Na twee jaar ontwikkeling is de stabiele release van de modulaire multi-platform bootloader GNU GRUB 2.06 (GRand Unified Bootloader) gepresenteerd. GRUB ondersteunt een breed scala aan platforms, waaronder reguliere pc's met BIOS, IEEE-1275 systemen (hardware gebaseerd op PowerPC/Sparc64), EFI-systemen, RISC-V, hardware gebaseerd op MIPS-compatibele Loongson 2E-processoren, Itanium-systemen, ARM, ARM64 en ARCS (SGI), apparaten die het vrije CoreBoot-pakket gebruiken.
Belangrijkste vernieuwingen:
- De ondersteuning voor het SBAT-mechanisme (UEFI Secure Boot Advanced Targeting) is toegevoegd, dat problemen met het intrekken van certificaten voor UEFI Secure Boot-opladers aanpakt. SBAT houdt in dat er nieuwe metadata wordt toegevoegd die digitaal zijn ondertekend en die verder kunnen worden opgenomen in lijsten van toegestane of verboden componenten voor UEFI Secure Boot. Deze metadata maakt het mogelijk om bij intrekking de versienummers van componenten te manipuleren zonder dat het nodig is om sleutels voor Secure Boot opnieuw te genereren of nieuwe handtekeningen aan te maken.
- De ondersteuning voor het LUKS2 schijfversleutelingsformaat is toegevoegd, wat zich onderscheidt van LUKS1 door een vereenvoudigd sleutelhanteersysteem, de mogelijkheid om grote sectoren (4096 in plaats van 512) te gebruiken (wat de belasting bij decodering vermindert), het gebruik van symbolische identificeerders voor partities en oplossingen voor het back-uppen van metadata met de mogelijkheid om deze automatisch te herstellen uit een kopie in het geval van schade.
- De ondersteuning voor korte MBR gap (het gebied tussen de MBR en het begin van de schijfpartitie, dat in GRUB wordt gebruikt om een deel van de opstartlader dat niet in de MBR-sector past op te slaan) is stopgezet.
- De ondersteuning voor XSM-modules (Xen Security Modules) is toegevoegd, die extra beperkingen en bevoegdheden voor de Xen hypervisor mogelijk maken. virtuele machines en de daaraan gerelateerde middelen.
- Een lockdown-mechanisme is geïmplementeerd, vergelijkbaar met een soortgelijk beperkingsset in de Linux-kernel. Lockdown blokkeert mogelijke omwegen voor UEFI Secure Boot, bijvoorbeeld door toegang tot bepaalde ACPI-interfaces en CPU MSR-registers te verbieden, het gebruik van DMA voor PCI-apparaten te beperken, het importeren van ACPI-code uit EFI-variabelen te blokkeren, en het manipuleren van in- en uitvoerpoorten te verbieden.
- De os-prober utility is standaard uitgeschakeld, die opstartpartities van andere OS'en vindt en deze aan het opstartmenu toevoegt.
- Patches die door verschillende Linux-distributies zijn voorbereid, zijn gebackport.
- De kwetsbaarheden BootHole en BootHole2 zijn verholpen.
- De mogelijkheid om te bouwen met GCC 10 en Clang 10 is gerealiseerd.
Bron: opennet.ru
