Nach zwei Jahren Entwicklung wird die stabile Version des modularen, plattformübergreifenden GNU GRUB 2.06 (GRand Unified Bootloader) vorgestellt. GRUB unterstützt eine Vielzahl von Plattformen, darunter Standard-PCs mit BIOS, IEEE-1275-Plattformen (Hardware auf Basis von PowerPC/Sparc64), EFI-Systeme, RISC-V, Hardware mit MIPS-kompatiblen Loongson 2E-Prozessoren, Itanium-Systeme, ARM, ARM64 und ARCS (SGI) sowie Geräte, die das freie CoreBoot-Paket verwenden.
Hauptneuheiten:
- Die Unterstützung des SBAT-Mechanismus (UEFI Secure Boot Advanced Targeting) wurde hinzugefügt, um Probleme mit der Rücknahme von Zertifikaten zu lösen, die die Bootloader für UEFI Secure Boot zertifizieren. SBAT sieht die Hinzufügung neuer Metadaten vor, die digital signiert werden und zusätzlich in die Listen der genehmigten oder verbotenen Komponenten für UEFI Secure Boot aufgenommen werden können. Die angegebenen Metadaten ermöglichen es, bei einer Rücknahme die Versionsnummern der Komponenten zu manipulieren, ohne dass die Schlüssel für Secure Boot neu generiert und keine neuen Signaturen erstellt werden müssen.
- Die Unterstützung des LUKS2-Verschlüsselungsformats wurde hinzugefügt, das sich von LUKS1 durch ein vereinfachtes Schlüsselmanagement, die Möglichkeit zur Verwendung von großen Sektoren (4096 statt 512, was die Entlastung bei der Entschlüsselung verringert), die Verwendung symbolischer Identifizierer für Partitionen und die Mittel zur Sicherung von Metadaten mit der Möglichkeit der automatischen Wiederherstellung aus einer Kopie im Falle von Beschädigungen unterscheidet.
- Die Unterstützung für kurze MBR-Gaps (Bereich zwischen MBR und Beginn der Festplattenpartition, der in GRUB verwendet wird, um einen Teil des Bootloaders zu speichern, der nicht im MBR-Sektor Platz hat) wurde eingestellt.
- Die Unterstützung für XSM-Module (Xen Security Modules) wurde hinzugefügt, die es ermöglichen, zusätzliche Einschränkungen und Berechtigungen für den Hypervisor Xen und die damit verbundenen Ressourcen festzulegen. virtuelle Maschinen und die damit verbundenen Ressourcen.
- Ein Lockdown-Mechanismus wurde implementiert, der einem ähnlichen Set von Einschränkungen im Linux-Kernel ähnelt. Der Lockdown blockiert mögliche Umgehungswege für UEFI Secure Boot, indem er beispielsweise den Zugriff auf bestimmte ACPI-Schnittstellen und CPU-MSR-Register verbietet, die Verwendung von DMA für PCI-Geräte einschränkt, den Import von ACPI-Code aus EFI-Variablen blockiert und Manipulationen an Ein-/Ausgabe-Ports verhindert.
- Das os-prober-Tool, das Bootpartitionen anderer Betriebssysteme erkennt und sie zum Bootmenü hinzufügt, ist standardmäßig deaktiviert.
- Patches, die von verschiedenen Linux-Distributionen vorbereitet wurden, wurden zurückportiert.
- Die Sicherheitsanfälligkeiten BootHole und BootHole2 wurden behoben.
- Die Möglichkeit zur Erstellung mit GCC 10 und Clang 10 wurde implementiert.
Quelle: opennet.ru
