Eles propõem modernizar o processo de inicialização do Linux

A nova inicialização do Linux funcionará bem no futuro com foco na robustez e simplicidade.

Poesia de Lennart (o criador do Systemd) tornou conhecido faz pouco uma proposta para modernizar o processo de inicialização das distribuições do Linux, com o objetivo de resolver os problemas existentes e simplificar a organização de uma inicialização totalmente verificada, confirmando a autenticidade do kernel e do ambiente do sistema subjacente.

Alterações propostas são reduzidos a criação de uma única imagem UKI universal (Imagem unificada do kernel) que mescla a imagem do kernel Driver Linux para carregar o kernel do UEFI (stub de inicialização UEFI) e o ambiente do sistema initrd carregado na memória, usado para inicialização inicial no estágio antes da montagem do FS.

Em vez de uma imagem de ramdisk initrd, todo o sistema pode ser embalado no UKI, permitindo a criação de ambientes de sistema totalmente verificados que são carregados na RAM. A imagem UKI é empacotada como um arquivo executável no formato PE, que não só pode ser carregado com carregadores de inicialização tradicionais, mas também pode ser chamado diretamente do firmware UEFI.

A capacidade de chamar de UEFI permite o uso de uma verificação de validade e integridade de assinatura digital que cobre não apenas o kernel, mas também o conteúdo do initrd. Ao mesmo tempo, o suporte para chamadas de gerenciadores de inicialização tradicionais permite salvar recursos como entregar várias versões do kernel e reverter automaticamente para um kernel em funcionamento caso problemas com o novo kernel sejam detectados após a instalação da versão mais recente.

Atualmente, a maioria das distribuições Linux usa a cadeia "firmware → camada Microsoft shim assinada digitalmente → distribuição assinada digitalmente GRUB bootloader → distribuição assinada digitalmente Linux kernel → ambiente initrd não assinado → raiz FS" no processo de inicialização. Falta verificação de initrd nas distribuições tradicionais cria problemas de segurança, pois, entre outras coisas, esse ambiente extrai chaves para descriptografar a raiz do FS.

A verificação da imagem initrd não é suportada, pois esse arquivo é gerado no sistema local do usuário e não pode ser certificado pela assinatura digital da distribuição, o que dificulta muito a organização da verificação no modo SecureBoot (para verificar o initrd, o usuário precisa gerar suas chaves e carregá-las no o firmware UEFI).

Além disso, a organização de inicialização existente não permite o uso de informações dos registros TPM PCR (Platform Configuration Registry) para controlar a integridade dos componentes do espaço do usuário que não sejam shim, grub e kernel. Entre os problemas existentes, também são mencionados a complicação de atualizar o bootloader e a impossibilidade de restringir o acesso a chaves no TPM para versões mais antigas do sistema operacional que se tornaram irrelevantes após a instalação da atualização.

Os principais objetivos da implantação a nova arquitetura de inicialização:

• Forneça um processo de download totalmente verificado, abrangendo todos os estágios do firmware ao espaço do usuário e confirmando a validade e integridade dos componentes baixados.
• Vinculação de recursos controlados a registros de TPM PCR com separação por proprietários.
• Capacidade de pré-computar valores de PCR com base na inicialização do kernel, initrd, configuração e ID do sistema local.
• Proteção contra ataques de reversão associados à reversão para a versão vulnerável anterior do sistema.
• Simplifique e melhore a confiabilidade das atualizações.
• Suporte para atualizações de SO que não exigem reaplicação ou provisionamento de recursos protegidos por TPM localmente.
• Preparando o sistema para certificação remota para confirmar a correção do sistema operacional e da configuração de inicialização.
• A capacidade de anexar dados confidenciais a determinados estágios de inicialização, por exemplo, extraindo chaves de criptografia para a raiz FS do TPM.
• Forneça um processo seguro, automático e silencioso para desbloquear chaves para descriptografar uma unidade com uma partição raiz.
• O uso de chips que suportam a especificação TPM 2.0, com a capacidade de retornar a sistemas sem TPM.

As mudanças necessárias para implementar a nova arquitetura já estão incluídos na base de código do systemd e afetam componentes como systemd-stub, systemd-measure, systemd-cryptenroll, systemd-cryptsetup, systemd-pcrphase e systemd-creds.

Finalmente se você estiver interessado em saber mais sobre isso, você pode verificar os detalhes no link a seguir