Ubuntu Core 26 承诺支持到 2041 年
ZDNET AI··作者 Steven Vaughan-Nichols
关键信息
Ubuntu Core 26 将内核、基础系统和应用都通过沙箱化、经过加密签名的 snap 交付，并保持度量启动链。该版本还引入了更小的 OTA 更新、基于 initramfs 的安装路径、基于 Chisel 的新基础 snap 构建系统，以及改进的磁盘加密方案，包括 TPM 封存密钥和原生 OP-TEE 支持。
资讯摘要
Canonical 的 Ubuntu Core 26 是其最新的长期支持版本，面向精简、不可变的 Linux 平台，主要用于 IoT 和边缘部署。它不同于通用的 Ubuntu 桌面版或服务器版，内核、基础系统和应用都以 snap 形式交付，因此每个组件都处于沙箱中，并经过加密签名。Canonical 表示，这种模式特别适合需要多年无人值守运行的设备，包括工业系统、机器人、数字标牌、家电以及低延迟 AI 工作负载。公司将安全性和合规性作为重点，强调欧盟《网络弹性法案》对软件来源可追溯性、长期稳定性和全栈责任的要求。Canonical 还表示，Ubuntu Core 26 可以安全运行到 2041 年。
一个重要的运维改进是新的 snap-delta 格式，它可将许多 OTA 更新大小减少 50% 到 90%，而 Core 基础 snap 的体积从大约 16 MB 缩小到约 1.5 MB。该版本还采用基于 initramfs 的安装流程，默认避免不必要的重启，从而让设备部署更快、更可预测。另一个显著变化是基于 Chisel 的基础 snap 构建系统，Canonical 称这能通过明确的 slice 定义和源包映射提升可追溯性，同时将基础镜像体积减少约 7%。在启动层面，Ubuntu Core 26 将 u-boot 配置移到单一原始分区并支持冗余环境；在全盘加密方面，它把 TPM 封存密钥直接存入 LUKS2 头部，并引入原生 OP-TEE 集成，为基于 ARM TrustZone 的密钥保护提供支持。
资讯正文
ZDNET 的要点
Ubuntu Core 比以往任何时候都更安全。
Core 非常适合物联网或位于欧盟的边缘设备。
这个 Linux 发行版提供 15 年支持。
你想要一个在边缘计算和物联网（IoT）设备上可以信赖 15 年的稳定 Linux 发行版吗？看看 Ubuntu Core 26 吧，它是 Canonical 面向任务关键型和低延迟 AI 工作负载推出的最新长期支持（LTS）发行版。
对于不熟悉 Ubuntu Core 的读者来说，它是一个精简的嵌入式 Linux 操作系统，会把常规 Ubuntu 变成一个最小化、容器化的系统，其中内核、基础操作系统和应用都以 snap 的形式交付。Ubuntu Core 面向 IoT、工业、机器人、数字标牌、家电以及其他边缘部署场景，在这些场景中，你需要的是可预测的行为、远程管理和强大的空中下载（OTA）更新能力，而不是通用服务器或桌面环境。
可安全使用至 2041 年的 Linux
Canonical 正在将 Ubuntu Core 定位为一种强化过的 Linux 发行版，适用于那些必须连续多年无人值守运行的设备。与之前的 Core 版本一样，每个组件都以经过沙箱隔离、密码学签名的 snap 形式交付，并维持一个仅运行已验证代码的度量启动链。这是一款你可以放心安全运行到 2041 年的 Linux。
这并非小事，因为新兴的安全法规，尤其是欧盟《网络弹性法案》（Cyber Resilience Act，CRA），要求整个技术栈具备清晰的组件来源、长期稳定性和可追责性。正如 Canonical Ubuntu Engineering 副总裁 Jon Seager 在一篇博客文章中所说：“借助 Ubuntu Core 26，我们将继续提供关键基础设施运营商所需的基础，以满足 CRA 要求、运行经认证的不可变边缘 AI 工作负载，并在大规模环境下安全地管理设备。”
Ubuntu Core 26 的一个重要主题，是降低大规模设备群的部署和维护成本与摩擦。Canonical 表示，改进后的 snap-delta 格式可使大多数 snap 的 OTA 更新包大小减少 50% 到 90%，而对 Core 基础 snap 的更新则可从大约 16MB 缩减到仅 1.5MB。此外，新的基于 initramfs 的安装路径默认避免了重复重启，从而加快首次启动部署，并使设备上线更快、更可预测。
Ubuntu Core 26 还首次引入了基于 Chisel 的构建系统，Canonical 将其称为构建 Core 基础 snap 的一种新的“precision-led”方法。Chisel 是一款开发者工具，可从 Ubuntu 软件包中提取高度定制、专门化的软件包切片，以创建紧凑而安全的软件。
在 Chisel 中，新系统不再依赖分层式配方和后处理，而是使用针对特定发布版本的“slice”定义，并带有明确且可追踪的依赖关系，使文件系统中的每一个文件都能追溯到某个特定的 slice 和源软件包。Canonical 表示，这通过让运维人员更细粒度地看到某个组件及其依赖的来源，提升了完整性检查和漏洞分流的能力。
Chisel 管道同样带来了体积上的节省，据称使基础镜像占用减少了 7%。在引导加载程序层面，Ubuntu Core 26 将 u-boot 配置迁移到一个带有冗余环境支持的单一原始分区。此举让对 u-boot 和 snapd 的更新更安全、更可靠，同时避免了与基于文件存储相关的恢复问题。
降低安全密钥被泄露的风险
从技术层面看，新版 Core 对整盘加密进行了基础性改动。现在，TPM 封印密钥直接存储在 Linux Unified Key Setup（LUKS2）头部中。这样的设计降低了密钥在不同设备状态之间重复使用的风险。新的原生 OP-TEE 集成将基于 ARM TrustZone 的密钥保护带到嵌入式部署中。将磁盘加密密钥的封印和解封过程放在可信执行环境中，而不是在正常操作系统中进行，可降低安全密钥被泄露的风险。
另见：Red Hat Desktop vs. Fedora Hummingbird：哪条 AI 开发 Linux 路线更适合你？
除了基础操作系统之外，新版和更新版的 system snap 旨在加快设备部署。具体来说，Snapcraft 构建工具获得了一项名为 components 的重要新功能。该功能可将大型或可选资源（例如调试符号、翻译文件或可选驱动）与主 snap 一起打包，而不会增加基础安装的体积。该功能最早在 Ubuntu Core 24 中经过测试，用于提供 Nvidia 驱动，如今 components 已向更广泛的 snap 生态开放。
Canonical 还在将其 Livepatch 服务扩展到更多 Core 生态。随着 Ubuntu 26.04 LTS 和 Ubuntu Core 26 的双版本发布，Livepatch 无需重启的内核更新首次覆盖 ARM64，并且在 Core 20 以来的所有 Ubuntu Core 版本上都获得了 AMD64 的官方支持。该公司将这一变化描述为一种满足 CRA 对及时漏洞修复要求的方式，同时又不让关键边缘设备离线。
面向欧盟的嵌入式 Linux
在图形方面，Ubuntu Frame——Core 面向嵌入式图形应用的显示服务器——现在支持在单一显示器上运行多个应用，并提供可配置布局、自定义客户端摆放以及辅助功能启动器。对图形密集型工作负载而言，新的 GPU-2604 接口可为 Core 26 应用提供硬件加速，并且有一个新的 Snapcraft 扩展配合支持，从而简化图形集成。
另见：Canonical 对 AI 的做法令人耳目一新地周到——微软应该注意
Canonical 还表示，它正在根据 CRA 承担操作系统的“制造商”责任。这一点并非小事，因为 Canonical 负责核心模块的长期安全维护、持续的 Common Vulnerabilities and Exposures（CVE）监测、协调披露，以及遵循 IEC 62443-4-1 等标准。该做法结合内置的软件可追溯性和模块化，被认为有助于在 Canonical、设备制造商和应用供应商之间界定清晰的责任边界。
这一立场对于根据 CRA 在欧盟销售设备至关重要。因此，虽然 Ubuntu Core 并不适合所有人，但我可以向你保证，如果你的公司想在欧盟销售 IoT 或边缘设备，这款新的嵌入式 Linux 正好具备通过 CRA 所需的一切条件，因此也就能够在欧洲市场销售。
来源与参考
收录于 2026-05-21