Canonical меняет способ загрузки Ubuntu 26.10 на устройствах с включённым Secure Boot, чтобы уменьшить поверхность атаки на этапе загрузки системы.
Подписанная версия GRUB, используемая при включённом Secure Boot, больше не будет поддерживать раздел /boot на Btrfs, XFS, ZFS, LVM, зашифрованном LUKS и программном RAID, за исключением RAID1. Также удаляется поддержка HFS+, таблицы разделов Apple и загрузки изображений JPEG и PNG.
GRUB должен прочитать каталог /boot, чтобы найти ядро и запустить Ubuntu. Если необходимые файлы находятся на одной из неподдерживаемых файловых систем, загрузчик не сможет получить к ним доступ, и система не запустится.
При включённом Secure Boot Ubuntu 26.10 по-прежнему поддерживает размещение /boot на ext4, FAT и ISO9660 — последняя используется для загрузки с CD и DVD. Также сохраняется поддержка squashfs, используемой для snap-пакетов.
Если Secure Boot отключён, загружается полная версия GRUB: нестандартные конфигурации раздела /boot и настройки загрузчика, например фоновые изображения, продолжат работать.
Почему Canonical меняет GRUB
Canonical объясняет решение соображениями безопасности. GRUB — один из первых компонентов в цепочке загрузки Ubuntu. При стандартной настройке Secure Boot прошивка устройства запускает программу shim, которая проверяет GRUB и загружает его. Затем GRUB анализирует файловые системы и разметку разделов, чтобы найти и загрузить ядро.
Анализаторы файловых систем и разметки становились источником многочисленных уязвимостей, позволявших обходить Secure Boot. Большие языковые модели помогают быстрее находить уязвимости, которые потенциально могут быть использованы для атак. Canonical считает, что сокращение числа анализаторов, работающих до запуска ядра, уменьшает возможности нарушить цепочку доверенной загрузки.
Планы сократить набор функций GRUB вызвали недовольство некоторых пользователей с нестандартными конфигурациями загрузки. Среди них были и конфигурации, созданные с помощью экспериментальных возможностей установщика ОС. Для тех, кому необходимы одновременно Secure Boot и полный набор функций GRUB, остаётся Ubuntu 26.04 LTS. Эта версия поддерживается до 2036 года с Ubuntu Pro и до 2041 года с Ubuntu Pro и дополнением Legacy Add-on.
Кого коснутся ограничения
Изменение затрагивает только загрузку Ubuntu 26.10 на устройствах с включённым Secure Boot. Оно касается пути загрузки, а не использования файловых систем после запуска системы.
LVM, RAID, LUKS, Btrfs и ZFS по-прежнему можно использовать и открывать в Ubuntu 26.10 с включённым Secure Boot — после загрузки ОС.
Перед переходом на Ubuntu 26.10 стоит проверить, не использует ли ваша система нестандартную конфигурацию /boot, и сопоставить её со списком поддерживаемых вариантов. Большинство пользователей не затронуты изменением: стандартный установщик ОС настраивает систему с учётом совместимости с Secure Boot.