Fedora 18 bude kvůli UEFI podepsána Microsoftem

Digitizor v návaznosti na oznámení Mathewa Garreta z Red Hatu informuje o tom, že Fedora 18 bude kvůli UEFI Secure Boot podepsána certifikačním systémem Microsoftu. Využít k certifikaci Microsoft prý nebyla jediná možnost, ale byla to ta nejlevnější a z hlediska podpory hardwaru i nejpraktičtější. Poplatek $99 navíc nejde Microsoftu, ale certifikační autoritě Verisign.

3.6.2012 12:47 | Migi | IT novinky

Komentáře

[vain]

Nejde ani tak o to, komu to jde, ale o princip. Vydřiduši.

[j AM]

U nás na rohu je zase takový vydřiduch hostinský, chce aby mu lidi platili za jídlo a dokonce zakazuje si do hospody přinést vlastní jídlo! Vydřiduch!

[Begleiter]

U nás na rohu je svině prodejce počítačů, který mi přikazuje, co za operační systémy smím provozovat na počítačích od něj.

[multi]

Vytriduch by byl kdyby: kdyz si u nej koupis jidlo, tak by te nutil k tomu pit i jeho pivo a treba i kdyz by sis to jidlo jedl az doma.

[j AM]

Však to dělá zasde jiný vydřiduch, prodává menu domů a když sem si to chtěl koupit bez pití tak že prý to nejde.

[w4rr10r]

Verisign nejsou žádní svatoušci.

Tohle rozhodnutí se mi nelíbí, protože vytváří tlak na ostatní distribuce.

[i]

A nebylo by řešení blokovat ten HW který tyto podpisy vyžaduje? nebo lépe libovolný HW výrobců kteří to zavedou?

[Sešívaný]

Jsme v situaci, kdy hráč s podílem >90 % něco vyžaduje. Hráči s podílem 1-2 % to vadí. Komu asi tak výrobci hardware vyjdou vstříc a opravdu si myslíte, že by bojkot pomohl?

[JoHnY2]

Nejspis pomuze na to upozornit EK a spol. a delat okolo toho po vydani Win 8 humbuk o monopolnich praktikach a zneuziti postaveni. Vyrobci HW jdou za penezma, tem je to naprosto ukradeny.

[Miloslav Ponkrác]

Problém je, že linuxová komunita víceméně konstantně dělá humbuk už mnoho let a konstatně bojuje na očerňování MS.

Co si jenom pamatuji: boj proti GIFům, proti ICQ, proti Windows, proti mikrojádrovým operačním systémům, proti binárním ovladačům, proti jakékoli jiné licenci než GPL, a mnoho a mnoho dalšího.

Nějaký humbuk linuxové komunity už někoho nevzruší, protože je konstantní už víc jak deset let. Tedy nic se nezmění.

Navíc je tu konflikt zájmů. RedHatu jde primárně o prachy a jejím cílem je na Linuxu co nejvíce vydělat, nějaké ideály jsou někde na miliardtém místě důležitosti. Zbylá linuxová komunita, které jde o ideály, to nemůže změnit. Pokud linuxová komunita vyřve otevření MS zařízení, pak RedHat bude moc rád hlavně proto, že ušetří.

Stejně jako SuSE Linuxu šlo o prachy a začal se paktovat s Microsoftem, tak i RedHatu jde primárně o prachy a když vyjde MS nejlépe, bude mu platit a paktovat se. To je neviditelná ruka trhu a podnikání pro zisk.

Jedině předá RedHat PR oddělení prosbu, aby to politicky korektně sdělilo komunitě. Takže se potlačí fakt, že RedHatu jde o prachy, bude se emočně manipulačně zdůrazňovat, že peníze nepůjdou přímo Microsoftu, ale Verisignu. Zdůrazní se, že strašně moc se snažili a strašně moc hledali jiné řešení, ale nakonec tohle je ještě nejlacinější, a že kdyby to jenom trochu šlo, tak by to neudělali. Prostě řeči RedHat nic nestojí, linuxová komunita se nechá ukolébat – a RedHat dostal co chtěl, nejlepší řešení pro JEHO ZISK.

Takový je svět. Linuxová komunita dříve či později bude pracovat pro zisk několika málo korporací a to zcela zdarma a ještě se bude oblbovat ideály. Už teď RedHat shrabuje velkou část zisku z Linuxu, rozhodně výrazně větší, než je jeho příspěvek k Linuxu. A zároveň ohýbá a infikuje linuxové ideály podle potřeby svých zisků.

[anon]

Nejde o rh ale o fedoru - tam kde rh vydelava jede rh certifikovany hw a klice si tam zaridi stejne jako ms na desktopu A mori zamestancu rh jde o penize a o idealy . Jinak by delali jinde

[l4m4]

Pán si zapomněl dnes vzít pilulku?

[lempl]

pilulku proti comu ? realite ? a ktoru pililku ? poradte aj ja chcem vediet ignorovat realitu a fakty

bola to ta modra alebo cervena ?

[Bystroushaak]

Hehe. Jsem mu taky chtěl něco napsat, ale pak mi došlo, že někdy je lepší nekrmit trolly.

[Jinan Dvoulaločný]

Určitě. A zejména takové, co mají ve zvyku prchnout z diskuse, když se objeví příspěvek, který jejich bludy vyvrací.

[Jirka]

Už teď RedHat shrabuje velkou část zisku z Linuxu, rozhodně výrazně větší, než je jeho příspěvek k Linuxu.

Red Hat contributions

[j AM]

Už teď RedHat shrabuje velkou část zisku z Linuxu, rozhodně výrazně větší, než je jeho příspěvek k Linuxu.

A co má být?

[Heron]

Znamená to, že v HW jsou uloženy rootovské certifikáty autorit a HW se ověřuje podpis (asi tedy jen při uložení nového uefi obrazu)? Pokud je tomu tak (nevím, nečetl jsem), tak mi to nepřijde zase tak praštěné, právě naopak.

[anon]

V teorii je to fajn. No jde o to ze v tech desitkach milionu radek podepsanyho kodu (zavadec, kernel, moduly) se najde dost chyb na to aby to cely bylo jen divadlo ktery zneprijemni zivot ale nicemu nepomuze. A to neresim ze samotny efi ruznych vyrobcu bude taky pekne zabugovany. A vem si jak jednoduchy ziskat podpis svy binarky microsoftem Jako urcite zabezpeceni to je ale imo se snazi o tak moc ze ve vysledku z toho budou akorat problemy a malware se bude rochnit dal.

[blami]

Ano je to tak overuje se podpis binarek na systemove partition. Az pak efi firmware natahne takove binarky. Navic je to aspon zatim na x86-64 navrzeno jako volitelne (pokud si to ve firmwaru notebooku uzivatel preje, muze enrollnout vlastni klic). Me to prijde taky docela dobre, EFI je oproti natahovani pomoci BIOS o dost - nic netusici tomasove prskaji proti vsemu co vymysli Microsoft a to i kdyz tentokrat vymyslel docela chytrou vec.

[Zopper]

... Která jen tak mimochodem řadě lidí znemožní nainstalovat si starší windows. Ne že by to nešlo vypnout, ale znám "experty", co metodou pokus-omyl systém nějak nainstalovali (přece nejsem blbej, taky to dokážu, vždyť je to jen "next, next, next"), ale při snaze vypnout podpisy by si nejspíš pomrvili, co se dá.

I když je otázka, jestli zrovna tohle není spíš takový příjemný vedlejší bonus.

[jaime]

EFI "vymyslel" Intel. UEFI dal vyviji Unified EFI Forum, ktereho je sice Microsoft clenem, ale neda se rict, ze by Microsoft vymyslel EFI nebo podpisy binarek

[xkucf03]

Záleží ale na tom, zda tuhle funkci půjde vypnout úplně (a nabootovat cokoli) a zda půjde upravovat seznam důvěryhodných certifikátů. Na PC tohle Microsoft (zatím) nezakazuje, takže pokud tyto funkce výrobce desky nezapomene implementovat, je to ok a třeba i užitečné.

Jiná situace je ale na ARM platformě – tam MS zakazuje, aby šlo bootovat jiný OS. Někdo možná řekne, že to jsou jen nějaké pitomé mobily a tablety, ale tenhle trh se zdá být dost perspektivním a důležitým. Navíc hrozí, že když to Misrosoftu projde tady, pokusí se to příště prosadit i na jiných platformách.

[gtz]

Ohledně té ARM platformy si myslím, že když si někdo koupí za drahé peníze tablet s W8 tak asi nebude zkoumat zda s Androidem mu to pojede rychleji. Stejně to bude jen platit na tablety a telefony, které budou dodávány s Wokny. Prozatím jejich tržní podíl není zase tak velký

[xkucf03]

viz Salámová metoda

[Zopper]

V MS by samozřejmě nejraději locknuli i desktop, ale tam by je hned praštila přes prsty EK. Na tabletech nemají monopolní postavení -> můžou si tam dělat co chtějí.

[Heron]

Tak vypnout, mě to zatím přijde stejně rozumné, jak chtít podepsané balíčky do distribuce, nebo podepsané instalátory do windows. Minimálně je to pro mě informace, od koho ten balíček pochází (nebo kdo si získal podepisovací klíč autority ). V EFI partišně je jen bootloader, kernel si budu moci (a tím nabootovat co chci) naloadovat jakýkoliv.

Jiná situace je ale na ARM platformě – tam MS zakazuje, aby šlo bootovat jiný OS. Někdo možná řekne, že to jsou jen nějaké pitomé mobily a tablety, ale tenhle trh se zdá být dost perspektivním a důležitým. Navíc hrozí, že když to Misrosoftu projde tady, pokusí se to příště prosadit i na jiných platformách.

Ono totiž MS teče do bot. Jedna z jeho dvou platforem (desktopy) končí, herní konzole je neuživí věčně, tak se brání jak umí. Tedy restrikcemi. A jestli nějaký svůj HW lockne a nebude na něj možnost dát nic jiného, no tak ať. Je tady android a ios a svobodný hw.

[Bystroushaak]

Jedna z jeho dvou platforem (desktopy) končí

Jak to jen vyjádřit..

import random
ans = """To si nemyslím.
Proč lžeš?!
Gooby please..
Nevěřim.
I'm tired of this faggotry.
O tom silně pochybuji.
Ne.""".splitlines()
print ans[random.randint(0, len(ans) - 1)]

[ovoce]

Chybí tam "O RLY"

[Bystroushaak]

Příloha:

• 411 - macro owl yarly.jpg (63218 bytů)

To jsem zvažoval jako původní post, jenže pak by mi někdo zcela určitě odpověděl "YA RLY" a následná diskuze by byla k ničemu.

[ovoce]

NO WAI!

[Jinan Dvoulaločný]

Souhlasím. Počítač s myší a klávesnicí rozhodně v dohledné době neskončí. A aby se software přesunul do cloudu a z desktopů se staly jen přístupové terminály na Net, chtělo by to mít potřebné aplikace i potřebná data dostupná z webu.

Tomu zatím brání hodně věcí, včetně zásadních věcí jako bezpečnost (jsou data, která cloudu nesvěřím ani za nic) nebo infrastruktura alias A v ADSL (dokud budu mít mizerný upload, těžko do toho cloudu dostanu desítky GB fotek).

Způsob používání desktopů se mění, zvyšuje se podíl online aplikací, ale desktop jako takový a desktopový software tu ještě nějakou (tj. ne úplně krátkou) dobu bude.

[TM]

Klasický desktop bude pořád. Jen časem klesne jeho podíl na normální hodnoty, protože se bude prodávat hlavně lidem, kteří PC umějí využít. PC bylo pro masu vždy předimenzované - ta potřebuje jednoduché hračky a ne počítač. Prostě se to vrátí k normálu - není to tak dávno, kdy PC používali ti, kterým bylo určeno a běžný Pepa mastil na herní konzoli... Dnes Pepa "potřebuje" ty své fejsbůky, chce z nějakého divného důvodu poskytovat své soukromí korporacím, potřebuje hrát hry, které mu naservírují a k tomu mu terminál ve stylu uzavřeného Applu stačí...Na PC se Pepa nikdy nehodil.

[Heron]

Desktopy končí.

Pracovní stanice nekončí.

Teď jde jen o to, jak si ty pojmy nadefinujete. Desktop je počítač na každém stole, tak jak jej kdysi viděl Gates a MS. Počítač pro lajka, který o něm nemusí níc vědět a přitom ho může používat. Trollové se vysmívají, že linux má na tomto typu zařízení pouze nějaká 2%. Ano, je to výrobek MS a pro MS systémy. Tato oblast končí, lajci si daleko lépe rozumějí s tablety a chytrými telefony, htpc v TV, herními konzolemi apod. Desktop jako počítač pro lajka na každém stole končí.

Pracovní stanice může být stejný HW, jako předchozí desktop, typicky je však vybavená spíše jako server. Jenže dneska je kdejaký x86 server po výkonnostní stránce horší, než desktopový hw. Tento rozdíl se setřel (serverový hw je však lepší svým zpracováním a spolehlivostí). Na pracovní stanici pracuje člověk, který ví, jak ji používat, má tam software ke své práci a zná i něco z operačního systému. Tyto systémy budou pokračovat dál. Zastoupení neMS OS je zde velmi vysoké a lidé běží pracovní stanice i na systémech Solaris, BSD a samozřejmě linuxové distribuce.

[Bystroushaak]

Tohle je imho stejně mylné tvrzení, jako že s nástupem ebooků skončí papírové knihy, nebo že s mobily přestanou lidi používat pevné linky.

Svět prostě není černobílý a prakticky nikdy nedochází k binárním změnám v chování lidí.

[Heron]

Nic takového jsem ani nepsal. Jistě se najde někdo, kdo si dneska svítí plynovou lampou. Masivní nasazení plynových lamp je však již hezkou řádku let za námi a dneska se nepoužívají. Stejně tak desktop jako vize MS. Prostě končí. Někteří u něj možná zůstanou, ale ti už budou vědět co a jak (takže to pro ně bude pracovní stanice). Lajk nemá příliš důvod jej používat.

[xkucf03]

Ale kde je ta hranice mezi „desktopem“, „pracovní stanicí“ a „spotřební elektronikou pro laiky“?

Pokud si někdo jen prohlíží obrázky, čte novinky atd. – obecně konzumuje obsah – tak mu nějaký ten tablet asi stačit bude. Ale když chce třeba hrát hry, už potřebuje joystick, myš, klávesnici… nebo když bude chtít něco vytvořit (třeba jen obyčejný osobní e-mail nebo komentář), fakt to bude chtít dělat matláním prstů po displeji? Nebo si tu klávesnici a myš stejně pořídí? A je to pak už počítač, nebo pořád jen spotřební elektronika (třeba herní konsole s myší a klávesnicí)?

[imploder]

Zatím se PC vesele prodávají dál, nic nekončí. Výrazný posun je v tom, že v současnosti mnohem větší podíl PC tvoří notebooky. Nepřipadá mi, že by teď existovalo nějaké větší množství lidí, co dřív měli PC, a teď se bez něj obejdou a nechcou ho. Něco takového existuje u televize, právě proto, že ji PC dokáže nahradit. Je to spíš naopak, PC se čím dál víc stává samozřejmostí.

[j]

Ony jsou tyhle vykriky dane tim, ze PC HW ustrnul - ve firme mame stroje uz 5 let, a neexistuje absolutne zadny duvod je menit. Jednoduse novejsi stroje by mely mozna ponekud vykonejsi CPU, asi i voc RAMky, ale z pohledu uzivatele je to naprosto nepodstatne, protoze aplikace se nijak nezrychli (rozhodne ne tak, aby to user poznal). Tudiz globalne klesaji prodeje PC, jednoduse proto, ze neni duvod kupovat.

Kdezto u ruznych prenosnych zarizeni neni jeste trh nasycen a vyvoj jde celkem rychle kupredu. I kdyz "vyvoj". Osobne bych vic ocenil telefon, ktery nemusim mesic nabijet nez vpodstate pracovni stanici (stale jeste vlastnim PC se 100MHz CPU a na cteni mailu, psani textu ... a podobne ptakoviny do bohate staci) s GHz CPU, kterou musim dobijet 2x denne.

[imploder]

Když klesají prodeje PC proto, že lidi jsou se svými současnými zatím spokojení a nepotřebují nové, tak bych to rozhodně nenazýval koncem PC. Konec PC bude až je nikdo nebude používat. Výrobci HW to tak můžou vnímat, protože oni potřebujou, aby od nich lidi pořád něco kupovali. Takže pokud prodej PC přestává nést protože lidi zatím nepotřebujou svoje PC měnit, tak se vymyslí něco jiného (smartfouny, tablety, konzole, ...), co ještě nemají a kupovat to budou.

[w4rr10r]

Není to tak dávno, co v USA jakýsi průzkum ukazoval, že spousta lidí se zcela zbavila desktopu a používá na všechno, co potřebuje (e-mail, sociální sítě, hry, nějaká multimedia) smartphone.

[imploder]

Odkaz by nebyl?

[Heron]

Totéž u mě. iPad používám na věci, jako procházení webu, sledování youtube, sociálky apod. Při ranní session na wc stihnu projít zpravodajství, rss, mrknou se na videa z mých přihlášených kanálů a vyřídit i nějaký ten email. PC zapínám už jen na psaní článků, editaci fotek a práci na serverech (ssh se přes placku používá trochu neefektivně). Takže, desktopu jsem se zbavil, mám pracovní stanici a k tomu tablet.

[Bystroushaak]

..jakýsi průzkum..

..spousta..

Aha. Když je to takhle, počkám si ještě na vyjádření expertů a pak přestanu věřit vlastním očím.

[pc2005]

nebo že s mobily přestanou lidi používat pevné linky

Heh u nás to tak prakticky dopadlo.

[Bystroushaak]

U vás :)

Jinak třeba zrovna včera byl výpadek ústeckého DSLAMu, kde nešel telefon ~11200 lidem. Analogový telefon, tedy pevná linka, kterých v čechách přes všechen hype okolo mobilů pár milionů pořád bude :)

[pc2005]

Se fakt divím, že ještě tolik lidí pevný telefon používá :-O. Zvlášť když těma drátama se dá protáhnout ten hovor před ADSL tak stokrát (ve městě) a určitě víckrát než jednou (daleko od ústředny)

[Bystroushaak]

No, to jsem trochu přehnal, ptal jsem se kolegů v práci a mělo by jich být kolem půl milionu. Je teda fakt, že časem ubývají a jsou nahrazovány centrexy, ale to nic nemění na té pointě, že i když máš mobil - zařízení, které člověk nosí stále při sobě, tak lidé stále chtějí něco co stojí na stole.

[pc2005]

No možná ti, co na pevných telefonech vyrostli, ale i tak je to imho dost spekulativní tvrzení.

[lertimir]

Myslím, že většina těch pevných linek budou ADSL linky a telefon tam je tak nějak navíc. Drát je drát. A 10 Mbit/s přes ten mobil prostě nejde protlačit.

[Bystroushaak]

Spoustu toho přidávaj firmy. Není problém, aby měla firma třeba 10 000 čísel.

[pc2005]

Jo takhle, to pak asi jo, koneckonců na univerzitě jsou taky pevný. Ale pokud bych měl brát fyzický telefon tak to zas tolik nebude.

lertimir : Já ADSL nepočítal. Přes ten normálně pracuju, ale telefonní část ne.

[anon]

random.choice

[Bystroushaak]

Hej, díky, to jsem neznal :) Se budu muset zase někdy začíst do api pythonu :)

[pc2005]

svobodný hw

Lolek zrovná když jsem si přečetl tohle slovo, tak vyskočil popup o novém mailu: newsletter z Opencores .

[ovoce]

tam MS zakazuje, aby šlo bootovat jiný OS

Hrubě nepřesné - zakazuje vypnout secure boot. Když to bude podepsané, tak to nabootuje, i kdyby to bylo GNU/CP/M.

[j]

Nepresne - zavisi to ciste na klicich obsazenych v "BIOSu", pokud si tam da M$ jen svuj (jako ze da) tak si bez jeho podpisu nenabootujete nic. A byl by sam proti soube aby podepisoval neco dalsiho (dokud ho k tomu nikdo nedonuti).

[lertimir]

No pokud tomu rozumím, tak v "BIOSu" jsou verifikační části podpisu certifikačních autorit. Tedy ne Microsoftu, ale spíše Verisign, případně i jiné. Je to jen část, která zkontroluje, že podpis, který je u botovaného systému, je ověřený. A potom cokoliv, co je podepsáno od certifikační autority projde a nabootuje.

[ovoce]

Je to přesně jako s tou Fedorou - ta bude taky podepsána prostřednictvím MS (potažmo toho Verisignu). Ale ověřovat se to bude proti tomu samému klíči, proti kterému se bude ověřovat W8.

Situace je úplně stejná jako u x86 Fedory, ovšem u x86 se to dá deaktivovat, zatímco u ARMu ne (což je důvod, proč podepsané buildy Fedory pro ARM nebudou, jestli jsem to dobře pochopil. Ne proto, že by to nešlo, ale protože nechtějí).

[jirka]

no spis to vypada, ze bude vetsi sranda s podepisovanim modulu a uzivatelsky modifikovanym jadrem !

viz

Kernel

Secure boot is built on the idea that all code that can touch the hardware directly is trusted, and any untrusted code must go through the trusted code. This can be circumvented if users can execute arbitrary code in the kernel. So, we'll be moving to requiring signed kernel modules and locking down certain aspects of kernel functionality. The most obvious example is that it won't be possible to access PCI regions directly from userspace, which means all graphics cards will need kernel drivers. Userspace modesetting will be a thing of the past. Again, disabling secure boot will disable these restrictions.

Je celkem zrejme ze casem jakoby nahodou zmizi volba DISABLE-SECUREBOOT z UEFI at ve jmenu vetsi bezpecnosti, boje pro terorismu, destkemu pornu a jinym klicovym problemum a pak bude jak pise M.J.G navrat - nemozny.

The third is to just disable secure boot entirely, at which point the machine should return to granting the same set of freedoms as it currently does.

Toto Redhat nemel delat. Uvidime jak se k tomu postavi Debian a jine distra. Jeste ze zatim alespon volba starsiho zeleza x86, PPC a ani MIPS nevypada spatne..

No nic cele IT jde v posledni dobe do prdele a tohle je jen dalsi kousek z celkove skladacky....

[TM]

Degeneruje to místy až neuvěřitelně. Lidská blbost už likviduje i tak zajímavý obor jako je IT. Už jen představa, že si třeba budu chtít udělat svůj vlastní software bootující jako jádro - jen abych si s tím pohrál a něco se naučil - kdysi jsem si cosi takového jednoduchého udělal - jen na hraní.... a bude mně při tom otravovat nutnost vypínání nějakého nesmyslu v omalovánkách UEFI nebo dokonce řešení nesmyslného podepisování.......už taková představa je hrůzná.
Debilita nám ukrajuje čím dál více ze svobody.

[Rezza]

Slibuji jednoduse pouzitelne nastroje tak, aby to zvladl i normalni clovek. Me se pravda tohle reseni moc nelibi, zvlast kdyz se ted plive na Fedoru/RH - a pritom se jedna o rozhodnuti par lidi, co zrovna se toci kolem toho. Je skoda, ze se Linuxovy svet do toho neobul a neudelali to po vlastnim - stalo by to dost penez, dost usili. Kdyz se spoji Linux Foundation, s velkyma distrama, tak by to melo jit. Dle vseho se vyrobce az tak moc nebrani pridat i neco ne od MS. Proste kompromis ted, chce to mit ale plan, jak to do budoucna udelat a prejit z toho reseni na vlastni.

[TM]

Pořád mně není jasné, co mě může nutit dělat ty nesmysly i s jádrem a moduly.
Podepsaný zavaděč je jasný - aby jej UEFI spustilo. Ale zavaděč pak spustí jádro a je to v jeho režii - to přece jede bez ohledu na blbosti v UEFI.
Buď je RedHat až příliš horlivý při přijímání té otravnosti zvané secure boot nebo je tam nějaký technický detail, který mně uniká ?

[jirka]

doporucuji precist si uvedeny clanek a hlavne diskuzi s MJG viz clanek.

Problem je ze hlavne moduly pristupujici do PCI oblasti tj. ovladece temer vsech graf. karet budou muset pouzit podepsany kod - a problem je na svete. Dale pak veskere debugovaci nastroje potrebuji taktez podpis..

viz

The most obvious example is that it won't be possible to access PCI regions directly from userspace, which means all graphics cards will need kernel drivers. Userspace modesetting will be a thing of the past

Uz svita ? dovedete si predstavit napr. Nvidia proprietarni ovladac v jadre ?

Logicka odpoved RH a Fedora tymu mela byt pred instalaci vypnout SECURE-BOOT a hotovo, casem uvidime co dal... RH na to pozici na trhu ma, nechapu to.

[TM]

Aha... Ono to funguje nejen při zavádění, ale i na úrovni hardwaru. Chce - li se kód dostat k PCI, musí se prokázat podpisem, pokud je to zapnuté. No to je pěkná prasárna, to je zase vynález, to je zlepšovák. Lidé kteří tyto blbosti vymýšlejí by měli být v ústavu pro choromyslné. Přínos pro bezpečnost více než pochybný a přinese to jen problémy nejen na Linuxu.
Nvidia může svůj modul v nové verzi pochopitelně podepsat stejně jako RedHat kernel...

[TM]

V případě Nvidie to bude asi znamenat poněkud více práce při úpravě driveru HNUS...

[TM]

Hmmmm....V případě Nvidie to bude asi znamenat poněkud více práce při úpravě driveru HNUS...

[David Jaša]

And modules? Again, modules are just code. It's a little trickier, but if your signed kernel loads an unsigned module then that unsigned module can set up a fake UEFI environment and chain into a compromised OS bootloader. Now the attacker just has to include a signed kernel and a minimal initramfs that loads their malware module. It'd slow down boot by a couple of seconds, but other than that it'd be undetectable. X? If you can access the registers on a GPU then you can get the GPU to DMA over the kernel and execute arbitrary code. Trickier again, but still achievable - and if you've locked down every other avenue of attack, it's even attractive.

If we produce signed code that can be used to attack other operating systems then those other operating systems are justified in blacklisting us. That doesn't seem like a good outcome.

[jirka]

To je sice hezke, ale prvotni rozhodnuti melo byt nepodporovat secureboot jako takovy a ne " sundat spodky na prvni povel ! "

R.M.S mel pravdu kdyz varoval ze EFI - UEFI zanasi dalsi vrstvu, ktera bude zneuzita a je to tady.

Jak jsem psal vyse, to ze to pujde vypnout je docasne, brzo se vynori obligatni duvody proc secureboot vypnuti zakazat a pak je po srande.

No, nastesti jsou i jine architektury, asi fakt moje dalsi "pc" bude MIPS :) Btw, docela jsem zvedav co na secureboot Debian...

[David Jaša]

Fedora 18 will be released at around the same time as Windows 8, and as previously discussed all Windows 8 hardware will be shipping with secure boot enabled by default. While Microsoft have modified their original position and all x86 Windows machines will be required to have a firmware option to disable this or to permit users to enrol their own keys, it's not really an option to force all our users to play with hard to find firmware settings before they can run Fedora. ... We explored the possibility of producing a Fedora key and encouraging hardware vendors to incorporate it, but turned it down for a couple of reasons. First, while we had a surprisingly positive response from the vendors, there was no realistic chance that we could get all of them to carry it. That would mean going back to the bad old days of scouring compatibility lists before buying hardware, and that's fundamentally user-hostile. Secondly, it would put Fedora in a privileged position. As one of the larger distributions, we have more opportunity to talk to hardware manufacturers than most distributions do. Systems with a Fedora key would boot Fedora fine, but would they boot Mandriva? Arch? Mint? Mepis? Adopting a distribution-specific key and encouraging hardware companies to adopt it would have been hostile to other distributions. ... This isn't an attractive solution, but it is a workable one. We came to the conclusion that every other approach was unworkable. The cause of free software isn't furthered by making it difficult or impossible for unskilled users to run Linux, and while this approach does have its downsides it does also avoid us ending up where we were in the 90s.

Tolik mjg. Stallmanův postoj "nechte uživatele hlasovat peněženkou" je hezký - teoreticky. Kdyby opravdu fungoval, nebudou tu problémy například s uzavřenými nebo nekvalitními drivery.

Osobně se mi ta technologie líbí - za předpokladu, že tam budu moct dát vlastní klíč, nebo to úplně vypnout. Úplně se tak zbavím problémů se zlými služebnými. :) Ještě nějak hezky pořešit cold-boot u suspend to ram a bude to dokonalý. :)

[xkucf03]

Úplně se tak zbavím problémů se zlými služebnými.

A co když služebná vymění čip na desce nebo rovnou celý počítač? Nebo použije tak primitivní a staromódní věc jako HW odchytávač kláves…

Ještě nějak hezky pořešit cold-boot u suspend to ram

Tohle jsem taky nedávno řešil. Můžeš použít cryptsetup luksSuspend na /home, ale stále ti zbude nezamčený root (tam by nic tajného být nemuselo) a taky RAM (kde už tajné věci být mohou). K dokonalosti to má ještě dost daleko.

Snad leda šifrovat obsah RAM a klíč k ní mít uložený na jednom místě, které by se před uspáním promazalo. Ale to by mělo dost negativní dopad na výkon. Hardwarově akcelerované šifrování RAM, které nebude zatěžovat CPU ani OS?

[xkucf03]

P.S. nebo při normálním provozu RAM nešifrovat a udělat to až těsně před uspáním – v nešifrované paměti by pak zůstal jen dešifrovací program + náhodný klíč (chráněný heslem, které by zadal uživatel při probouzení).

[j]

HW sifrovani RAM obsahujou nektery servery, stejne jako muzes udelat v RAMce pole (zrcadlo trebas). Samo tim obetujes tu RAMku. CPU o tom vubec nevi.

[David Jaša]

A co když služebná vymění čip na desce nebo rovnou celý počítač? Nebo použije tak primitivní a staromódní věc jako HW odchytávač kláves…

První je podstatně invazivnější než úprava jádra a zavaděče (tudíž mnohem líp postřehnutelné) a druhé samo o sobě nic z disku/RAM nevytáhne.

Šifrování RAM v době instrukcí pro AES u běžných (na CPU nenáročných) programů moc drahé nebude.

[xkucf03]

První je podstatně invazivnější než úprava jádra a zavaděče

Viděl jsem opraváře notebooku v akci, jde to rychle, pár šroubků, vědět, kde co zmáčknout, co kam posunout... je to hned.

(tudíž mnohem líp postřehnutelné)

To bych asi musel kontrolovat, zda na tom počítači nepřibyly cizí otisky, nebo naopak nezmizely ty moje. Nebo mít všechny šroubky zapečetěné (to je vlastně celkem dobrý nápad). Ale jinak na to člověk nemá šanci přijít -- běžně se nekoukáš dovnitř počítače, jestli jsou tam původní součástky.

a druhé samo o sobě nic z disku/RAM nevytáhne.

Disk si při tom útočník zkopíruje k sobě a pak už jen čeká, až zadáš heslo -- to si buď vyzvedne při své příští návštěvě, nebo mu ho keylogger pošle bezdrátově.

Šifrování RAM v době instrukcí pro AES u běžných (na CPU nenáročných) programů moc drahé nebude.

jj, to by mohlo být použitelné, chtělo by to takový modul do jádra

Akorát uživatel může chtít šifrovat současně i disk (data + swap) a síť (ipsec + ssh, tls...). Utáhne procesor všechny tyhle tři věci najednou?

[pc2005]

A co když služebná vymění čip na desce nebo rovnou celý počítač? Nebo použije tak primitivní a staromódní věc jako HW odchytávač kláves…

Pokud bude mít služebná přístup ke kompu, tak si to v BIOSu může rovnou povolit .

[David Jaša]

Tak zaheslovaný bios beru jako součást řetězce důvěry (bios -> zavaděč -> jádro; pak už se jede z šifrovaného disku).

[xkucf03]

Ano, ale stále je možné vyměnit ten čip nebo vykuchat vnitřnosti počítače a nahradit vlastními -- pak nepoznáš, že vlastně pracuješ s cizím počítačem, protože různé škrábance, patina a špína na bedně (nebo plášti notebooku) budou stejné, jak jsi zvyklý. Aby to bylo "skutečně bezpečné", tak bys ten počítač musel mít pořád pod dohledem.

[David Jaša]

Goto #62.

Nutnost se do komplu fyzicky vlámat zvedá násobně čas potřebný na útok a snižuje tak jeho pravděpodobnost klidně o několik řádů.

[pc2005]

Tak to by musel být ve stejném duchu BIOS zaheslovaný defaultně (pokud teda bereme fakt, že masy si ten secure boot neuměj zapnout manuálně).

[xkucf03]

Porovnej:

• Secure Boot znepříjemní uživatelům život
• Secure Boot zvýší uživatelům bezpečnost

(první je snadné, druhé je obtížné)

[pc2005]

ad 2) To jenom teoreticky, zvlášť pokud se v tom angažuje Microsoft. Krásně si umím představit virus, kterej prolomí Windows 8 - není problém, to by musel být Windows 8 100% bezpečný, navíc s novým API vzniknou nové chyby hezky maskované za neotevřenost veřejnosti (což ale pisatelům malware ani nevadí). ... a ten virus napadne BIOS a bude ovládat ověřování klíčů :-O.

Čímž mě mírně začíná mrazit na zádech (i přes puštěnou elektrickou topnou spirálu ), protože zkontrolovat tu malou flashku nějakým automatem přímo v čipsetu je přece tak triviální! :-O

Nicméně zpátky k 2) Zajímalo by mě zda bude v BIOSu přímo klíč Verisign nebo klíč Microsoftu ověřený Verisignem. Protože jestli bude klíče vydávat Microsoft (a to by podle blogpostu měl, proč by ho jinak tahali do diskuze, kdyby to šlo přímo do Verisignu), tak tohle je příklad bezpečnosti. Další sranda bude, pokud jim unikne privátní klíč.

Navíc, pokud by to mělo být "opravdu" bezpečné, tak by (jak správně podotkl David Jaša) musel být zaheslovaný BIOS. Což imho defaultně nebude (rozhodně takovej počítač bych fakt nechtěl). Pokud by si tedy chtěl člověk opravdu zabezpečit boot, tak by musel nejdřív lízt do BIOSu a nastavit heslo. Nicméně to už rovnou může zapnout hypoteticky defaultně nezapnutou volbu a importovat vlastní Opravdu důvěryhodný podpis.

BTW V diskuzi pod blogem se objevil zajímavý příspěvek tázající jestli a jak si bude BIOS ukládat blacklistované klíče. Neboť kapacita úložného prostoru jistě nebude nekonečná.

[David Jaša]

Což imho defaultně nebude (rozhodně takovej počítač bych fakt nechtěl).

Tak už jsem viděl u některých nových strojů to, že při prvním spuštění to chce heslo nebo otisk a bootloader to pustí až po otisku prstů. Se sekjůr bůtem tenhle opruz odpadá, pokud člověk nepřepne boot zařízení na něco jiného a má to i přínos i proti offline útočníkům - tedy pokud si ten útočník někam nedá ten bezdrátový keylogger.

[Bubak]

Mam jednoduchy dotaz:

Lze takto podepsany Grub pouzivat nezavisle na Fedore? A kdy se objevi v ostatnich distribucich?

[jirka]

tezko rict, ale asi ne. Pak by cela idea secure boot byla na nic :) vystavit podepsany zavadec a pak tim bootnout WinXP :) to ani MS preci nechce a o tom to cele je :) efektivni nastroj na blokovani konkurence a to i te vlastni.

Btw, grub2 je pod GPLv3 cekam co na to R.M.S...jeste bude pekna diskuze.

[Heron]

To muselo být podepsané vše v zavaděči OS. Pro linux tedy jádro a initramdisk. Distribuční jádro z repa podepsané být může, ale initrd určitě ne, protože ten se generuje konkrétně pro daný stroj. A klíč pro podepisování souborů pro boot zase nemůže být součástí distribuce, protože pak by logicky šlo podepsat cokoliv.

Tedy, může být podepsaný pouze "os loader" umístěný v UEFI.

[David Jaša]

Zase, RTFA. mjg to všechno vysvětluje hezky srozumitelně.

[David Jaša]

RTFA, sekce Bootloaders a Customization.

[pc2005]

Stejně nechápu na co to je, drtivá většina malwaru (slyšel jsem tak akorát o CIH, a dvou modernějších - neříkám, že nejsou další... , přičemž CIH BIOS jen smazal) běží bez potřeby virtualizovat OS.

Jinak jestli teda dobře chápu ten článek (přečtl jsem v rychlosti mezi kompilacema ), tak Red Hat si udělá vlastní bootloader (hmm další článek v bootu, neměl tohle UEFI odstranit?) ten si nechá podepsat a pak bude mít ve svém bootloaderu vlastní systém podpisů. Přičemž do Linuxu přidá kód, kterej bude ověřovat každé místo v systému, kde by si mohl neprivilegovaný systém (řekl bych že privilegovaný bude víc než root) zapsat do paměti.

Docela by mě zajímalo jak se k tomu bude mít certifikační autorita, vzhledem, že linux komunita se sama o sobě ráda hrabe v hardware.

Jinak bude sranda až buď někdo crackne hlavní klíč a nějaký automatický blacklist zablokuje skoro všechny kompy .

Co se týče mě, tak nápad mít podepsanej bootloader špatnej není, ale jakmile se toho chytí Microsoft, tak je zle. Zvlášť, když je UEFI členem a členy UEFI jsou hlavní výrobci BIOSu (doufám, že se aspoň rozšíří coreboot). Pokud by ale taková funkce v systému byla, tak jedině default vypnutá (třeba klidně jumperem) a uživatel si tam musel klíče importovat sám - třeba jako na wifi routeru. Pokud mám bezpečnost systému svěřit Microsoftu, tak to si radši postavím vlastní komp .

P.S. Vzpomeň si vzpomeň na třetí playstation!

[pc2005]

P.P.S. Pletu se a nebo před pár roky byla aférka s tím, že nějakej oficiální BIOS měl v sobě nějakej rootkit?

[pc2005]

Vznikla petice proti secure bootu od Microsoftu.