Fedora 45 führt ein minimales GRUB-Paket für vertrauliche VMs ein

Fedora Linux 45 wird ein separates, minimales GRUB-Paket einführen, das für vertrauliche VMs, Unified Kernel Images und vorhersagbare TPM-Messungen konzipiert ist.
Eine Übersetzung von 🇬🇧 Linuxiac.com

Fedora Linux 45 wird eine separate, schlankere Version des GRUB-Bootloaders einführen, die für den Einsatz in vertraulichen Rechenumgebungen und UEFI-basierten virtuellen Maschinen vorgesehen ist.

Im Gegensatz zum regulären GRUB-Paket, das bei Standard-Fedora-Installationen verwendet wird, wird die neue Version nur eine minimale Anzahl integrierter Module enthalten; ihr Ziel ist das schnelle Booten von Unified Kernel Images, allgemein bekannt als UKIs, über Einträge in der Bootloader-Spezifikation zu ermöglichen und gleichzeitig den Bootloader selbst so klein und stabil wie möglich zu halten.

Die neue Implementierung wird getrennt vom universellen GRUB-Paket von Fedora entwickelt und bereitgestellt. Benutzer müssen sich entscheiden, ob sie diese selbst installieren möchten; daher sollten reguläre Installationen und Upgrades die Kompatibilität nicht beeinträchtigen.

🎓 Der Grund für diese Änderung liegt in der Methode, mit der vertrauliche virtuelle Maschinen durch Remote-Attestation Vertrauen aufbauen. Solche Umgebungen überprüfen anhand von TPM-PCR-Messungen (TPM Platform Configuration Register), ob das System mit der erwarteten und vertrauenswürdigen Softwarekonfiguration gestartet wurde.

Da die Aktualisierung eines Bootloaders die Messwerte verändert, führt dies zu unterschiedlichen PCR-Werten. Dies kann dazu führen, dass Attestierungsrichtlinien, die davon ausgehen, dass Messwerte über lange Zeiträume hinweg stabil und vorhersehbar bleiben, nicht wie vorgesehen funktionieren.

Da die Anzahl der integrierten Module reduziert ist, weist der Bootloader zudem eine geringere potenzielle Angriffsfläche auf. Die endgültige GRUB-Version wird nur die Funktionen enthalten, die für die vorgesehenen Workloads in virtuellen Maschinen erforderlich sind, anstatt den gesamten Funktionsumfang eines universellen Bootloaders abzudecken.

🎓 Ein weiterer wichtiger Aspekt des Designs ist die native Unterstützung für Unified Kernel Images. Ein UKI bündelt den Linux-Kernel, das initramfs, die Befehlszeile und die anderen Boot-Komponenten in einer einzigen EFI-ausführbaren Datei, die als Ganzes für Secure Boot signiert werden kann.

Auch wenn der neue Bootloader in erster Linie für UKIs konzipiert ist, sieht der Vorschlag vor, dass er weiterhin herkömmliche Kernel und initramfs-Images laden kann, sofern diese an den erwarteten Speicherorten innerhalb der EFI-Systempartition abgelegt sind und von entsprechenden BLS-Konfigurationsdateien begleitet werden.

Das Paket ist bereits in Fedora Rawhide sowohl für x86_64- als auch für AArch64-Systeme vorhanden, und die aktuellen Builds sind für Secure Boot mit dem bestehenden GRUB-Signaturschlüssel von Fedora signiert, obwohl das Projekt davon ausgeht, dass die Lightweight-Variante in Zukunft einen eigenen Signaturschlüssel erhalten wird.

Fedora CoreOS wird voraussichtlich der wichtigste Early Adopter des neuen Pakets sein und hat bereits mit dem Testen der Implementierung begonnen. Für normale Fedora-Benutzer dürften die praktischen Auswirkungen der Änderung vernachlässigbar sein, da weiterhin die Standard-GRUB-Pakete verwendet werden.

Der neue Build fungiert als optionaler, spezialisierter Bootloader für vertrauliche VMs, versiegelte bootfähige Container-Images und ähnliche Situationen, in denen zuverlässige TPM-Messungen und ein geringerer Software-Footprint wichtig sind.

Die vom FESCo genehmigte Änderung wird voraussichtlich mit Fedora Linux 45 eingeführt, dessen Veröffentlichung derzeit für den 20. Oktober 2026 geplant ist. Weitere Einzelheiten finden Sie im entsprechenden Wiki-Eintrag.

Spendieren Sie Bobby einen ☕ Ko-fi

Ein Service von s3n🧩net