Fedora 18 bude podporovat UEFI Secure Boot

Fedora 18 bude podporovat UEFI Secure Boot. Fedora Engineering Steering Committee (FESCo), devítičlenná komise přijímající technická rozhodnutí, schválila dříve zveřejněný návrh. „Předzavaděč“ shim bude podepsán Microsoftem. Návrh prošel poměrem hlasů 7 ku 2.

26.7.2012 10:33 | Ladislav Hagara | Komunita

Komentáře

[little.owl]

Shim, no Gummiboot? Lennart to tentokrat prokoucoval!

[Harvie.CZ]

Porad mi to neni uplne jasny... Kdyz budu mit microsoftem podepsanej binarni "predzavadec", tak uz si muzu uz nafurt zavadet co chci? Ma microsoft moznost ten podpis revokovat a zrusit boot stavajicim instalacim nebo aspon nove vyrobenejm strojum?

[little.owl]

Ma microsoft moznost ten podpis revokovat a zrusit boot stavajicim instalacim nebo aspon nove vyrobenejm strojum?

AFAIK, Secure Boot firmware muze obsahovat list neplatnych klicu.

[heh]

To jsou ale volové. Měli se raději domluvit s Shuttleworthem.

[MeeGo - no future]

Přesně, jednota by znamenala větší páku na MS.

[aerojam]

No ale v čem je ta slibovaná bezpečnost? Kdo bude zkoumat, že je Fedora "bezpečný" systém, který je možné podepsat a následně zavést? A jak to bude s "forkama"? Když si udělám vlastní "ďábelksý" systém s "předzavaděčem" Fedory, tak mi může s počítačem dělat také cokoliv, ne? Není to celé tedy zbytečnost a nesmysl? Stále to nechápu...

[little.owl]

No ale v čem je ta slibovaná bezpečnost?

V tomhle pripade nejde o bezpecnost, ale zavest nejaky operacni system.

Jinak, jakmile Secure Boot natahne podepsany OS, jeho prace konci a zbytek je na OS a ze na to ted Linux kasle je vec jina.

[:::]

No ale v čem je ta slibovaná bezpečnost?

v podstate zadna bezpecnost navic tam neni. Jmeno 'secure boot' je jenom newspeak

spravne by se to melo jmenovat 'restricted boot' protoze hlavni ucel je znemozneni bootu systemu ktery ti m$ / government nepovoli...

[little.owl]

zadna bezpecnost navic tam neni.

Neni to tak. Treba zde. A zadne rouhani!

[trekker.dk]

Ano. Je tam marginální zvýšení bezpečnosti, které nijak nezabrání běžně a mnohem častěji používaným způsobům útoku na systém. Děkujeme velice.

[little.owl]

nijak nezabrání běžně a mnohem častěji používaným způsobům útoku

To je hloupy a stale opakovany argument Jisteze Secure Boot ma omezeny rozsah pusobnosti a nemuze cele rade utoku zabranit, stejne jako vetsina dalsich bezpecnostnich opatreni.

V pripade Windows, ktere jsou v teto oblasti v cele rade veci dale, to ke zvyseni bezpecnosti pomuze.

[trekker.dk]

Ve skutečnosti to neměl být argument, jenom stručný - a výstižný - popis Secure Boot

[the.max]

jako porad ale nechapu, co mi bude branit v tom, abych odpajel Flashku s 'BIOSem' a nedal tam normalni bez secure bootu? Vzdyt linux ho snad nepotrebuje, ono staci, pokud po zapnuti bude umet sahnout na disk a spustit boot sektor, kde klidne muze vesele dal zit grub, nebo se pletu?

[:::]

jako porad ale nechapu, co mi bude branit v tom, abych odpajel Flashku

Treba to ze mas obe ruce levy?

vazne, kolik % lidi tohle dokaze?

Dalsi vec je ze kdyz na pc oficialne nepujde nabootovat velkym bratrem neschvaleny system tak nema smysl prodavat pc bez systemu. Takze az pudes kupovat pc tak budes muset zaplatit vypalny.

A muzes si bejt jistej ze tyhle tvoje penize nakonec pouzijou proti tobe. Treba pri lobovani zakona ktery ti to prepajeni flashky zakaze

[the.max]

Ja jsem si nikdy v zivote nekoupil CELEJ pocitac jako hotovou bednu, vzdy jsem si ho skladal z dilu, ktere jsem si sam vybral a predpokladam, ze to tak zustane i do budoucna, ze si budu moci poskladat vlastni pocitac. Silne pochybuji, ze vyrobci zakladnich desek pristoupi na to, aby k desce bundlovali i wokna.

U notebooku je to vec jina.

[little.owl]

odpajel Flashku

Ono i vymenit EEPROM v SOJ/SOP neni zadna sranda, nemluve o BGA.

ono staci, pokud po zapnuti bude umet sahnout na disk a spustit boot sektor,

Tomu predchazi velke mnozstvi HW a board specifickych inicializaci, takze zadna sranda.

[sigma]

Ono i vymenit EEPROM v SOJ/SOP neni zadna sranda, nemluve o BGA.

Je to zvládnutelné, nemusím do dělat sám, ale svěřím to někomu, kdo na to má vybavení a skill, že jo.

Tomu predchazi velke mnozstvi HW a board specifickych inicializaci, takze zadna sranda.

Tak.

a nedal tam normalni bez secure bootu

Tohle mi není jasné - kde tu "normalni bez secure bootu" jako vezmu? Vždyť zásadní funkcionalitou BIOSu je právě řešení inicializace všech HW komponent, což je těžce závislé na konkrétním typu desky. Viz projekt LinuxBIOS / Coreboot a jejich těžkosti s vývojem a množství podporovaného HW.

-

Jinak na rozdíl od mnoha jiných vidím Secure Boot jako krok správným směrem. Momentálně možná nic zásadního pro bezpečnost nepřinese, a u linuxu už vůbec, ale bezpečnost nestojí na jednom bodě. Byla tu velmi trefná poznámka, že je třeba se smířit s tím, že většina HW třídy o které se bavíme je "designed and tested for Windows 8 / 7 / XP". Pak máme jiné třídy HW, jako embedded / workstation / servery, na kterých je zas provoz linuxu často výrobcem podporován, nebo alespoň výrobce geklaruje "generickou" shodu s nějakými standardy (ACPI ...).

[little.owl]

Je to zvládnutelné, nemusím do dělat sám, ale svěřím to někomu, kdo na to má vybavení a skill, že jo.

BGA mohout byt fakticky neopravitelne, to skutecne muze byt jednorazova operace, vicevrstve PCB na to nejsou designovane a termalni profily mohou byt proti vam. Vybaveni k dispozici mame, vcetne X-ray mikroskopu od treti strany a pokud nam na prototypech odejde velke BGA je ekonomictejsi to hodit do kose a vyrobit novy kus.