Издание на зареждащия мениджър GNU GRUB 2.06

След като приключи двугодишната разработка, беше представен стабилен релиз на модулния многоплатформен мениджър за зареждане GNU GRUB 2.06 (GRand Unified Bootloader). GRUB поддържа широк спектър от платформи, включително обикновени ПК с BIOS, IEEE-1275 платформи (оборудване на базата на PowerPC/Sparc64), EFI системи, RISC-V, устройства на база процесора MIPS-совместими Loongson 2E, системи Itanium, ARM, ARM64 и ARCS (SGI), устройства, използващи свободния пакет CoreBoot.

Основни нововъведения:

• Добавена е поддръжка за механизма SBAT (UEFI Secure Boot Advanced Targeting), който решава проблемите с отзоваване на сертификатите, с които са подписани зареждачите за UEFI Secure Boot. SBAT включва добавяне на нови метаданни, които са подписани с цифров подпис и могат допълнително да бъдат включени в списъци на разрешени или забранени компоненти за UEFI Secure Boot. Указаните метаданни позволяват манипулация на версионните номера на компонентите при отзоваване без необходимост от повторно генериране на ключовете за Secure Boot и без генериране на нови подписи.
• Добавена е поддръжка за формата на криптиране на дисковете LUKS2, който се различава от LUKS1 с опростена система за управление на ключовете, възможността за използване на по-големи сектори (4096 вместо 512, което намалява натоварването при декриптиране), употребата на символни идентификатори на дяловете и средствата за резервиране на метаданните с възможност за автоматично възстановяване от копие при установяване на повреда.
• Поддръжката на кратките MBR gap (област между MBR и започването на дисковия дял, която GRUB използва за съхранение на част от зареждача, която не побира в сектора MBR) е прекратена.
• Добавена е поддръжка за модулите XSM (Xen Security Modules), които позволяват задаване на допълнителни ограничения и права за хипервизора Xen, на виртуални машини и свързаните с тях ресурси.
• Реализиран е механизъм lockdown, подобен на аналогичния набор от ограничения в ядрото на Linux. Lockdown блокира възможните обходни пътища за UEFI Secure Boot, например, забранява достъпа до някои интерфейси ACPI и регистрите MSR на CPU, ограничава използването на DMA за PCI устройства, блокира импорта на ACPI код от променливи EFI и не допуска манипулации с входно-изходните портове.
• По подразбиране е деактивирана утилитата os-prober, която намира зареждащите дялове на други ОС и ги добавя в менюто за зареждане.
• Бекпортнати са пачове, подготвени от различни дистрибуции на Linux.
• Устранени са уязвимостите BootHole и BootHole2.
• Реализирана е възможността за компилация с GCC 10 и Clang 10.

Източник: opennet.ru