fwupd 2.1.7 вышел с новыми функциями безопасности прошивки
Разработчики выпустили fwupd 2.1.7 - очередную стабильную версию Linux-демона для управления обновлениями микропрограмм устройств. Релиз носит преимущественно обслуживающий характер, однако включает несколько важных изменений, связанных с контролем безопасности, интеграцией с systemd и повышением надежности процесса установки прошивок.
Главным нововведением стала поддержка плагина systemd-pcrlock, связанного с процедурой обновления UEFI. Эта интеграция позволяет теснее связать операции с прошивкой и механизмами проверки состояния загрузочной цепочки. В результате администраторы получают более точную информацию о том, как обновление UEFI влияет на доверенную конфигурацию системы.
Отдельное внимание уделено расширению набора атрибутов безопасности хоста. Теперь fwupd способен сообщать, заблокировано ли хранилище типа Memory Technology Device, а также используется ли шифрование диска, совместимое со стандартом TCG. Такие сведения могут применяться не только в командной строке, но и графическими инструментами управления Linux-системой.
В fwupd 2.1.7 также появилась обработка списков подписей EFI, отмеченных как управляемые внешними средствами. Это особенно важно для устройств и корпоративных конфигураций, где управление ключами и политиками безопасности выполняется не самим fwupd, а отдельной инфраструктурой.
Еще одно полезное изменение касается BIOS-настроек. Для часто используемых параметров добавлены стандартные идентификаторы AppStream. Благодаря этому настольные приложения и системы централизованного администрирования смогут единообразнее распознавать одинаковые опции BIOS на компьютерах разных производителей. Это должно упростить отображение настроек и снизить зависимость программ от конкретных аппаратных реализаций.
Для сборок fwupd под Android были активированы дополнительные плагины. Кроме того, разработчики исправили целый ряд ошибок, обнаруженных в предыдущих версиях. В частности, устранены проблемы с обновлением прошивки док-станции Lenovo TBT5 Smart Dock 7500 и потерей уведомлений о ходе операции во время установки.
Исправления затронули и системные службы. В fwupd 2.1.7 устранены ошибки авторизации PolicyKit, из-за которых могли возникать сбои при работе `fwupd-refresh.service`. Также исправлено падение процесса при разборе отдельных записей загрузчика Logitech HID++, а обновление контроллера тачпада теперь не должно завершаться неудачей, если устройство доступно только в режиме загрузчика.
Заметный блок изменений связан с защитой от некорректных или потенциально опасных входных данных. Демон теперь не позволяет принудительно запускать установку через D-Bus, проверяет режимы устройств CCGX до обращения к данным о версии прошивки, безопаснее обрабатывает ответы устройств Synaptics RMI и контролирует смещения секций GUID в соответствии с размерами EFI-секций. В совокупности эти меры усиливают безопасность прошивки fwupd и уменьшают вероятность ошибок при работе с нестандартными данными.
Разработчики также улучшили обнаружение док-станций Dell, подготовку микропрограмм через ModemManager после операции Firehose detach и отчетность о защите Coreboot Verified Boot. Дополнительно были обновлены тесты сборки во временной файловой системе. Оптимизация управления памятью выполнена за счет переноса большего числа ограничений на уровень отдельных экземпляров классов.
С точки зрения совместимости список поддерживаемого оборудования пополнился устройством PixArt PJP360. Пользователям, которым требуется fwupd 2.1.7 скачать, рекомендуется устанавливать пакет из репозиториев используемого дистрибутива либо из официальных каналов проекта, поскольку состав доступных версий зависит от конкретной системы.
Обычно обновление fwupd входит в стандартный набор средств, отвечающих за fwupd обновление прошивки Linux. После установки новой версии можно проверить состояние службы и список доступных устройств через терминал. В большинстве дистрибутивов достаточно обновить системные пакеты, а затем выполнить проверку командой `fwupdmgr get-devices` и поиск новых микропрограмм с помощью `fwupdmgr refresh` и `fwupdmgr get-updates`.
Тем, кто впервые сталкивается с этим инструментом, пригодится инструкция о том, как установить fwupd в Linux. В Debian, Ubuntu и производных системах пакет обычно устанавливается командой `sudo apt install fwupd`, тогда как в Fedora используется `sudo dnf install fwupd`. После установки важно убедиться, что служба запущена, а устройство поддерживается Linux Vendor Firmware Service.
Интеграция fwupd systemd-pcrlock особенно актуальна для компьютеров с Secure Boot, TPM и политиками измеряемой загрузки. Она помогает администраторам лучше понимать взаимосвязь между обновлением UEFI, PCR-значениями TPM и состоянием доверенной загрузочной среды. При этом конкретное поведение зависит от прошивки, настроек Secure Boot и реализации systemd в используемом дистрибутиве.
Перед обновлением прошивки рекомендуется подключить ноутбук к электросети, закрыть критически важные приложения и не прерывать процесс перезагрузки. Для серверов и рабочих станций в организации стоит заранее проверить совместимость новой микропрограммы, наличие резервной копии и возможность восстановления в случае сбоя. Несмотря на повышение надежности fwupd 2.1.7, обновление UEFI остается операцией, требующей осторожности.
Новая версия не меняет назначение проекта, но делает его более зрелым инструментом для Linux. Комбинация улучшенной отчетности о состоянии безопасности, расширенной проверки входных данных, поддержки новых устройств и исправлений ошибок повышает предсказуемость работы fwupd как на обычных пользовательских компьютерах, так и в корпоративной инфраструктуре.
