Lennart Poettering: Brave New Trusted Boot World

In einem längeren Beitrag auf seinem Blog nimmt sich Systemd-Entwickler Lennart Poettering den Boot-Prozess bei Linux-Distributionen vor. Er deckt dabei den Status quo ab und beschreibt, wie er und eine Gruppe von Mitstreitern sich den Linux-Boot der Zukunft vorstellen. Der Schwerpunkt liegt dabei auf Robustheit und Einfachheit.

Image-Based Linux Summit

Vor einigen Wochen fand in Berlin ein Summit unter dem Titel Image-Based Linux statt, bei dem sich Entwickler verschiedenster Distributionen und Organisationen trafen, die an einer Modernisierung von Linux interessiert sind. Eines der Ergebnisse war die Gründung der neuen Initiative »The Linux Userspace API Group«, kurz UAPI Group. Ziel ist, ein zentraler Sammelpunkt für neue oder bereits bestehende Spezifikationen, Dokumentation und Ideen zu sein.

Unified Kernel Image

Poetterings Blog-Eintrag, der erste in einer Serie von technisch tiefgreifenden Posts der UAPI Group, zeigt einen möglichen Weg zu einem robusteren und vertrauenswürdigen Boot-Prozess, in dessen Mittelpunkt das Konzept eines Unified Kernel Image (UKI) steht. Ein solches Kernel-Image ist eine Kombination aus dem Linux-Kernel, der initrd und einem UEFI-Stub, die wiederum als eine einzige UEFI PE-Datei (Portable Executable)) verteilt werden kann und direkt von der UEFI-Firmware oder einem Bootloader gestartet werden kann. Der erweiterte Linux-Boot-Prozess und die Unified Kernel Images sollen dabei um verschiedene Systemd-Komponenten herum aufgebaut werden.

All in One

UKIs verpacken alle oben genannten Daten in einer einzigen Datei, sodass alle Komponenten in einem Zug durch atomare Aktualisierungen aktualisiert werden können. Dies ist nützlich, da der vermutliche Speicherort für diese UKIs die UEFI-Systempartition (ESP) ist, die ein vFAT-Dateisystem mit begrenzten Datensicherheitsgarantien darstellt.

Das Booten von Linux ohne Bootloader ist besonders für sicherheitskritische Umgebungen und Cloud-Computing interessant, da durch die Image-basierte atomare Aktualisierung weniger Angriffspunkte bestehen. Für Umgebungen, in denen mehrere Kernel zur Auswahl stehen sollen, ist ein Bootloader derzeit unabdingbar.

Ein weiteres, von der UAPI Group veröffentlichtes Dokument listet für die Mitglieder als wünschenswert erachtete Kernel-Features auf.