Новий легковаговий GRUB для Fedora Linux 45

Fedora Linux 45 представить окрему, легку версію завантажувача GRUB, призначену для використання в середовищах конфіденційних обчислень і віртуальних машин на базі UEFI.

Призначення нового GRUB

На відміну від звичайного пакету GRUB, який використовується в стандартних установках Fedora, нова версія міститиме лише мінімальну кількість вбудованих модулів. Її мета – забезпечити швидкий запуск Unified Kernel Images, відомих як UKI, за допомогою записів специфікації завантажувача, одночасно зберігаючи сам завантажувач якомога меншим і стабільним.

Вибіркова установка нової версії

Нова реалізація буде розроблена та доступна окремо від загальносистемного пакету GRUB Fedora. Користувачам потрібно буде самостійно вибрати її встановлення. Внаслідок цього звичайні установки та оновлення не повинні впливати на сумісність.

Технології конфіденційних обчислень

Причина цієї зміни пов’язана із способом, яким конфіденційні віртуальні машини формують довіру через віддалену атестацію. Такі середовища перевіряють, що система завантажена з очікуваною та надійною конфігурацією програмного забезпечення, за допомогою вимірювань реєстрації конфігурації платформи TPM.

Переваги нового підходу

Оскільки оновлення завантажувача змінює виміряні значення, це призводить до змін у PCR значеннях. Це може ускладнити реалізацію політик атестації, які очікують, що вимірювання залишаться стабільними протягом тривалого часу. Зменшення кількості вбудованих модулів також означає менший потенційний вектор атаки.

Підтримка Unified Kernel Images

Остаточна збірка GRUB включатиме лише ті функції, які потрібні для навантажень віртуальних машин. Для Unified Kernel Images, UKI об’єднує ядро Linux, initramfs, командний рядок та інші компоненти завантаження в єдиний EFI виконуваний файл, який може бути підписаний цілком для Secure Boot.

Гнучкість у використанні

Хоча новий завантажувач в основному розроблений для UKI, пропозиція стверджує, що він все ще може завантажувати традиційні ядра та зображення initramfs, якщо вони розміщені у визначених місцях EFI System Partition та супроводжуються відповідними конфігураційними файлами BLS.

Футпринт для Fedora CoreOS

Пакет вже доступний у Fedora Rawhide для систем x86_64 та AArch64. Нинішні збірки підписані для Secure Boot за допомогою існуючого ключа підпису GRUB Fedora. Проект очікує, що легка версія отримає свій власний ключ підпису в майбутньому.

Висновок про впровадження

Fedora CoreOS планує стати основним раннім адаптером нового пакета та вже розпочала тестування реалізації. Для звичайних користувачів Fedora практичний вплив змін буде незначним, оскільки стандартні пакети GRUB продовжуватимуть використовуватися.

Нова версія діє як додатковий спеціалізований завантажувач для конфіденційних віртуальних машин, запечатаних завантажуваних контейнерних зображень та подібних ситуацій, де важливі надійні вимірювання TPM та менший програмний слід. Зміна очікується з виходом Fedora Linux 45, запланованим на 20 жовтня 2026 року. Для додаткових деталей перегляньте пропозицію.