFI boot stub) dan initrd lingkungan sistem dimuat ke dalam memori, digunakan untuk inisialisasi awal pada tahap sebelum memasang FS.
Alih-alih gambar ramdisk initrd, seluruh sistem dapat dikemas dalam UKI, memungkinkan pembuatan lingkungan sistem terverifikasi penuh yang dimuat ke dalam RAM. Gambar UKI dikemas sebagai file yang dapat dieksekusi dalam format PE, yang tidak hanya dapat dimuat dengan bootloader tradisional, tetapi juga dapat dipanggil langsung dari firmware UEFI.
Kemampuan untuk menelepon dari UEFI memungkinkan penggunaan validitas tanda tangan digital dan pemeriksaan integritas yang tidak hanya mencakup kernel, tetapi juga konten initrd. Pada saat yang sama, dukungan untuk panggilan dari bootloader tradisional memungkinkan penyimpanan fitur seperti pengiriman beberapa versi kernel dan secara otomatis memutar kembali ke kernel yang berfungsi jika masalah dengan kernel baru terdeteksi setelah menginstal pembaruan kernel terbaru.
Saat ini, kebanyakan distribusi Linux menggunakan rantai "firmware → Microsoft shim layer yang ditandatangani secara digital → distribusi yang ditandatangani secara digital GRUB boot loader → distribusi yang ditandatangani secara digital kernel Linux → lingkungan initrd yang tidak ditandatangani → FS root" dalam proses inisialisasi. Tidak ada pemeriksaan initrd dalam distribusi tradisional menciptakan masalah keamanan, karena, antara lain, lingkungan ini mengekstrak kunci untuk mendekripsi akar FS.
Verifikasi gambar initrd tidak didukung, karena file ini dibuat di sistem lokal pengguna dan tidak dapat disertifikasi oleh tanda tangan digital distribusi, yang membuatnya sangat sulit untuk mengatur verifikasi saat menggunakan mode SecureBoot (untuk memverifikasi initrd, pengguna perlu membuat kunci Anda dan memuatnya ke firmware UEFI).
Selain itu, organisasi boot yang ada tidak mengizinkan penggunaan informasi dari register TPM PCR (Platform Configuration Registry) untuk mengontrol integritas komponen userspace selain shim, grub, dan kernel. Di antara masalah yang ada, komplikasi pembaruan bootloader dan ketidakmampuan untuk membatasi akses ke kunci di TPM untuk versi sistem operasi yang lebih lama yang menjadi tidak relevan setelah menginstal pembaruan juga disebutkan.
Tujuan utama dari implementasi arsitektur boot baru:
- Menyediakan proses pengunduhan yang terverifikasi sepenuhnya, mencakup semua tahapan dari firmware hingga ruang pengguna, dan mengonfirmasi validitas dan integritas komponen yang diunduh.
- Menghubungkan sumber daya yang dikendalikan ke register PCR TPM dengan pemisahan oleh pemilik.
- Kemampuan untuk menghitung nilai PCR sebelumnya berdasarkan boot kernel, initrd, konfigurasi, dan ID sistem lokal.
- Perlindungan terhadap serangan rollback yang terkait dengan pengembalian ke versi sistem sebelumnya yang rentan.
- Sederhanakan dan tingkatkan keandalan pembaruan.
- Dukungan untuk pemutakhiran OS yang tidak memerlukan penerapan ulang atau penyediaan sumber daya yang dilindungi TPM secara lokal.
- Mempersiapkan sistem untuk sertifikasi jarak jauh guna mengonfirmasi kebenaran sistem operasi dan konfigurasi boot.
- Kemampuan untuk melampirkan data sensitif ke tahap boot tertentu, misalnya dengan mengekstrak kunci enkripsi untuk root FS dari TPM.
- Menyediakan proses yang aman, otomatis, dan senyap untuk membuka kunci untuk mendekripsi drive dengan partisi root.
- Penggunaan chip yang mendukung spesifikasi TPM 2.0, dengan kemampuan untuk kembali ke sistem tanpa TPM.
Perubahan yang diperlukan untuk mengimplementasikan arsitektur baru sudah termasuk dalam basis kode systemd dan mempengaruhi komponen seperti systemd-stub, systemd-measure, systemd-cryptenroll, systemd-cryptsetup, systemd-pcrphase, dan systemd-creds.
Akhirnya jika Anda tertarik untuk mengetahui lebih banyak tentangnya, Anda dapat memeriksa detailnya di link berikut.
Lebih banyak sampah dari lennart..