OpenBSD a UEFI Secure Boot

Článek na iTWire je věnován OpenBSD a UEFI Secure Boot. Theo de Raadt, zakladatel a koordinátor OpenBSD, kritizuje Red Hat a Canonical za jejich přístup k UEFI Secure Boot a přirovnává je k Microsoftu. Na druhé straně přiznává, že OpenBSD žádný plán na řešení "bezpečného" zavádění nemá. Vývojáři OpenBSD blížící se katastrofu pouze pozorují a předpokládají, že se problém nějak vyřeší. Theo de Raadt předpovídá, že počítače, u kterých nebude možné "bezpečné" zavádění vypnout, budou mít v Evropě problém a jejich prodej by mohl být i zakázán. Článek je probírán také na serveru Slashdot.

28.7.2012 04:12 | Ladislav Hagara | Zajímavý článek

Komentáře

[Jano]

Vie mi niekto normálne ľudsky vysvetliť načo vôbec používať secure boot ? Aké to má pre mňa výhody a koľko a koľko z toho plynie nevýhod? Dík. (Šťastný používateľ Debiana)

[Thorby]

Microsoftu padajú akcie, tak si vytvára priestor pre zisk prostredníctvom podpisovania pre secure boot a prideľovania nálepiek kompatibility s Windows 8. Keď už ignorujú potreby používateľov nedotykových zariadení, aj pár dolárov za nálepky sa zíde.

[Duff]

Tak před 15 lety když byly boot viry hodně rozšířené, by to k něčemu bylo, ale dnes je to podle mě jen k odstranění nepohodlné konkurence. Když ji nejde koupit ani jinak zničit.

[Q]

Útočník může relativně snadno zaměnit zavaděč "svým", který nahraje záškodný program do paměti a teprve potom zavede jádro. Jádro potom s tím už nic neudělá, protože se na záškodný program nedostane. Secure Boot dovolí nahrát pouze podepsaný zavaděč tyto. To se týká např. i bootu z vloženého flash disku....tolik teorie.

Výhody pro vás - žádné, Debian to nepodporuje - aspoň jsem neslyšel o plánu Debianu na řešení

Nevýhody pro vás - dokud nebude Debian podporovat Secure Boot, budete muset hledat HW kde Secure Boot není, nebo kde jde vypnout.

[vlastik]

Já teda nevím, ale živě si pamatuji, že už někdy před 10 lety byla v BIOSu volba, která přepsání zavaděče bránila.

[Q]

Tohle nechrání před přepsáním, tohle kontroluje, zda je zavaděč platný (podepsaný)...toliko teorie

[pc2005]

Takže ho útočník může přepsat platným (podepsaným) bootloaderem .

(vím, není to to samý, UEFI bude mít určitě taky ochranu proti zápisu, doufám .. že??)

[Jano]

+1

[little.owl]

Firmware pujde vymenit jen za podepsany firmware.

[Michal Kubeček]

Jenže to hlídalo jen přepsání prvního sektoru, kde byl navíc většinou jen generický loader, který se jen podíval, která partition má příznak active/bootable, natáhl její první sektor a spustil ho. Takže to sice pomáhalo proti jednoduchým bootvirům, ale jinak to nebylo v podstatě k ničemu.

[little.owl]

Nehlede k tomu, u GPT a UEFI je MBR uz mrtev.

[pavlix]

Nehlede k tomu, u GPT a UEFI je MBR uz mrtev.

Spíše bych řekl „zakonzervován“.

[little.owl]

Pouziji dukaz vyssi autoritou, se kterou v tomto pripade plne schoduji.

Vy ho jste nucen pouzivat predevsim proto, ze chcete provozovat Linux na HW designovanem pro Windows - staci se kouknout na seznam vyrobcem podporovanych OS a pak nezbyva nez bud (a) ohnout hrbet a prizpusobit se, (b) pouzivat HW designonany i pro Linux.

[little.owl]

No jo, Theo de Raadt, silna slova a utok na ostatni a zadne realisticke reseni. Jsem zvedav na cem bude chtit OpenBSD provozovat, u ted je pouzitelneho HW malo.

Diky za zpravicku.

[lukve]

by ma zaujimalo ci aj Apple ma nieco ako Secure UEFI boot.. zatial som mal len MacMini G4  a tam siel linux bez problemov nahodit..

[little.owl]

Tak na tabletech a telefonech uz jakousi obdobu davno maji, na PC bootovani vice systemu spise nebrani, je jim to jedno, na jejich HW stejne nejlepe beha OS X.

[JoHnY2]

Tak je to hlavne o necem jinym. Oni maj specifickej HW a lidi se na nem snazej spustit generickej SW (Lin, Win ...). U securebootu Ms protlacil do generickyho HW vestavenej opruzovac pro specifickej SW (Win8), kterej generickyhomu SW brani v behu (stary Win, Lin ...).

[little.owl]

do generickyho HW

To je prave omyl. Vetsina HW neni genericka, ale designovana a testovana pro Windows XP, Vista, 7 etc a byva to jasne deklarovano - vyjmenovane podporovane OS. Pro vyrobce jsou zavazne jen a pouze pozadavky MS pokud to chteji deklarovat jako Windows kompatibilni. Ostatni standardy jako treba ACPI jim mohou byt - a v praxi jsou - u zadku, pokud to MS nevyzaduje.

[pavlix]

Na tom, co mu zaříděj linuxáci?

[little.owl]

Asi tak, vetsina jejich vyvoje driveru je zalozena na cteni a prepisovani linuxovskych driveru.

[Vykook]

[citation needed]

[Xerces]

Z toho dělaj zbytečnej humbuk. Koupím HW, podepíšu si Debian a tradá, ne?

[Bedňa]

Jasne, musíš ale mať popisovače na CD.

[Rezza]

Hlavne Red Hat != Fedora a kdyz si Fedora rozhodne, ze to bude delat jinak, tak to bude nase rozhodnuti. V Boardu neni nikdo nadseny.

[okko]

lol

[Rezza]

No ja vim, Board se rozhodnuti boji a FESCo dava jen +1 :)

[honza sokol]

vypnout secure boot by nemelo jit pouze na arm zarizenich na x86 vypnout pujde dle specifikace (pokud neco nezmenily)

[aceman]

Na x86 to zakazu pri Windows 9. Alebo to umoznenie vypnutia nikto neimplementuje uz teraz, lebo ako vieme pri BIOSe/ACPI sa na specifikacie dost kasle.

[Conscript89]

Neni to tak, ze moznost vypnout secure boot je soucasti certifikace pro Windows 8? Naposled jsem to tak cetl.

[Rezza]

Je, ale moznost vypnuti muzu MS kdykoliv zrusit. Viceme svet modularnich a univerzalnich PC, na kterych MS zbohatl uz tak netahne a chce zbohatnout jeste vic na jednoucelovych strojich. Dnes jde jeste SB vypnout spis z duvodu starych Windows, nikoliv ostatnich OS.

[failer]

Problém a zdůvodnění UEFI je popsáno ZDE.