Dopo due anni di sviluppo è stato presentato il rilascio stabile del gestore di avvio modulare multi-piattaforma GNU GRUB 2.06 (GRand Unified Bootloader). GRUB supporta un'ampia gamma di piattaforme, tra cui PC standard con BIOS, piattaforme IEEE-1275 (hardware basato su PowerPC/Sparc64), sistemi EFI, RISC-V, hardware basato su processori MIPS compatibili con Loongson 2E, sistemi Itanium, ARM, ARM64 e ARCS (SGI), dispositivi che utilizzano il pacchetto libero CoreBoot.
Novità principali:
- È stato aggiunto il supporto per il meccanismo SBAT (UEFI Secure Boot Advanced Targeting), che affronta i problemi di revoca dei certificati per i bootloader per UEFI Secure Boot. SBAT implica l'aggiunta di nuovi metadati, che sono firmati digitalmente e possono essere ulteriormente inclusi nelle liste di componenti consentiti o vietati per UEFI Secure Boot. I metadati specificati consentono di manipolare i numeri di versione dei componenti in caso di revoca senza la necessità di rigenerare le chiavi per Secure Boot e senza creare nuove firme.
- È stato aggiunto il supporto per il formato di crittografia dei dischi LUKS2, che si distingue da LUKS1 per un sistema di gestione delle chiavi semplificato, la possibilità di utilizzare settori di grandi dimensioni (4096 invece di 512, che riduce il carico durante la decrittazione), l'uso di identificatori simbolici delle partizioni e mezzi di backup dei metadati con la possibilità di recupero automatico da una copia in caso di danno.
- È stata cessata la supporto per brevi gap MBR (l'area tra MBR e l'inizio della partizione disco, utilizzata in GRUB per memorizzare parte del bootloader che non può essere contenuta nel settore MBR).
- È stato aggiunto il supporto per i moduli XSM (Xen Security Modules), che consentono di definire ulteriori limitazioni e autorità per l'hypervisor Xen, macchine virtuali e le risorse connesse.
- È stato implementato un meccanismo di lockdown, simile a un insieme di restrizioni omologhe nel kernel Linux. Il lockdown blocca possibili vie di bypass di UEFI Secure Boot, ad esempio, vietando l'accesso a alcune interfacce ACPI e registri MSR del CPU, limitando l'uso del DMA per i dispositivi PCI, bloccando l'importazione di codice ACPI da variabili EFI, e vietando la manipolazione delle porte di input/output.
- Per impostazione predefinita, l'utilità os-prober, che trova le partizioni di avvio di altri sistemi operativi e le aggiunge al menu di avvio, è disabilitata.
- Sono stati retro-portati patch preparati da vari distribuzioni Linux.
- Sono state risolte le vulnerabilità BootHole e BootHole2.
- È stata realizzata la possibilità di assemblaggio utilizzando GCC 10 e Clang 10.
Fonte: opennet.ru
