Problémy s UEFI secure bootem

Matthew Garrett spekuluje o možných problémech s protokolem UEFI secure boot, který je součástí standardu UEFI (nahrazující dnešní BIOS). Zmiňovaná funkce umožňuje boot jen podepsaným zavaděčům, což by zabránilo uživateli spouštět libovolný OS. Zádrhel spočívá v tom, že program pro udělování loga Windows 8 požaduje, aby tato funkce byla ve výchozím stavu zapnutá a není jasné, zda ji výrobci umožní deaktivovat.

21.9.2011 14:04 | marbu | Zajímavý článek

Komentáře

[playback]

Mám dojem, že takový počítač je na reklamaci. Asi se kolem toho zase bude hodně mluvit, ale podle selského rozumu, pokud tam nepůjde nabootovat Linux, FreeDos, XP, ... tak je to pokažené!

[Ondrej 'SanTiago' Zajicek]

No, vzhledem k tomu, ze se jedna o systemy s (U)EFI, tak tam DOS a asi ani XP nenabootujes bez ohledu na tuhle funkci.

[heh]

na platforme PC ma UEFI moznost "legacy boot", tedy boot v rezimu biosu. Takze XP nabootuje.

[Ivan]

To je od MS docela podpasovka. Nastesti se da Linux nabootovat i tim jejich loaderem.

[8an]

Tuhle možnost samozřejmě ve Windows 8 zablokují taky.

[Kerala]

Jenom aby UEFI secure boot neměl Microsoft již patentován. Pokud ano, pak by Microsoft vybíral další licenční poplatky. Aby nakonec jediný Microsoft na Linuxu nezbohatl. Jeden orá, vláčí a seje a druhý jenom sklízí.

[pavlix]

Jeden orá, vláčí a seje a druhý jenom sklízí.

Ta druhá pozice není až tak jistá a bezpečná :).

[Kerala]

Klídek. Na serverech má Linux přeci větší tržní podíl, takže to nebude tak horké. Možná v době cloudů už UEFI je již asi zbytečný.

[Mandarinka]

To by byl takový problém podepsat ten kernel? Aspoň pro normální distribuci podle mě ne.

[pc2005]

Otázka kdo drží klíče . Ale mě to netrápí, GPIO flasher se dá postavit z čehokoliv.

[Matlák]

GPIO flasher se dá postavit z čehokoliv

Možná bude ale UEFI natvrdo zadrátované a zablokované pro zápis, pak je flasher k ničemu.. možná tak odpájet ten čip z desky a nahradit jiným

[pc2005]

Zadrátované? Jako, že by byl čip naprogramovanej dřív než se napájí na desku? To spíš zablokovaný. Ale vzhledem k tomu, že se všude radí update na nejnovější verzi, tak by výrobce, co by si to dovolil, skončil s dalším novým procesorem nebo při objevení nějaké závažné chyby.

Nejhorší a už realizovatelná možnost by byly klíče přímo v čipsetu.

[Matlák]

skončil s dalším novým procesorem nebo při objevení nějaké závažné chyby

Proč něco takového řešit, když si může zákazník vždycky prostě a jednoduše koupit nový motherboard?

Mno, a pokud by klíče byly přímo v čipsetu a možnost nahrát "custom" firmware, myslím že by se našel magor co by ten stroják upravil tak aby to obešel .-)

[pc2005]

Jj, ale tak blbý snad mainstream není :-/. Ale pokud by celej komp stál stovku, tak je fakt, že by se to mohlo stát. Ale zase když se kouknu na cenu procíku co bych potřeboval, tak se mi to moc nezdá .

No pokud by ten custom firmware byl povolen. Vlastně by to pak byl ekvivalent akce PS3 se všemi důsledky.

[SPM]

No atomy se už snad takhle i prodávaj - deska rovnou s nesundatelnym CPU... a že těch lidí, co si to koupí bude dost. Ono na druhou stranu, většině taková šunka dneska už stačí :)

[pc2005]

A teď si představ, že ten BIOS nezvládne disky nad 2TB (výhledově rok, dva) a pak můžeš tu desku vyhodit.

To, že jsou i desky, který maj CPU napevno samozřejmě vím, na BeagleBoardu jsem pracoval. Ale ten má takový vychytávky jako třeba JTAG a větší dokumentaci než celej Atom. Zase Inteláckej procesor je problém upgradovat i u typů co jsou v paticích .

[pc2005]

Heh vtipný, po napsání postu shlédnu titulní stránku abclinuxu

HW novinky: 4TB pevné disky jsou zde

Raisuji tedy na 4TB .

[SPM]

No, já mám už tři roky v ntb 320GB disk a nemám s tim problém, tak nevím jak moc by mě to tankovalo :) a až s tím problém bude, tak to beztak asi vyhodím celé :)

[Ruža Becelin]

Podle vseho to pujde obejit bootvani z externiho zarizeni. Coz pro ty, kteri bootuji na zasifrovany disk s boot oddilem ulozenym na usb/sd, nepredstavuje fakticky zadnou zmenu

Co se tech "duveryhodnych CA" tyce, ztotoznuji se s komentarem, ktery jsem uvedl tady.

Podle me Microsoft harasi.

[Laco]

Linuxovy odpad nema pravo ani bootovat, nieto este bezat.

[tomvec]

Eh... Prostě Laco, no

[Jan]

Bez Linuxu bys neměl kde trollovat, možná tak na lŽivě

[sidik]

Na druhou stranu - kdo rozumný by si koupil PC s Windows 8? :) Pochopím 7, to není zase tak zlý OS (hlavně s přihlédnutím k tomu co mu předcházelo). Ale z toho co jsem zatím viděl z 8 (neustálé BSOD neberu v úvahu - jde o dev verzi), tak si je s radostí odpustím a zůstanu u tučňáka a 7.

[Laco]

Do roka a do dna zmenis nazor, kupis upgrade na 8 a tucnaka nechas skapat :)

[Bedňa]

Lacko, prečo tu chodíš, keď ti Linux vadí? Fakt by ma zaujímalo čo ťa k tomu vedie.

[Salamek]

zavist...

[jos]

asi je za to placenej

[PetrHL]

Strach. Bojí se, že jeho znalost Windows už nebude stačit, bude se muset učit něco nového a má strach aby to mozek pobral. Jen místo mlčení a studia má blbé kecy.

[Laco]

Aby som vas freetardov obratil na pravu vieru :)

[pc2005]

Tak na to nemáš .

[Bedňa]

Všetko zlé čo v živote spravíš sa ti vráti, hlavne keď si stovky ľudí bude myslieť aby ťa prešlo auto, tak ťa prejde, neprovokuj náhodu ;) Neverím tomu, že z tých tvojich komentov môžeš mať dobrý pocit.

[Dusan]

Ono pozor na to.

Podľa vedeckých štúdií (ktoré teraz neviem nájsť=možno si to niekto vymyslel ) dokážeme myslením zmeniť realitu okolo nás.

[Bedňa]

A jéje Mentióny

[AsciiWolf]

Podľa vedeckých štúdií (ktoré teraz neviem nájsť=možno si to niekto vymyslel ) dokážeme myslením zmeniť realitu okolo nás.

Aplikace kvantové teorie na filozofii?

[---]

Strašně rád bych ho někde potkal. Buď se jen přetvařuje, a dělá si srandu, anebo bych mu s chutí rozmlátil hubu do krve...

[Sten]

Přesun na horší software se nenazývá upgrade

[Jan]

Jakýkoli přesun na/mezi Windows je vždy na horší verzi, je jedno jakou.

[Idealista]

Aaaach ... Lacko, Lacko, kedy vyrasties :)

[Jirkus]

http://www.webupd8.org/2011/09/windows-8-certified-computers-may-not.html

[frdrx]

Já myslím, že jim to nemůže projít. Narazí na odpor výrobců, zákazníků, soudů a EU. Vlastně jsem rád, že by Microsoft něco takového chtěl, protože to ukazuje jeho zoufalý strach z toho, kam neodvratně mizí -- do zapomnění. Přeju jim, aby se jim podařily všechny jejich technické záměry s Windows Vista 8, protože tím urychlí vlastní smrt.

[Mmad]

Návrh: Někdo koupí dostatek různých strojů s touto ochranou a pak je hodí výrobcům na hlava pro a) nesouhlas se smlouvou M$ (nepotěšíte Ballmera), b) vázaný prodej (v EU dost na hraně legality, v ČR nelegální - zdraví ČOI) a c) nemožnost nainstalovat jiný OS, který splňuje specifikaci, ale není podepsán (nakrknete dodavatele výrobce). V nejhorším hacknout certifikáty nebo napsat vlastní svobodnou implementaci UEFI a pak nechat manuálně aktualizovat chipy (nakrknete všechny). Totální finále by ale asi bylo postavit si vlastní architekturu, která by byla kompletně pod svobodnými licencemi.

[loki]

Mozna bude znit muj dotaz blbe, ale co to uefi prinasi navic? Ja bych radeji zustal u biosu a to jeste pokud mozno svobodneho :) takoveto zamykani na konkretni dodavatele je tedy pekna svinarna

[peterix]

Taková modernizace BIOSu... nic extra, prostě to samé v bledě modrém a trochu jinak. Jediný zajímavý bod je bootování z disků s kapacitou > ~2.2TB.

Zbytek vypadá akorát jako příležitost pro výrobce základních desek zmrvit implementaci... ale to není nic nového :)

Vzhledem k tomu, že je EFI rozšiřítelné pomocí byte-kódu nezávislého na procesoru a implementace může obsahovat drivery/plný přístup k síti, tak se dá očekávat, že pro to někdo začne psát viry, červy a jiný odpad, který to měl s BIOSem těžší.

[Mmad]

Win32/CIH: 2nd edition?

[JoHnY2]

V kombinaci s podepsanym bootovanim by slo docilit toho, ze bez vymeni/resetu flashky na boardu nejde takovej virus zlikvidovat. Mohlo by si to se spravnejma driverama na pozadi botnetit, sniffovat a keylogovat a OS by nemel ani tucha.

[davadu]

Zatím, co jsem si na serverech všiml, tak je výrazně pomalejší boot. :D To je takový ten přístup: "Chtěli jste rychlejší startování? --- Taky my jsme řekli, zapomeňte!"

Chvíli mi trvalo než jsem došel na to, že pro konfiguraci disků v RAIDu před instalací WinServer 2008 R2 musím do UEFI, tam přejít na zařízení, tam odentrovat RAID řadič, počkat než to spustí ovládací soft na řadič a tam vytvořit RAID a teprve pak instalovat WinServer. :D

[Bedňa]

UEFI by práve malo zrýchliť boot. Podľa mňa je to dobrý koncept unifikovanej medzi vrstvy k hardvéru. Znamenalo by to že ovládače do UEFI by dal priamo výrobca a hociktorý systém by k ním pristupoval cez nejaké unifikované rozhranie. Samozrejme páni z MS to využijú jedinú funkciu blokovanie ostatných systémov. Pokiaľ sa mýlim opravte ma.

[davadu]

Mělo zrychlit je hezký předpoklad, ale ani na jednom serveru jsem nepocítil žádné zrychlení. Ten stroj, co s BIOSem a dalšími boot potvorami na zařízeních tvrval cca 3 minuty, tak je s UEFI asi tak 2x delší, tedy ne na stejném stroji. UEFI mám na nových serverech, které jsou papírově tak 6x-8x výkonnější než ty s BIOSem.

Ono je to asi dané těmi třetími stranami, jak do toho rvou ty ovladače na zařízení.

Jediná zařízení u kterých jsem si všiml, že EFI/UEFI výrazně zrychlilo boot, je asi platforma Apple. Takový MacAir bootuje neskutečně rychle.

[Bedňa]

Tak to by som sa pozrel na čom to viazne, najskôr nejaká služba čaká na odpoveď až do zrušenia timeoutu. Inak neviem ako je to s Linuxom a UEFI, možno vôbec nevyužíva jeho prednosti a tá dóba bootu by tomu napovedala.

[jos]

jestli sem ten zdroj pochopil správně, tak potíž je v tom, že GRUB2 je pod GPLv3, tudíž ho nemůžou distribuovat s těma privátníma klíčema, nebo tak něco; prostě se nejedná o zámek na dodavatele ale o licenční potíže

[Mrkva]

Tak podle GPLv3 by se musel distribuovat se soukromymi klici - a na to zadna CA nepristoupi (temi klici by pak kdokoliv mohl podepsat cokoliv).

Ale tohle fakt neni licencni problem. Pokud nepujde tahle featura vypnout, nebo nepujdou importovat vlastni klice, pak proste nespustim vlastni (nebo vlastnorucne zkompilovany) bootloader..

[pavlix]

Jen tak dál. Vidím to tak, že mezi těmi, co už něco znají se ještě více uchytí opensource a třeba i openhardware, protože to za nějaký čas bude jediný způsob, jak bude moci člověk normálně nakládat se svým vlastním vybavením, na které si vydělal.