Linux

Fedora 45、機密VM向けに軽量版GRUBを提案

情報の灯台

2026年6月14日 06:1400

クラウド上の仮想マシンが「自分のデータは誰にも見られていない」と証明するためには、ブートローダーの中身すら問題になる。その要求に正面から応える提案が、Fedora 45に向けて出された。

通常のGRUBでは「重すぎる」

Red Hatのブートローダーチームが、Fedora 45の変更提案（F45 Change Proposal）として軽量版GRUBの導入を提出した。対象は、Confidential Computingに使われる仮想マシンだ。Confidential Computingとは、クラウド上でデータを処理している最中も暗号的に保護する技術を指す。

なぜブートローダーが問題になるのか。Confidential VMはリモートアテステーション（遠隔検証）に依存している。これはVMが改ざんされていないことを外部から検証する仕組みで、その検証にはTPMのPCR値が使われる。ブートローダーが更新されるとPCR値が変わり、検証が通らなくなる。ブートローダーは小さく、モジュールは少なく、更新頻度は低いほどよい。

通常のGRUBは汎用性を重視した設計で、多数のモジュールを内蔵している。Confidential VMにとって不要な機能が攻撃面を広げ、更新のたびにPCR値が変動するリスクを抱える。提案された「GRUB light」は、UEFIブートとSecure Bootに必要な最小限のモジュールだけを組み込み、UKI（Unified Kernel Image）のネイティブ読み込みに対応する独立パッケージだ。

systemd-bootは却下された

軽量ブートローダーなら既存のsystemd-bootがあるのでは、と考えるのは自然だろう。実際、当初はsystemd-bootの採用が検討されていた。しかし、複数の理由で見送られている。

systemd開発チーム自身が、現状の機能を超える拡張を受け入れない姿勢を示した。加えて、systemd-bootはGRUBほどファジングテストが行われておらず、セキュリティ面での実績が足りない。複数のブートローダーを長期メンテナンスすれば技術的負債が積み上がるし、aarch64など他アーキテクチャへの展開も考慮すると、GRUBベースで統一するほうが合理的だった。

結果として選ばれたのは「GRUBそのものを削る」という方向だ。既存のGRUBからモジュールを最小構成で切り出し、別パッケージとしてビルドする。通常版GRUBはそのまま残り、一般ユーザーには何も影響しない。

ブートローダー3方式の比較

	通常GRUB	systemd-boot	GRUB light
用途	汎用	汎用	機密VM専用
モジュール	フル	最小	最小
ファジング	豊富	不十分	継承
UKI対応	非ネイティブ	ネイティブ	ネイティブ
PCR安定性	低	高	高
拡張性	柔軟	追加拒否	柔軟

※ GRUB lightは通常GRUBと同一コードベースからビルドされるため、ファジング実績と拡張性を継承する。systemd-bootの「追加拒否」はsystemd開発チームが新機能の追加を受け入れない方針を示したことを指す

UKIという潮流の上にある

この提案は、Linuxのブートプロセス全体が変わりつつある流れの一部でもある。

従来のLinux起動では、カーネル、initramfs、カーネルコマンドラインがそれぞれ別ファイルとして存在し、ブートローダーが起動時に組み合わせていた。UKIはこれらを1つの署名済みEFIバイナリに統合する。Secure Bootの署名がinitramfsまで含めた全体をカバーするため、initramfsだけを差し替えるような攻撃は成立しなくなる。

Confidential VMの文脈では、UKIによってTPMの測定対象が1つのバイナリに集約され、PCR値の予測可能性が大幅に上がる。軽量GRUBはこのUKIをネイティブに読み込む前提で設計されており、BLS（Bootloader Specification）ファイルにも対応する。

提案を主導するのはRed Hatのブートローダーチームに所属するレオ・サンドバル（Leonardo Sandoval）氏で、マルタ・レヴァンドフスカ（Marta Lewandowska）氏と共同でオーナーを務めている。

すでにテストは始まっている

提案段階とはいえ、実装はすでにかなり進んでいる。x86_64とaarch64向けのRPMパッケージがFedora Rawhide上で公開されており、CoreOSチームによるテストも行われているという。将来的にはGRUBの署名鍵とは別に、独自のSecure Boot署名鍵を持つことも計画されている。

ステータスは提案公開済み（Announced）で、Fedora Engineering Steering Committee（FESCo）の承認待ち。Fedora 45のリリースは2026年10月の予定であり、Self-Contained Change（他コンポーネントへの影響がない変更）として分類されている。通常のGRUBとは独立した新パッケージのため、既存環境への互換性影響はない。

「見えない安全」の土台が変わる

Confidential Computingは、保存中の暗号化（encryption at rest）と通信中の暗号化（encryption in transit）に続く「使用中の暗号化」を実現する技術だ。AMD SEV-SNPやIntel TDXといったハードウェア機能に支えられ、クラウド事業者すら顧客データの中身を見られない環境を提供する。2026年6月にはLinux Foundationが主催するConfidential Computing Summit 2026がサンフランシスコで開催される。AIワークロードの機密処理が主要テーマだ。

ブートローダーは最も基盤的なソフトウェアの一つだ。そこにまで「最小化」の要求が及んでいること自体が、この技術の成熟を物語っている。Confidential Computingがラボの実験段階を抜け、プロダクション環境の実用技術になりつつあるからこそ、「ブートローダーが大きすぎる」という地味な問題が浮上する。

一般ユーザーのFedoraデスクトップには直接関係しない話だ。だが、私たちが毎日使うクラウドサービスの裏側で、「本当に誰にも見られていない」と証明するための土台が、こうして一段ずつ積み上げられている。

参照元：F45 Change Proposal: GRUB EFI for Confidential Computing