第 12 章 引导映像的加密密封(技术预览)

一个composefs摘要集成了EROFS、overlayfs和fs-verity来为整个文件系统提供密码验证。构建密封映像时，系统会将操作系统处理成描述每个文件、目录和权限的 EROFS 元数据映像，而不包括实际数据。

相反，它为每个文件条目记录一个fs-verity摘要，而一个单独的内容寻址对象存储则保存了启用内核的fs-verity的实际数据。在装载时，内核使用 overlayfs 将这些组件拼接在一起，而 verity=require 选项则强制内核验证每个服务文件是否与 EROFS 元数据中对应的 fs-verity 摘要匹配。

fs-verity 功能通过计算和存储文件内容的加密哈希树来确保每个文件的完整性。在运行期间，内核在块级验证读取并缓存结果以保持性能。

如果损坏或篡改导致验证失败，内核会立即阻塞数据并返回 I/O 错误 (EIO)。由于这种机制阻止系统为泄密数据提供服务，因此对损坏部分的任何后续读取操作都会失败，即使初始打开调用成功也是如此。