Τυχαίνει να μεταφράσω αυτό το άρθρο που έγραψε Τζέιμς Μπότομλεϊ, τεχνικός σύμβουλος της Linux Foundation, που άρχισε να βάζει μαζί ένα προ-bootloader ώστε να μπορείτε να εκκινήσετε το Linux.
Όπως εξήγησα στην προηγούμενη δημοσίευσή μου, έχουμε τον κώδικα για το Linux boot pre-bootloader. Ωστόσο, υπήρχε ένα καθυστέρηση ενώ είχαμε πρόσβαση στο σύστημα υπογραφής της Microsoft.
Το πρώτο πράγμα που πρέπει να κάνετε είναι πληρώστε τα 99 $ στο Verisign (τώρα Symantec) και έχει επιβεβαιωθεί ένα κλειδί από τη Verisign Το κάναμε για το Ίδρυμα Linux, και το μόνο που θέλουν να κάνουν είναι να καλέσουν τα κεντρικά γραφεία. Το κλειδί επιστρέφει σε μια διεύθυνση URL που είναι εγκατεστημένη στο πρόγραμμα περιήγησής σας, αλλά μπορούν να χρησιμοποιηθούν τυπικά εργαλεία SSL Linux για την εξαγωγή και τη δημιουργία του συνηθισμένου πιστοποιητικού και κλειδιού PEM. Δεν έχει καμία σχέση με την υπογραφή UEFI, αλλά χρησιμοποιείται για την επικύρωση του συστήματος sysev Microsoft ότι είστε εσείς που λέτε ότι είστε. Για να μπορέσετε να δημιουργήσετε έναν λογαριασμό sysdev, πρέπει να τον δοκιμάσετε υπογράφοντας ένα εκτελέσιμο που σας δίνουν και το ανεβάζετε. Κάνουν αυστηρές απαιτήσεις για να το υπογράψετε σε μια συγκεκριμένη πλατφόρμα των Windows, αλλά τουλάχιστον υπογράφηκε ότι λειτούργησε και μπήκε ο λογαριασμός μας δημιουργήθηκε
Μόλις δημιουργηθεί ο λογαριασμός, εξακολουθείτε να μην μπορείτε να ανεβάσετε δυαδικά αρχεία UEFI για υπογραφή χωρίς πρώτα υπογράψτε ένα χαρτί. Οι προσφορές είναι πολύ επαχθείς, συμπεριλαμβανομένων πολλών εξαιρούμενων αδειών (συμπεριλαμβανομένων όλων των GPL για προγράμματα οδήγησης, αλλά όχι για bootloaders). Το πιο επαχθές μέρος είναι ότι οι συμφωνίες φαίνεται να έχουν φτάσει πέρα από τα αντικείμενα UEFI που υπογράφετε. Οι δικηγόροι του Ιδρύματος Linux κατέληξαν στο συμπέρασμα ότι είναι ως επί το πλείστον αβλαβές για το LF επειδή δεν πουλάμε προϊόντα, αλλά μπορεί να είναι αηδιαστικό για άλλες εταιρείες. Σύμφωνα με τον Matthew Garrett, η Microsoft είναι πρόθυμη να διαπραγματευτεί ειδικές συμφωνίες με διανομές για να μετριάσει ορισμένα από αυτά τα προβλήματα.
Μόλις υπογραφούν οι συμφωνίες, το πραγματικό τεχνική διασκέδαση. Δεν μπορείτε απλώς να ανεβάσετε ένα δυαδικό UEFI και να το υπογράψετε. Πρώτα πρέπει τυλίξτε το σε ένα αρχείο .cab. Ευτυχώς, υπάρχει ένα έργο ανοιχτού κώδικα που μπορεί να δημιουργήσει αρχεία γραφείου που ονομάζονται lcab. Τότε πρέπει να υπογράψτε το αρχείο .cab με το κλειδί Verisign. Και πάλι, υπάρχει ένα άλλο έργο ανοιχτού κώδικα που μπορεί να το κάνει αυτό: osslsigncode. Για όσους χρειάζονται αυτά τα εργαλεία, είναι διαθέσιμα στο αποθετήριο openSuse Build Service UEFI. Το τελικό πρόβλημα είναι ότι η μεταφόρτωση του αρχείου απαιτεί ασημί φως. Δυστυχώς, το φεγγάρι δεν φαίνεται να λειτουργεί και ακόμη και με την προεπισκόπηση της έκδοσης 4, το πλαίσιο μεταφόρτωσης είναι κενό, έτσι ήρθε η ώρα να χρησιμοποιήσετε τα παράθυρα 7 κάτω από ένα kvm (εικονική μηχανή που βασίζεται στον πυρήνα). Όταν φτάσετε σε αυτό το μέρος, πρέπει επίσης να βεβαιώσετε ότι το δυαδικό «πρέπει να υπογραφεί, δεν πρέπει να έχει άδεια βάσει της GPLv3 ή παρόμοιων αδειών ανοιχτού κώδικα". Υποθέτω ότι είναι για φόβο αποκάλυψης κλειδιών, αλλά δεν είναι καθόλου σαφές (το ίδιο με τις "παρόμοιες άδειες ανοιχτού κώδικα").
Μόλις ολοκληρωθεί η μεταφόρτωση, το αρχείο θα σταματήσει σε επτά στάδια. Δυστυχώς, η πρώτη δοκιμαστική ανάβαση παρέμεινε κλειδωμένο στο στάδιο 6 (η υπογραφή των αρχείων). Μετά από 6 ημέρες έστειλα ένα email υποστήριξης στη Microsoft ρωτώντας τι συνέβαινε. Η απάντηση: «Ο κωδικός σφάλματος που ρίχνεται από τη διαδικασία υπογραφής είναι αυτός το αρχείο σας δεν είναι έγκυρη εφαρμογή Win32. Είναι μια έγκυρη εφαρμογή Win32; ". Απάντηση: προφανώς όχι, είναι ένα έγκυρο δυαδικό UEFI 64 bit. Δεν υπήρχαν άλλες απαντήσεις...
Προσπάθησα ξανά. Αυτή τη φορά έλαβα ένα email λήψης για το υπογεγραμμένο αρχείο και το διοικητικό συμβούλιο το λέει αυτό το υπογεγραμμένο απέτυχε. Το κατέβασα και επαλήθευσα. Το δυαδικό λειτουργεί στην πλατφόρμα safeboot και είναι υπογεγραμμένο με το κλειδί
θέμα = / C = US / ST = Washington / L = Redmond / O = Microsoft Corporation / OU = MOPR / CN = Microsoft Windows UEFI Driver Publisher
issuer = / C = US / ST = Washington / L = Redmond / O = Microsoft Corporation / CN = Microsoft Corporation UEFI CA 2011Ρώτησα την υποστήριξη γιατί η διαδικασία έδειξε αποτυχία, αλλά είχα μια έγκυρη λήψη και, μετά από μια αναταραχή μηνυμάτων ηλεκτρονικού ταχυδρομείου, απάντησαν «μην χρησιμοποιείτε αυτό το αρχείο λανθασμένα υπογεγραμμένο. Θα επιστρέψω σε σένα. " Δεν είμαι ακόμα σίγουρος ποιο είναι το πρόβλημα, αλλά αν κοιτάξετε το Θέμα του κλειδιού υπογραφής, δεν υπάρχει τίποτα στο κλειδί που να δείχνει στο Linux Foundation, ως εκ τούτου, υποψιάζομαι ότι το πρόβλημα είναι ότι το δυαδικό είναι υπογεγραμμένο με ένα γενικό κλειδί Microsoft και όχι ένα συγκεκριμένο (και ανακλητό) κλειδί συνδεδεμένο με το Linux Foundation.
Ωστόσο, αυτή είναι η κατάσταση: Θα συνεχίσουμε να περιμένουμε από τη Microsoft να δώσει στο Linux Foundation ένα υπογεγραμμένο και επικυρωμένο προ-bootloader. Όταν συμβεί αυτό, θα μεταφορτωθεί στον ιστότοπο Linux Foundation για χρήση από όλους.
πηγή: http://blog.hansenpartnership.com/adventures-in-microsoft-uefi-signing/
Εξαγάγετε τα συμπεράσματά σας, αλλά αυτό θα πάρει χρόνο.
Αν πραγματικά το πρόβλημα των υπολογιστών με win8 OEM που συνοδεύουν το σύστημα UEFI επιλύεται απενεργοποιώντας το UEFI από το BIOS, μου φαίνεται σφάλμα ότι τόσο το Linux foundation όσο και το Fedora, το Ubuntu και δεν ξέρω ποια άλλη διανομή, πληρώνουν για το πιστοποιητικό και δέχονται τους περιορισμούς που επέβαλε η Microsoft.
ΠΡΕΠΕΙ ΝΑ ΣΤΑΜΑΤΟΥΜΕ ΓΙΑ ΛΑΜΠΕΣ !!!!!
αλλά ξέρω ότι τα Windows 8 παραμένουν χωρίς εκκίνηση
Hehehe, ούτε καν μια μεγάλη υπόθεση. Λοιπόν, τουλάχιστον για μένα. Είναι προσωπική γνώμη, δεν θέλω να προσβάλω κανέναν.
Το UEFI δεν μπορεί να απενεργοποιηθεί από το BIOS, καθώς το UEFI είναι το υλικολογισμικό που έρχεται να αντικαταστήσει το περισσότερο από το μακροχρόνιο BIOS.
Αυτό που μιλάμε είναι το Secure Boot, μια δυνατότητα UEFI που επαληθεύει την αυθεντικότητα του λογισμικού με το οποίο ξεκινάμε τον υπολογιστή μέσω ψηφιακών υπογραφών, είναι το Secure Boot που πρέπει να απενεργοποιηθεί.
Δεν είναι τόσο απλό όσο η απενεργοποίηση της ασφαλούς εκκίνησης και αυτό είναι, είναι απαραίτητο ο κατασκευαστής να εξετάσει το ενδεχόμενο να συμπεριλάβει ένα μενού που επιτρέπει στους χρήστες να απενεργοποιήσουν την ασφαλή εκκίνηση, εάν ο κατασκευαστής δεν θέλει να απενεργοποιηθεί, θα είναι πολύ περίπλοκο για τον χρήστη να μπορεί να να το κάνετε, πιθανότατα να φτάσετε στο ακραίο σημείο που πρέπει να αντικαταστήσετε το υλικολογισμικό της μητρικής πλακέτας με ένα ανεπίσημο.
Η λύση του Linux Foundation θα ήταν μια «καθολική» λύση για οποιοδήποτε υλικό που πάσχει από αυτήν την ασθένεια και θα επέτρεπε σε οποιοδήποτε σύστημα να εγκατασταθεί πληρώνοντας μία μόνο ψηφιακή υπογραφή μόνο μία φορά, κάτι που σίγουρα τους φοβίζει και γιατί κάνουν τόσο προσευχή
«Δεν είναι τόσο απλό όσο η απενεργοποίηση της ασφαλούς εκκίνησης και αυτό είναι, είναι απαραίτητο ο κατασκευαστής να εξετάσει το ενδεχόμενο να συμπεριλάβει ένα μενού που επιτρέπει στους χρήστες να απενεργοποιήσουν την ασφαλή εκκίνηση, εάν ο κατασκευαστής δεν θέλει να απενεργοποιηθεί, θα είναι πολύ περίπλοκο για να μπορεί ο χρήστης να το κάνει »,
Επομένως, αυτό που πρέπει να γίνει είναι μια εκστρατεία ψηφιακού γραμματισμού όπου εξηγείται στους χρήστες ότι απαιτούν υπολογιστές με αυτήν τη δυνατότητα και αντί να αγοράζουν άλλους.
Όλα αυτά είναι να βγάλουν λεφτά επικυρώνοντας ό, τι μπορεί και δεν μπορεί να εκκινήσει με ασφαλή εκκίνηση.
Η απόλυτη ανικανότητα δεν διακρίνεται από κακές προθέσεις.
Αν και υπάρχει μια διάσημη φράση από τον Robert J. Hanlon που λέει: "Ποτέ μην αποδίδεις στην κακία αυτό που εξηγείται επαρκώς από την ηλιθιότητα", στη συγκεκριμένη περίπτωση της Microsoft, τόσες πολλές ανόητες δυσκολίες σε μια υποτιθέμενη καλά σχεδιασμένη και επινοημένη διαδικασία για ένα καλύτερο ασφάλεια, συνεχίζει να δίνει την εντύπωση ότι εμποδίζουν το Linux Foundation, ώστε το Linux να μην μπορεί να εγκατασταθεί σε νέους υπολογιστές με UEFI, έτσι ώστε η Microsoft να μην έχει ανταγωνισμό.
Ακριβής. Δεν μου αρέσει η ιδέα, μια υποτιθέμενη ασφαλής αρχή ... Με φοβίζει. Μου φαίνεται ότι η Microsoft έχει πολύ ... σκοπούς μαφίας.
Είμαι περισσότερο από κουρασμένος από τη Microsoft και τους χειρισμούς της, και φοβάμαι ακόμη και για τις προθέσεις της, και κουράζομαι από το ότι προσποιείται ότι κυριαρχεί σε κάθε έναν από τους υπολογιστές ή τις συσκευές που υπάρχουν στην αγορά.
Ελπίζω ότι το Linux τελειώνει μαζικά και κυριαρχεί μεταξύ των τελικών χρηστών και τα Windows τελικά περιθωριοποιούνται, συνολικά, για το χάσμα του λειτουργικού συστήματος που είναι.
Αυτό μου θυμίζει το δίπλωμα ευρεσιτεχνίας που παραχωρείται στη Microsoft μέσω του οποίου το προεπιλεγμένο σύστημα είναι περιορισμένο και για να ξεκλειδώσετε όλες τις δυνατότητές του ή να εγκαταστήσετε οποιοδήποτε πρόγραμμα τρίτων, απαιτούνται άδειες για τις οποίες, φυσικά, πρέπει είτε να πληρώσουν είτε ο χρήστης είτε οι χρήστες. Τρίτα μέρη που θέλουν να εγκατασταθούν οι εφαρμογές τους στο λειτουργικό σύστημα. Ότι δεν το έχουν εφαρμόσει ακόμη, δεν σημαίνει ότι δεν σκοπεύουν, και έχω την εντύπωση ότι το UEFI προετοιμάζει το έδαφος για αυτό.
Αυτό που με εκπλήσσει είναι ότι τα δυαδικά δυαδικά αρχεία αποτυγχάνουν και αναγκάζουν τα δυαδικά αρχεία 64bit…. Είναι οπισθοδρομικά, σχεδόν δεν υπάρχουν νέοι επεξεργαστές αρχιτεκτονικής x32 86-bit στην αγορά. Θα πρέπει να λειτουργεί στα 32 bit.
εσύ
Η ψηφιακή υπογραφή ή η ασφαλής εκκίνηση προσπαθεί να αποτρέψει την εκκίνηση "κάτι" εκτός από το σύστημα. Είναι επίσης προκειμένου να αποφευχθεί η λεγόμενη πειρατεία ή παράνομη αντιγραφή ιδιόκτητου λογισμικού.
Κάνοντας μια ανάλυση και κάνοντας λίγη έρευνα για το λεγόμενο χρηματοκιβώτιο Win8 με το πολύ περιφραγμένο ασφαλές εκκίνημά του, έχει δείξει την ανικανότητά του καθώς ανακάλυψαν πρόσφατα μια τρύπα ασφαλείας.
Λόγω των παραπάνω και χωρίς να χρειάζεται να είστε ιδιοφυΐα του κλάδου, με διδακτορικά και άλλα, μπορεί να συναχθεί το συμπέρασμα ότι είναι μόνο μια ιδέα μάρκετινγκ που συνοδεύεται από την υπόθεση της Microsoft να γίνει ένα κλειστό σύστημα τύπου μήλου.
Προσωπικά μελετώντας, συμβουλεύομαι και μελετώ μπορώ να πω από την προσωπική μου άποψη ότι το UEFI / Secure Boot είναι απάτη και απάτη που στοχεύει μόνο να αναγκάσει και να υποστηρίξει το έργο της Microsoft για να κλείσει εντελώς το οικοσύστημα της, εκμεταλλευόμενος το γεγονός ότι μπορεί ακόμα να ασκήσει ορισμένα πίεση στον τομέα των προσωπικών υπολογιστών.
Σε αυτές τις διακοπές θα βρω έναν τρόπο να μηνύσω τη Microsoft. Τους μισώ.
Hehehe, αν είχα την επιθυμία και το χρόνο, θα τους απαιτούσα επίσης. Είναι παραβίαση της ελευθερίας. Εκτός αν κάνουν μια άλλη έκδοση της περίφημης EULA όπου ορίζουν ότι με την αποδοχή της σύμβασης συμφωνείτε να μην εγκαταστήσετε άλλο λογισμικό hehehe, κάτι που δεν θα με εκπλήξει.
+1
Θα δούμε πώς θα κάνει η microsoft με το win8 και το UEFI / safeboot, ίσως χάσει κάποια αγορά υπέρ του macbook ή του chromebook.
Και ποιος ξέρει, ίσως κάποια μέρα κάποιος κατασκευαστής υπολογιστών θα εμφανιστεί εκεί υπέρ του linux και άλλων δωρεάν συστημάτων.
mmm και αν οι κοινότητες linux "εκδηλώθηκαν" την ημέρα του Διαδικτύου και την ημέρα του προγραμματιστή, για παράδειγμα, μπροστά από κάποιο κατάστημα hp (για να πούμε το λιγότερο) δείχνοντας την εκτίμησή τους για την επωνυμία αλλά τη διαφωνία τους με τη χρήση παραθύρων;
Και αν εκείνες τις μέρες το "install festival" βγαίνει στους δρόμους ή στις δημόσιες πλατείες;
Η θλιβερή πραγματικότητα είναι ότι όλοι οι χρήστες Linux συνδυάζουν ένα κλάσμα των χρηστών των Windows, έτσι οι κατασκευαστές υλικού φυσικά δίνουν προτεραιότητα στο λειτουργικό σύστημα με το υψηλότερο μερίδιο αγοράς. οπότε το βλέπω απίθανο ότι μια διαδήλωση θα αλλάξει τα πράγματα.
Κατά τη γνώμη μου, για παράδειγμα, το να κάνεις το Linux μια πιο ελκυστική πλατφόρμα για εφαρμογές και παιχνίδια θα μπορούσε να έχει μεγαλύτερη επιρροή από πολλές διαδηλώσεις εναντίον MS. Αλλά αυτό απαιτεί χρόνο (και πόρους).
Είναι καλό να επιτεθεί το Micro $ oft και το Secure Boot του, αλλά να θυμάστε ότι είναι οι κατασκευαστές της μητρικής πλακέτας που το έχουν συμπεριλάβει από προεπιλογή στο UEFI, σαν να υπήρχε μόνο ένα λειτουργικό σύστημα. Οι Microsoft ... έχουν πάρει λάθος δρόμο. Λαμβάνοντας υπόψη την υπόθεση, μου φαίνεται ότι στο μέλλον θα αναγκαστούμε να αναβοσβήσουμε το UEFI των διοικητικών συμβουλίων με "εκδομένες" εκδόσεις, όπως κάνουμε σήμερα με το ROM ορισμένων προϊόντων. Ευτυχώς, η εφευρετικότητα εκείνων που επιδιώκουν την ελευθερία έχει αποδειχθεί ισχυρότερη από εκείνη εκείνων που επιδιώκουν να την εξαλείψουν.
Άνθρωπος .... Δεν είναι τόσο απλό όσο ο κατασκευαστής επιλέγει εάν θα συμπεριλάβει ή όχι ασφαλή εκκίνηση στο υλικό του, δεν πρέπει να ξεχνάμε ότι η Microsoft είναι ένα μονοπώλιο, στην πραγματικότητα είναι το μονοπώλιο και ως κατασκευαστής, λέγοντας όχι στη Microsoft μπορεί να σημαίνει ότι πρέπει να αντιμετωπίσετε τους δικηγόρους τους, να αυξήσετε το κόστος των αδειών που καθιστούν τον εξοπλισμό σας πολύ πιο ακριβό ή ακόμη και να χάσετε το 80% της εγχώριας αγοράς.
Δεν είναι ότι τους υπερασπίζεται, αλλά εάν κάτι που η Microsoft γνωρίζει πώς να κάνει είναι ακριβώς αυτό, επιβάλλοντας με βάση τον εκβιασμό και το μονοπώλιο, η μόνη επιλογή θα ήταν όλοι οι κατασκευαστές ή τουλάχιστον η πλειοψηφία να συμφωνήσουν και να το σταματήσουν αμέσως, αλλά αυτό είναι εξαιρετικά δύσκολο να συμβεί και μια εταιρεία, ανεξάρτητα από το πόσο μεγάλη είναι, θα σκεφτεί δύο φορές πριν διακινδυνεύσει την επιχείρησή της, ανεξάρτητα από το πόσο άδικο / ανατριχιαστικό / παράλογο αυτό που ζητά η Microsoft.
Έχουν γίνει πολλές συζητήσεις για αυτό το ζήτημα σε διάφορα blogs και φόρουμ, αλλά έχω μέρες να σκεφτώ κάτι, ίσως είναι η ανόητά μου, αλλά, στην περίπτωση της DELL και της HP (δεν γνωρίζω άλλες εταιρείες) που πωλούν μηχανήματα Linux, κάνει την ασφαλή εκκίνηση θα βγει;
Νομίζω ότι έχω διαβάσει ότι σε αυτές τις περιπτώσεις οι κατασκευαστές τοποθετούν ένα διπλό σύστημα UEFI / BIOS, έτσι ώστε αν απενεργοποιήσετε το UEFI, θα επιστρέψετε στο BIOS. Αυτό φυσικά θα αυξήσει το κόστος.
Τελικά το BIOS θα εξαφανιστεί όπως το γνωρίζουμε υπέρ του UEFI ή άλλων καλύτερων προτύπων που πιστεύεται, επειδή η τεχνολογία BIOS είναι παλιά και επομένως επιβάλλει περιορισμούς.
Κύριοι, μια υπογραφή στην αναφορά του FSF σχετικά με αυτό το θέμα:
Εμείς, οι υπογράφοντες, καλούμε όλους τους κατασκευαστές υπολογιστών που εφαρμόζουν το λεγόμενο "Secure Boot" της UEFI να το πράξουν με τρόπο που επιτρέπει την εγκατάσταση δωρεάν λειτουργικών συστημάτων. Για να σέβονται την ελευθερία των χρηστών και να προστατεύουν πραγματικά την ασφάλειά τους, οι κατασκευαστές πρέπει να επιτρέπουν στους ιδιοκτήτες υπολογιστών να απενεργοποιούν τους περιορισμούς εκκίνησης ή να παρέχουν ένα αξιόπιστο σύστημα για την εγκατάσταση και τη λειτουργία ενός δωρεάν λειτουργικού συστήματος της επιλογής τους. Δεσμευόμαστε ότι δεν θα αγοράζουμε ή θα προτείνουμε υπολογιστές που αφαιρούν αυτήν την κρίσιμη ελευθερία από τον χρήστη και ότι θα ενθαρρύνουμε ενεργά τους ανθρώπους στις κοινότητές μας να αποφεύγουν τέτοια κλουβιά.
http://www.fsf.org/campaigns/secure-boot-vs-restricted-boot/statement
Τέλεια, το αίτημα υπογράφηκε και κοινοποιήθηκε στο LUG και στον υπόλοιπο ιστό, ευχαριστώ για το σχόλιο.