Após dois anos de desenvolvimento, foi lançado o release estável do gerenciador de boot modular multiplataforma GNU GRUB 2.06 (GRand Unified Bootloader). O GRUB suporta uma ampla variedade de plataformas, incluindo PCs comuns com BIOS, plataformas IEEE-1275 (hardware baseado em PowerPC/Sparc64), sistemas EFI, RISC-V, hardware com processador compatível MIPS Loongson 2E, sistemas Itanium, ARM, ARM64 e ARCS (SGI), dispositivos que utilizam o pacote livre CoreBoot.
Principais novidades:
- Foi adicionada a suporte ao mecanismo SBAT (UEFI Secure Boot Advanced Targeting), que resolve problemas relacionados à revogação de certificados que autenticam os carregadores para UEFI Secure Boot. O SBAT implica a adição de novos metadados, que são autenticados por assinatura digital e podem ser incluídos em listas de componentes permitidos ou proibidos para o UEFI Secure Boot. Os metadados especificados permitem manipular os números de versão dos componentes durante a revogação, sem a necessidade de regenerar chaves para o Secure Boot e sem criar novas assinaturas.
- Foi adicionada a suporte ao formato de criptografia de discos LUKS2, que se diferencia do LUKS1 pela simplificação do sistema de gerenciamento de chaves, pela possibilidade de utilização de setores de maior tamanho (4096 em vez de 512, reduzindo a carga durante a descriptografia), pela aplicação de identificadores simbólicos de partições e por métodos de reserva de metadados com possibilidade de recuperação automática a partir de uma cópia em caso de danos detectados.
- Foi descontinuado o suporte para curtos gaps MBR (área entre o MBR e o início da partição do disco, que no GRUB é utilizada para armazenar parte do carregador que não cabe no setor MBR).
- Foi adicionada a suporte a módulos XSM (Xen Security Modules), que permitem definir restrições e permissões adicionais para o hipervisor Xen, máquinas virtuais e recursos relacionados.
- Foi implementado um mecanismo de lockdown, semelhante a um conjunto de restrições no núcleo do Linux. O lockdown bloqueia possíveis caminhos para contornar o UEFI Secure Boot, por exemplo, prohibindo o acesso a algumas interfaces ACPI e registradores MSR da CPU, limitando o uso de DMA para dispositivos PCI, bloqueando a importação de código ACPI de variáveis EFI, e não permitindo manipulações com portas de entrada/saída.
- A ferramenta os-prober, que detecta partições de boot de outros sistemas operacionais e as adiciona ao menu de boot, está desativada por padrão.
- Foram backportados patches preparados por várias distribuições do Linux.
- Foram corrigidas as vulnerabilidades BootHole e BootHole2.
- Implementada a capacidade de compilação usando GCC 10 e Clang 10.
Fonte: opennet.ru
