SUSE a UEFI Secure Boot

Po Fedoře, Ubuntu a OpenBSD byl zveřejněn plán řešení UEFI Secure Boot také v SUSE. Plán je stejný jako ve Fedoře. Předzavaděč shim podepsán Microsoftem. Podrobněji na oficiálním blogu SUSE. Diskuse také na serveru Slashdot.

9.8.2012 09:25 | Ladislav Hagara | Zajímavý článek

Komentáře

[asdfsdf]

Najednou je vam ten MS dobry, co ? Krasne s Vami HW firmy a MS vyjeb*li

[Pavel Čejka]

Dobrý? Ani omylem.

Ale nelze se mu vyhnout trole.

[Jardík]

Vyhnout se tomu lze, stačí, když si uživatel tu vojebárnu vypne, nebo si koupí desku, kde je to vypnuté. Pokud si uživatel koupí pc s Windows, kde to bude zapnuté a bude chtít linux, tak když zvládne jeho instalaci, tak zřejmě zvládne přepnout jednu volbu v uefi configurátku stejně, jako se tam dřív chodilo přehazovat bootovací pořadí disků (než někdo přišel na šikovnou klávesu pro výběr^^)

[TM]

Říká se tomu komplex méněcennosti. Prý je to těžko léčitelné, ale máte naději.

[little.owl]

Pokud chcete provozovat Linux na pocitacich a komponentech oficialne designovanych pouze pro Windows, musite se prizpusobit pozadavkum Windows. Tak tomu bylo vzdy, co je na tom noveho?

[pavlix]

No to jo teda, v přidělávání práce rozhodně.

[waaaaaaaa]

cize tento zavadzac bude vediet spustit aj nepodpisany kod, t.j. spyware :) a to im uz nevadi.

No snaha M$ vybrat dalsie poplatky za licencovanie

[Sten]

To jsem si myslel taky, co ale zveřejnila Fedora, bude to normální TiVo, zavaděč spustí jenom kód podepsaný Fedorou (nebo SUSE) a ten zase neumožní DMA pro nic, kromě jaderných modulů, které ale taky budou muset být podepsané.

[Dreit]

Doufám že to nebude na serverech

[Michal Kubeček]

Já bych spíš řekl, že na serverech něco takového (jako volitelná možnost) má mnohem víc smysl než na desktopu.

[Heron]

Asi tak. Mě se tam myšlenka velmi líbí. Jasně, umím si představit jiný systém certifikátů a podpisů, než stávající komerční CA (třeba něco jako DNSSEC nebo GPG) a určitě si umím představit jinou autoritu, než MS (ale nemám s tím větší problém). Jako systémové řešení je to velmi pěkné.

V distribucích máme podepsané balíčky, vše se kontroluje a ověřuje, tak proč nemít ještě podepsaný bootloader / jádro.

[pavlix]

Když já poslední dobou zjišťuju, že se mi líbí myšlenka za hromadou projektů. Ale výsledky těch projektů už kolikrát moc ne.

[xkucf03]

Souhlas, ale tady to bude ještě horší (myšlenka vs. záminka).

[Michal Kubeček]

Ano, na to jsem zapomněl: kromě volitelnosti bych jako podmínku dal, že bude možné (a prakticky proveditelné) použít k ověřování vlastní klíč (např. firemní nebo ditribuční).

[little.owl]

Presne tak, cely problem se Secure Boot je jen a pouze o managementu klicu, jinak je to uzitecna vec.

[Michal Kubeček]

V případě distribucí určených pro nekvalifikované domácí uživatele je tam i efekt "klacku pod nohy". Pokud si Windows "prostě nainstalují" (nebo počítač rovnou s nimi koupí), zatímco "ten Linux" bude potřebovat, aby vlezli do setupu a něco tam "složitě nastavovali", bude to pro ně o důvod víc Linux nevyzkoušet. Že to není vina Linuxu ale Microsoftu a výrobců počítačů, to sice víme my, ale tento typ uživatelů to nezajímá. Což je také důvod, proč se Fedora rozhodla "ohnout hřbet" a OpenSuSE pravděpodobně půjde stejnou cestou.

[little.owl]

V případě distribucí určených pro nekvalifikované domácí uživatele je tam i efekt "klacku pod nohy".

S tim bych souhlasil, nicmene pro vetsinu nekvalifikovanych domacich uzivatelu je cely retezec Secure Boot, tak jak ho implementoval MS, spise prinosem.

Jinak jsem rad, ze i [open]SUSE zvitezil pragmatismus nad ideologii.

[Dusan]

Áno pragmatizmom vred k svetlým zajtrajškom (rozumej otroctvu).

Myslíš, že by si mal slobodný OS bez minimálne z jednej strany ne-pragmatickej GPL?

[little.owl]

ne-pragmatickej GPL

A podle vas GPL neni pragmaticka?

Áno pragmatizmom vred k svetlým zajtrajškom (rozumej otroctvu).

To je presne ta ideologie o ktere mluvim.

[Dusan]

Tak dobre vysvetlím to čo som tým všetkým myslel.

A podle vas GPL neni pragmaticka?

Z toho že sa zakladá na viere, že ľudia budú slobodne spolupracovať a prispievať do kódu a zároveň stvoria niečo. A dôležité je to slovo slobodne. toto platí pre FOSS.

S tím otroctvom som to myslel tak, že ak niekto tvorí pravidlá (teraz MS) bude ich skoro vždy tvoriť vo svoj prospech.

Ďalej treba si uvedomiť, že táto požiadavka vznikla bez naozajstného konsenzu a MS tú požiadavku proste ekonomicky pretlačí. Prečo myslíte, že nemá takú istú požiadavku pri x86 (pretože antimonopolné konanie).

A pragmatické rozhodnutie: v prípade ak nemáte na výber dve slobodné alternatívy (ako napríklad v tomto prípade ) tak vaše rozumové rozhodnutie je len prijatie niekoho nadvlády. A čím väčší počet rozhodnutí vás núti isť proti vašej vôli, tým väčšmi sa stávate otrokom. Aj keď tie rozhodnutia boli rozumové a v tej chvíli sa zdali výhodné.

Prečo sa Linux foundation a ostatné distribúcie nedohodli na nejakom postupe? Treba si uvedomiť, že v Linux foundation je plno významných firiem.

[Michal Kubeček]

"Svobodný" ve smyslu toho, jak to chápe FSF, ne. Open source ano.

[Ondrej 'SanTiago' Zajicek]

Jako systemove reseni to hlavne moc problemum nebrani.

V okamziku, kdy utocnik ma prava na to prepsat zavadec, je to stejne uz v podstate ztraceno. Proste zavede rootkit, ktery nemeni jadro, ale uchyti se jen v userspace (initrd a startovaci skripty) a jadra se 'zmocni' vzapeti po bootu. BTW, tusite nekdo, jaka je vubec situace se soucasnymi rootkity, jsou realne nejake takove, ktere by opravdu menily jadro ci bootloader?

[little.owl]

Proste zavede rootkit, ktery nemeni jadro

Verifikovane jadro muze verifikovat aplikace.

[Ondrej 'SanTiago' Zajicek]

To je pravda, nicmene ten chain duvery uz tak jako tak byl porusen, jinak by utocnik dane opravneni vubec neziskal. Pokud utocnik rootovse opravneni ziskal napr. skrz local root exloit chyby v jadre, tak je jen otazka, zda se te same chyby neda rovnou vyuzit i k spusteni kodu v kontextu jadra (bez ohledu na jakekoliv verifikace). A i kdyby ne a jinak vsechno fungovalo tak jak ma, tak proste v systemu akorat utocnik bude pritomen nepersistentne a v pripade rebootu akorat dojde k automatizovanemu opetovnemu napadeni.

[little.owl]

skrz local root exloit chyby v jadre,

Tak jasne, tohle je ale uplne neco jineho, od toho jsou tu technologie jako SELinux.

[Sten]

Útočník nemůže přepsat zavaděč tak, aby se zavedl, protože nebude podepsaný. Navrhované řešení je možnost přidávat klíče jen přes UEFI aplikaci, která hned po bootu paměť na klíče zamkne a odemknout půjde jen restartem.

Co se týče odchycení user space, tak to se dá řešit třeba antiviry, které poběží jako jaderný modul.

[xkucf03]

Jako systemove reseni to hlavne moc problemum nebrani.

+1

A hlavně to jde řešit mnohem jednodušeji a už strašně dlouho – stačí bootovat z CD nebo ze síťového disku (či jiného média) pouze pro čtení.

BIOS může být udělaný tak, aby šel flashovat/konfigurovat např. jen při zapojení určitého jumperu na desce. A není potřeba kvůli tomu podporovat monopolní postavení nějakého výrobce nebo házet uživatelům klacky pod nohy.

[Lol Phirae]

A hlavně to jde řešit mnohem jednodušeji a už strašně dlouho – stačí bootovat z CD nebo ze síťového disku (či jiného média) pouze pro čtení.

BIOS může být udělaný tak, aby šel flashovat/konfigurovat např. jen při zapojení určitého jumperu na desce. A není potřeba kvůli tomu podporovat monopolní postavení nějakého výrobce nebo házet uživatelům klacky pod nohy.

Ale o to MS vůbec nejde. Oni za celou dobu nebyli schopni zabránit tomu, asi si lidi jako na běžícím páse vyráběli 100% "genuine" Windows Vista/7 tím, že si přidají do BIOSu SLIC 2/2.1 tabulku s licencí, která ty Wokna aktivuje. Ve Woknech se už jen instaluje xrm-ms soubor s odpovídajícím certifikátem výrobce a univerzální klíč (funguje od kteréhokoliv OEM pro danou edici). Ty bláboly o bezpečnosti jsou úplný nesmysl.

[TM]

Kolik je takového škodlivého kódu(bootovacích virů, které virtualizují původní OS, protože MS-DOS, kde je použitelný boot virus snadno funkční už jaksi není zrovna běžný), aby to bylo nutné? Mně to tedy spíš připadá jako výplod chorého mozku, který se náramně hodí k dělání "vopruzu", chce - li uživatel používat něco svého. Že se toho MS chytí bylo naprosto jasné.
Koneckonců, k čemu je UEFI kromě inovace pro inovaci a vyvolávání zdání pokroku? K čemu je tak komplikovaný zavaděč zavaděče OS, konfigurátor hw a setup? Pro to aby se dala používat GPT(skutečný pokrok) takový nesmysl nutný není. Pouze přibydou nové problémy a ztráty času. Co myslíte, že budu dělat na PC před instalací libovolného OS? No vypínat tu secure boot blbost, abych nemusel řešit s ní spojené problémy...

[Ondrej 'SanTiago' Zajicek]

No, pred instalaci OS je stejne treba v BIOSu prenastavit spoustu option z nesmyslnych na aspon trochu rozumne hodnoty, takze ze k tomu pribyde jedna option navic je uz detail.

[little.owl]

Kolik je takového škodlivého kódu(bootovacích virů, které virtualizují původní OS, protože MS-DOS, kde je použitelný boot virus snadno funkční už jaksi není zrovna běžný), aby to bylo nutné?

Jde o cely bezpecnostni retezec, nikoliv pouze o boot.

Mně to tedy spíš připadá jako výplod chorého mozku

Tak ty vyrobky chorych mozku nekupujte.

Co myslíte, že budu dělat na PC před instalací libovolného OS?

Se svym PC si delejte co chcete.

[TM]

No ano, celý "bezpečnostní řetězec" - další spousta zbytečného problémového balastu do už tak ne úplně ideálního prostředí jako je PC. Proboha, to je přece POČÍTAČ - tedy univerzálně použitelný nástroj a ne bedna pro idioty, která bude sama rozhodovat, co na ní smí být rozběhnuto a co ne.
Rád bych výrobky chorých mozků nekupoval, to mně věřte. Jenže debilizace postoupila v mnoha směrech do té míry, že už vlastně nemám na výběr. Potřebuju smartphone třeba s klávesnicí? Nebylo k mání nic lepšího než HTC Desire Z s uhozeným matlacím kapacitním displejem. Zrovna dnes jsem nemohl přijmout důležitý hovor, protože ten bazmek vyžaduje při příjmu ne stisknout tlačítko(jedno jediné tam na čelním panelu pořád je), ale sáhnout na displej a táhnout zhora dolů - debilita nejhrubšího zrna - displej pochopitelně občas nezareaguje.... A kolik času jsem ztratil, abych získal roota a mohl z telefonu odstranit různé ty Fejcbůky a další pubertální vychytávky, které mně tam ti dobrodinci dali, aniž se mě zeptali, jestli chci aby mě to tam za mé peníze otravovalo!
Děsím se toho, že si jednou koupím PC nebo třeba i jen základní desku a najdu tam cosi podobného. Přesně tak - se svým PC si chci dělat to co já chci, je to přece POČÍTAČ.

Nejste vy nějaký agent s teplou vodou?

[little.owl]

Patlate vsechno pate pres devate.

Nejste vy nějaký agent s teplou vodou?

Nejsem a narozdil od vas jsem UEFI spec alespon prolistoval a napsal uz jednoduchou efi aplikaci.

[TM]

UEFI studium mám také za sebou. Nikde tam nevidím, k čemu je to dobré. Jen spoustu zcela zbytných blbostí a jako relativně zkušený člověk (prošel jsem za těch 25 let několika firmami a dost projekty) si myslím, že základním účelem takových projektů je vyvíjet nějakou činnost, aby nešlo tvrdit, že se nic nedělá a někdo za tu "inovaci" dobře zaplatil.
Jestli pletu páté přes deváté těžko říci, ale na výběr už mnohdy opravdu nemám a je hrůza za co musím dávat peníze, pokud něco potřebuji. Opravdu nerad bych se toho dočkal, až si pořídím nové PC. Zatím to vždy byl univerzální nástroj a rád bych, aby to tak zůstalo.

Ta Anglie na vás má asi vliv, že ano? Mám s ní zkušenost - nikde v Evropě nenajdete tolik naivních hloupých ovcí jako tam a žádná jiná civilizovaná evropská země není tak profízlovaná...To asi nějak souvisí...Podepsaný zavaděč, jádro, moduly atd... je přece pro naše dobro a jen terorista chce zavádět svoje vlastní

[little.owl]

No jiste.

Ja si celkem rad zaflamuji, to je tu celkem znama vec, ale s vami by to byl ztraceny cas.

[TM]

Aspoň máte trochu rozumu. Opravdu ztracený čas.

[ET]

naprostej souhlas s TM

[heh]

Naprosty souhlas.

[Mrkva]

No, ono to vypadá, že MS podepíše komukoliv (kdo zaplatí) cokoliv. Takže je to zas jen naprostá zbytečnost. Jen doufám, že ty slavné klíče MS půjdou vykopat a budu si tam moct nahrát vlastní.

[little.owl]

Na serverech se treba UEFI pouziva jiz mnohem dele nez na desktopech.

[loki]

A jak se bude resit, kdyz si nekdo kompiluje vlastni vanila kernel??? Kdo mu to podepise? :)

[Zopper]

Nikdo, tohle je hlavní důvod. Lidé, kteří si dovedou zkompilovat vlastní jádro, a nejsou pod dozorem (tj nedělají to v nějaké laboratoři) jsou nebezpeční a je v zájmu společnosti jim v tom zabránit. Kdyby šlo opravdu jen o bezpečnost, tak se tento problém jednoduše vyřeší.

[little.owl]

Zase ideologie.

[TM]

Jaká ideologie proboha? Co je špatného na tom, že si někdo chce zkompilovat vlastní jádro Linuxu? A co je špatného na tom, že si chci třeba hrát na svém PC a třeba napsat úplně vlastní velmi jednoduché až primitivní jádro operačního systému a zkoušet si ho, jak jsem to kdysi dělal?
To už jsme dospěli tak daleko, že mně v tom bude nějaký hejhula v kravatě bránit? Já věřím, že stále ještě ne - ale je cítit, jak by se to některým docela i líbilo.
Opravdu agent s teplou vodou...

[little.owl]

Lidé, kteří si dovedou zkompilovat vlastní jádro, a nejsou pod dozorem (tj nedělají to v nějaké laboratoři) jsou nebezpeční

A tohle ma byt podle vas co?

Co je špatného na tom, že si někdo chce zkompilovat vlastní jádro Linuxu?

Na to neni spatneho vubec nic a nikdy jsem nic jineho netvrdil.

[TM]

Ta první věta je velmi výstižná nadsázka dobře vystihující mentalitu Dobrodějů dnešní doby. Ještě chybí poznámka o tom, že pouze terorista má potřebu ve svém PC něco měnit. Žádná ideologie.

Když na tom není nic špatného, proč hájíte nástroje, které pod záminkou bezpečnosti právě toto znepříjemňují? Teď výrobci umožní "secure" boot vypnout, za pár let už třeba ne...Záminka se jistě najde.

[ovoce]

Ta první věta je velmi výstižná nadsázka dobře vystihující mentalitu Dobrodějů dnešní doby.

Já bych spíš řekl, že ta věta krásně vystihuje spíš mentalitu salónních anarchistů-hispterů dnešní doby, kteří pořád někde vidí nějaké ilumináty tak jako vy a na internetu proti nim brojí. Ach jak je to krásné být pronásledovaným apoštolem! (Tedy pokud se při tom člověk anchází mezi židlí a klávesnicí.)

:P

[TM]

Ach jo. Malokdo ma tak daleko k salonnim anarchistum jako ja. Ovsem pokud nevidite tlak na uzavirani komunikacni/vypocetni konzumni elektroniky pred uzivateli a snahu uzivatelum vnucovat omezujici reseni s moznosti tezit z nich data, jste patrne slepy.

[ovoce]

No dost možná se zrovna ve vás mýlím, proč ne. Pardon, já to ani moc nemyslel jako konkrétní navážení, spíš v obecnosti.

Nezdá se vám, že stylizovat se kvůli těmto věcem (uzavírají přede mnou telefony, skandál!!!1) do role nějakého digitálního mučedníka spoustě blbečků na internetu dělá náramně dobře?

[r23]

Uzavírání ? No to snad ne. Objektivně vzato, nikdy nebylo na trhu tolik tak otevřených zařízení jako dnes. Dříve jsem dostal krabičku (HW+FW - třeba mobilní telefon) a jakákoliv modifikace byla prakticky nemožná. A dnes.... můžete si dělat téměř cokoliv, třeba já mám celý experimentální systém schopný bootovat linux na otevřeném procesoru a implementovaný na FPGA....

[little.owl]

Souhlas, nehlede k tomu, ze situace se Secure Boot nebude tak horka.

[little.owl]

Od toho je tam shim a jmeno "shim" neni vybrano nahodou ...

[Honz]

"Shit him"...?

[little.owl]

Vedle!

[Delaunay]

Shim Horde Inside Microsoft?

[Delaunay]

Nebo "Shim Hell is Microsoft"?

[loki]

Vim, ze to je asi zvlastni reseni, ale coz mit podepsany nejaky bootloader (grub, lilo, atd.) a tim si uz zavadet co chci?

[little.owl]

To naopak velmi logicke reseni - kouknete se co dela shim.

[loki]

Tak jsem na to kouknul a abych pravdu rekl, tak se mi moc nelibi, ze mi ma microsoft milostive posvetit software, ktery hodlam bootovat. Doufam, ze desky budou umet pridat vlastni klice tak, abych desce mohl rici, ze toto jadro je opravdu to, co jsem si zkompiloval a chci jej zavest. Nejlepsi by bylo, kdyz by slo tuto novou funkci vypnout a bylo by. Mam pocit, ze jsem nekde cetl, ze alespon u x86 architektury by to mozne melo byt. Hardware, u ktereho to nepujde, si rozhodne nekoupim.

[little.owl]

ze mi ma microsoft milostive posvetit software, ktery hodlam bootovat.

Problem je v tom, ze se snazite nabootovat system designovany pouze pro Windows, to je spise vec vyrobce HW nez Microsoftu.

[Rezza]

Tak oni vyrobci jak se ukazuji by radi meli i ne MS klice. Kupodivu se tomu nebrani. Mjg59 ale odmitl myslenku vtlacit pres RH klice Fedory, ze by do bylo pro komunitu diskriminacni. Ideal by bylo mit free software autoritu, ale to neni jen tak :(

[little.owl]

Mjg59 ale odmitl myslenku vtlacit pres RH klice Fedory, ze by do bylo pro komunitu diskriminacni.

Tomu moc nerozumim .... on by to byl spise probllem pro RH, nez Fedoru.

[Rezza]

No jakoze Fedora ma za sebou Red Hat, ktery by byl schopny ten klic protlacit do vetsiny HW. Ale pak by se mohly distribuce, ktere nemaji tuhle silu citit ukrivdene.

[little.owl]

OK, diky.

[pavlix]

Já s tím naprosto souhlasím, Fedora by se měla vyčleňovat jinými věcmi než protekcí u výrobců hardware za pomoci silného komerčního sponzora.

[Martin Mareš]

Mně tedy přijde, že systémy založené na autoritách prostě v praxi nefungují – SSL je toho naprosto typickým příkladem. Rozhodovat o tom, co je důvěryhodné a co ne, by měl uživatel, ne nějaké autority vybrané výrobcem počítače.

[Michal Kubeček]

IMHO právě situace kolem SSL a certifikátů v prohlížečích celkem názorně ukazuje, že většina uživatelů přemýšlet, rozhodovat a nést zodpovědnost nechce, a ráda tohle všechno nechá na nějaké autoritě. Takže se asi můžeme jen snažit tlačit na to, aby ti, kdo takhle neuvažují, měli možnost udělat si to po svém.

[xkucf03]

+1

Navíc PKI je v správná myšlenka, která spočívá v tom, že jeden subjekt (CA) prověřím důkladně, místo abych prověřoval každého zvlášť (což bych tak důkladně nedělal nebo ani dělat nemohl – např. při návštěvě každého webu). Jestli někdo ale na tu první půlku zapomíná a bere si z toho jen tu druhou, tak je to bohužel jeho chyba…

[Martin Mareš]

Problém je, že důkladným prověřením by nejspíš žádná z běžných CA neprošla. Prakticky u všech jsou dobře zdokumentovány vážné bezpečnostní incidenty.

PKI je krásná myšlenka, ale život ukázal, že v celosvětovém měřítku nepoužitelná. Malé PKI stvořené pro určitý účel (třeba pro vzájemnou komunikaci uvnitř jedné firmy) fungují dobře, velké PKI selhávají – mimo jiné proto, že jsou tak slabé, jako nejslabší článek systému.

Větší problém ale je, že pro různé účely potřebujete certifikovat různé informace. Pokud se připojuji k náhodnému diskusnímu serveru na webu, chci především vědět, že je to tentýž server, se kterým jsem se bavil minule, a nic jiného mně nezajímá. Naopak u banky bych si přál vědět, že je to server vlastněný konkrétní firmou, což je něco úplně jiného.

Podobně při bootování mají různí lidé různé představy o tom, co je bezpečné a co jsou ochotni na svém stroji spouštět.

[little.owl]

rozhodovat a nést zodpovědnost nechce

Ma to jeden hacek - abyste se mohl kvalifikovane rozhodnout, musite mit informace. Nebo cas a energii je sledovat a analyzovat. A pokud je nemate, muze byt delegace pravomoci na nekoho duveryhodneho logicke reseni.

měli možnost udělat si to po svém.

Ano.

[xkucf03]

U PKI na webu, kde člověk leze na spousty různých webů, ano. Ale u startování počítače bych to řešil jednoduše nějakým jumperem na desce (fyzický přístup ke stroji stejně znamená plná práva). Něco jiného je třeba bootování ze sítě – ale tam to zase může řešit něco typu Etherboot.

[Martin Mareš]

(1) Typicky chci nainstalovat OS, který jsem si přinesl na určitém médiu a autorům toho OS se právě chystám svěřit všechna svá data, takže jim nejspíš docela věřím. Jaké další informace potřebuji? A proč by měl na mém počítači jít nabootovat program, který sice kdosi schválil, ale já ho tam rozhodně nechci. Už teď se vyskytuje malware pro Windows, který je naprosto korektně podepsaný microsoftími klíči. Není důvod si myslet, že u secure bootu tomu bude jinak.

(2) Předpokládáte, že tu někdo takový důvěryhodný je. U SSL nejspíš není, u secure bootu takřka jistě ne (MS už mnohokrát předvedl svou nekompetenci tváří v tvář bezpečnostním problémům).

[little.owl]

autorům toho OS se právě chystám svěřit všechna svá data, takže jim nejspíš docela věřím.

A prave proto je duvod verifikovat pres Secure Boot, ze bootuji jejich software.

ale já ho tam rozhodně nechci.

Tak si ho tam nedavejte.

[Martin Mareš]

A prave proto je duvod verifikovat pres Secure Boot, ze bootuji jejich software.

V tom případě bych ovšem měl do svého firmwaru přidávat klíč patřící autorům OS, nikoliv spoléhat na nějakou třetí stranu, o jejíž důvěryhodnosti lze úspěšně pochybovat.

[little.owl]

Takze jsme zpet a jedinym problem je moznost pridavani/odebirani vlastnich klicu, nikoliv Secure Boot.

[Martin Mareš]

Problémem je především to, že je jako bezpečné prezentováno něco, co bez nahrazení klíčů vlastními vůbec bezpečné není. Security theater.

Správa klíčů (a správné rozhodnutí, komu a čemu lze důvěřovat) je alfou i omegou každého kryptografického systému. UEFI ji pořádně neřeší a nabízí jen chabé prostředky k tomu, aby si ji člověk vyřešil sám.

[little.owl]

Existuje UEFI integrovane s TPM (zde a zde), ale MS to neproslo jako povinne neb by to bylo drahe.

[Lol Phirae]

Existuje UEFI integrovane s TPM

Takže když dám dvě rozbité věci dohromady, tak se to zázračně spraví? Já jen, že to TPM na tom bylo ještě hůř než Secure Boot.

[little.owl]

To myslite tu vasi trapnou story s updatovanim firmware?

[little.owl]

Lehky popis mate tady, dalsi clanek ktery byl podrobnejsi uz nemohu najit ...

[Martin Mareš]

IMHO právě situace kolem SSL a certifikátů v prohlížečích celkem názorně ukazuje, že většina uživatelů přemýšlet, rozhodovat a nést zodpovědnost nechce, a ráda tohle všechno nechá na nějaké autoritě.

Nevšiml jsem si, že by někdo té většině uživatelů dal rozumně na výběr

Například Mozilla je bez certifikačních autorit téměř nepoužitelná, jednak se schválením každého certifikátu otravuje přímo nebetyčně, jednak to ruční schvalování certifikátů vůbec nefunguje u obrázků, JavaScriptů a stylesheetů. Sám ji takhle nakonfigurovanou mám a například rozchodit Google Maps bylo ukrutné.

[Michal Kubeček]

Cokoli od Googlu je porod, poslední dobou mám pocit, že mění certifikáty svých serverů snad ob týden… :-(

[Ladislav Hagara]

Na blogu SUSE byly zveřejněny další detaily: SUSE and Secure Boot: The Details.
Tentokrát i s obrázkem.

[little.owl]

Diky za odkaz, v podstate plne prevzali Fedori pristup, ktery resi vetsinu problemu na ktere uzivatel muze narazit.

[Vojtěch Pavlík]

Ne tak docela, alespoň pokud je mi známo, Fedora neumožňuje uživateli přidat si vlastní klíče a spoléhá na to, že to půjde v nastaveních UEFI. Což moje zkušenosti s prvními skutečnými implementacemi zatím nepotvrzují. [Jsem autorem článku na suse.com.]

[michich]

Pravda. Matthew Garrett už k to komentuje:

In summary, it's pretty similar to the approach we're taking in Fedora [...] The main difference between the approaches is the use of a separate key database in shim [...] It's a wonderfully elegant solution. [...] I suspect that we'll adopt this approach in Fedora as well - it doesn't allow anything that our solution wouldn't have, but it does make some of them easier. Full marks to SUSE on this.

[little.owl]

+10

[Petr Ježek]

To vypadá, že se ještě někde pracuje místo planého žvanění...

[little.owl]

Fedora neumožňuje uživateli přidat si vlastní klíče a spoléhá na to, že to půjde v nastaveních UEFI.

S tim mate myslim pravdu. Vas pristup s MOK klici a hash ulozenym jako EFI variable je dobry a pokud by tuhle cast Fedora prevzala, vubec bych se nezlobil.

[Rezza]

Jak muze byt plan stejny jako ve Fedore, kdyz ve Fedore porad nevime jak to budeme resit? Ted zrovna odepisuji mail :)