No Natal, uma nova proposta de melhoria para o kernel Linux foi apresentada por Thomas Weißschuh, focando em uma solução baseada em hash para verificação de integridade. A proposta visa resolver limitações atuais na geração de builds reprodutíveis.
O problema atual:
O modelo atual de assinatura de módulos apresenta desafios para builds reprodutíveis:
- Chave gerada em tempo de build: Torna a build não reprodutível.
- Chave estática: Complica rebuilds por terceiros, além de dificultar o processo de empacotamento.
A solução proposta:
A nova abordagem sugere a inclusão de uma lista de hashes dos módulos compilados diretamente no binário vmlinux, permitindo:
- Verificação de integridade com mais eficiência.
- Garantia de que apenas módulos conhecidos sejam carregados.
- Um caminho mais simples e confiável para builds verificáveis.
Impactos e questões em aberto:
- Benefícios:
A iniciativa facilita a reprodução bit-a-bit de builds, essencial para segurança e confiabilidade. - Desafios:
- Nomeação e estrutura do recurso.
- Integração com módulos como LSM/IMA/Keyring e compatibilidade com o modo Lockdown.
Participação da comunidade
Os interessados podem acompanhar e contribuir através do thread no Kernel Mailing List.
A proposta reflete um passo significativo no avanço do ecossistema do kernel Linux, promovendo builds mais seguras e reproduzíveis.