เฟิร์มแวร์ฝันร้ายตอนที่ 4: การแข่งขันดูดไก่

ส่วนหนึ่งของความกังวลที่คุณต้องการให้เคอร์เนลจัดการกับการบูตที่ปลอดภัยในระดับต่ำเป็นเพราะคีย์ของ Microsoft อาจถูกใช้เพื่อแฮ็กระบบและหากเป็นเช่นนั้นพวกเขากลัวว่า Microsoft จะปิดการใช้งานคีย์ดังนั้นพีซี Linux จึงปล่อยให้พวกเขา ทำงานด้วยคีย์นั้น (และไม่มีใครต้องการสิ่งนั้น)

ทุกอย่างเริ่มต้นด้วยคำขอดึงจาก David Howells ที่อนุญาตให้โหลดคีย์ไบนารีของ Microsoft ลงในเคอร์เนลแบบไดนามิกในโหมดบูตที่ปลอดภัย คนที่มีผ้าห่มคิดว่าเป็นเรื่องไร้สาระและควรปรับปรุงตัวแยกวิเคราะห์ X.509 ให้ดีขึ้น Matthew Garrett ตอบว่ามีผู้มีอำนาจลงนามเพียงคนเดียวและพวกเขาลงนามเฉพาะ PE binaries (ไฟล์ปฏิบัติการแบบพกพา) และที่นี่ Linus ปล่อยลิ้นอันแหลมคมของเขาและพูดว่า:

กูนี่ไม่ใช่การประกวดดูดควย หากคุณต้องการแยกวิเคราะห์ไบนารี PE ให้ดำเนินการต่อ หากเรดแฮทต้องการถามคุณ คอลึก สำหรับ Microsoft มันเป็นปัญหา * ของคุณ ไม่มีส่วนเกี่ยวข้องกับเคอร์เนลที่ฉันดูแล เป็นเรื่องเล็กน้อยสำหรับคุณที่จะมีเครื่องลงนามที่แยกวิเคราะห์ไบนารี PE ตรวจสอบลายเซ็นและลงนามคีย์ที่เป็นผลลัพธ์ด้วยคีย์ของตัวเอง พวกเขาเขียนโค้ดแล้วโดยพระเจ้ามันอยู่ในลำดับที่น่ารังเกียจ ทำไมฉันต้องสนใจ? เหตุใดเคอร์เนลจึงควรให้ความรู้สึกเหมือน "we only sign PE binaries"? เรารองรับ X.509 ซึ่งเป็นมาตรฐานสำหรับการลงนาม ทำในฝั่งของผู้ใช้บนเครื่องที่เชื่อถือได้ ไม่มีข้อแก้ตัวที่จะทำในเคอร์เนล

Matthew ตอบกลับ:

ผู้ขายต้องการนำกุญแจที่ลงนามโดยบุคคลที่สามที่เชื่อถือได้ ตอนนี้สิ่งเดียวที่วัดได้คือ Microsoft เนื่องจากเห็นได้ชัดว่าสิ่งเดียวที่ผู้ขายชื่นชอบมากกว่าเฟิร์มแวร์เส็งเคร็งคือการปฏิบัติตามข้อกำหนดของ Microsoft สิ่งที่เทียบเท่ากันนั้นไม่ได้เป็นเพียงแค่ Red Hat (หรืออะไรก็ตาม) ที่เซ็นชื่อคีย์เหล่านั้นซ้ำโดยทางโปรแกรม แต่เป็นการเซ็นชื่อคีย์เหล่านั้นใหม่ด้วยคีย์ที่เชื่อถือได้โดยเคอร์เนลต้นทาง คุณยินดีที่จะพกคีย์ที่เชื่อถือได้โดยค่าเริ่มต้นหรือไม่หากสมาชิกของสมาคมที่เชื่อถือได้โฮสต์บริการลงนามซ้ำ หรือเราคิดว่าใครก็ตามที่ต้องการเปิดโมดูลภายนอกเป็นคนงี่เง่าและสมควรที่จะเป็นคนที่น่าสังเวช?

ไลนัสตอบว่าเขาสงสัยว่าใคร ๆ ก็สนใจ มันโง่อยู่แล้วที่จะเซ็นชื่อโมดูลเคอร์เนลด้วยคีย์ Microsoft นอกจากนี้ Red Hat จะลงนามในโมดูลไบนารี NVIDIA และ AMD ปีเตอร์โจนส์บอกว่าไม่ Red Hat จะไม่เซ็นชื่อโมดูลใด ๆ ที่สร้างโดยคนอื่น Garret กล่าวเพิ่มเติมว่า RHEL จะต้องอาศัยคีย์จาก NVIDIA และ AMD และมีความเป็นไปได้สูงที่พวกเขาจะใช้บริการเซ็นชื่อของ Microsoft

และนี่คือที่ที่ฉันหยุดชั่วคราวและสรุปบางส่วนและโหดร้ายสำหรับผู้ที่ไม่ต้องการดูรายละเอียดทางเทคนิค:

การพัฒนาทั้งหมดเกี่ยวกับการบูตที่ปลอดภัยนั้นบ้าคลั่งไปแล้ว แต่เนื่องจากผู้จำหน่ายฮาร์ดแวร์ (อย่างน้อยรายใหญ่ที่สุด) ยังคงต้องการเจาะลึก Microsoft

ดังนั้นไลนัสจึงตัดสินใจทำตามคำแนะนำต่อไปนี้พวกเขาจึงหยุดร่วมเพศ……:

ตัดมันออกด้วยความหวาดกลัว

นี่คือสิ่งที่ฉันจะแนะนำและขึ้นอยู่กับ ความปลอดภัยที่แท้จริง และ ใส่ผู้ใช้เป็นคนแรก แทนที่จะเป็นแนวทาง "มาตามใจ Microsoft ด้วยการทำอึ"

ดังนั้นแทนที่จะถูกใจ Microsoft ลองดูว่าเราจะเพิ่มความปลอดภัยได้อย่างไร:

- distro ต้องเซ็นชื่อโมดูลของตัวเอง และไม่มีอะไรเพิ่มเติม ค่าเริ่มต้น. และไม่ควรอนุญาตให้โมดูลอื่น ๆ โหลดตามค่าเริ่มต้นด้วยเพราะเหตุใดจึงควรมีเพศสัมพันธ์ แล้ว บริษัท ไมโครซอฟท์ต้องทำอะไรกับสิ่งอื่นอีก?

- ก่อนโหลดโมดูลของบุคคลที่สามอื่น ๆ ตรวจสอบให้แน่ใจ ขออนุญาตผู้ใช้. บนคอนโซล โดยไม่ต้องใช้กุญแจ ไม่มีอะไรเลย กุญแจจะถูกบุกรุก พยายามจำกัดความเสียหาย แต่ที่สำคัญกว่านั้นคือให้ผู้ใช้มีการควบคุม

- ทำให้สิ่งต่างๆเคลื่อนไหวเช่นคีย์สุ่มต่อโฮสต์ - ด้วยการตรวจสอบ UEFI โง่ ๆ ปิดการใช้งานหากจำเป็น. พวกเขาเกือบจะปลอดภัยมากขึ้นอย่างแน่นอนดังนั้นการพึ่งพาความไว้วางใจที่บ้าคลั่งตาม บริษัท ขนาดใหญ่โดยมีเจ้าหน้าที่ลงนามไว้วางใจใครก็ตามที่มีบัตรเครดิต พยายามสอนสิ่งเหล่านั้นให้กับผู้คน กระตุ้นให้ผู้คนสร้างคีย์ (สุ่ม) ของตนเองและเพิ่มเข้าไปในการตั้งค่า UEFI (หรือไม่: ทุกอย่างเกี่ยวกับ UEFI นั้นเกี่ยวกับการควบคุมมากกว่าความปลอดภัย) และพยายามทำสิ่งต่างๆเช่นการเซ็นชื่อครั้งเดียวโดยทิ้งคีย์ส่วนตัว กล่าวอีกนัยหนึ่งคือลองสร้างความปลอดภัยแบบนั้นให้เคลื่อนไหวเช่น "เราขอเตือนผู้ใช้อย่างชัดเจนพร้อมคำเตือนใหญ่ ๆ และสร้างคีย์ของตัวเองสำหรับโมดูลนั้น ๆ " ความปลอดภัยที่แท้จริงไม่ใช่ความปลอดภัย "เราควบคุมผู้ใช้"

แน่นอนว่าผู้ใช้จะทำผิดพลาดเช่นกัน พวกเขาจะต้องการโหลดโมดูลไบนารีของ NVIDIA และเรื่องไร้สาระทั้งหมด แต่ช่างมันเถอะ SU การตัดสินใจและภายใต้ SU ควบคุมแทนที่จะบอกให้โลกรู้ว่าสิ่งนี้ควรได้รับพรจาก Microsoft อย่างไร

เพราะสิ่งนี้ไม่ควรเกี่ยวกับพร MS แต่เกี่ยวกับ ผู้ใช้ให้พรแก่โมดูลเคอร์เนล.

จริงๆแล้วคุณคือสิ่งที่พวกแอนตี้คีย์กลัว คุณขาย shitware "การควบคุมไม่ใช่ความปลอดภัย" "MS เป็นเจ้าของเครื่องของคุณ" ทั้งหมดเป็นเพียงวิธีการใช้รหัสผ่านที่ไม่ถูกต้อง

จากนั้นกระทู้ก็สงบลง ... และไม่น่าติดตาม

เพื่อนของ DesdeLinux- วันนี้ฉันเฉลิมฉลองวันครบรอบปีแรกของฉันในฐานะบรรณาธิการในบล็อก Linux แม้ว่าจะไม่ได้เปิดตัวที่นี่ แต่ในบล็อกของ Frannoe ซึ่งในเวลานั้นเรียกว่า Ubuntu Cosillas และซึ่งปัจจุบันคือ LMDE Cosillas และมันอยู่ที่นั่นในวันที่ 2 มีนาคม ตอนที่ฉันเขียนบทแรกของตำนานเฟิร์มแวร์นี้ ซึ่งฉันยังคงเล่าต่อที่นี่ในภายหลัง ฉันอยากจะขอบคุณทุกคนที่อ่านฉันและอ่านฉัน โดยเฉพาะ Frannoe และทีมงานทุกคนของ Desdelinux เพื่อสร้างสถานที่ให้ฉัน ถ้าไม่ได้เรียนหลักสูตร Advanced Functional Programming และเพื่อนร่วมงานที่แนะนำให้ฉันใช้ Linux เพื่อทำงานกับ ghc ฉันแน่ใจว่าฉันจะยังคงสนใจทุกอย่างเกี่ยวกับ Linux

ฉันจะลงท้ายด้วยประโยคนี้: "ถ้าคุณไม่ตะโกนว่าไม่รู้ก็จะไม่มีใครออกมาแก้ไขคุณและคุณก็จะคิดถูก"

โพสต์ที่เกี่ยวข้องจากรายการเมลเคอร์เนล:

https://lkml.org/lkml/2013/2/21/196

https://lkml.org/lkml/2013/2/21/228

https://lkml.org/lkml/2013/2/21/275

https://lkml.org/lkml/2013/2/25/487