En del af bekymringen over, at de vil have kernen til at håndtere sikker opstart på et lavt niveau, skyldes, at Microsofts nøgler kan bruges til at hacke systemet, og hvis det skulle ske, frygter de, at Microsoft vil deaktivere nøglen og dermed Linux-pc'er, der kører med den nøgle (og det er der ingen, der ønsker).
Det hele startede med en anmodning om træk fra David Howells, der tillod, at Microsoft-underskrevne binære nøgler dynamisk blev indlæst i kernen, der kører i sikker opstartstilstand. Den med tæppet troede, det var noget lort, og at det ville være bedre at forbedre X.509-parseren. Matthew Garrett svarer, at der kun er én signeringsmyndighed, og at de kun underskriver PE-binære filer (bærbare eksekverbare filer). Og her slipper Linus sin skarpe tunge og siger:
Gutter, dette er ikke en piksugende konkurrence. Hvis du vil parse PE-binære filer, skal du gøre det. Hvis Red Hat vil lave dig dyb hals til Microsoft, det er * dit * problem. Det har intet at gøre med den kerne, som jeg vedligeholder. Det er trivielt for dig at have en signeringsmaskine, der analyserer PE-binæren, verificerer signaturerne og underskriver de resulterende nøgler med sin egen nøgle. De har allerede skrevet koden af Gud, den er i den forbandede rækkefølge. Hvorfor skulle jeg være ligeglad? Hvorfor skal kernen give en lort som "vi underskriver kun PE-binære filer"? Vi understøtter X.509, som er standarden for signering. Gør det på brugerens side på en pålidelig maskine. Der er ingen undskyldning for at gøre det i kernen.
Matthew svarer:
Sælgere vil medbringe nøgler underskrevet af en betroet tredjepart. Nu er den eneste, der måler Microsoft, fordi tilsyneladende det eneste, som leverandører elsker mere end skør firmware, følger Microsofts specifikationer. Det ækvivalente er ikke kun Red Hat (eller hvad som helst) genunderskrivelse af disse nøgler programmatisk, det genunderskriver disse nøgler med en betroet nøgle af upstream-kernen. Ville du være villig til at bære en betroet nøgle som standard, hvis et medlem af det betroede samfund er vært for en genunderskrivelsestjeneste? Eller antager vi, at enhver, der ønsker at lancere eksterne moduler, er en idiot og fortjener at være en elendig?
Linus svarer, at han tvivler på, at nogen bekymrer sig. At det allerede er dumt at underskrive kernemoduler med en Microsoft-nøgle. Red Hat VIL underskrive NVIDIA og AMD binære moduler. Peter Jones siger nej, at Red Hat ikke vil underskrive noget modul bygget af en anden. Garret tilføjer, at RHEL ender med at stole på nøgler fra NVIDIA og AMD, og at det er meget sandsynligt, at de vil være baseret på Microsofts signeringstjeneste.
Og det er her, jeg holder pause og giver et delvist og dyrisk resumé for dem, der ikke ønsker at gå ind i tekniske detaljer:
Al udvikling omkring sikker opstart er gået amok, men fordi hardwareleverandører (i det mindste de store) stadig gerne vil have Microsoft dybt.
Så Linus besluttede sig for at komme med følgende forslag, så de stopper med at tude...:
Skær det af med skræmmende.
Dette er hvad jeg vil foreslå, og det er baseret på SAND SIKKERHED og SÆT BRUGEREN FØRST i stedet for hans "lad os forkæle Microsoft ved at gøre crap" tilgang.
Så i stedet for at henvende sig til Microsoft, lad os prøve at se, hvordan vi kan tilføje sikkerhed i virkeligheden:
- en distro skal underskrive sine egne moduler Og intet mere Standard. Og du skal heller ikke tillade, at noget andet modul overhovedet indlæses som standard, for hvorfor fanden skulle jeg det? Og hvad fanden har en Microsoft-signatur med noget andet at gøre?
- inden du indlæser andre tredjepartsmoduler, skal du sørge for det bede brugeren om tilladelse. På konsollen. Uden at bruge nøgler. Intet af det. Nøglerne vil blive kompromitteret. Prøv at begrænse skaden, men endnu vigtigere, lad brugeren være i kontrol.
- Animer ting som tilfældige nøgler pr. Vært - med dumme UEFI-check deaktiveret, hvis det er nødvendigt. De vil næsten helt sikkert være mere sikre, så de er afhængige af en skør rod af tillid baseret på et stort firma, hvor underskrivende myndigheder stoler på alle med et kreditkort. Prøv at lære folk disse ting. Tilskynd folk til at lave deres egne (tilfældige) nøgler og tilføje dem til deres UEFI-indstillinger (eller ej: alt om UEFI handler mere om kontrol end sikkerhed) og stræber efter at gøre ting som engangssignering med nøglen privat kasseret. Med andre ord, prøv at animere den slags sikkerhed som "vi sørger for at spørge brugeren eksplicit med store advarsler og oprette deres egen nøgle til det pågældende modul." Reel sikkerhed, ikke sikkerhed "vi kontrollerer brugeren."
Selvfølgelig kommer brugerne også til at skrue op. De vil gerne indlæse NVIDIA binære moduler og alt det lort. og hvad så SU beslutning og under SU kontrol, i stedet for at fortælle verden, hvordan dette skal velsignes af Microsoft.
Fordi dette ikke skal handle om MS-velsignelser, men om brugeren velsigner kernemodulerne.
Helt ærligt, du er hvad de skøre antiklaver er bange for. Du sælger "kontrol ikke sikkerhed" lort. Alt "MS ejer din maskine" er bare den forkerte måde at bruge nøgler på.
Fra da af blev tråden beroliget ... og det er ikke værd at følge.
Venner af DesdeLinux. I dag fejrer jeg mit første jubilæum som redaktør på en Linux-blog, på trods af at jeg ikke har debuteret som sådan her, men på Frannoes blog, som dengang hed Ubuntu Cosillas, og som i dag er LMDE Cosillas. Og det var der den 2. marts, da jeg skrev det første kapitel af denne firmware-saga, som jeg senere fortsatte her. Jeg vil gerne takke alle, der læser mig og har læst mig, især Frannoe og hele personalet i Desdelinux for at lave et sted til mig. Hvis det ikke var for at have taget det Advanced Functional Programming-kursus og en kollega, der foreslog, at jeg skulle bruge Linux til at arbejde med ghc, er jeg sikker på, at jeg stadig ville bryde mig om alt ved Linux.
Jeg vil slutte med denne sætning: "Hvis du ikke råber din uvidenhed, vil ingen komme ud for at rette dig, og derfor vil du have ret, når du tager fejl"
Relevante indlæg fra listen over kernemails:
https://lkml.org/lkml/2013/2/21/196
https://lkml.org/lkml/2013/2/21/228
https://lkml.org/lkml/2013/2/21/275
https://lkml.org/lkml/2013/2/25/487
Pointen er, at hvis producenterne af Notebooks og andre helt sikkert står bag Wintels UEFI (vi må ikke glemme, at UEFI er Intels idé), og i værste fald beslutter de alle ikke at medtage muligheden for at deaktivere den, Linux-distroer ser sort ud, hvis de ikke har signaturen, og jeg tror, det er noget, folk på RedHat har bemærket. Jeg vil se, hvad de skal gøre om et par år, når Linux ikke kan installeres på nogen ny computer, fordi den ikke har signaturen.
I værste fald underskriver distributionerne kernen med nøglerne underskrevet af Microsoft. Faktisk er det, hvad flere allerede gør.
Hvad Torvalds siger er, at dette skal løses på hver distro, fordi kernen ikke vil gøre det. Og dette er den mest fornuftige ting, den har ingen tilbagevenden.
Linus er min yndlings virkelige verdens personlighed. Det er som om han er taget ud af en Quentin Tarantino-film og sat til at lede et samfund. Du har ret i hvad du siger.
Hvad med LinuxMint-maskiner, kommer de med UEFI / Secure boot? Jeg insisterer på, at når jeg har brug for en, vil jeg købe en af dem.
Min skød er et år gammel, når jeg har brug for en anden, tror jeg, at UEFI / Secure boot-ting allerede vil være godt løst eller korrekt implementeret eller behørigt elimineret, ha.
Jeg tvivler virkelig på det, det er umuligt, for selvom mintboksen er designet til at blive brugt med linuxmint, fedora, ubuntu og debian, som det står i dens specifikationer, så det ville være fjollet at sætte sikker boot til noget, der helt sikkert vil have dualboot, eller det er designet til gratis eller moderat gratis software i tilfælde af Ubuntu XD.
Nå, det er et problem, der altid har skabt kontrovers, siden det kom ud. Det er interessant at se, hvordan han skrider frem, og som Alf, tror jeg, at tingene på mellemlang sigt vil blive bedre. Der er producenter, der altid vil tillade deaktivering af sikker opstart og andre, der allerede har Linux forudinstalleret, såsom ThinkPenguin eller System76, jeg håber, at med tiden vil flere og flere blive født med et valg mellem ... Jeg vil altid foretrække at købe noget, der er 100% kompatibelt med linux garanteret at spille dem med enhver anden maskine.
Jeg forstår stadig ikke så godt disse shenanigans fra UEFI og andre .. Lort .. forresten diazepan: Tillykke! For os er det en fornøjelse at have dig her.
Til sidst ender vi med at købe rent serverudstyr, det vil sige, hvis de ikke transporterer denne lort derhen.
Det burde være en stor person, at de fleste af de store og kritiske servere kører på Linux, og mange af dem (afhænger af deres håndtering) er ekstremt sikre, som for at antage, at dette sikkerhedstræk vil dræbe al den ondsindede software.
Som altid er jeg MEGET enig i det, Linus fremsætter, som han med rette siger, dette UEFI-emne handler mere om "kontrol" end "sikkerhed." For min del stoler jeg slet ikke på denne formodede sikkerhedsmekanisme, og hvis en computer med UEFI falder i mine hænder, er det første, jeg vil gøre, at deaktivere den og fortsætte som før. På den anden side tror jeg ikke, at udstyrsproducenter vil forhindre deaktivering af UEFI, da de risikerer at miste markedsandele; at der vil være nogen, der tager risici eller i det mindste gør det i nogle specifikke modeller, jeg tvivler ikke på det, men jeg tror, at der altid vil være løsninger, husk at dette ikke er andet end en BIOS på steroider og muligheden for at opgradere det med "åbne" versioner altid vil være latent.
Så vidt jeg ved fungerer eufi kun for win8, hvis du vil have et dobbelt boot-system, da du kan deaktivere bios selv, så det betyder ikke noget, om du kun har linux og deaktiver denne mulighed fra bios, og der er ikke behov for at være så meget vrøvl om problemet .
Dette spørgsmål er lidt stort for mig, men ved personlig deduktion ser jeg, at microsoft marionetterne begyndte at se dem sorte, da de så, hvor modent Linux er…. Og hvordan de monopoliserer de store producenter siden tidernes begyndelse, for mig er det klart, hvorfor så mange problemer med den forbandede sikre boot ...... selv et stort eller mellemstort firma, jeg formoder, at jeg ville tage andre muligheder uden at regne med mere, og der vil jeg købe min næste maskine. ... det er helt sikkert 😉