Релиз на boot мениджъра GNU GRUB 2.06

След три години разработка, представен е стабилният релийз на модулния многоплатформен мениджър за зареждане GNU GRUB 2.06 (GRand Unified Bootloader). GRUB поддържа широк спектър от платформи, включително обикновени PC с BIOS, платформи IEEE-1275 (с оборудване на базата на PowerPC/Sparc64), EFI системи, RISC-V, устройства с MIPS-съвместим процесор Loongson 2E, системи Itanium, ARM, ARM64 и ARCS (SGI), устройства, използващи свободния пакет CoreBoot.

Основни нововъведения:

• Добавена е поддръжка на механизма SBAT (UEFI Secure Boot Advanced Targeting), който решава проблемите с отзоваване на сертификати, с които са подписани зареждачите за UEFI Secure Boot. SBAT включва добавяне на нови метаданни, които са подписани с цифров подпис и могат допълнително да бъдат включвани в списъците с разрешени или забранени компоненти за UEFI Secure Boot. Указаните метаданни позволяват при отзоваване да се манипулира с версиите на компонентите без необходимост от повторна генерация на ключовете за Secure Boot и без създаване на нови подписи.
• Добавена е поддръжка на формата за криптиране на дискове LUKS2, който се различава от LUKS1 със системата за управление на ключове, която е опростена, и възможността за използване на сектори с голям размер (4096 вместо 512, което намалява натоварването при декриптиране), прилагане на символни идентификатори за дялове и средства за резервиране на метаданни с възможност за автоматично възстановяване от копие в случай на открито повреди.
• Поддръжката на кратки MBR gap (областта между MBR и началото на дисковия дял, която в GRUB се използва за съхранение на част от зареждача, която не се побира в сектор MBR) е прекратена.
• Добавена е поддръжка на модули XSM (Xen Security Modules), позволяващи дефинирането на допълнителни ограничения и пълномощия за хипервизора Xen, виртуални машини и свързаните с тях ресурси.
• Реализирана е механизъм lockdown, който е подобен на аналогичния набор от ограничения в ядрото на Linux. Lockdown блокира потенциалните пътища за заобикаляне на UEFI Secure Boot, например, забранява достъпа до някои интерфейси ACPI и MSR регистри на CPU, ограничава използването на DMA за PCI устройства, блокира импорта на код ACPI от EFI променливи, не се допуска манипулация с портове за въвеждане/извеждане.
• По подразбиране утилитата os-prober, която намира зареждащите дялове на други ОС и ги добавя в зареждащото меню, е изключена.
• Патчовете, подготвени от различни дистрибуции на Linux, са бэкпортнати.
• Уязвимостите BootHole и BootHole2 са отстранени.
• Възможността за компилиране с GCC 10 и Clang 10 е реализирана.

Източник: opennet.ru