> сходи по ссылке, прочитай, может дойдёт что не нужен никакой отдельный initrd который надо "защищать от подмены" всё прекрасно работает с initramfs слинкованой с ядром

Ещё раз... Чтобы влинковать initramfs в ядро тебе нужно перелинковывать ядро, потому что initramfs это просто ещё один блоб, который в него пихается на стадии линковки: https://elixir.bootlin.com/linux/latest/source/usr/initramfs.... Для этого тебе нужно тащить сборочную инфраструктуру и попрощаться с подписью модулей.

> и для загрузчика это один подписаный файл, кстати какие ты там "тащить непожатые объектники в пакете" придумал - во первых пакетики это и есть пожатые архивы так и ядро собирают дистрибьютеры, куда что и зачем тащить ?

Тащить затем что однажды ты захочешь поменять опции modprobe и тебе нужно будет пересобрать initrd.

> достаточно через dd впердолить новый имидж фс обратно по тому же адресу где было

Не, недостаточно, если он стал больше.

> главное чтобы старый был больше или равен новому :) но это несложно - там наверняка будет целая куча модулей которые тебе никогда не понадобятся. Мне больше непонятно - в свои дистрибутивные UKI они планируют все модули ядра запихивать ?

UKI это просто vmlinuz + initramfs.

>> UKI это просто vmlinuz + initramfs
> изначальный смысл этого initrd/initramfs - держать там модули ядра которые нужны для
> доступа к носителю и фс носителя с корневой фс чтобы не
> линковать все возможные модули статически - иначе ядро будет огромное с
> кучей ненужных неудаляемых модулей в ОЗУ, так как тот кто собирает
> дистр не знает какое у тебя железо и какаую фс ты
> веберешь initrd собирают на машине куда устанавливают, теперь вопрос - сейчас
> они все возможные модули будут запихивать в initrd при сборке _своего_
> подписанного UKI ?

UKI собирается на твоей машине из vmlinuz и того что дракут нагенерил. То есть относительно vmlinuz + initramfs не меняется буквально ничего.