Fedora 38 将初步支持统一内核镜像(UKI)

12 月 21 日消息,Red Hat 和 Fedora 工程团队的新规划显示,明年春季上线的 Fedora 38 将初步支持统一内核镜像(UKI)。systemd 开发人员历来拥护和推动统一内核映像,从而更好地保护和信任 Linux 发行版本。

统一内核映像是组合内核映像、initrd 和 UEFI 存根程序,将这些东西作为一个大的整体进行分发。

Fedora 38 的变更提案概述了支持统一内核镜像的一些计划:

我们的目标是在已安装的设备上不再生成 initrd 镜像。今后在构建内核安装包时将会自动生成这些镜像,并以统一内核映像的方式发布。

统一内核镜像是包含 kernel、initrd、cmdline 和 signature 在内的一体化 EFI 安装文件。安全引导签名涵盖 initrd 在内的所有内容,initrd 不再作为单独的文件从 /boot 加载。

此举的主要动机是使发行版更健壮和更安全。

想要在短期内将整个发行版本切换到统一内核是不现实的。太多的特性依赖于当前工作流与特定于主机的 initrd(和特定于主机的内核命令行),这从根本上与统一内核不兼容,在统一内核中每个人都将拥有相同的 initrd 和命令行。这就是标题中有 “第一阶段” 的原因,因此我们可以在未来的版本中推出更多阶段。

1赞

从 UEFI 安全启动的角度来说,链式签名验证还是蛮重要的。
保证一个引导器,内核,initrd 都属于被签名的状态。
但签名要 $。