Két év fejlesztés után megjelent a stabil kiadása a moduláris, többplatformos indítókezelőnek, a GNU GRUB 2.06-nak (GRand Unified Bootloader). A GRUB széles platformválasztékot támogat, beleértve a hagyományos BIOS-szal rendelkező számítógépeket, az IEEE-1275 platformokat (PowerPC/Sparc64 alapú hardver), EFI rendszereket, RISC-V-t, MIPS kompatibilis Loongson 2E processzor alapú eszközöket, Itanium rendszereket, ARM, ARM64, és ARCS (SGI) eszközöket, továbbá a CoreBoot szabadcsomag használatát.
Főbb újítások:
- Hozzáadva a SBAT mechanizmus támogatása (UEFI Secure Boot Advanced Targeting), amely megoldja az UEFI Secure Boot számára aláírt betöltők tanúsítványainak visszavonásával kapcsolatos problémákat. A SBAT új metaadatok hozzáadását jelenti, amelyeket digitális aláírás hitelesít, és amelyek további engedélyezett vagy letiltott komponenslistákba is felvehetők az UEFI Secure Boot számára. A megadott metaadatok lehetővé teszik a verziószámok manipulálását a komponensek visszavonásakor, anélkül hogy újra kellene generálni a Secure Boot kulcsokat vagy új aláírásokat kellene készíteni.
- Hozzáadva a LUKS2 lemeztitkosítási formátum támogatása, amely a LUKS1-től eltérő, egyszerűsített kulcskezelő rendszerrel, a nagyméretű szektorok (4096 helyett 512, csökkentve a dekódolás terheit) használatával, szimbolikus partícióazonosítók alkalmazásával, valamint metadaták tartalékának kezelésével rendelkezik, lehetővé téve azok automatikus helyreállítását másolatról a sérülések felfedezése esetén.
- Megszüntettük a rövid MBR gap (az MBR és a lemezpartíció kezdete közötti terület; a GRUB ezt a betöltő egy részének tárolására használja, amely nem fér el az MBR szektorában) támogatását.
- Hozzáadva az XSM (Xen Security Modules) modulok támogatása, amelyek lehetővé teszik a Xen hypervisor számára további korlátozások és hatáskörök meghatározását. virtuális gépekhez és a hozzájuk kapcsolódó erőforrásokat.
- A lockdown mechanizmus megvalósítva, amely hasonló a Linux kernelben található korlátozásokhoz. A lockdown blokkolja az UEFI Secure Boot megkerülésének lehetőségeit, például megtiltja bizonyos ACPI interfészek és CPU MSR regiszterek elérését, korlátozza a DMA használatát PCI eszközök számára, blokkolja az ACPI kód importálását EFI változókból, és megakadályozza a bemeneti/kimeneti portok manipulálását.
- Alapértelmezés szerint letiltva az os-prober segédprogram, amely más operációs rendszerek indítópartícióit találja meg, és hozzáadja azokat az indítómódhoz.
- Linux különböző disztribúciói által előkészített javítások visszaépítve.
- Javították a BootHole és BootHole2 sebezhetőségeit.
- Lehetőség nyílt a GCC 10 és Clang 10 használatával történő építésre.
Forrás: opennet.ru
