Iminumungkahi nilang gawing makabago ang proseso ng pag-boot ng Linux

Ang bagong Linux boot ay gagana nang maayos sa hinaharap na may pagtuon sa katatagan at pagiging simple.

Lennart Makata (ang lumikha ng Systemd) ipinaalam ito kamakailan lamang isang panukala na gawing makabago ang proseso ng boot ng mga pamamahagi ng Linux, na may layuning malutas ang mga kasalukuyang problema at pasimplehin ang organisasyon ng isang buong na-verify na boot, na nagpapatunay sa pagiging tunay ng kernel at ang pinagbabatayan na kapaligiran ng system.

Mga Iminungkahing Pagbabago ay nabawasan sa paglikha ng isang unibersal na imahe ng UKI (Pinag-isang Larawan ng Kernel) na pinagsasama ang imahe ng kernel Linux driver upang i-load ang kernel mula sa UEFI (UEFI boot stub) at ang kapaligiran ng system initrd na-load sa memorya, na ginagamit para sa paunang pagsisimula sa yugto bago i-mount ang FS.

Sa halip na isang imahe ng ramdisk initrd, ang buong sistema ay maaaring ma-pack sa UKI, na nagpapahintulot sa paglikha ng ganap na na-verify na mga kapaligiran ng system na na-load sa RAM. Ang imahe ng UKI ay naka-package bilang isang executable na file sa PE na format, na hindi lamang maaaring i-load ng mga tradisyunal na bootloader, ngunit maaari ding direktang tawagan mula sa UEFI firmware.

Ang kakayahang tumawag mula sa UEFI ay nagbibigay-daan sa paggamit ng digital signature validity at integrity check na sumasaklaw hindi lamang sa kernel, kundi pati na rin sa mga nilalaman ng initrd. Kasabay nito, ang suporta para sa mga tawag mula sa mga tradisyunal na bootloader ay nagbibigay-daan sa pag-save ng mga feature gaya ng paghahatid ng maramihang mga bersyon ng kernel at awtomatikong pagbabalik sa isang gumaganang kernel kung sakaling ang mga problema sa bagong kernel ay matukoy pagkatapos i-install ang pinakabagong bersyon. update.

sa kasalukuyan, ginagamit ng karamihan sa mga pamamahagi ng Linux kadena "firmware → digitally signed Microsoft shim layer → digitally signed distribution GRUB boot loader → digitally signed distribution Linux kernel → unsigned initrd environment → FS root" sa proseso ng pagsisimula. Nawawala ang initrd check sa mga tradisyonal na pamamahagi lumilikha ng mga problema sa seguridad, dahil, bukod sa iba pang mga bagay, kinukuha ng kapaligirang ito ang mga susi upang i-decrypt ang ugat ng FS.

Ang pag-verify ng initrd na imahe ay hindi suportado, dahil ang file na ito ay nabuo sa lokal na system ng user at hindi ma-certify ng digital signature ng distribution, na nagpapahirap sa pag-aayos ng verification kapag gumagamit ng SecureBoot mode (upang i-verify ang initrd, kailangan ng user na buuin ang iyong mga susi at i-load ang mga ito sa ang UEFI firmware).

Bukod dito, hindi pinapayagan ng umiiral na organisasyon ng boot ang paggamit ng impormasyon mula sa mga rehistro ng TPM PCR (Platform Configuration Registry) upang kontrolin ang integridad ng mga bahagi ng userspace maliban sa shim, grub, at kernel. Kabilang sa mga umiiral na problema, ang komplikasyon ng pag-update ng bootloader at ang kawalan ng kakayahang paghigpitan ang pag-access sa mga susi sa TPM para sa mga mas lumang bersyon ng operating system na naging hindi nauugnay pagkatapos i-install ang pag-update ay binanggit din.

Ang mga pangunahing layunin ng pagpapatupad ang bagong boot architecture:

• Magbigay ng ganap na na-verify na proseso ng pag-download, na sumasaklaw sa lahat ng mga yugto mula sa firmware hanggang sa espasyo ng user, at pagkumpirma sa bisa at integridad ng mga na-download na bahagi.
• Pag-uugnay ng mga kinokontrol na mapagkukunan sa mga rehistro ng TPM PCR na may paghihiwalay ng mga may-ari.
• Kakayahang mag-precompute ng mga halaga ng PCR batay sa kernel boot, initrd, configuration, at local system ID.
• Proteksyon laban sa mga pag-atake ng rollback na nauugnay sa pagbabalik sa dating masusugatan na bersyon ng system.
• Pasimplehin at pagbutihin ang pagiging maaasahan ng mga update.
• Suporta para sa mga upgrade ng OS na hindi nangangailangan ng muling pag-apply o pagbibigay ng lokal na mapagkukunang protektado ng TPM.
• Inihahanda ang system para sa malayuang sertipikasyon upang kumpirmahin ang kawastuhan ng operating system at pagsasaayos ng boot.
• Ang kakayahang mag-attach ng sensitibong data sa ilang partikular na yugto ng boot, halimbawa sa pamamagitan ng pagkuha ng mga encryption key para sa FS root mula sa TPM.
• Magbigay ng ligtas, awtomatiko at tahimik na proseso para i-unlock ang mga key para i-decrypt ang isang drive na may root partition.
• Ang paggamit ng mga chip na sumusuporta sa detalye ng TPM 2.0, na may kakayahang bumalik sa mga system na walang TPM.

Mga kinakailangang pagbabago upang ipatupad ang bagong arkitektura ay kasama na sa systemd codebase at makakaapekto sa mga bahagi gaya ng systemd-stub, systemd-measure, systemd-cryptenroll, systemd-cryptsetup, systemd-pcrphase, at systemd-creds.

Sa wakas kung interesado kang malaman ang tungkol dito, maaari mong suriin ang mga detalye sa sumusunod na link.