Khởi động Linux mới sẽ hoạt động tốt trong tương lai với trọng tâm là tính mạnh mẽ và đơn giản.
Lennart thi sĩ (người tạo ra Systemd) làm cho nó được biết đến gần đây một đề xuất để hiện đại hóa quy trình khởi động trong số các bản phân phối của Linux, với mục đích giải quyết các vấn đề hiện có và đơn giản hóa việc tổ chức khởi động đã được xác minh đầy đủ, xác nhận tính xác thực của hạt nhân và môi trường hệ thống cơ bản.
Những thay đổi được đề nghị được giảm xuống tạo ra một hình ảnh UKI phổ quát duy nhất (Hình ảnh hạt nhân hợp nhất) kết hợp hình ảnh hạt nhân Trình điều khiển Linux để tải hạt nhân từ UEFI (gốc khởi động UEFI) và initrd môi trường hệ thống được tải vào bộ nhớ, được sử dụng để khởi tạo ban đầu ở giai đoạn trước khi gắn FS.
Thay vì hình ảnh đĩa ram ban đầu, toàn bộ hệ thống có thể được đóng gói trong UKI, cho phép tạo ra các môi trường hệ thống đã được xác minh đầy đủ được tải vào RAM. Hình ảnh UKI được đóng gói dưới dạng tệp thực thi ở định dạng PE, tệp này không chỉ có thể được tải bằng bộ nạp khởi động truyền thống mà còn có thể được gọi trực tiếp từ phần sụn UEFI.
Khả năng gọi từ UEFI cho phép sử dụng kiểm tra tính hợp lệ và tính toàn vẹn của chữ ký số không chỉ bao gồm hạt nhân mà còn bao gồm nội dung của initrd. Đồng thời, hỗ trợ các cuộc gọi từ bộ nạp khởi động truyền thống cho phép lưu các tính năng như phân phối nhiều phiên bản nhân và tự động quay trở lại một nhân đang hoạt động trong trường hợp phát hiện sự cố với nhân mới sau khi cài đặt bản cập nhật.
Hiện nay, hầu hết các bản phân phối Linux đều sử dụng chuỗi "firmware → lớp shim Microsoft được ký kỹ thuật số → bộ tải khởi động GRUB phân phối được ký kỹ thuật số → nhân Linux phân phối được ký kỹ thuật số → môi trường initrd chưa được ký → gốc FS" trong quá trình khởi tạo. Thiếu kiểm tra initrd trong các bản phân phối truyền thống tạo ra các vấn đề bảo mật, vì, trong số những thứ khác, môi trường này trích xuất các khóa để giải mã gốc FS.
Xác minh hình ảnh initrd không được hỗ trợ, vì tệp này được tạo trên hệ thống cục bộ của người dùng và không thể được chứng nhận bằng chữ ký số của nhà phân phối, điều này gây khó khăn cho việc tổ chức xác minh khi sử dụng chế độ SecureBoot (để xác minh initrd, người dùng cần tạo khóa của bạn và tải chúng vào chương trình cơ sở UEFI).
Bên cạnh đó, tổ chức khởi động hiện tại không cho phép sử dụng thông tin từ các thanh ghi TPM PCR (Sổ đăng ký cấu hình nền tảng) để kiểm soát tính toàn vẹn của các thành phần không gian người dùng khác ngoài shim, grub và hạt nhân. Trong số các vấn đề hiện có, sự phức tạp của việc cập nhật bộ nạp khởi động và không thể hạn chế quyền truy cập vào các khóa trong TPM đối với các phiên bản cũ hơn của hệ điều hành đã trở nên không liên quan sau khi cài đặt bản cập nhật cũng được đề cập.
Các mục tiêu chính của việc thực hiện kiến trúc khởi động mới:
- Cung cấp quy trình tải xuống đã được xác minh đầy đủ, bao gồm tất cả các giai đoạn từ phần sụn đến không gian người dùng và xác nhận tính hợp lệ và tính toàn vẹn của các thành phần đã tải xuống.
- Liên kết các tài nguyên được kiểm soát với các sổ đăng ký TPM PCR với sự phân tách của chủ sở hữu.
- Khả năng tính toán trước các giá trị PCR dựa trên khởi động hạt nhân, initrd, cấu hình và ID hệ thống cục bộ.
- Bảo vệ chống lại các cuộc tấn công khôi phục liên quan đến việc hoàn nguyên về phiên bản hệ thống dễ bị tấn công trước đó.
- Đơn giản hóa và nâng cao độ tin cậy của các bản cập nhật.
- Hỗ trợ nâng cấp hệ điều hành không yêu cầu áp dụng lại hoặc cung cấp cục bộ các tài nguyên được TPM bảo vệ.
- Chuẩn bị hệ thống để chứng nhận từ xa để xác nhận tính đúng đắn của hệ điều hành và cấu hình khởi động.
- Khả năng đính kèm dữ liệu nhạy cảm vào các giai đoạn khởi động nhất định, chẳng hạn bằng cách trích xuất các khóa mã hóa cho gốc FS từ TPM.
- Cung cấp quy trình mở khóa an toàn, tự động và im lặng để giải mã ổ đĩa có phân vùng gốc.
- Việc sử dụng các chip hỗ trợ đặc điểm kỹ thuật TPM 2.0, với khả năng rơi trở lại các hệ thống không có TPM.
Những thay đổi cần thiết để thực hiện kiến trúc mới đã được bao gồm trong cơ sở mã systemd và ảnh hưởng đến các thành phần như systemd-ste, systemd-Measure, systemd-cryptenroll, systemd-cryptsetup, systemd-pcrphase và systemd-creds.
Cuối cùng nếu bạn muốn biết thêm về nó, bạn có thể kiểm tra các chi tiết trong liên kết theo dõi.
Thêm rác từ lennart ..