커널이 낮은 수준에서 보안 부팅을 처리하기를 원하는 부분 중 하나는 Microsoft 키가 시스템을 해킹하는 데 사용될 수 있기 때문이며,이 경우 Microsoft가 키를 비활성화하여 Linux PC를 사용할 것을 두려워합니다. 그 키로 실행하십시오 (아무도 원하지 않습니다).
이 모든 것은 David Howells의 pull 요청으로 시작되어 Microsoft 서명 바이너리 키를 보안 부팅 모드에서 실행되는 커널에 동적으로로드 할 수있었습니다. 담요를 가진 사람은 그것이 헛소리이며 X.509 파서를 개선하는 것이 더 낫다고 생각했습니다. Matthew Garrett은 서명 기관이 하나 뿐이고 PE 바이너리 (이동 가능한 실행 파일)에만 서명한다고 대답했습니다. 그리고 여기서 Linus는 날카로운 혀를 놓아주고 말합니다.
여러분, 이건 거시기 빠는 대회가 아닙니다. PE 바이너리를 구문 분석하려면 계속 진행하십시오. Red Hat이 질문을하려는 경우 깊은 목구멍 마이크로 소프트에게는 * 당신의 문제입니다. 내가 유지하는 커널과는 아무 관련이 없습니다. PE 바이너리를 구문 분석하고, 서명을 확인하고, 결과 키를 자체 키로 서명하는 서명 시스템을 사용하는 것은 간단합니다. 그들은 이미 코드를 썼습니다. 내가 왜 관심을 가져야합니까? 커널이 "PE 바이너리에만 서명"과 같은 똥을 주어야하는 이유는 무엇입니까? 서명 표준 인 X.509를 지원합니다. 신뢰할 수있는 기계에서 사용자 측에서 수행하십시오. 커널에서 할 변명의 여지가 없습니다.
Matthew는 다음과 같이 대답합니다.
판매자는 신뢰할 수있는 제 XNUMX자가 서명 한 키를 가져 오려고합니다. 지금 측정하는 유일한 것은 마이크로 소프트이다. 왜냐하면 벤더들이 엉뚱한 펌웨어보다 더 좋아하는 유일한 것은 마이크로 소프트의 사양을 따르기 때문이다. 이에 상응하는 것은 Red Hat (또는 기타)이 해당 키에 프로그래밍 방식으로 다시 서명하는 것이 아니라 업스트림 커널에서 신뢰할 수있는 키로 해당 키에 다시 서명하는 것입니다. 신뢰할 수있는 사회의 구성원이 재 서명 서비스를 호스팅하는 경우 기본적으로 신뢰할 수있는 키를 휴대 하시겠습니까? 아니면 외부 모듈을 시작하려는 사람이 바보이고 비참 할 자격이 있다고 가정합니까?
Linus는 누군가가 신경 쓰는 것을 의심한다고 대답합니다. Microsoft 키로 커널 모듈에 서명하는 것은 이미 어리석은 일입니다. 또한 Red Hat은 NVIDIA 및 AMD 바이너리 모듈에 서명합니다. Peter Jones는 Red Hat이 다른 모듈이 구축 한 모듈에 서명하지 않을 것이라고 말합니다. Garret은 RHEL이 NVIDIA 및 AMD의 키에 의존하게 될 것이며 Microsoft의 서명 서비스를 기반으로 할 가능성이 매우 높다고 덧붙였습니다.
그리고 이것은 기술적 인 세부 사항에 들어가고 싶지 않은 사람들을 위해 잠시 멈추고 부분적이고 잔인한 내용을 요약하는 곳입니다.
보안 부팅에 대한 모든 개발이 미쳤지 만 하드웨어 공급 업체 (적어도 가장 큰 업체)가 여전히 Microsoft를 심층 분석하기를 원하기 때문입니다.
그래서 Linus는 다음과 같은 제안을하기로 결정했습니다. 그래서 그들은 빌어 먹을 …… :
겁을 주어 잘라내십시오.
이것이 제가 제안하고 싶은 것입니다. 진정한 안전 과 사용자를 최우선으로 그의 "헛소리를함으로써 마이크로 소프트를 탐닉하자"라는 접근 방식 대신.
따라서 Microsoft를 기쁘게하는 대신 실제로 보안을 추가 할 수있는 방법을 살펴 보겠습니다.
-배포판은 자체 모듈에 서명해야합니다. 그리고 그 이상 기본. 그리고 다른 모듈도 기본적으로로드 할 수 없어야합니다. 왜 그래야하나요? 그리고 도대체 마이크로 소프트 회사가 다른 것과 무슨 관련이 있습니까?
-다른 타사 모듈을로드하기 전에 사용자에게 허가를 요청. 콘솔에서. 키를 사용하지 않고. 그게 아니야. 키가 손상됩니다. 피해를 제한하려고하지만 더 중요한 것은 사용자가 제어 할 수 있도록하는 것입니다.
-호스트 별 임의 키와 같은 애니메이션 효과- 필요한 경우 어리석은 UEFI 검사가 비활성화 됨. 그들은 거의 확실하게 더 안전 할 것이므로 대기업을 기반으로 한 미친 신뢰 루트에 의존하고 서명 당국은 신용 카드를 가진 사람을 신뢰합니다. 사람들에게 그런 것들을 가르치려고 노력하십시오. 사람들이 자신의 (무작위) 키를 만들고이를 UEFI 설정에 추가하도록 장려하고 (또는 그렇지 않은 경우 : UEFI에 대한 모든 것이 보안보다 제어에 더 가깝습니다) 개인 키를 버리고 일회성 서명과 같은 작업을 수행하도록 노력하십시오. 즉, "사용자에게 큰 경고를 명시 적으로 요청하고 해당 특정 모듈에 대한 자체 키를 생성해야합니다."와 같은 유형의 보안을 애니메이션화 해보십시오. 보안이 아닌 진정한 보안 "우리는 사용자를 제어합니다."
물론, 사용자들도 그것을 망칠 것입니다. 그들은 NVIDIA 바이너리 모듈과 그 모든 쓰레기를로드하기를 원할 것입니다. 하지만하자 SU 결정, 그리고 SU 마이크로 소프트가 이것이 어떻게 축복을 받아야하는지 세상에 알리는 대신.
이것은 MS 축복에 관한 것이 아니라 커널 모듈을 축복하는 사용자.
솔직히, 당신은 미친 반 키 사람들이 두려워하는 것입니다. 당신은 "보안이 아닌 통제"shitware를 판매합니다. 모든 "MS가 귀하의 컴퓨터를 소유합니다"는 암호를 사용하는 잘못된 방법입니다.
그때부터 실이 진정되었으며 ... 따를 가치가 없습니다.
친구 DesdeLinux. 오늘 저는 Linux 블로그 편집자로 일한 지 2주년을 축하합니다. 비록 여기에서 데뷔한 것은 아니지만 Frannoe의 블로그에서 그 당시에는 Ubuntu Cosillas라고 불렸고 현재는 LMDE Cosillas입니다. 그리고 제가 나중에 여기에서 계속할 이 펌웨어 이야기의 첫 번째 장을 쓴 날이 XNUMX월 XNUMX일이었습니다. 저를 읽어주시고 읽어주시는 모든 분들께 감사드리고 싶습니다. 특히 Frannoe와 전 직원에게 감사드립니다. Desdelinux 나를 위한 자리를 만들어줘서. 고급 기능 프로그래밍 과정을 수강하지 않았고 GHC에서 작업하기 위해 Linux를 사용하라고 제안한 동료가 없었다면 나는 여전히 Linux에 관한 모든 것에 대해 관심을 두지 않았을 것입니다.
나는이 문장으로 끝낼 것입니다 : "당신이 당신의 무지를 외치지 않으면 아무도 당신을 고치러 나오지 않을 것이므로 당신은 옳은 일이 될 것입니다"
커널 메일 목록의 관련 게시물 :
https://lkml.org/lkml/2013/2/21/196
https://lkml.org/lkml/2013/2/21/228
https://lkml.org/lkml/2013/2/21/275
https://lkml.org/lkml/2013/2/25/487
요점은 노트북 및 기타 제조업체가 확실히 Wintel의 UEFI 뒤에 있고 (UEFI가 Intel의 아이디어라는 것을 잊지 말아야합니다) 최악의 경우 모두 비활성화 옵션을 포함하지 않기로 결정한 경우 Linux 배포판은 서명이 없으면 검은 색으로 보일 것이고, RedHat의 사람들이 알아 차린 것 같습니다. 서명이 없어서 새 컴퓨터에 Linux를 설치할 수 없을 때 몇 년 안에 그들이 무엇을 할 것인지보고 싶습니다.
최악의 경우 배포판은 Microsoft에서 서명 한 키로 커널에 서명합니다. 사실, 여러 사람이 이미하고있는 일입니다.
Torvalds가 말하는 것은 커널이이를 수행하지 않을 것이기 때문에 각 배포판에서 해결되어야한다는 것입니다. 그리고 이것은 가장 현명한 것입니다.
Linus는 제가 가장 좋아하는 실제 인물입니다. 마치 쿠엔틴 타란티노 영화에서 빼앗겨 커뮤니티를 이끌게 된 것과 같습니다. 당신은 당신의 말에 아주 옳습니다.
LinuxMint 머신은 어떻습니까? UEFI / 보안 부팅과 함께 제공됩니까? 나는 내가 필요할 때 그것들 중 하나를 살 것이라고 주장한다.
내 무릎은 XNUMX 년이 지났고, 다른 것이 필요할 때 쯤이면 UEFI / 보안 부팅 문제가 이미 잘 해결되거나 제대로 구현되거나 정식으로 제거 될 것이라고 생각합니다. ha.
정말 의심 스럽습니다. mintbox가 linuxmint, fedora, ubuntu 및 debian과 함께 사용되도록 설계되었지만 사양에서 언급했듯이 이중 부팅을 확실히 할 무언가에 보안 부팅을 배치하는 것은 어리석은 일이기 때문에 불가능합니다. Ubuntu XD의 경우 무료 또는 적당히 무료 소프트웨어 용으로 설계되었습니다.
글쎄요, 그것이 나온 이후 항상 논란을 불러 일으키는 주제입니다. 그가 어떻게 발전하는지 보는 것은 흥미롭고 Alf로서 중기 적으로 상황이 개선 될 것이라고 생각합니다. 보안 부팅의 비활성화를 항상 허용하는 제조업체와 ThinkPenguin 또는 System76과 같이 이미 Linux가 사전 설치된 다른 제조업체가 있습니다. 시간이 지남에 따라 선택권을 가질 수 있기를 바랍니다. Linux와 100 % 호환되는 제품을 구입하여 다른 컴퓨터에서 사용할 수 있습니다.
나는 여전히 UEFI와 다른 사람들의 이러한 헛소리를 잘 이해하지 못합니다. .. 젠장 .. 그런데 diazepan : 축하합니다! 여기에 오신 것을 환영합니다.
결국 우리는 순수한 서버 장비를 구매하게 될 것입니다.
대부분의 크고 중요한 서버가 Linux에서 실행되고 대부분의 서버 (처리 방법에 따라 다름)가 매우 안전해야합니다. 마치이 보안 기능이 모든 악성 소프트웨어를 죽일 것이라고 가정하는 것처럼 말입니다.
언제나 그렇듯이 나는 Linus가 제시 한 내용에 매우 동의합니다. 그가 올바르게 말했듯이이 UEFI 주제는 "보안"보다 "제어"에 더 가깝습니다. 제 입장에서 저는이 보안 메커니즘을 전혀 신뢰하지 않으며 UEFI 팀이 제 손에 넘어 가면 제일 먼저 할 일은 비활성화하고 이전과 같이 계속하는 것입니다. 반면에 장비 제조업체가 시장 점유율을 잃을 위험이 있으므로 UEFI 비활성화를 막을 것이라고 생각하지 않습니다. 일부 특정 모델에서는 위험을 감수하거나 적어도 그렇게하는 사람이있을 것입니다. 의심 할 여지가 없지만 항상 해결책이있을 것이라고 생각합니다. 이것이 스테로이드의 BIOS에 지나지 않으며 "개방형"버전으로 업그레이드하는 것은 항상 잠복합니다.
내가 아는 한 eufi는 BIOS를 비활성화 할 수 있기 때문에 이중 부팅 시스템을 원할 경우 win8에서만 작동하므로 Linux 만 있고 BIOS에서 해당 옵션을 비활성화해도 중요하지 않습니다. 문제에 대해 너무 많은 소란.
이 주제는 나에게 약간 큰 주제이지만, 개인적으로 추론 해 보면 마이크로 소프트 인형들이 리눅스가 얼마나 성숙한지를 보았을 때 검은 색으로 보이기 시작했다는 것입니다. 그리고 그들이 저를 위해 처음부터 큰 제조업체를 독점하는 방법은 왜 그 망할 보안 부팅에 그렇게 많은 문제가 있는지 분명합니다 ... 심지어 일부 대기업 또는 중견 기업조차도 세지 않고 다른 옵션을 취할 것이라고 생각합니다 더 많이 그리고 거기에서 나는 내 다음 기계를 살 것입니다 ... 확실합니다 😉