Dopo due anni di sviluppo, è stata presentata la versione stabile del gestore di avvio modulare multi-piattaforma GNU GRUB 2.06 (GRand Unified Bootloader). GRUB supporta una vasta gamma di piattaforme, compresi i PC tradizionali con BIOS, piattaforme IEEE-1275 (hardware basato su PowerPC/Sparc64), sistemi EFI, RISC-V, hardware basato su processori compatibili con MIPS come il Loongson 2E, sistemi Itanium, ARM, ARM64 e ARCS (SGI), nonché dispositivi che utilizzano il pacchetto open source CoreBoot.
Novità principali:
- Aggiunta la supporto per il meccanismo SBAT (UEFI Secure Boot Advanced Targeting), che affronta le problematiche associate al revocamento dei certificati utilizzati per firmare i bootloader per UEFI Secure Boot. SBAT prevede l'aggiunta di nuovi metadati, che sono firmati digitalmente e possono essere inclusi in ulteriori elenchi di componenti autorizzati o bloccati per UEFI Secure Boot. I metadati specificati consentono di gestire i numeri di versione dei componenti al momento della revoca, senza necessità di rigenerare le chiavi per il Secure Boot e senza la necessità di creare nuove firme.
- È stata aggiunta la supporto per il formato di crittografia dei dischi LUKS2, che si distingue da LUKS1 per un sistema di gestione delle chiavi semplificato, la possibilità di utilizzare settori di grande dimensione (4096 invece di 512, riducendo il carico durante la decrittazione), l'uso di identificatori simbolici per le partizioni e strumenti per il backup dei metadati con la possibilità di ripristino automatico da una copia in caso di danni.
- È stata interrotta la supporto per il breve MBR gap (l'area tra MBR e l'inizio della partizione del disco, utilizzata da GRUB per memorizzare una parte del bootloader che non riesce a stare nel settore MBR).
- È stata aggiunta la supporto per i moduli XSM (Xen Security Modules), che consentono di definire restrizioni e autorizzazioni aggiuntive per l'ipervisor Xen, di macchine virtuali e le risorse correlate.
- È stato implementato un meccanismo di lockdown, simile a un insieme di restrizioni nel kernel Linux. Il lockdown blocca i percorsi potenziali per eludere l'UEFI Secure Boot, ad esempio vietando l'accesso a determinate interfacce ACPI e registri MSR della CPU, limitando l'uso del DMA per i dispositivi PCI e bloccando l'importazione di codice ACPI da variabili EFI, impedendo manipolazioni delle porte di input/output.
- Per impostazione predefinita, l'utilità os-prober è disabilitata. Essa rileva le partizioni di avvio di altri sistemi operativi e le aggiunge al menu di avvio.
- Sono stati backportati patch fornite da varie distribuzioni Linux.
- Sono state eliminate le vulnerabilità BootHole e BootHole2.
- Implementata la possibilità di compilare utilizzando GCC 10 e Clang 10.
Fonte: opennet.ru
