Ubuntu návrh na řešení UEFI Secure Boot (diskuse)

[pc2005]

Já chci taky vlastní klíč v hardwaru .

BTW já bych to nenazval hardwarem, ale radši BIOSem teda...

[Bedňa]

Nedávno tu bola správička, že MS podpisuje všetko vrátane vírov takže pohoda, ono to nejak pôjde.

[Bluebear]

No jo, ale to musí být prominentní virus, který napsala NSA a FBI. Obyčejní plebejci nemají šanci.

[pc2005]

Jj, Ubuntu ale Microsoft úplně obejde.

[cezz]

Stale to ale bude minimalne komplikacia pre alternativne ROM ci nie?

[ovoce]

Nedávno tu bola správička, že MS podpisuje všetko vrátane vírov takže pohoda, ono to nejak pôjde.

Tos to blbě pochopil, ten klíč byl podvržený, a jako "validní" vypadal jenom kvůli chybám při jeho ověřování.

[Vykook]

Jenže on to BIOS není...

[pc2005]

UEFI je taky základní systém pro nastavení vstupů a výstupů .

[Bedňa]

Ono UEFI toho vie ďaleko viac, keby UEFI bolo človekom, tak by sa možno na také označenie aj urazilo, ale ja mu tak hovorím tiež Výrobcovia HW aj tak nevyužívajú jeho výhody a vlastne funguje ako BIOS akurát to už nieje 16bit.

[pc2005]

Pokud tomu na čele nejezdí červenej laser nebo se to neblíká do červený, tak je to pouhej soft . Jinak myslím, že i normální BIOS už dlouho v realmódu nepracuje. Minimálně přepne do chráněnýho módu pro spočtení paměti (a řekl bych detekci topologie modulů vůbec).

[Bedňa]

Je to ako povedať že v C++ vieme spočítať a+b, pravda to je, ale schopnosti jazyka sme určite nevyjadrili To že sa to v dnešnej dobe nevyužíva je fakt a možno sa to nikdy ani nezlepší, páč to by sa cez rovnaký interfejs písali drajvre pre Linux aj Windows a takú ešte nehrali

[pc2005]

Když jsem rozebíral BIOS od jednoho 486 noťase z roku okolo 94, tak jsem zjistil, že se vlastně přepíná do chráněnýho módu a tam buď emuluje instrukci loadall a nebo počítá paměť, možná to bylo i dál, ale tam jsem se nikdy nedostal (odpálil se LPT a pak jsem na pokusy koupil dokumentovanější desku). Pak bych taky řekl, že od zavedení konfiguračního mechanismu PCI bude větší tlak na použití 32bit módu (konfigurace PCI může jet 8 nebo 32 bitově, ale myslím, že ta 8 bit verze dlouho od čipsetu ali1487/9 nevydržela).

Jinak tím příkladem, že BIOS nejede na 16bit jsem chtěl vyvrátit tohle:

akurát to už nieje 16bit

Protože to je stejně 32bit jako starý BIOS.

[Pali]

To nebude problem. V tych poziadavkach pre UEFI Ubuntu je jasne napisane, ze uzivatel ma vediet vstupit do setupu a nahrat svoj vlasny verejny kluc do secure bootu z usb flasky.

[JoHnY2]

"uzivatel ma vediet vstupit do setupu a nahrat svoj vlasny verejny kluc do secure bootu z usb flasky" - Sci-fi

[Pali]

No podla ubuntu poziadaviek, taky HW co to nesplnuje nedostane ubuntu nalepku

[xkucf03]

Často bývá v BIOSu vypnuté bootování z CD nebo flashky (z bezpečnostních důvodů), takže tam uživatel stejně jedno vlézt musí (nebo aspoň vyvolat nabídku pro výběr bootovacího zařízení, na což má při startu asi tak dvě vteřiny).

[aaaaaaaaaaaaaa]

Nie je pri podpisovani problem s licenciami alebo aspon s GNU/GPL slobodou?

Ide o to, ze mi niekto doda podpisane binarky a vsetko bude fungovat - to je OK. Ale ak mi k tomu doda zdrojaky, ktore po lubovolnej mojej uprave alebo mozno len zmene nastavenia alebo verzie kompilatora nebudu fungovat (uz vobec nehovorim o editacii), tak tym nahodou nie je obmedzena moja sloboda na ich upravu?

[Michal Kubeček]

Na platformě x86_64 bude pořád existovat možnost buď si vložit vlastní klíč nebo "secure boot" úplně vypnout, takže uživatel experimentátor omezen nebude. Tyhle všechny diskuse se vedou spíš kolem toho, jak to udělat, aby "obyčejný uživatel" nemusel lézt do setupu, něco tam přenastavovat a potvrzovat strašidelná varování, jak teď jeho počítač nebude chráněn. ("Vždyť přece s Windows nic takového dělat nemusím, tak proč to u Linuxu nemůžou udělat taky tak?")

Horší ale podle všeho bude situace na ARMu, kde součástí Windows certifikace má být požadavek, aby "secure boot" vypnout nešel.

[J]

Tohle vsechno se resi hlavne proto, ze widle s vypnutym secure bootem nenastartujou => pokud ma nekdo multiboot, bude muset do toho biosu pri kazdym prebootovani do jinyho systemu, coz (mimo jiny) znamena, ze to rozhodne neudela na dalku.

[rastos]

Na platformě x86_64 bude pořád existovat možnost buď si vložit vlastní klíč nebo "secure boot" úplně vypnout

Vypnúť secure boot je často uvádzané riešenie, ale mne pripadá úplne neuspokojivé. To mi v autopredajni môžu povedať, "ten rozmer pneumatiky nemáme, ale veď môžete chodiť taxíkom."?

Možnosť pridať si vlastný kľúč je jediné prijateľné východisko a zatiaľ mi nie je jasné, či to tak bude vidieť aj MSI/Asus/Gigabyte/...

[Zdeněk Válek]

Což takhle vytvořit univerzální bootloader (pro každý HW bude pravděpodobně jiný), nechat ho podepsat v Canonicalu a z toho bootloaderu pak spouštět jakýkoliv nepodepsaný systém? To by mohl být workaround i pro ty zamknuté ARMy, nebo by to tak z nějakého důvodu nešlo?

[Pali]

Nie to by neslo. Nepodpisany SW ktory moze manipulovat s HW nemoze byt spustney z podpisaneho SW (to je v tych podmienkach secure bootu). Teda taky podpisany univerzalny bootloader moze bud spustit nepodpisane aplikacie, ktore nebudu moct sahat na HW (take aplikacie asi budu na nic) alebo iny podpisany OS/aplikaciu.

[rastos]

to je v tych podmienkach secure bootu

Tým myslíš čo? Kto bude kontrolovať nejaké podmienky secure-bootu, ak si napíšem GRUB, ktorý bude podpísaný a loadne nepodpísané jadro?

[Michal Kubeček]

Tím myslí to, že takový GRUB nepodepíšou.

[rastos]

Keď môže podpísaný kus kódu za 99$ získať Fedora, môže ho získať aj GRUB, nie?

[Pali]

Fedora ho ziska prave pre ich novy uefi bootloader, ktory je taky jednoduchy ze nacitava iba iny podpisany uefi bootloader a spusti ho. Konkretne pouziju opatchovany grub2, ktory bude mat zakazane nacitavanie externych modulov a nabootuje iba podpisane jadro.

[R]

A nestaci dat podpisat GRUB, ktory splna vsetky poziadavky, ale ma nejaky bug, ktory to umozni obist?

[Pali]

Grub2 podla vsetkeho podpisat nemozes, resp. mozes ale musis pribalit ku zdrojakom aj privatny kluc. Je totiz pod GPLv3 na co sa vztahuje Tivoization

[Ondrej 'SanTiago' Zajicek]

že takový GRUB nepodepíšou.

Nepodepise ho Microsoft ci ti, kteri ziskaji klic podepsany Microsoftem a tak se zavazou ridit jeho pravidly (Fedora). Ubuntu ale zrejme chce jit presne tou cestou, ze podepise vlastnim klicem minimalni bootloader, ktery natahne cokoliv viz:

Canonical only plans to enforce requiring the authentication of boot-loader binaries but not signed kernel images or kernel modules.

[pc2005]

Pokud takový klíč bude v UEFI tak se akorát viry (i pro windows) zamaskují za kernel a pojedou na klíči od Ubuntu, hmm hezký :-/. Zase je vtipný pokud ten klíc výrobci desek importují, protože tak vlastně popřou účel secure bootu. Ale třeba to je záměr Ubuntu a v tom případě respekt .

[pc2005]

Nepodpisany SW ktory moze manipulovat s HW nemoze byt ...

Když uvážím teorii, že lidská mysl je taky software, tak je to docela hrozivá věta .

[Michal]

No jo no PC už nebude pro instalaci supr jako doposud díky Microsoftu :( Teď, aby měl pomalu vysokou obrazně, aby jste si rootnuli správně mobil a teď i PC tak, aby jste ztratili záruku či co. Už chápu proč se Linus zlobí :)

[Pali]

Ale mne je zaruka na windows uzitocna presne tak ako inym chuti kakao s kecupom A preco by mala zaruka na HW padnut pri vymene OS? To je co za napad? Tym vyrobcom a predajcom HW (spolu s MS) uz nacisto harasi...

[Michal Kubeček]

To není nic nového, MS už se dlouho snaží vnutit světu představu, že OS je přirozenou a nedělitelnou součástí počítače, viz různé OEM programy a mediální kampaň proti "bare PC".

[R]

Nie OS, ale Windows...

[Pali]

A naco je nam Secure Boot? Kto z vas ho potrebuje? Kolko BFU uzivatelov ho potrebuje? Nikto. Doteraz sme bez neho prezili a vsetko fungovalo. Viry si najdu cestu tak ci tak, proste deravemu systemu ani svetena voda nepomoze. Secure Boot deravy system od virov neochrani ale za to sposoby problemy iny nederavy nabootovat.

Uz dlhsiu dobu maju viacero notebookov TPM, Intel TXT ci ine podobne HW ficury. A kto to pouziva? V mojom okoli naozaj nikto. A pri tom TXT funguje aj pod linuxom. Tak naco nam vyrobcovia vnucuju nejay Secure Boot ked podobne zabezpecenia nikto nepouziva?

[TM]

Pochopitelně, že to nikdo nepotřebuje. Ale dominantní dodavatel OS tím může otravovat život konkurenci. A proto to po výrobcích požaduje. Vítejte v dnešním iracionálním světě.

[x]

Samozrejme, ze je to na nic, ale ono vice veci z UEFI/GPT je na nic

UEFI a velke disky

[x]

K tomu GPT je GPT nutne?

[Michal Kubeček]

Přišlo mi to úsměvné… dokud jsem se nepodíval, kdo to napsal. Pak už mne z toho spíš mrazilo v zádech.

[x]

Z ceho presne by bylo mozno sdelit? Protoze ty dva popisovane body jsou 100% pravda (nebo ne??????) a to ze disky vetsi nez 2TB jdou pouzivat i bez GPT je taky pravda, tak ted tu usmevnost a mrazeni?

[Michal Kubeček]

V tom případě nemá smysl, abych se snažil odpovídat, protože vy už očividně máte jasno.

[pavlix]

Já bych o odpověď poprosil.

[Michal Kubeček]

Prostě obecně nemám rád krátkozraká prohlášení typu

• Na co GPT, vždyť přece všem stačí DOSové tabulky
• Na co x86_64, vždyť přece všem stačí PAE
• Na co IPv6, vždyť přece všem stačí maškaráda

[pavlix]

Tomu celkem rozumím, i když s výhradami :), ale nerozumím tomu, proč tě překvapuje, že se k tomu takhle vyjádřil BSDčkář, vždyť ti stejně používají nějaký vlastní layout nad čímkoli, takže je to pro ně jen další zbytečná mezivrstva, nebo se pletu? Ono i u nás je to vrstva mezi MBR (který se stejně ukládá) a LVM, pokud se teda LVM používá.

[Pali]

Co mi pride na GPT rozumnejsie oproti MBR je asi naozaj znama vec, ze do partition tabulky sa zmestia vacsie oddiely. Co je ale oproti MBR uzitocne je urcite specifikaciia viacero particii (nie len 4), zaloha partition tabulky (na konci disku) a jej obnovenie.

V UEFI su ale aj podla mna rozumne veci. Zaklad je uz to ze nebezi v 16bit realnom rezime ako BIOS. Predsa len uz je rok 2012. Dalej napr. vstavany bootloader, ktory si nacita OS bootloadre z ESP particie (vyber z boot menu). Teda multiboot priamo vo FW maticnej dosky. Dalej za zmienku stoja aj UEFI ovladace nezavisle na OS (so standardnym rozhranim funkcii pre OS). Viem si predstavit, ze ovladace grafickych kariet by boli prave taketo a tym by sa mohol minimalizovat problem napriec roznymi OS a nvida ovladac...

Tak a opat, ktore maticne/notebooky/... podporuju aspon konfigurovatelny vstavany bootloader? Vraj su nejake ojedinele pripady. Ale drviva vacsina (aj moj HP EliteBook) nacita iba EFI subor ESP/EFI/Microsoft/bootx64.efi. Takze grub2.efi mam presne v tej zlozke pod tym nazvom A UEFI ovladace? Tak o tom som este nevidel ze by niekto napisal nejaky clanok (a nie to realne implementoval v HW) okrem toho co je v UEFI dokumentacii.

Myslim si ze sa najdu aj dalsie rozumne/rozumnejsie veci v UEFI (standarde) ale kedze nikto ich v svojom HW nema, tak ani skoro nikto o tom nevie...

Takze namiesto chujovin ako secure boot by mali vyrobcovia FW v maticnych doskach implementovat funkcny multiboot bootloader ci rozhranie pre multi ovladace. A dat poziadavku na UEFI o toto a nie nejaky secure a neviem co ine...

[pc2005]

Zaklad je uz to ze nebezi v 16bit realnom rezime ako BIOS. Predsa len uz je rok 2012

To jako UEFI nepodporuje VideoROM (ani ostatní)?

Rok 1996, 4.6.4 APM Protected Mode 32-bit Interface Connect (03H) .

+tohle

[xkucf03]

Viry si najdu cestu tak ci tak, proste deravemu systemu ani svetena voda nepomoze.

+1 Hlavně na desktopu jsou nejdůležitější data v domovském adresáři uživatele, takže není potřeba být ani root. A jejich smazání nebo odeslání po síti nebo třeba zašifrování (veřejným klíčem útočníka – vyděrače) a smazání je celkem jednoduché a nějaký Secure Boot to vůbec neřeší, akorát přidělává práci a problémy.

[BFU]

Jsem BFU, tak prosím nekamenovat. 1) Pochopil jsem správně, že když koupím ntb, nebo PC s Widlema, tak bude těžší tam dát třeba PCLinuxOS?

2) Když koupím něco bez OS, tam bude problém také?

Předem děkuji za odpověď

[mess]

1) Ano 2) Ano

[Michal Kubeček]

Za předpokladu, že výrobce bude chtít, aby mohl na počítač nalepit logo "Certified for Windows 8" (nebo jak se tomu říká). Zkušenost ale ukazuje, že výrobci jsou pro tu samolepku ochotni upsat třeba duši ďáblu. Je to podobné jako s DVD/BD přehrávači: uživatelé by si rádi pořídili takový, který by ignoroval značky typu "tohle se nesmí přeskočit", ale protože by pak výrobce nemohl dát na krabici příslušné logo, tak se takové prostě nevyrábějí.

[ovoce]

2) Ne.

Ty požadavky se týkají certifikace pro počítače s logem "designováno pro windows" a tak podobně.

[Pali]

Moc tomu neverim. Ty si myslis, ze vyrobca bude robit 2 verzie svojho HW? Da vsetko urobit rovnako a proste na ten bez OS nalepku neda (ak tam nie je nalepka win8 neznamena to automaticky ze tam nebude secure boot) alebo tam ta nalepka aj bude, ale windows ti k notebooku "bez OS" nedaju...

[ovoce]

Logo pro windows budou mít hlavně sestavy/notebooky velkých výrobců, Acer, HP, Dell, Lenovo. Ty napoužívají desky, co se dají normálně koupit v eshopu, mají svoje vlastní. Uznávám, že u notebooků se asi budou prodávat laptopy s logem i bez OS. Ale pořád to bude muste být deaktivovatelné...

[Pali]

> Ale pořád to bude muste být deaktivovatelné...

Kiezby. Ale ako k tomu donutis vyrobcov?

[kule]

1)ano, ale jen o jeden krok 2)problem neni spravny vyraz tedy ne

[x]

Nez spolupracovat, tak je lepsi se postavit FSF petice pro vyrobce aby zabranili blokovani, ktere pozaduje MS

[Končí v Ubuntu Grub2?]

http://www.omgubuntu.co.uk/2012/06/canonical-clarify-ubuntu-secureboot-plans

[Pali]

Canonical dlhsie posielal grub2 patche to upstreamu, ale ked prislo na krajanie chleba (lebo GPLv3 zakazuje Tivoization), tak grub2 vyhodi... Ako do pekla si moze nechat kadza firma diktovat podmienky Microsoftom? Este sa nam tu spusti kampat proti GPLv3, lebo je nekompatibilna s "modernymi" pocitacmi a nakoniec bude GPL v usiach ludi comu sa budu vsetci snazit vyhybat... To co sa posledny cas deje je nepripustne...

Recnicka otazka: Potrebujeme mi vobec "moderne" pocitace?

Pocitace vznikli na to aby pracu ludom ulahcili. Taku pracu ktora by ale bez nich ani nebola. - Tomuto uz teraz plne rozumiem a verim...

[Petr Ježek]

Nikdo tu nemluví o serverech. Tam se Win8 vysloveně nehodí. Výrobci serverů jsou většinou (výjimka např. IBM) i výrobci běžných PC stanic a notebooků. Opravdu si tu někdo myslí, že by všichni chtěli jen Win8 a žádné *NIXy? Např. Oracle si to nejen že nemůže dovolit, ale s ohledem na strategii "appleisch" (systémová nabídka All-in-the-box) si to zjevně nepřeje. Larry není zvyklý vyhazovat peníze z okna, jen aby si mohl klíče k SB i s Win8 naložit do octa... Předpokládám, že se také cukne řada prodejců. U nás HW bez OS prodává běžně třeba Mironet a nedokážu si představit, že by takoví jako on nadále nepraktikovali duální prodej...

Dále kladu otázku: Znamená UEFI rychlejší boot než přes klasiku BiOS a jakýkoli bootloader? K čemu je třeba více oddílů, když Btrfs a ZFS tento dříve reálný problém řeší vlastním způsobem? Navíc se na stanicích už jen vyjímečně používá jediný disk, pro který by to omezení 4 oddílů mohlo být někdy opravdu limitující... Vyvraťte mi někdo, proč nelze zůstat u BIOSu (marketingové bláboly o "zastaralosti" do seriozní diskuse nepatří) bez újmy na fukčnosti a bezpečnosti, ale s prokazatelnými argumenty!

Myslím, že není od věci hledat cestu, jak se bez nutnosti podpisu, ale i zřetězených bootloaderů vypořádat s jasným konkurenčně konfliktním krokem MS. Cesta Fedory a Ubuntu není vůbec moudrá, je snad jen z nouze ctností pro daný prchavý okamžik, ale neřeší obranu před chystanou invazí MS na tablety a smartfouny zaměřenou proti Androidu (WebOSu, QNX, MeeGO...). GRUB2 by neměl být opouštěn, naopak by měl být dále vyvíjen a stabilizován jako nejuniverzálnější bootloader s případným vyřešním všelijakých securebootů

[Michal Kubeček]

K prvnímu odstavci: já si naopak myslím, že právě na serverech pro enterprise nasazení by měl "secure boot" daleko víc smysl než na desktopu pro koncového uživatele.

[Ondrej 'SanTiago' Zajicek]

K čemu je třeba více oddílů, když Btrfs a ZFS tento dříve reálný problém řeší vlastním způsobem?

Tohle je vcelku irelevantni - s BIOSem muzes mit vicemene libovolny typ partiton table (klasickou DOSovou, GPT ci uplne jinou), jediny pozadavek je, aby prvni sektor mohl obsahovat bootstrap kod zavadece. Osobne se divim, proc linuxove distribuce tak dlouho zustavaly u priserneho klasickeho schematu, ale zrejme to zatim malokoho natolik trapilo, aby s tim neco delal.

(U)EFI zrejme vyzaduje GPT, takze v tomhle ohledu je to dost krok zpet.

Vyvraťte mi někdo, proč nelze zůstat u BIOS

Stavajici reseni s BIOSem je zejmena problematicke v tom, ze poskytuje pro zavadec mizerne rozhrani a mizernou abstrakci hardware. Jednak rozhrani poskytovane BIOSem je stale 16bit, dostupne jen v realnem rezimu, takze zavadec musi delat kejkle pri jeho vyuzivani, jednak v nem dost veci chybi a resi se obskurnimi hacky - napr. bootovani ze site rizene primo firmwarem na sitovce. Cela podpora USB klavesnic tam zrejme taky byla podivne dobastlena. Technickych detailu je vic, celkove by nove rozhrani mohlo spoustu veci zjednodusit a zfunkcnit. Je ale otazka, zda je UEFI krok spravnym smerem, nebo bude jeste horsi.

[pc2005]

By mě zajímalo zda z UEFI pustím třeba FreeDOS. Jinak to bootování z firmware bylo prostě proto, že na nějakej složitej interface prostě nebylo dost RAM (často bylo 0B RAM, dělalo se to hnusnejma hackama cache). Ale to bootování ze sítě by nemělo bejt problém vyřešit i pro obyčejný BIOS na tom na rozdíl od třeba int 0x10 skoro nikdo nezávisí. Stejně tak by neměl bejt problém celej BIOS předělat do 32bit.

BTW může bejt UEFI 64bit? (já jen, že 32bit už je mírně zastaralé ).

[Pali]

> BTW může bejt UEFI 64bit? (já jen, že 32bit už je mírně zastaralé).

Nie ze ci moze byt, ale standardne aj je. Ono niektore UEFI implementacie (ako na mojom notebooku) su tak kreple, ze vedia nabootovat iba 64 bitove UEFI bootloadre... (32bitove nedokazu)

> By mě zajímalo zda z UEFI pustím třeba FreeDOS.

Nie. UEFI vie nabootvat iba UEFI systemy. Islo by to ak si ten FreeDOS prepises do UEFI...

[pc2005]

Nie ze ci moze byt, ale standardne aj je. Ono niektore UEFI implementacie (ako na mojom notebooku) su tak kreple, ze vedia nabootovat iba 64 bitove UEFI bootloadre... (32bitove nedokazu)

Lol fakt? Docela vtipný, vzhledem k tomu, že na 64 bitovým procíku jedu teprve pár měsíců.

Nie. UEFI vie nabootvat iba UEFI systemy. Islo by to ak si ten FreeDOS prepises do UEFI...

No ono to už logicky vyplývá z toho, jestli umí občas jen 64-bit. Já spíš myslel zda nemá defaultně něco jako emulaci 16-bit (jako se používá v Corebootu).

[Pali]

> ...jediny pozadavek je, aby prvni sektor mohl obsahovat bootstrap kod zavadece...

Ha, kazda maticna co momentalne mam mi nechce z daneho HDD bootovat, kym nebude nejaka particia v MBR tabulke na HDD oznacena active flagom.

Takze okrem tej tvojej podmienky je este jedna a to mat validnu MBR tabulku particii a mat aspon jednu s active flagom. Takze zbavit sa BIOS/MBR nie je az take jednoduche.

[Petr Ježek]

Ještě něco: Je na čase využít modulární koncepce GRUB2 a začít tím, že se jeho autoři hluboce zamyslí nad způsobem, jak obejít či ignorovat bez ztráty vlastních bezpečnostních procedur MS secureboot či jakýkoli jiný podobný trollware. GRUB2 čte z BIOSu stejně jako z UEFI, jde o způsob, jak číst HW parametry vlastními nástroji a nikoli pomocí UEFI či BIOSu. Pokud se toto podaří, pak je šance standardizovat bootloadery i pro Android a jiné mobilní platformy. Paralelně je tu pak téma pro právníky FSF a Pirátů, aby definovali trollware jako snahu o monopolní způsob zabezpečení startu počítače. Troufám si tvrdit, že to je velmi nadějné. Konečně, sledujme, s čím přijdou Číňané, jimž se kvůli trollware MS nezačne chtít zrovna tenhle vpustit do svých vod...