LINUXTALKS.CO

Леннарт Поттеринг предложил новую архитектуру верифицированной загрузки Linux

 


0

0

Леннарт Поттеринг (Lennart Poettering) опубликовал предложение по модернизации процесса загрузки Linux-дистрибутивов, нацеленное на решение имеющихся проблем и упрощение организации полноценной верифицированной загрузки, подтверждающей достоверность ядра и базового системного окружения. Необходимые для применения новой архитектуры изменения уже включены в кодовую базу systemd и затрагивают такие компоненты, как systemd-stub, systemd-measure, systemd-cryptenroll, systemd-cryptsetup, systemd-pcrphase и systemd-creds.

Предложенные изменения сводятся к созданию единого универсального образа UKI (Unified Kernel Image), объединяющего образ ядра Linux, обработчик для загрузки ядра из UEFI (UEFI boot stub) и загружаемое в память системное окружение initrd, применяемое для начальной инициализации на стадии до монтирования корневой ФС. Вместо образа RAM-диска initrd в UKI может быть упакована и вся система, что позволяет создавать полностью верифицированные системные окружения, загружаемые в оперативную память. UKI-образ оформляется в виде исполняемого файла в формате PE, который может быть загружен не только при помощи традиционных загрузчиков, и напрямую вызван из прошивки UEFI.

Возможность вызова из UEFI позволяет использовать проверку целостности и достоверности по цифровой подписи, охватывающую не только ядро, но и содержимое initrd. При этом поддержка вызова из традиционных загрузчиков позволяет сохранить такие возможности, как поставка нескольких версий ядра и автоматический откат на рабочее ядро в случае выявления проблем с новым ядром после установки обновления.

В настоящее время в большинстве дистрибутивов Linux в процессе инициализации используется цепочка "прошивка → заверенная цифровой подписью Microsoft shim-прослойка → заверенный цифровой подписью дистрибутива загрузчик GRUB → заверенное цифровой подписью дистрибутива ядро Linux → не заверенное окружение initrd → корневая ФС". Отсутствие верификации initrd в традиционных дистрибутивах создаёт проблемы с безопасностью, так как среди прочего в данном окружении осуществляется извлечение ключей для расшифровки корневой ФС.

Верификация образа initrd не поддерживается так как данный файл формируется на локальной системе пользователя и не может быть заверен цифровой подписью дистрибутива, что сильно усложняет организацию проверки при использовании режима SecureBoot (для заверения initrd пользователю необходимо сгенерировать свои ключи и загрузить их в прошивку UEFI). Кроме того, существующая организация загрузки не позволяет применять информацию из регистров TPM PCR (Platform Configuration Register) для контроля целостности компонентов пространства пользователя, помимо shim, grub и ядра.Из имеющихся проблем также упоминается усложнение обновления загрузчика и отсутствие возможности ограничения доступа к ключам в TPM для старых версий ОС, ставших неактуальными после установки обновления.

Основные цели внедрения новой архитектуры загрузки:

  • Предоставление полностью верифицированного процесса загрузки, охватывающего все этапы от прошивки до пространства пользователя, и подтверждающего достоверность и целостность загружаемых компонентов.
  • Привязка контролируемых ресурсов к регистрам TPM PCR с разделением по владельцам.
  • Возможность предварительного расчёта значений PCR на основе используемых при загрузке ядра, initrd, конфигурации и локального идентификатора системы.
  • Защита от Rollback-атак, связанных с откатом на прошлую уязвимую версию системы.
  • Упрощение и повышение надёжности обновлений.
  • Поддержка обновлений ОС, не требующих повторного применения или локальной подготовки ресурсов, защищённых TPM.
  • Готовность системы для проведения удалённой аттестации для подтверждения корректности загружаемой ОС и настроек.
  • Возможность прикрепления конфиденциальных данных к определённым стадиям загрузки, например, извлечение из TPM ключей шифрования для корневой ФС.
  • Предоставление безопасного, автоматического и работающего без участия пользователя процесса разблокировки ключей для расшифровки диска с корневым разделом.
  • Использование чипов, поддерживающих спецификацию TPM 2.0, с возможностью отката на системы без TPM.

// cc-by opennet.ru
// converted with crypt’s opennet autoreposter

>>> Подробности

★★★★★★★★★★★★
Ответ на: комментарий от alexferman

это выльется в то, что ты будешь загружать проверенный линукс из облака micro$oft и у тебя не будет никакой возможности там что-то поменять. помяни мои слова. твоим рутом скоро станет micro$oft.

crypt    
★★★★★★★★★★★★
FreeBSD / Chrome
Ответ на: комментарий от deep-purple

Вы понимаете, что это может повредить безопасности вашего ПК. Оставить защиту?

[ОК] - [Я согласен] - [Спросить позже]

crypt    
★★★★★★★★★★★★
FreeBSD / Chrome
Ответ на: комментарий от deep-purple

у тебя на твоем андроиде уже нет прав, чтобы это выполнить. о чем ты пишешь…

crypt    
★★★★★★★★★★★★
FreeBSD / Chrome
Ответ на: комментарий от Minona

фигня:( вторую новость подтвердит сосиска, когда заметит. ты для скора или для обсуждения?

crypt    
★★★★★★★★★★★★
FreeBSD / Chrome
Ответ на: комментарий от crypt

Да да, я уже хз сколько лет такое слышу.

Люди, которые рассуждают в стиле «вот скоро будет только Х», вообще не понимают, как работает рыночек.

alexferman    
★★★★
Последнее исправление: alexferman (всего исправлений: 1)

Linux / Firefox
Ответ на: комментарий от Minona

тогда ты должен знать, что на лт отсутствует система набора скора, как на лоре. мы обсуждали эту тему с сосиской и пришли к выводу, что это не будет работать, как на лоре. отсутствует человек, который будет постоянно развивать ресурс.

поэтому я просто подкину тебе скора за несостоявшуюся новость, а обсуждать можешь здесь.

crypt    
★★★★★★★★★★★★
Последнее исправление: crypt (всего исправлений: 1)

FreeBSD / Chrome
Ответ на: комментарий от alexferman

да вон перед тобой дип-перпл с андроидом. ты думаешь, он может что-то поменять в прошивке у себя на телефоне?

crypt    
★★★★★★★★★★★★
FreeBSD / Chrome
Ответ на: комментарий от deep-purple

а писюк/ноут – совсем другое дело.

это не тебе решать, а им. они и решают.

crypt    
★★★★★★★★★★★★
FreeBSD / Chrome
Ответ на: комментарий от Minona

Сие правда, т.к. рыночек это и есть люди))

alexferman    
★★★★
Linux / Firefox
Ответ на: комментарий от alexferman

то, что предлагает поттеринг - это универсальный способ для загрузки цельных образов. очевидно, он это не для телефонов делает. для встроек или для виртуальных машины. может, и для обычных пк тоже.

crypt    
★★★★★★★★★★★★
FreeBSD / Chrome
Ответ на: комментарий от Minona

здесь очень мало особых возможностей доступны с большим числом звезд. вынос комментов в отдельную ветку от 4 или 5. и еще какая-то мелочь вроде.

crypt    
★★★★★★★★★★★★
Последнее исправление: crypt (всего исправлений: 1)

FreeBSD / Chrome
Ответ на: комментарий от alexferman

Есть ноуты для любителей покрасноглазить, штучное изготовление, не вижу в чём проблема.

ну ок

crypt    
★★★★★★★★★★★★
FreeBSD / Chrome
Ответ на: комментарий от alexferman

ну я типа помню еще времена old school bios и MBR, до того, как компьютеры упрощались-упрощались и превратились в телефоны с пальцевым управлением с нулевым порогом вхождения (для самых тупых). я хочу сказать, что понятие нормы отличается. для тебя норма - это ты и твоя блондинка с офиса по продажам. но вообще изначально Linux - это ОС для гиков, если ты забыл.

crypt    
★★★★★★★★★★★★
Последнее исправление: crypt (всего исправлений: 1)

FreeBSD / Chrome
Ответ на: комментарий от crypt

но вообще изначально Linux - это ОС для гиков

К счастью, времена этой убогости Линукса проходят, и он становится ОСью не только для гиков, но и для нормальных людей. Это прекрасно, ящитаю.

Гики всегда могут взять свои генты/круксы/лфсы и перепилить всё что угодно.

alexferman    
★★★★
Linux / Firefox
Ответ на: комментарий от alexferman

гики давно уже потеряли возможность управлять. они не могут тягаться с корпорациями, когда речь идет об объеме кода. они просто берут то, что дают.

для нормальных людей

понятие нормы в нашем обществе граничит с посредственностью. а в остальном все верно.

я был бы рад, если бы процесс повернули вспять и для использования выч.техники нужно было бы сдавать на права.

crypt    
★★★★★★★★★★★★
Последнее исправление: crypt (всего исправлений: 1)

FreeBSD / Chrome
Ответ на: комментарий от crypt

гики давно уже потеряли возможность управлять

У них никогда её и не было.

понятие нормы в нашем обществе граничит с посредственностью

Детский сад, штаны на лямках.

alexferman    
★★★★
Linux / Firefox
Ответ на: комментарий от alexferman

У них никогда её и не было.

историю надо знать. до 2000 года развитие линукса - чисто на гиках.

Детский сад, штаны на лямках.

попробуй зайди в Меряемся книгами на полках и подтверди это знанием литературы. это именно так. будучи нормальным, ты часть этой массы.

crypt    
★★★★★★★★★★★★
Последнее исправление: crypt (всего исправлений: 2)

FreeBSD / Chrome
Ответ на: комментарий от crypt

то, что предлагает поттеринг - это универсальный способ для загрузки цельных образов

Ну собственно, вся идеология и все инновации красношапки за последние годы нацелены именно на концепцию «цельного образа», который нельзя менять.

Это очередное продолжение тренда.

JamesHolden    
★★★★★
Linux / Chrome
Ответ на: комментарий от crypt

до 2000 года развитие линукса - чисто на гиках

Разработкой ядра управляет один человек - Торвальдс. А у него нет представлений об идеальной гиковской системе, как он сам не раз говорил. Так что нет, гики никогда не управляли Линуксом.

попробуй зайди в Меряемся книгами на полках и подтверди это знанием литературы

Детский сад в квадрате.

alexferman    
★★★★
Последнее исправление: alexferman (всего исправлений: 1)

Linux / Firefox
Ответ на: комментарий от alexferman

торвальдс и есть natural born geek

Детский сад в квадрате.

просто тебе нечем крыть по факту.

crypt    
★★★★★★★★★★★★
Последнее исправление: crypt (всего исправлений: 1)

FreeBSD / Chrome
Ответ на: комментарий от JamesHolden

в данном случае эти «инновации» от сотрудника Micro$oft. они успешно превращают линукс в прошивку для корпоративную систем и встроенных систем для рядового пользователя типа алексферма.

crypt    
★★★★★★★★★★★★
Последнее исправление: crypt (всего исправлений: 2)

FreeBSD / Chrome
Ответ на: комментарий от crypt

По факту мне этот детский сад с выяснением градуса нестандартности надоел примерно в 25 лет.

торвальдс и есть natural born geek

Он инженер и следует реальности. Всякие красивые теоретические концепции и теоретические же проблемы/угрозы он чморил всю дорогу.

alexferman    
★★★★
Linux / Firefox
Ответ на: комментарий от alexferman

надоел примерно в 25 лет

это потому что у тебя это было подростковое. а я наоборот всю жизнь старался сойти за нормального, а когда подрос, понял, что ничего в этом, кроме банальщины, нет. не без радостей, конечно, но все очень незамысловато.

Он инженер и следует реальности.

да, Линус крутой. он инженер. но он при этом и гик. очень жаль, что он все-таки не создал единую экосистему линукса.

crypt    
★★★★★★★★★★★★
Последнее исправление: crypt (всего исправлений: 3)

FreeBSD / Chrome
Ответ на: комментарий от Minona

это чтобы, как во freebsd, внутри проекта было не только ядро.

а по факту мы уже имеем systemd/Linux, где systemd - это корпоративный код base system.

crypt    
★★★★★★★★★★★★
Последнее исправление: crypt (всего исправлений: 2)

FreeBSD / Chrome
Ответ на: комментарий от crypt

они успешно превращают линукс в прошивку для корпоративную систем и встроенных систем для рядового пользователя типа алексферма.

Ага

JamesHolden    
★★★★★
Android / Chrome

Вместо образа RAM-диска initrd в UKI может быть упакована и вся система, что позволяет создавать полностью верифицированные системные окружения, загружаемые в оперативную память

Spoofing, у тебя тут хлеб отбирают.

TheAnonymous    
★★★★★★★★★
Linux / Firefox
Ответ на: комментарий от Minona

смог бы. он бы просто не дал потеру распоясаться.

crypt    
★★★★★★★★★★★★
FreeBSD / Chrome
Ответ на: комментарий от alexferman

Ну смотри, раньше для любого сколь-нибудь популярного смердфона была куча кастомных прошивок, ветка на 4пда, да даже для гейфонов с гейпадам джейлбрейк был.
Сейчас если нужно устройство, которое управляется не дядей, надо прям заморачиваться искать, чтобы была разблокировка разгрузчика, нормальная прошивка без гуглосервисов, и выбор сильно ограничен.

TheAnonymous    
★★★★★★★★★
Linux / Firefox
Ответ на: комментарий от TheAnonymous

я удивлен, почему они до сих пор с windows это не провернули.

crypt    
★★★★★★★★★★★★
FreeBSD / Chrome
Ответ на: комментарий от crypt

на лт отсутствует система набора скора, как на лоре.

А как же набирают скор новые пользователи?

torvn77    
★★★★★★
Android / Chrome
Ограничение на отправку комментариев: только для зарегистрированных пользователей, score>=90