Matthew Garrett reichte am 8. Oktober 2026 RFC-Patches ein, die den Linux-Ruhezustand bei aktivem Kernel Lockdown mit TPM-gestützten Schutzmaßnahmen ermöglichen sollen. Der Vorschlag ist keine bereits übernommene Kernel-Funktion.
Warum Kernel Lockdown den Ruhezustand einschränkt
Beim Ruhezustand schreibt Linux den Systemzustand auf ein Speichermedium und liest ihn beim Fortsetzen wieder ein. Wird das gespeicherte Abbild verändert, könnte der wiederhergestellte Kernel manipulierten Zustand übernehmen. Außerdem kann eine ungeschützte Speicherdatei sensible Informationen offenlegen.
Verschlüsselung kann gespeicherte Daten vor dem Auslesen schützen. Für sich allein belegt sie aber nicht, dass das Ruhezustandsabbild von einem vertrauenswürdigen Kernel stammt. Genau diese Authentizität ist für den Schutz vor manipulierten Abbildern entscheidend.
Welche Schutzmaßnahmen der RFC vorsieht
Der Vorschlag setzt auf ein Trusted Platform Module (TPM), einen Sicherheitsbaustein zur geschützten Verwaltung kryptografischer Schlüssel und Vorgänge. Vorgesehen sind auditierte TPM-Sitzungen, ein TPM-Signaturschlüssel für diese Sitzungen und ein signiertes Ruhezustandsabbild. Die Signatur soll die Prüfung des gespeicherten Abbilds ermöglichen, bevor Linux den Systemzustand daraus wiederherstellt.
Secure Boot, Lockdown und Bereitschaft
Auf EFI-fähigen x86- und arm64-Systemen wird Kernel Lockdown automatisch aktiviert, wenn sie im UEFI-Secure-Boot-Modus starten. Lockdown schränkt bestimmte Schnittstellen ein, die die Integrität des Kernels gefährden könnten.
Bereitschaft und Ruhezustand sind unterschiedliche Betriebszustände: Bei der Bereitschaft bleibt der Systemzustand im Arbeitsspeicher erhalten. Beim Ruhezustand wird er auf ein Speichermedium geschrieben und später von dort wiederhergestellt.
