Firmware, noćna mora 4. dio: Natjecanje za sisanje pijetla

Dio brige zbog koje želite da jezgra obrađuje sigurno pokretanje na niskom nivou je zbog toga što bi se Microsoftovi ključevi mogli koristiti za hakiranje sistema, a ako se to dogodi, boje se da će Microsoft onemogućiti ključ, a time i Linux računare. neka trče s tim ključem (a to nitko ne želi).

Sve je započelo zahtjevom za povlačenjem Davida Howella koji je omogućio binarne ključeve s potpisom Microsofta da se dinamički učitavaju u jezgru koja radi u sigurnom načinu pokretanja. Onaj s pokrivačem mislio je da je to sranje i da bi bilo bolje poboljšati X.509 parser. Matthew Garrett odgovara da postoji samo jedno tijelo za potpisivanje i da potpisuju samo PE binarne datoteke (prijenosne izvršne datoteke). I ovdje Linus pušta svoj oštar jezik i kaže:

Momci, ovo nije natjecanje u sisanju pijetlova. Ako želite raščlaniti PE binarne datoteke, samo naprijed. Ako Red Hat želi da vas pita duboko grlo za Microsoft je * vaš * problem. To nema nikakve veze sa kernelom koji održavam. Trivijalno je za vas da imate mašinu za potpisivanje koja raščlanjuje PE binarnu datoteku, provjerava potpise i potpisuje rezultirajuće ključeve vlastitim ključem. Već su napisali kôd, bogami, u tom vražjem redu. Zašto bih se brinuo? Zašto bi kernelu bilo sranje poput "potpisujemo samo PE binarne datoteke"? Podržavamo X.509, što je standard za potpisivanje. Učinite to na strani korisnika na pouzdanom računaru. Nema opravdanja za to u jezgri.

Matthew odgovara:

Prodavači žele ponijeti ključeve potpisane od strane pouzdane treće strane. Sada jedini koji mjeri je Microsoft, jer očito jedino što dobavljači vole više od uskog firmvera slijedi Microsoftove specifikacije. Ekvivalent nije samo Red Hat (ili bilo što drugo) programsko ponovno potpisivanje tih ključeva, već potpisivanje tih ključeva pouzdanim ključem od strane gornje jezgre. Da li biste bili spremni nositi pouzdani ključ prema zadanim postavkama ako član pouzdanog društva ugosti uslugu ponovnog potpisivanja? Ili pretpostavljamo da je svako ko želi pokrenuti eksterne module idiot i zaslužuje biti jadan?

Linus odgovara da sumnja da je nekoga briga. Da je već glupo potpisivati ​​module jezgra Microsoftovim ključem. Također, Red Hat ĆE potpisati NVIDIA i AMD binarne module. Peter Jones kaže ne, da Red Hat neće potpisati nijedan modul koji je napravio drugi. Garret dodaje da će se RHEL na kraju oslanjati na ključeve NVIDIA-e i AMD-a te da će vrlo vjerojatno biti bazirani na Microsoftovoj usluzi potpisivanja.

I ovdje zastajem i rezimiram djelomično i brutalno za one koji ne žele ulaziti u tehničke detalje:

Sav razvoj oko sigurnog pokretanja je poludio, ali zato što proizvođači hardvera (barem najveći) i dalje žele zadirkivati ​​Microsoft.

Stoga je Linus odlučio dati sljedeće prijedloge, pa su se prestali jebati ......:

Prekini sa plašenjem.

To je ono što bih predložio i na čemu se temelji PRAVA SIGURNOST i unutra STAVITE KORISNIKA PRVO umjesto njegovog pristupa "priuštimo si Microsoftu radeći sranja".

Dakle, umjesto da ugodimo Microsoftu, pokušajmo vidjeti kako zaista možemo dodati sigurnost:

- distributer mora potpisati vlastite module I NIŠTA VIŠE default. I ne bi smio dopustiti da se bilo koji drugi modul uopće dopušta da se učitava po defaultu, jer zašto bi, jebote? I kakve veze, dovraga, jedna firma Microsoft ima veze s bilo čime drugim?

- prije učitavanja bilo kojih modula treće strane, provjerite pitajte korisnika za dozvolu. Na konzoli. Bez upotrebe ključeva. Ništa od toga. Tipke će biti ugrožene. Pokušajte ograničiti štetu, ali što je još važnije, prepustite korisniku kontrolu.

- Animirajte stvari poput slučajnih ključeva po hostu - sa glupim UEFI provjerama onemogućene ako je potrebno. Gotovo sigurno će biti sigurniji, pa ovisno o ludom korijenu povjerenja zasnovanom na velikoj kompaniji, s potpisnicima koji vjeruju svima koji imaju kreditnu karticu. Pokušajte te stvari naučiti ljude. Potaknite ljude da naprave vlastite (nasumične) ključeve i dodajte ih u svoje UEFI postavke (ili ne: sve što se tiče UEFI-a više je kontrola nego sigurnost) i nastojte raditi stvari poput jednokratnog potpisivanja ključem privatno odbačeno. Drugim riječima, pokušajte animirati takvu vrstu sigurnosti poput "obavezno izričito tražimo od korisnika velika upozorenja i stvorimo vlastiti ključ za taj modul." Prava sigurnost, a ne sigurnost "mi kontroliramo korisnika."

Naravno, i korisnici će to zeznuti. Oni će htjeti učitati NVIDIA binarne module i sve to sranje. Ali neka bude SU odluku i pod SU kontrolu, umjesto da svijetu kažu kako to Microsoft treba blagosloviti.

Jer ovo ne bi trebalo biti o blagodatima MS, već o korisnik blagoslivlja jezgrene module.

Iskreno, vi ste ono čega se ludi anti-ključni ljudi boje. Prodajete usrani softver "kontrole, a ne sigurnosti". Sve „MS je vlasnik vašeg računara“ samo je pogrešan način upotrebe lozinki.

Od tada se nit smirila ... i ne vrijedi je slijediti.

Prijatelji od DesdeLinux. Danas slavim svoju prvu godišnjicu kao urednik na Linux blogu, iako nisam kao takav debitovao ovdje, već na Frannoeinom blogu, koji se u to vrijeme zvao Ubuntu Cosillas, a koji je danas LMDE Cosillas. I to je bilo 2. marta kada sam napisao prvo poglavlje ove sage o firmveru koju sam kasnije nastavio ovdje. Želio bih da se zahvalim svima koji me čitaju i koji su me čitali, posebno Frannoe i cijelom osoblju Desdelinux što si napravio mesto za mene. Da nije bilo tog kursa naprednog funkcionalnog programiranja i kolege koji mi je predložio da koristim Linux za rad s ghc-om, siguran sam da bi me i dalje bilo briga za sve u vezi s Linuxom.

Završit ću ovom rečenicom: "Ako ne vičete svoje neznanje, nitko neće izaći da vas ispravi i zato ćete biti u pravu griješeći"

Relevantni postovi sa liste pošte kernela:

https://lkml.org/lkml/2013/2/21/196

https://lkml.org/lkml/2013/2/21/228

https://lkml.org/lkml/2013/2/21/275

https://lkml.org/lkml/2013/2/25/487