Po dvou letech vývoje je k dispozici stabilní verze modulárního multiplatformního správce spouštění GNU GRUB 2.06 (GRand Unified Bootloader). GRUB podporuje široké spektrum platforem, včetně běžných PC s BIOSem, platforem IEEE-1275 (zařízení založená na PowerPC/Sparc64), EFI systémů, RISC-V, zařízení založených na procesorech kompatibilních s MIPS, systémů Itanium, ARM, ARM64 a ARCS (SGI), zařízení využívající svobodný paket CoreBoot.
Hlavní novinky:
- Byla přidána podpora mechanismu SBAT (UEFI Secure Boot Advanced Targeting), který řeší problémy s odvoláním certifikátů, jimiž jsou podepsány spouštěče pro UEFI Secure Boot. SBAT zahrnuje přidání nových metadat, která jsou podepsána digitálním podpisem a mohou být navíc zařazena do seznamů povolených nebo zakázaných komponentů pro UEFI Secure Boot. Tato metadata umožňují manipulaci s čísly verzí komponentů při odvolání bez nutnosti regenerace klíčů pro Secure Boot a bez vytváření nových podpisů.
- Byla přidána podpora formátu šifrování disků LUKS2, který se od LUKS1 liší zjednodušeným systémem správy klíčů, možností použití sektorů velké velikosti (4096 namísto 512, což snižuje zátěž při dešifrování), aplikací symbolických identifikátorů oddílů a prostředky pro zálohování metadat s možností jejich automatického obnovení z kopie v případě zjištění poškození.
- Byla ukončena podpora krátkých MBR mezí (oblasti mezi MBR a začátkem diskového oddílu, která se v GRUB používá pro ukládání části spouštěče, která se nevejde do sektoru MBR).
- Byla přidána podpora modulů XSM (Xen Security Modules), které umožňují definovat další omezení a oprávnění pro hypervizor Xen, virtuálních strojů a s nimi související zdroje.
- Byl implementován mechanismus lockdown, který je podobný obdobnému souboru omezení v jádře Linuxu. Lockdown blokuje možné cesty obcházení UEFI Secure Boot, například zakazuje přístup k některým rozhraním ACPI a MSR registrům CPU, omezuje používání DMA pro PCI zařízení, blokuje import kódu ACPI z proměnných EFI a neumožňuje manipulaci s porty vstupu/výstupu.
- Výchozí nastavení pro nástroj os-prober, který nachází spouštěcí oddíly jiných operačních systémů a přidává je do bootovací nabídky, bylo zakázáno.
- Byly zpětně importovány opravy připravené různými distribucemi Linuxu.
- Byly odstraněny zranitelnosti BootHole a BootHole2.
- Byla implementována možnost kompilace s použitím GCC 10 a Clang 10.
Zdroj: opennet.ru
