Aktualizace Microsoft Windows a problém s multi-bootem. SBAT a UEFI shim

Některým uživatelům Linuxu používajícím Secure Boot a multi-boot s Microsoft Windows přinesla poslední aktualizace Windows nepříjemný problém. Místo nabootování Linuxu dostali hlášku: "Verifying shim SBAT data failed: Security policy violation / Something went seriously wrong: SBAT self-test failed: Security Policy Violation". Problém rozebral Matthew Garrett na svém blogu. Microsoft aktualizoval SBAT (Secure Boot Advanced Targeting), aby předešel možným útokům na Secure Boot. Tím ale také zabránil spouštění linuxových zavaděčů UEFI shim starších než verze 15.8 z ledna letošního roku.

24.8.2024 03:44 | Ladislav Hagara | Komunita

Komentáře

[Peter Golis]

Načo je niekomu dual boot?

Veď ak už potrebuje tie Windows, tak ich môže mať vo virtuálnom počítači a nie na fyzickom železe.

[kax]

Virtuální počítač je pomalý

[.]

jo? ukaz ja mam presne opacnou zkusenost, virtualni windows jsou rychlejsi, nez na HW, protoze se hodne pozna, kdyz ty data z toho jejich shitfs pod tim virtualem neco navic cachuje :)

[koroptev]

a jaka je vydrz baterky takhle bezicich win vs nativnich win?

[{[[[]]

Linuxacky normal. 59minut

[jozo34563456]

win10 mi ide v KVM rychlejsie, win11 uz nie... Neviem co tam pomenili bolo to v dobe ked zakazali nepodpisane ovladace

[Amigo]

Ale ty si nepustas OS koli OS ale koli aplikaciam. Vo Windows ide predovsetkym o hry. A tie v vo virtuali nebudu nikdy rychlejsie.

[RealJ]

Vazne o hry? Hry tvori na win nejakych 12%.

[Bacsa]

Picu! Profici programatori pouzivaju macos alebo linux. Windows je len na hry. Zbytok ako kancelarske krysy, bfu a korporatne lopaty zanedbavame. Ti aj tak na tom len mastia solitare.

[RealJ]

Vy slovaci jste fakt kokoti…

[Bacsa]

Na rozdiel od teba som aspon ockovany! 4x!

[koroptev]

a ta baterka? mas to celej den pusteny v kvm vs nativne, rozdil ve vydrzi?

[.]

co ja vim, ja mam laptop jako terminal k ostatnim masinam, s 15W TDP se toho moc nadelat neda

[koroptev]

no tak jsi kokot, kdyz ti na 15W TDP nezalezi na tom, jestli by ti tam nativni win vydrzely bezet napr. 2x dele..

byt kokot neni obvykly use case cloveka s mozkem

[.]

jo jasne, protoze kazdej je retard a neumi si linux nastavit, presne jako ty, tak urcite :D

[Bubak]

Na predchozim notebooku ve virtualu na linuxu to dalo cca 3.5 az 4 hodky, linux samotny mezi 4 - 5, podle zateze... Samozrejme, ze se to da zatizit tak, ze to da sotva dve hodky, ale pro muj obvykly use case to bylo takhle.

[koroptev]

tyvole ja se preci ptam na 2 cisla, win nevirtualizovany, win virtualizovany.., k cemu mi je, ze mi reknes jedno z tech cisel, kdyz si to nemam k cemu vztahnout..

[Peter Golis]

Keď tak súrne potrebuješ odpoveď na tvoju otázku, tak prečo si to nenasimuluješ svojpomocne a vyplakávaš že na teba každý kašle?

Chovať sa ako chlap a urobiť pre seba niečo je pre teba neprekonateľný problém.

[RealJ]

Ty vole, fakt je problem pochopit psany text a na co reagoval?

[Peter Golis]

Ja som ten písaný text pochopil v plnej miere. Jemu vyhovuje čo má. A to pri zaťažení aké potrebuje (v hypervízore WiFi, disk a jas displeja, tie sa do rozdielu spotreby s virtualizovanými oknami nerátajú).

Ty si to nepochopil?

[RealJ]

je to marny, je to marny, je to marny...

[Peter Golis]

Pravdu vravíš, u teba je to ako hádzať hrach na stenu.

[Radovan]

Prý to můžou zkurvit i bez dualbootu: https://www.root.cz/zpravicky/po-aktualizaci-windows-prestal-fungovat-dual-boot-linuxu/1155575/

A netvařte se všichni tak překvapeně, byli jste dávno varováni dezinformátory a konspiračními teoretiky

[.]

jasne, protoze ma MS povinnost si nechat zbourat celou myslenku secure boot chainu 2 roky deravym a nepatchnutym grubem, kdyz se na tu aktualizaci jisti distributori vysrali, ze...

tos teda dost netrefil a WIFT uz vubec, vcera v 19:39 bylo o tom tematu napsano uz tolik, ze ten jeho komentar reflektuje tak akorat jeho demenci

co tam mas dal?

[koroptev]

myslis distributori jedne ze dvou hlavnich distribuci linuxu, ze kterych je odvozeno 90%+ ostatnich distribuci nebo na nich primo zavisi/parazituji?

[.]

dunno rly, ja nepouzivam takovy distra, kde jsou "nedotknutelny" baliky

[~]

Dalsi (an)Archista! Hodte na ne sit!

[.]

NixOS, in fact

[koroptev]

Aaa jasne, rollback driven development Tohle distro maji jen notoricti stouralove a rozjebavaci OS. Normalni clovek na OS sahnout nepotrebuje a proto mu obvykle staci macOS.

[.]

no a nebo ti, co potrebujou reproducible deploment at scale, ale to bys nepochopil :D

[RealJ]

Coz je u domaciho desktopu fakt dulezite…

[.]

dogfooding

[koroptev]

diky, dostanes medaili

my ostatni preferujeme, kdyz se na pracovni na/stroj muzeme spolehnout a nahodne nam nehazi hovna na hlavu, jejichz brodenim je pak nutny stravit prislusnej cas, aby .. mel clovek aspon nejakej normal, misto reseni skutecnejch problemu tim na/strojem

[.]

nahodny hovna jsou vsude jinde, v systemech jako NixOS nebo Guix fakt ne :D zkus si chtit patchnout neco na ty tvy random skladacce, ja to mam easy, par radku do konfigurace a muzu si patchnout a prebuildit cokoliv :D cely distro je definovany v jednom repu, git grep a dostanu se k definici cehokoliv v tom OS :D

treba takovou starou Javu kvuli remote managementum starych masin, tu si na tu svoji nahodnou matlaninu dopatlas jak? ja si proste vytahnu definici z historie a vim, ze to pojede, zadny reseni konfliktujicich zavislosti ani zadny reseni pres google, staci mi klon nixpkgs :D

[RealJ]

Nemas rodice slovaky? Ty vole, na tohle se pouzivaji izolovane stroje a ne jako debil instalovat nejakou starou nekompatibilni sracku do systemu pokazde kdy chces neco spravovat.

[.]

nezavid a neschovavej to pod "izolovane" stroje, kdyz to z definice pustis do site, jo? uz chci videt, jak tam mas ten limitujici firewall, co to pusti jen na ty masiny, co opravdu potrebujes, dovol, abych se zasmal spis jsi chtel rict "musime se s tim jebat ve virtualech, protoze to jinak neumime" lolku sam jsi nekompatibilni sracka

[.]

a neboj, presne takovejch borecku a jeste vic uz jsem vysmal... tak zkousej dal no a nebo taky muzes uznat, ze neumis vsechno a ze treba existuje technologie, kterou ma smysl i pres tvoji nadutost zkusit nasat

[.]

jo a jeste jsem zapomnel reagovat na tu cast "instalovat pokazde"... ja jsem to pripsal do konfigurace svych deskopu/laptopu jednou, kdyz jsem to resil poprvy a od ty doby to mam vyreseny :D to uz jsou roky, co jsem to musel "instalovat", i kdyz mam od ty doby nekolik cerstvejch instalaci, vsude stejny prostredi, stejny nastaveni :D

[RealJ]

hele, nejsi ty nejaka ceska verze Nekompromisny ze se bavis sam se sebou? Ze neco neumis a bastlis to jako idiot mi nevadi, nemusim to s tebou nijak resit a ze si prijdes jako megacool kluk je fajn, alespon mas radost z toho ze jsi debil.

[.]

jo a vlastne, ty jsi ten phpckar, ze? uz jsi videl na jednom systemu nainstalovanejch treba 20 ruznejch verzi PHP vedle sebe? bez toho, aby tam bylo jak u debilu 20 kontejneru, ale proste normalne, rovnou v jednom systemu? ne, co? chces si to utrit kapesnickem a vysmrkat, nebo budes dal delat, ze nebrecis, i kdyz to tece proudem?

[~]

Takze kdyz ti nekdo naboura pres PHP diru stroj, tak naboural rovnou 20 PHPcek misto jednoho kontejneru, tak?

[.]

rikal nekdo, ze to vsechno musi videt na vsechno ostatni? linux umi treba i netrivialni ACLka, vime? ne ze by nestacilo i ugo/rwx… budto kernel poskytuje nejaky security boundaries, nebo jsou stejne k hovnu i ty kontejnery :D

[RealJ]

pobavilo... :D jsi lepsi nez Nekompromisny, na tobe se da alespon clovek pobavi...

[.]

no tys mne taky pobavil, ani jednou jsi nepochopil, co pisu, protoze na to ocividne nemas znalosti, ale tak hlavne, ze se smejes :D

[Ovoce]

jasne, protoze ma MS povinnost si nechat zbourat celou myslenku secure boot chainu 2 roky deravym a nepatchnutym grubem, kdyz se na tu aktualizaci jisti distributori vysrali, ze...

Dost Linuxáků dodnes secure Boot nezkouslo. Takže prostě secure boot fuj, MS fuj, všechno je to sračka, "sice Windows 20 let nepoužívám a vůbec o něm vím kulový, ale všichni ví, že je to sračka!" etc blá blá.

Že v tomhle případě lidi většinou vůbec nerozumí ani tomu, jak to funguje (nebo nefunguje) pod Linuxem, tomu moc nepomůže :)

[666]

Tak urcite covidisto.

[.]

copak, ubyla mozkova hmota, ze jsi tak emocionalni?

[kukuc]

Ten 'secure chain' nikdy nebyl a nebude o duvere nebo bezpecnosti.

https://www.defectivebydesign.org/ https://www.gnu.org/philosophy/right-to-read.en.html https://www.fourmilab.ch/documents/digital-imprimatur/

[.]

jasne a proto mrkvosoft na svoje standardy takhle _intenzivne_ spolupracuje s tim FOSS svetem, ze... otazka je, kde bychom byli, kdyby nebylo vahy korporatnich zajmu Red Hatu, ale jsme, tam, kde jsme - a vsechny ty linky jsou proste jen outdated FUD

[biolog]

Bootování selhalo u distribucí, které používají bootloader se zranitelností, na kterou existuje oprava od ledna, viz odkazy v původním příspěvku. Když 7 měsíců distribuce nevydaly update bootloaderu, tak si tenhle malér zaslouží. To, že jednou z těch distribucí je Debian (a s ním Ubuntu), je ostuda pro ně - neomlouvá je to.

[Peter Golis]

Ktorýže Debian alebo Uvuntu to nemal fixnuté?

[FF]

Minimalne Ubuntu 22.04 a 24.04. Teoreticky akakolvek instalacka starsia ako aug2024. Jedine riesenie su nove aktualizovane instalacky (ak uz su) alebo nepouzivat secureboot.

[Peter Golis]

Vieš to nejako doložiť z praxe? Napríklad výstupom z príkazu: pro fix CVE-2022-2601 (dostupné aj bez subskripcie).

Mne Ubuntu tvrdí že na stroji kde mám Grub mám to CVE fixnuté. A mne dostupné inštalačné logy ani nevedia kedy bol posledne grub zaplátaný. Ale nemám to ako overiť keďže nemám z pochopiteľných dôvodov dual boot Linuxu s nejakým zavádzačom na mallware.

[Peter Golis]

Teda aby sme sa rozumeli, ten thread vyzerá ako keby si ľudia vypli systémové záplaty (keďže to CVE má prioritu iba Medium aj keď skóre je High) a potom sa divili.

[_]

Co to meles? Ty zaplaty to absolutne neresi ani nemuzou. Jde o instalacni media a novou instalaci. Pres secure boot to neproleze. Kup si limonadu IQ, radeji dve.

[Peter Golis]

Čiže podľa teba sa tá diskusia na redite (z druhého linku v správičke) tohoto problému týka len keď človek štartuje v dual boote s Windows už nainštalovaný Linux cez inštalačné médium ak má to médium starší shim zavádzač ako verziu 15.8 z pred roku a pol?

Keď odmyslím potrebu dual bootu, tak mi skús objasniť prečo by niekto štartoval OS nainštalovaný na disk pomocou výmenného média. To bude tá dávka limonády IQ.

[Pastyr trolu]

Ja spis tipuju ze ta limonada IQ byla o tom ze si z tebe strileji a troli te a ty to nedokazes pochopit protoze jsi Sheldon

[Peter Golis]

Skôr si myslím že sa vyjadrujú k veciam ktorým nerozumejú, a svoju nechápavosť zvaľujú na iných. Aby nevyzerali jak blbci.

Proste bežná kultúra ľudí, ktorým melie huba rýchlejšie ako pradie mozog. A toto nesprávne nazývajú trolling.