Fedora 45 получит минимальный GRUB для конфиденциальных виртуальных машин
В Fedora Linux 45 планируется появление отдельного облегчённого пакета загрузчика GRUB, ориентированного на специальные сценарии виртуализации. В первую очередь речь идёт про конфиденциальные виртуальные машины, Unified Kernel Images и среды, где особенно важны стабильные измерения TPM. Релиз Fedora 45 ожидается 20 октября 2026 года.
Новый пакет не станет заменой стандартному GRUB для обычных рабочих станций и серверов. Разработчики намерены поставлять его отдельно, а устанавливать пользователь его сможет только по собственному выбору. Благодаря этому обновление традиционного загрузчика в стандартной Fedora не должно повлиять на совместимость обычных систем.
Главная особенность облегчённой сборки - минимальный набор встроенных модулей. Полноценный GRUB поддерживает широкий спектр файловых систем, устройств и сценариев загрузки, однако в виртуальных машинах многие из этих возможностей не нужны. Сокращённая конфигурация позволит уменьшить размер загрузчика, ускорить старт и снизить потенциальную поверхность атаки.
Проект создаётся с учётом требований confidential computing. В таких системах доверие к загруженному окружению подтверждается удалённой аттестацией: гостевая машина демонстрирует, что запускалась с разрешённым набором компонентов. Для этого используются измерения TPM, записываемые в регистры конфигурации платформы - PCR.
Любое изменение загрузчика способно изменить значения PCR. Из-за этого политики аттестации, рассчитанные на предсказуемые измерения, могут перестать срабатывать после обновления GRUB. Минималистичная сборка должна помочь контролировать состав загрузочного кода и сделать получаемые измерения более стабильными на протяжении жизненного цикла виртуальной машины.
Особое место в проекте занимает поддержка Unified Kernel Image. Такой образ объединяет ядро Linux, initramfs, параметры командной строки и связанные компоненты в единый EFI-файл. Его можно подписать как целое и использовать вместе с Secure Boot, что упрощает проверку целостности цепочки загрузки. Подробности архитектуры и назначения пакета описаны в материале о том, как Fedora 45 вводит минимальный GRUB для конфиденциальных виртуальных машин.
Загрузка UKI будет выполняться через записи Boot Loader Specification. При этом разработчики не ограничивают применение пакета исключительно Unified Kernel Images. Если обычные ядро и initramfs размещены в ожидаемых каталогах EFI System Partition и сопровождаются корректными BLS-конфигурациями, облегчённый GRUB сможет работать и с ними.
Пакет уже появился в Fedora Rawhide - экспериментальной ветке разработки дистрибутива. На текущем этапе доступны варианты для архитектур x86_64 и AArch64. Сборки подписываются ключом Fedora, который уже используется для Secure Boot, однако в дальнейшем для специализированного загрузчика предполагается создать отдельный ключ подписи.
Одним из первых пользователей нововведения, вероятно, станет Fedora CoreOS. Проект уже начал тестировать новую реализацию, поскольку его сценарии тесно связаны с автоматизированным развёртыванием, неизменяемыми системами и облачной инфраструктурой. Для пользователей обычной Fedora практических изменений почти не будет: стандартные пакеты GRUB продолжат использоваться по умолчанию.
Минимальный загрузчик также может оказаться полезным для запечатанных загрузочных образов контейнеров и других сред, где необходимо одновременно уменьшить объём доверенного программного кода и обеспечить воспроизводимость измерений TPM. Это особенно важно для облачных платформ, удалённой аттестации и виртуальных серверов, обрабатывающих чувствительные данные.
Тем, кто планирует Fedora 45 скачать для тестирования, стоит учитывать, что финальный выпуск ещё не состоялся, а экспериментальные компоненты доступны прежде всего в Rawhide. Для проверки новой функции потребуется подходящая виртуальная инфраструктура, поддержка UEFI и понимание особенностей Secure Boot и TPM. В обычной настольной установке устанавливать этот пакет без конкретной необходимости не требуется.
Будущая Fedora 45 установка на физический компьютер, скорее всего, будет проходить привычным образом: стандартный набор загрузочных компонентов останется основным вариантом для общего назначения. Облегчённый GRUB рассчитан не на замену пользовательского загрузчика, а на специализированные сценарии, где важнее контролируемая цепочка доверия, чем универсальность.
Таким образом, Fedora Linux 45 для виртуальных машин получит дополнительный инструмент, рассчитанный на инфраструктуру с повышенными требованиями к безопасности. Нововведение не меняет повседневный опыт большинства пользователей, но создаёт более подходящую основу для конфиденциальных виртуальных машин, UKI-образов и систем с удалённой проверкой состояния загрузки. Решение уже одобрено FESCo и должно войти в состав Fedora 45, если график разработки сохранится.
