Леннарт Поттеринг предложил новую архитектуру верифицированной загрузки Linux Леннарт Поттеринг опубликовал предложение по модернизации процесса загрузки Linux-дистрибутивов. Оно нацелено на упрощение организации полноценной верифицированной загрузки, подтверждающей достоверность ядра и базового системного окружения. Необходимые для применения новой архитектуры изменения уже включены в кодовую базу systemd. Предложенные изменения сводятся к созданию единого универсального образа UKI (Unified Kernel Image). Он объединяет образ ядра Linux, обработчик для загрузки ядра из UEFI и загружаемое в память системное окружение initrd, применяемое для начальной инициализации на стадии до монтирования корневой ФС. Вместо образа RAM-диска initrd в UKI может быть упакована и вся система, что позволяет создавать полностью верифицированные системные окружения, загружаемые в оперативную память. 📌Основные цели внедрения новой архитектуры загрузки: - Предоставление полностью верифицированного процесса загрузки, охватывающего все этапы от прошивки до пространства пользователя, и подтверждающего достоверность и целостность загружаемых компонентов. - Привязка контролируемых ресурсов к регистрам TPM PCR с разделением по владельцам. - Возможность предварительного расчёта значений PCR на основе используемых при загрузке ядра, initrd, конфигурации и локального идентификатора системы. - Защита от Rollback-атак, связанных с откатом на прошлую уязвимую версию системы. - Упрощение и повышение надёжности обновлений. - Поддержка обновлений ОС, не требующих повторного применения или локальной подготовки ресурсов, защищённых TPM. - Готовность системы для проведения удалённой аттестации для подтверждения корректности загружаемой ОС и настроек. - Возможность прикрепления конфиденциальных данных к определённым стадиям загрузки, например, извлечение из TPM ключей шифрования для корневой ФС. - Предоставление безопасного, автоматического и работающего без участия пользователя процесса разблокировки ключей для расшифровки диска с корневым разделом. - Использование чипов, поддерживающих спецификацию TPM 2.0, с возможностью отката на системы без TPM.