• openSUSE Tumbleweed byter standardbootloader – GRUB2-BLS tar över för UEFI-installationer

    openSUSE Tumbleweed tar ännu ett steg mot framtidens Linux genom att byta standardbootloader för nya UEFI-installationer: från klassiska GRUB2 till GRUB2-BLS. För användaren innebär det enklare hantering av uppstartsmenyn, bättre stöd för full diskkryptering och smidigare integration med moderna säkerhetslösningar som TPM2 och FIDO2. BIOS-användare märker ingen skillnad – där fortsätter den traditionella GRUB2-uppsättningen som vanligt.

    openSUSE Tumbleweed fortsätter att ligga i framkant bland Linuxdistributioner. Nu meddelar projektet att man byter ut den klassiska GRUB2-bootloadern mot GRUB2-BLS som standard vid nya installationer med UEFI. Använder du fortfarande BIOS? Då påverkas du inte – där är det fortfarande vanliga GRUB2 som gäller.

    Varför byter openSUSE?

    Om du installerar Tumbleweed igen på en modern dator med UEFI kommer YaST-installationsprogrammet numera att välja GRUB2-BLS automatiskt. Det här är samma linje som openSUSE MicroOS redan slagit in på, där man använder systemd-boot – ett modernt och snabbt alternativ.

    Den största anledningen är bättre stöd för full diskkryptering (FDE) i kombination med systemd-baserade verktyg, inklusive stöd för TPM2 och FIDO2-nycklar för säker uppstart.

    Vad är GRUB2-BLS egentligen?

    GRUB2-BLS är fortfarande GRUB2, men med extra patchar tagna från Fedora-projektet. Dessa patchar gör bootloadern kompatibel med Boot Loader Specification (BLS) – ett modernt sätt att beskriva uppstartsmenyer med små textfiler i katalogen:

    /boot/efi/loader/entries/
    

    Varje fil motsvarar ett startalternativ och innehåller:

    • vilken kärna som ska laddas
    • initrd-filen
    • kärnans kommandorad

    I kommande versionen GRUB 2.14 blir dessa patchar en integrerad del av projektet, så GRUB2-BLS blir på sikt den normala GRUB2-upplevelsen.

    Inga fler grub2-mkconfig

    En av de praktiska skillnaderna är att systemet inte längre bygger statiska konfigurationsfiler vid varje uppdatering. GRUB2-BLS läser helt enkelt av katalogen med startposter vid uppstart och bygger menyn dynamiskt.

    Det gör att gamla verktyg som grub2-mkconfig och grub2-install inte längre behövs.

    Ny struktur: allt i en enda EFI-fil

    I klassisk GRUB2 låg moduler, teman, fonter och konfiguration spridda i /boot/grub2/.
    Med GRUB2-BLS packas allt ihop i en enda EFI-binär i:

    /boot/efi/EFI/opensuse
    

    Detta är möjligt eftersom UEFI-partitionen (ESP) nu är betydligt större – installeraren föreslår omkring 1 GB.

    Anledningen?
    Kärnor och initrds kommer också att ligga i ESP, vilket krävs för att FDE med systemd ska fungera smidigt.

    Så påverkar det installationen

    För nya installationer gör YaST allt automatiskt:

    1. ESP skapas i rätt storlek
    2. GRUB2-BLS väljs som bootloader
    3. Startposter skapas enligt BLS-standard

    Vill du istället köra klassisk GRUB2 eller systemd-boot?
    Det går fortfarande, men du måste ändra det manuellt på skärmen Installation Settings → Booting.

    Full diskkryptering med TPM2 eller FIDO2

    När BLS används kan Tumbleweed installeras med systemd-baserad full diskkryptering direkt från:

    Suggested Partitioning → Guided Setup → Enable Disk Encryption

    Där kan du:

    • ange LUKS2-lösenord
    • lägga till TPM2 eller FIDO2 som extra säkerhetsnycklar

    För bärbara datorer rekommenderas TPM2 + PIN, där TPM kontrollerar att maskinen inte har manipulerats innan lösenordet accepteras.

    Uppdateringar och kernelparametrar

    Eftersom bootmenyn genereras dynamiskt sker uppdateringar av startposterna automatiskt via verktyget:

    sdbootutil update
    

    Snapper och SUSE-moduler använder detta bakom kulisserna.

    Vill du ändra boot-parametrar?

    1. Redigera /etc/kernel/cmdline
    2. Kör:
    sdbootutil update-all-entries
    

    Så sprids ändringen till alla snapshot-poster.

    Kan man uppgradera ett befintligt system?

    Tekniskt: Ja.
    Praktiskt: openSUSE rekommenderar det inte, främst eftersom de flesta system har för liten ESP-partition. Den behöver utökas för att hålla kärnor och initrd-filer.

    Det finns dock officiella instruktioner för den som vill försöka.

    Sammanfattning

    openSUSE Tumbleweed tar ett modernt steg framåt genom att:

    • använda GRUB2-BLS som standard vid UEFI-installationer
    • följa Boot Loader Specification
    • förenkla hantering av bootmenyer
    • förbättra stödet för säker full diskkryptering

    Det här är ett stort men positivt förändringssteg för användare som vill ha maximal flexibilitet och framtidssäker teknik i sin Linuxinstallation.

    openSUSE Tumbleweed – Teknisk faktaruta (GRUB2-BLS)

    Distribution:
    • openSUSE Tumbleweed (rolling release)
    Ny standardbootloader:
    • GRUB2-BLS (vid nya UEFI-installationer)
    Tidigare standard:
    • GRUB2 (fortsätter som standard för BIOS-användare)
    BLS-format:
    • Boot Loader Specification, Type #1
    • Bootentries lagras som textfiler i:
      /boot/efi/loader/entries/
    Installationsförändringar:
    • ESP-partitionen ökas till ~1 GB
    • Alla kernels + initrds läggs direkt i ESP
    • GRUB2-BLS paketeras som en EFI-binär i:
      /boot/efi/EFI/opensuse
    Verktyg som ersätts / inte längre behövs:
    • grub2-mkconfig
    • grub2-install
    • Menyn genereras dynamiskt vid uppstart (inga statiska konfigfiler)
    Uppdateringar:
    • Hanteras via systemd-verktyg:
      sdbootutil update
      sdbootutil update-all-entries
    Kernelparametrar:
    • Editera /etc/kernel/cmdline och kör:
      sdbootutil update-all-entries
    Säkerhet & full diskkryptering (FDE):
    • Full diskkryptering via systemd-stacken
    • Stöd för TPM2- och FIDO2-baserad upplåsning
    • Rekommenderat för laptops: TPM2 + PIN
    Kompatibilitet:
    • Uppgradering från klassisk GRUB2 möjlig
    • Rekommenderas inte p.g.a. oftast för liten ESP
    Trend:
    • Följer samma moderna boot-strategi som MicroOS (systemd-boot)
  • Ubuntu 25.10 introducerar TPM-baserad diskkryptering – säkrare uppstart med hårdvarustöd

    TPM fungerar som en dörrvakt till din dators hårdvara. Till skillnad från en vanlig dörrvakt, som man riskerar att stöta ihop med i verkliga livet, har TPM en funktion att fylla.

    Med Ubuntu 25.10, kodnamn Questing Quokka, tar Ubuntu ett viktigt steg mot starkare datasäkerhet. En av de mest spännande nyheterna i denna version är fullständig diskkryptering (FDE) med stöd av TPM, Trusted Platform Module.

    Den här funktionen bygger vidare på Ubuntus befintliga krypteringsstöd, men lägger till en hårdvarubaserad säkerhetskontroll som skyddar systemet redan från uppstarten – och gör det svårare för angripare att kringgå skyddet.

    Vad är fullständig diskkryptering (FDE)?

    FDE innebär att hela innehållet på din hårddisk krypteras, vilket gör det oläsligt utan rätt nyckel. Om datorn skulle stjälas, går det inte att komma åt datan utan att först låsa upp disken. Ubuntu har länge erbjudit FDE som ett val under installationen, där du anger ett lösenord som krävs varje gång systemet startas.

    Vad tillför TPM-stödet?

    TPM (Trusted Platform Module) är ett inbyggt säkerhetschip som finns i de flesta moderna datorer. Ubuntu 25.10 kan nu använda detta chip som en del av krypteringskedjan, vilket möjliggör:

    • Integritetskontroll vid uppstart
      TPM verifierar att inget i systemets firmware eller bootloader har ändrats sedan installationen. Om något avviker, vägrar TPM låsa upp disken.
    • Automatisk upplåsning på betrodd maskinvara
      Så länge systemet är oförändrat, låser TPM upp disken utan att du behöver skriva in något lösenord – om du inte aktiverat dubbelt skydd.
    • Skydd mot fysisk åtkomst
      Försöker någon flytta hårddisken till en annan dator, eller ändra hårdvaran, fungerar inte upplåsningen – och systemet kräver återställningsnyckeln.

    Nyheter i Ubuntu 25.10:s implementation

    Ubuntu har arbetat med TPM/FDE sedan version 23.10. I 25.10 är funktionen fortfarande experimentell, men redo att testas av fler. Här är de viktigaste nyheterna:

    1. Automatisk kompatibilitetskontroll

    Installationsprogrammet kontrollerar att systemet har ett modernt TPM-chip utan kända sårbarheter. Om din dator inte klarar kraven, visas inga alternativ för hårdvarubaserad kryptering – i stället får du en tydlig varning.

    2. Återställningsnyckel – din säkerhetslina

    När TPM-stödet aktiveras skapas en återställningsnyckel. Den används i nödfall, till exempel om:

    • Du uppdaterar BIOS/firmware
    • Du byter ut viktig hårdvara
    • TPM tror att något är fel – även om det inte är det

    Nyckeln visas tydligt under installationen. Du kan:

    • Skriva ner den
    • Spara den som fil (utanför livesystemet)
    • Skanna den som QR-kod

    Skulle du tappa bort den, finns möjlighet att generera en ny via säkerhetscentret, så länge du fortfarande har åtkomst som administratör.

    3. Extra lösenord – för dig som vill ha dubbelt skydd

    Du kan välja att lägga till ett eget lösenord som måste anges vid uppstart, även om TPM godkänner systemets tillstånd. Detta ger ett extra lager av skydd – praktiskt för känsliga miljöer.

    4. Smartare uppdateringar

    För vissa uppdateringar (exempelvis DBX), där TPM kan förutse det nya tillståndet, krävs inga extra åtgärder – systemet startar som vanligt. Men om en förändring gör att TPM inte längre känner igen uppstartsmiljön, måste du:

    • Verifiera ändringen med din återställningsnyckel
    • Godkänna det nya tillståndet som betrott

    Ubuntu 25.10 förvarnar också om en firmwareuppdatering kan påverka andra operativsystem på samma dator – exempelvis Windows med BitLocker.

    5. Förbättrat stöd för stängda drivrutiner

    Ubuntu jobbar aktivt för att TPM/FDE ska fungera även med proprietära drivrutiner, som Nvidia. Genom att paketera kärnan och viktiga komponenter i Snap, kan man säkerställa att TPM-mätningar stämmer – även när drivrutiner är stängda. Detta stöd väntas vara klart innan Ubuntu 25.10 släpps.

    Viktigt: Funktionen är fortfarande experimentell

    TPM/FDE är fortfarande i testfas och inte avsedd för produktion. Har du kritisk data och inte råd att bli utelåst från systemet, bör du vänta.

    Ubuntu-teamet kommer att be om hjälp från frivilliga testare inför släppet i oktober. Målet är att samla in så mycket data som möjligt om olika system – för att säkerställa en stabil version längre fram.

    Ubuntu 25.10 släpps den 9 oktober 2025

    Med TPM-baserad kryptering tar Ubuntu ytterligare ett steg mot säkerhetsnivåer som tidigare varit reserverade för företag och avancerade användare. Även om funktionen fortfarande är ny, visar den tydligt vart Ubuntu är på väg: starkare, smartare och mer automatiserad säkerhet – utan att offra användarvänlighet.

    Sammanfattning – vad får du?

    • Skydd mot manipulation vid uppstart
    • Automatisk upplåsning på betrodda system
    • Dubbelt skydd med valfritt lösenord
    • Enkel hantering av återställningsnyckel
    • Förvarning vid uppdateringar som kan påverka TPM
    • Stöd på gång för Nvidia och andra proprietära drivrutiner

    Ubuntu 25.10 lägger grunden för framtidens säkra Linuxsystem. Delta gärna i testningen – och var med och forma nästa generations kryptering på skrivbordet.

    För den senaste utvecklingen, följ diskussionen på Ubuntu Discourse:
    TPM/FDE progress for Ubuntu 25.10

    Fakta: Trusted Platform Module (TPM)

    TPM (Trusted Platform Module) är ett hårdvarubaserat säkerhetschip som används för att säkra kryptografiska nycklar, autentisera maskinvara och skydda systemintegritet vid uppstart. TPM fungerar som en isolerad ”säkerhetsankare” för funktioner som kryptering, mätning av uppstartskedjan och identitetsverifiering.

    Vad kan TPM göra?

    • Generera och lagra kryptografiska nycklar (RSA, ECC)
    • Utföra hårdvarubaserad nyckelhantering och asymmetrisk kryptering
    • Verkställa ”measured boot” – mäta och logga firmware och bootloader
    • Ge stöd för BitLocker och LUKS-kryptering utan användarlösenord
    • Stöd för ”sealing” och ”unsealing” av data baserat på PCR-värden
    • Skydda identitetscertifikat och lösenord med fysisk isolering
    • Verkställa plattformsautentisering vid fjärråtkomst (t.ex. VPN, Zero Trust)
    • Integreras med Secure Boot och UEFI för säker uppstart

    Versioner och skillnader

    Det finns två huvudsakliga TPM-versioner i praktisk användning: 1.2 och 2.0. De skiljer sig i funktion, säkerhetsmodell och algoritmstöd:

    Funktion TPM 1.2 TPM 2.0
    Specifikation 2009 (TPM Main Spec v1.2) 2015 (ISO/IEC 11889:2015)
    Algoritmstöd Endast SHA-1, RSA-2048 SHA-1, SHA-256, ECC, RSA, HMAC, AES
    Flexibilitet Fast funktionalitet Modulärt och utbyggbart (via profiles)
    Plattformsintegration Endast PC PC, mobil, embedded, IoT
    Autoriseringsmodell Owner Password (enklare modell) Policy- och sessionsbaserat (mer flexibelt)
    UEFI/Secure Boot-stöd Begränsat Fullt stöd
    Stöd i OS Windows 7–11, Linux Windows 10/11, Linux, Android, macOS (begränsat)

    Teknisk fördjupning

    • PCR (Platform Configuration Registers): TPM innehåller 24 PCR-register som loggar uppstartsmiljön, vilket möjliggör ”measured boot” och att endast ladda upp systemet om det matchar tidigare godkända tillstånd.
    • Endorsement Key (EK): Permanent, unik nyckel som identifierar TPM-chippet. Används för att skapa certifikat och verifiera plattformens identitet.
    • Attestation: Möjlighet att kryptografiskt bevisa TPM-tillståndet för fjärrtjänster. Vanligt inom säkerhetspolicy, t.ex. i företag eller molnplattformar.
    • NV Storage: Permanent lagring i TPM för att bevara nycklar och policydata över omstarter.

    Säkerhetsaspekter

    • TPM:s privata nycklar lämnar aldrig chippet
    • Sårbar för fysiska attacker endast vid avancerad hårdvaruåtkomst
    • Kan vara integrerad (fTPM i firmware) eller dedikerad (discret TPM)
    • Skyddas av TPM-firmware, men uppdateringar krävs för kända buggar

    Mer information

    https://ostechnix.com/ubuntu-25-10-tpm-backed-full-disk-encryption-fde

Etikett: FDE

  • openSUSE Tumbleweed byter standardbootloader – GRUB2-BLS tar över för UEFI-installationer

    openSUSE Tumbleweed tar ännu ett steg mot framtidens Linux genom att byta standardbootloader för nya UEFI-installationer: från klassiska GRUB2 till GRUB2-BLS. För användaren innebär det enklare hantering av uppstartsmenyn, bättre stöd för full diskkryptering och smidigare integration med moderna säkerhetslösningar som TPM2 och FIDO2. BIOS-användare märker ingen skillnad – där fortsätter den traditionella GRUB2-uppsättningen som…

  • Ubuntu 25.10 introducerar TPM-baserad diskkryptering – säkrare uppstart med hårdvarustöd

    Med Ubuntu 25.10, kodnamn Questing Quokka, tar Ubuntu ett viktigt steg mot starkare datasäkerhet. En av de mest spännande nyheterna i denna version är fullständig diskkryptering (FDE) med stöd av TPM, Trusted Platform Module. Den här funktionen bygger vidare på Ubuntus befintliga krypteringsstöd, men lägger till en hårdvarubaserad säkerhetskontroll som skyddar systemet redan från uppstarten…