Инженеры Ubuntu обсуждают способы сокращения числа функций, присутствующих в подписанной версии GRUB — загрузчика, используемого в системах с включенной функцией Secure Boot.
Инженер Canonical Джулиан Клоде предлагает отказаться от поддержки /boot в файловых системах Btrfs, HFS, XFS и ZFS, а также от парсеров изображений JPEG и PNG в Grub в преддверии выпуска Ubuntu 26.10.
Поддержка таблицы разделов Apple, работа с томами LVM, все программные RAID, кроме RAID 1, и, что вызывает больше споров, зашифрованные с помощью LUKS разделы /boot также находятся под угрозой удаления.
Говорят, что многие из этих функций унаследованы от Debian, но никогда не тестировались в Ubuntu.
Время здесь имеет решающее значение, выполняя изменения непосредственно после выпуска LTS, мы можем оставить затронутых пользователей на версии LTS с поддержкой в течение 10 лет, а не на промежуточном выпуске с 9-месячной поддержкой.
— говорит Клоде
Выделение слова «затронутых» сделано мной, так как это самый важный момент: только те, кто использует Secure Boot или установил Ubuntu со сложной конфигурацией загрузки, не предусмотренной установщиком ОС, не смогут перейти на Ubuntu 26.10.
Безопасность — главный мотиватор
Несмотря на то, что GRUB выглядит просто, это многофункциональный инструмент. GRUB (GRand Unified Bootloader) — это черный экран с белым текстом, который вы видите при запуске компьютера под управлением Linux (и большинство дистрибутивов Linux используют GRUB). Он позволяет выбрать операционную систему, цепочку загрузчиков или другие функции, которые вы хотите использовать…
И в этом заключается проблема.
GRUB запускается до Linux, поэтому не имеет средств защиты, включенных в операционные системы Linux. Ошибка в любом компоненте GRUB, даже если Ubuntu его не использует, потенциально может быть использована злоумышленником — например, CVE-2024-45774, уязвимость в парсере JPEG GRUB.
Но оправдан драматизм и опасения вокруг этого предложения?
Большинство людей, устанавливающих Ubuntu, делают это, используя стабильные настройки по умолчанию, доступные в программе установки ОС. Если вы установили Ubuntu с полным шифрованием диска (FDE) на файловой системе ext4, ваша конфигурация вряд ли будет затронута.
Инженер Canonical Мате Кукри (Máté Kukri) прояснил этот вопрос, заявив, что дистрибутив не удаляет никакую поддержку FDE.
Но если вы вручную создали зашифрованный LUKS /boot, разместили его на файловой системе ZFS или btrfs, либо настроили программный RAID, отличный от RAID-1 (как предпочитают делать некоторые опытные пользователи Ubuntu), это предложение лишит вас возможности обновиться до Ubuntu 26.10.
Член Технического совета Ubuntu Томас Уорд отмечает, что установщик серверной версии дистрибутива по умолчанию настраивает LVM, а шифрование LUKS в Ubuntu в настоящее время требует LVM. Некоторые официальные конфигурации системы могут подпасть под те же ограничения.
Аргументы Клодеса в пользу удаления LUKS из /boot (что он обеспечивает Безопасность за счет скрытности, но не реальной безопасности) вызвали бурную реакцию со стороны пользователей, в то время как необходимость других удалений была поставлена под сомнение (у btrfs и XFS нет CVE для GRUB, а у squashfs, который остается на месте, есть).
Предложения
Безопасность — благородная цель, и взвешенные, разумные отзывы определят, как это предложение будет развиваться в ближайшие месяцы. Некоторые пользователи обеспокоены, но не все инженеры Canonical убеждены в обоснованности этого шага и просят дополнительных разъяснений.
Неясно, окажет ли значительное влияние блокировка обновлений с 26.04 LTS до 26.10 для сложных конфигураций. Ubuntu 28.04 LTS, вероятно, станет той версией, на которую захотят перейти большинство пользователей 26.04 LTS. Два года — это достаточное время для того, чтобы предложения успели устояться.
В конце концов, смысл промежуточных выпусков заключается в том, чтобы опробовать и протестировать существенные изменения, дать время для обсуждения, обратной связи и доработки — в худшем случае, для отката.
Комментарии (0)