您希望内核从低层次处理安全启动的部分担心是因为可以使用Microsoft密钥来入侵系统，如果发生这种情况，他们担心Microsoft会禁用该密钥，因此会禁用Linux PC。使用该键运行（没人想要）。
一切始于David Howells的请求请求，该请求允许Microsoft签名的二进制密钥动态加载到以安全启动模式运行的内核中。 一个被子盖住的人以为是胡说八道，最好是改进X.509解析器。 马修·加勒特（Matthew Garrett）答复说，只有一个签名机构，并且它们仅对PE二进制文件（便携式可执行文件）进行签名。 莱纳斯在这里放开他敏锐的舌头说：
伙计们，这不是公鸡吮吸比赛。 如果要解析PE二进制文件，请继续。 如果红帽想问你 加尔各答 对Microsoft来说，这是您的问题。 它与我维护的内核无关。 拥有一个签名机来解析PE二进制文件，验证签名并使用自己的密钥对生成的密钥进行签名，对您来说是微不足道的。 他们已经写了代码，是上帝的命令。 我为什么要在乎？ 内核为什么要发出“我们只对PE二进制文件签名”这样的废话？ 我们支持X.509，这是签名的标准。 在可靠的机器上，从用户的角度进行操作。 在内核中没有任何借口。
马修回答：
卖方希望携带由受信任的第三方签名的密钥。 现在唯一可以衡量的是Microsoft，因为显然，供应商唯一不喜欢笨拙的固件的就是遵循Microsoft的规范。 这不仅是Red Hat（或其他任何方式）以编程方式对这些密钥进行重新签名，还在于上游内核使用受信任的密钥对这些密钥进行重新签名。 如果某个可信任协会的成员主持重新签名服务，您是否愿意默认携带一个可信任密钥？ 还是我们假设任何想要启动外部模块的人都是白痴，应该是一个悲惨的人？
莱纳斯回答说，他怀疑有人在乎。 用Microsoft密钥对内核模块进行签名已经很愚蠢了。 另外，红帽将签署NVIDIA和AMD二进制模块。 彼得·琼斯（Peter Jones）拒绝，说Red Hat将不会签署由他人构建的任何模块。 Garret补充说，RHEL最终将依赖于NVIDIA和AMD的密钥，而且它们很有可能将基于Microsoft的签名服务。
在这里，我停顿一下，总结一下那些不想讲技术细节的人的残酷和残酷：
关于安全启动的所有开发都变得疯狂起来，但是由于硬件供应商（至少是最大的）仍然希望深入微软。
因此，Linus决定提出以下建议，因此他们不再他妈的……：
通过吓emon将其切断。
这就是我的建议，它基于 真正的安全 和 首先放置用户 而不是“让我们沉迷于垃圾”。
因此，让我们尝试看看如何真正增加安全性，而不是取悦微软：
-发行版必须签署自己的模块 还有更多 默认。 而且默认情况下它也不应该允许任何其他模块加载，因为为什么要他妈的？ 微软公司到底与其他事项有什么关系？
-在加载任何其他第三方模块之前，请确保 向用户寻求许可。 在控制台上。 不使用键。 没什么密钥将被泄露。 尝试限制损坏，但更重要的是让用户控制。
-对每个主机的随机密钥进行动画处理- 必要时禁用愚蠢的UEFI检查。 它们几乎肯定会更安全，因此取决于基于一家大公司的一些疯狂的信任根源，其签名机构信任拥有信用卡的任何人。 尝试向人们传授这些东西。 鼓励人们制作自己的（随机）密钥，并将其添加到他们的UEFI设置中（或不：关于UEFI的所有事情都比控制更重要，而不是安全性），并努力做一些事情，例如使用密钥进行一次性签名私人丢弃。 换句话说，请尝试对这种安全性进行动画处理，例如“我们确保向用户明确发出重大警告，并为该特定模块创建自己的密钥”。 真正的安全性，而不是安全性“我们控制用户”。
当然，用户也要搞砸它。 他们将要加载NVIDIA二进制模块和所有这些废话。 但是随它去吧 SU 决定，并根据 SU 控制，而不是告诉全世界Microsoft应该如何祝福它。
因为这不应该与MS的祝福有关，而与 用户祝福内核模块.
老实说，您就是疯狂的反关键人物所担心的。 您出售“控制而不是安全”的垃圾软件。 所有“ MS拥有您的计算机”只是使用密码的错误方法。
从那时起线程就平静下来了……不值得关注。
朋友 DesdeLinux。今天，我庆祝了我作为 Linux 博客编辑的一周年纪念日，尽管我不是在这里首次亮相，而是在 Frannoe 的博客上，当时该博客称为 Ubuntu Cosillas，现在称为 LMDE Cosillas。 2 月 XNUMX 日，我写下了这个固件传奇的第一章，后来我又在这里继续写下去。我要感谢所有读过我的人和读过我的人，特别是弗兰诺和全体工作人员 Desdelinux 为我腾出地方。如果不是因为参加了高级函数式编程课程，并且没有一位同事建议我使用 Linux 来与 ghc 一起工作，我肯定仍然会对 Linux 的一切感到在意。
我将以这句话结尾：“如果您不喊无知，不会有人出来纠正您，因此您是对的。”
内核邮件列表中的相关帖子：
https://lkml.org/lkml/2013/2/21/196
https://lkml.org/lkml/2013/2/21/228
https://lkml.org/lkml/2013/2/21/275
https://lkml.org/lkml/2013/2/25/487
关键是，如果笔记本电脑和其他笔记本电脑的制造商绝对落后于Wintel的UEFI（我们绝对不能忘记UEFI是英特尔的想法），并且在最坏的情况下，他们都决定不包括停用它的选项，那么Linux发行版就是如果没有签名，则看起来会是黑色的，我认为这是RedHat的人们注意到的。 我想看看在几年之内无法在任何新计算机上安装Linux，因为它没有签名的情况下他们将要做什么。
在最坏的情况下，发行版将使用Microsoft签名的密钥对内核进行签名。 实际上，这已经是几个人正在做的事情。
Torvalds所说的是，每个发行版都需要解决此问题，因为内核不会这样做。 这是最明智的事情，它没有回报。
Linus是我最喜欢的现实世界人物。 就像他已从昆汀·塔伦蒂诺的一部电影中被带走并带领一个社区。 你说的很对。
那么LinuxMint机器呢，它们带有UEFI /安全启动吗？ 我坚持认为，当我需要一个时，我会购买其中之一。
我的腿已经一岁了，到了我需要的时候，我认为UEFI /安全启动问题已经得到很好的解决，或者得到了适当的实施，或者被适当地淘汰了，哈。
我真的对此表示怀疑，这是不可能的，因为尽管mintbox设计用于linuxmint，fedora，ubuntu和debian，如其规范中所述，所以将安全启动置于肯定具有双重启动功能的东西上是很愚蠢的，或针对Ubuntu XD的免费或中等免费软件而设计。
自从问世以来，这个问题一直引起争议。 看到他的进步很有趣，而作为Alf，我认为从中期来看情况会有所改善。 有些制造商将始终允许停用安全启动，而有些制造商已经预装了Linux，例如ThinkPenguin或System76，我希望随着时间的流逝，越来越多的人可以选择...我将永远喜欢购买与Linux 100％兼容的东西，保证可以与任何其他机器一起玩。
我仍然不太了解UEFI和其他人的这些恶作剧..顺便说一句diazepan：恭喜！ 对于我们来说，很高兴有您在这里。
最后，我们将最终购买纯服务器设备，也就是说，如果他们不将这些垃圾运到那里。
应该大人来说，大多数大型且关键的服务器都在Linux上运行，并且其中许多服务器（取决于它们的处理方式）都是非常安全的，好像要假定这种安全性将杀死所有恶意软件一样。
一如既往，我非常同意Linus的建议，正如他正确地说的那样，这个UEFI主题更多地是关于“控制”而不是“安全”。 就我而言，我完全不相信这种假定的安全机制，如果一台装有UEFI的计算机落入我的手中，我要做的第一件事就是将其停用并像以前一样继续操作。 另一方面，我不认为设备制造商会阻止UEFI的停用，因为它们可能会失去市场份额。 毫无疑问，有人会冒险或至少在某些特定模型中会冒险，但我认为总会有解决方案，请记住，这无非是类固醇的BIOS和升级的可能性带有“开放”版本的软件总是会潜在的。
据我所知，如果您想要双启动系统，则eufi仅适用于win8，因为您可以停用BIOS，因此它本身就没有关系，如果您只有linux并从BIOS中停用该选项，则无需对此问题大惊小怪。
这个话题对我来说有点大，但是通过个人推论，我看到的是，当微软木偶看到Linux的成熟程度时，他们开始发现它们是黑色的。 以及他们从一开始就如何垄断大型制造商，对我来说，很明显，为什么该死的安全启动会带来如此多的麻烦……即使我认为某些大中型公司，我也会选择其他选择而没有指望更多，我将购买我的下一台机器...这是肯定的😉