Windows 10: Secure Boot nemusí jít vypnout

Microsoft prezentoval předběžnou verzi hardwarových požadavků pro získání loga "Designed for Windows 10". Podle arstechnica.com přinášejí výraznou změnu v přístupu k UEFI Secure Boot: na rozdíl od předchozích verzí nemá být vyžadována možnost jej vypnout, což umožní prodej počítačů, na které nepůjde instalovat vlastní operační systém.

21.3.2015 11:50 | Michal Kubeček | IT novinky

Komentáře

[ES]

Chá Chá. no takovy "hardware" ať si nechaj.....

[Slavko]

Ak sa to nezarazí, tak časom iný HW nekúpite...

Náš administrátor shledal tento komentář závadným.

vulgární

Zobrazit komentář

[Jendа]

Zkurvený Micro$hit

Spíš výrobci počítačů, ne? MS bych vinil kdyby tam bylo napsáno, že to nesmí jít vypnout (jako je to u Windows Mobile), nikoli že je mu to jedno.

[Bubak]

že to nesmí jít vypnout (jako je to u Windows Mobile),

... to be continued... ?

[Mustafa]

Muzes zacit uhrousi, na skladce stavet pc z bordelu z devadesatek. Prej open source hardware buhehe

[pwgenem náhodně generovaný řetězec]

Tento komentář je sice sprostý, ale bohužel vystihuje špatnost situace.

[sim]

Komentář korektní. Kde je palec nahoru?

[R]

Presne toto som hovoril, ked vznikol secure boot (na objednavku M$): ze v dalsej verzii uz vypnut nepojde.

[Radovan]

A nejenom ty, asi tři dny zpátky jsem si to připomněl: http://rover623.blog.zive.cz/2012/01/microsoft-lzeme-a-krademe-uz-vic-jak-20-let/

"A nakonec vyjádření MS, že nebude zneužívat secure boot, tady"

Aneb, cokoliv co M$ řekne je lež, a cokoliv špatného se o M$ řekne je pravda

[martin]

Presne toto som hovoril, ked vznikol secure boot (na objednavku M$): ze v dalsej verzii uz vypnut nepojde.

A temer jako pokazde, zase jsi nemel pravdu :)

[R]

Pockaj si, ked sa zacnu predavat PC s Windows 10...

[mikirc]

Nemuze to byt brano jako zneuziti postaveni a ziskazi jeste vetsiho monopolu nez ma MS ted?

[Václav Vanc]

Řekl bych, že ne. Protože to jestli to pude vypnout nebo ne závisí jen na výrobci základní desky/notebooku.

[the.max]

Jasně, ale výrobce, kterej to zakáže, bude mít výrazně nižší ceny na OEM licence.

[pwgenem náhodně generovaný řetězec]

A protože je běžná praxe nezveřejňovat úplně všechny parametry, tak to bude problém na který narazíme.

[Rezza]

Dokud budou bez reci podepisovat, tak neni problem a porad je to lepsi, nez vetsina HW, kde nic jineho nejde. Ale osobne si myslim, ze to tenkrat kolem secure bootu komunita hodne potento. Vyrobci desek meli zajem podporovat Linux. Ale pulka rekla secure boot nikdy, druha zase chtela usetrit a...

[Jendа]

Přiznám se, že mi není jasné, jak to má fungovat.

Dokud budou bez reci podepisovat

Takže teď ti podepíšou třeba GRUB, který ti umožní spustit cokoli dalšího? Nebo kernel s podporou kexec libovolného kódu? Jaký pak má celá ta šaškárna smysl?

[trekker.dk]

Takže teď ti podepíšou třeba GRUB, který ti umožní spustit cokoli dalšího?

Nepodepíšou. AFAIK se podepsat smí jenom to, co zajistí, že nepůjde spustit nepodepsaný kód. Tj. GRUB nevyhovuje a Linux s povoleným kexec taky ne.

[pc2005]

Ani Linux s povoleným /dev/mem (kupodivu používám dost často a párkrát i na x86 ). BTW kompilace vlastních kernel driverů taky může modifikovat paměť.

[Rezza]

MS podepisuje jen shim. Co se pak deje, to uz mu je jedno. Nevim v jakem stavu je ted podepsany od mjg, ale proste si stahne clovek ten jeho. Pokud tedy neni uz blacklistovany :D. A clovek vubec nemusi ani s MS mluvit.

[pc2005]

Takže to zatím MS jako certifikační autorita toleruje? Co zabrání nabootovat v tom shimu rootkit místo unsigned kernelu?

[vasek]

Někde jsem četl jak to funguje a tvoří to (nebo může) něco jako řetězec důvěry EFI - shim - grub - kernel.

[Rezza]

Link

[pavlix]

Zatím to toleruje, protože se to zatím tolerovat hodí, vzhledem k tomu, že není zdaleka většina hardware se zamčeným secure bootem. Tolerovat to přestane se zjevným odůvodněním až ve chvíli, kdy se to vyplatí.

[pc2005]

Blé .

[Rezza]

"> This makes me wonder whether Microsoft should revoke OEL7's shim, since it can boot Oracle's UEK kernel and that kernel allows unsigned kexec.

The answer is: yes, it is a clear problem. *But*, the stated policy of the CA is to only blacklist things that are being actively exploited in the wild. So don't expect to see blacklists roll out for it until somebody ships the UEK kernel as part of their exploit."

Tohle je odpoved od Petera Jonese na LWN. Zaroven jeho prvni komentar je, ze cele tohle pozdvizeni je jen copy paste problem ve slajdech :D.

[Michal Kubeček]

So don't expect to see blacklists roll out for it until somebody ships the UEK kernel as part of their exploit.

To zní jako návod… Automaticky se mi vybavuje ta scéna z Obecné školy, jak Hnízdo (Tříska) říká "Já bych to do školního rozhlasu neříkal."

[M!ky8]

Co vlastně ono logo přinese výrobci HW kromě marketingových výhod?

[L_l]

A jake marketingove vyhody by to vyrobcum HW melo prinest?

[Jix0]

To je takova zhovadilost ze by to snad i Bleka zbavilo poruchy :D.

To se pak budou hezky diagnostikovat Windowsove pocitace za pomoci live linuxu, kdyz na tom zadny ani spustit nepujde :D. Uz nad soucasnymi "Win8 Certified" stroji si nekdy trham vlasy, protoze na tom rozumne cokoliv jineho krome windows, nefunguje .. To snad aby zacaly vznikat PC sestavy a notebooky bez OS. Ale stejne vetsina BFU to resit nebude protoze potrebuje ten svuj posranej facebook, na ktery si budou ukladat svoje "selfíčka" :D . A zbytek tech zkusenejsich si poskladaji PC sami..

[pwgenem náhodně generovaný řetězec]

+1

Až na to, že mnozí ze zkušenějších by rádi používali i notebooky, nejenom sestavená stolní PC. A u notebooků to bude právě největší problém, už teď je výběr zatraceně zoufalý (vše na jedno brdo, vše s nejrůznějšími vadami - ošizené vylevňováním, ztenčováním a podléhající módě na úkor praktičnosti).

[kyknos]

+42

[Pepan]

Ž konečně ten zkurvený M$ neženou v EU k soudu. Ať si to používají v uSA

[Jendа]

Tohle je podle mě spíš problém výrobců hardware.

[xkucf03]

Správné logo na hardwaru je toto: Respects Your Freedom

[Jendа]

Aha, a proto je hned první počítač na té odkazované stránce s backdoorem. Tak určitě.

[xkucf03]

Ale jak z toho ven? IMHO jsou dvě základní cesty:

• Postupně posouvat tu hranici (programy → operační systém → BIOS a další firmwary → plně otevřený hardware) a vracet věci do normálu. Připomínám, že to není tak dávno, co vypadal svobodný operační systém jako utopie a to, co existovalo, jen jako hračka pro děti. Dneska je v podobné pozici svobodný hardware. BTW: Why We Need Free Digital Hardware Designs.
• Začít stavět na zelené louce, dělat si vlastní čipy, desky, karty a stavět z nich počítače – s tím, že na začátku budeš mít třeba nějaký jednočip, kterému můžeš věřit a který bude umět šifrovat krátké textové zprávy – ale budeš se muset vzdát většiny toho, co ti dnešní počítače nabízejí. Tady by asi bylo nejlepší se složit a koupit nějakého výrobce čipů, otevřít jeho výrobní procesy a zveřejnit znalosti jeho zaměstnanců.

Přičemž oboje může probíhat současně, bojovat na dvou frontách a časem se to někde sejde. Notebook s RYF nálepkou je příklad té první cesty – znamená posun o kus k lepšímu.

Případně jsou další možnosti:

• Vyvíjet software tak, aby mohl bezpečně běžet na nedůvěryhodné platformně (nevím, jestli to jde).
• Testovat možnosti nepřítele a porazit ho jeho vlastními zbraněmi. Viz třeba ta „podezřelá“ klíčová slova v e-mailech – ale dá se jít mnohem dál – a podle toho poznáš, co všechno je schopný číst, případně mu zahltíš systém a přineseš tolik šumu, že nenajde to, co hledal. Případně ovládnout policejní, armádní a vládní počítače nebo počítače zaměstnanců, kteří pracují v těch továrnách na HW… protože oni mají taky často procesor od Intelu. Je otázka, kolik lidí na to má schopnosti a žaludek…

[L_l]

Prvni bod je patrne nejschudnejsi a asi nejvice pravdepodobnou cestou, jak by se to dalo udelat (jak z toho ven). Vzdyt sam RMS hovoril, ze nebyt komunity, rada veci by nebyla, proste by se nepohnula. Dalsi veci je osveta verejnosti. Stale eexistuje mnoho lidi, kteri nevi o nejakem "free" neboli libre software. A kdyz uz se dozvi, tak potom netusi k cemu je to vlastne dobre. A dal se neyajimaji. Je ovsem videt, ze potrebujeme oboji - libre software, libre hardware.

[Jendа]

Já se přiznám že si nedokážu ani představit, jak by měl auditable open design vlastně vypadat. Obzvláště od té doby co jsem četl Stealthy Dopant-Level Hardware Trojans. Udělat opravdu bezpečný software je strašně složité, ale alespoň tuším, jak by se taková věc dělala. U HW? Vůbec. (ale to samozřejmě neznamená, že to někdo chytřejší nevymyslí)

Případně ovládnout policejní, armádní a vládní počítače nebo počítače zaměstnanců, kteří pracují v těch továrnách na HW

Nepomůže. Například bylo odhaleno, že Sony instaluje do počítačů zákazníků backdoory, že Samsung instaluje zákazníkům do mobilů backdoory a pak spousta věcí které se mi nevejdou do komentáře. A vůbec nic se nezměnilo.

[Radek Miček]

Já se přiznám že si nedokážu ani představit, jak by měl auditable open design vlastně vypadat. Obzvláště od té doby co jsem četl Stealthy Dopant-Level Hardware Trojans.

Ten problém je, že ani specifikaci toho HW nejde verifikovat nebo nejde verifikovat až fyzický kus toho HW?

[Jendа]

Pokud je možné bezpečnost specifikovat, tak by se program mohl dodávat s důkazem, že je bezpečný.

Ano, to jsem myslel tím bezpečným SW.

Ten problém je, že ani specifikaci toho HW nejde verifikovat nebo nejde verifikovat až fyzický kus toho HW?

Specifikaci by mělo jít, ale vyrobený kus právě těžko.

[Radek Miček]

Specifikaci by mělo jít, ale vyrobený kus právě těžko.

To by pak člověk musel mít nějaké důvěryhodné zařízení, které by mu ten HW vyrobilo podle specifikace

[xkucf03]

Specifikaci by mělo jít, ale vyrobený kus právě těžko.

IMHO se to dost blíží softwaru. Specifikace HW ~ zdrojový kód softwaru napsaný někým třetím. Výroba HW ~ distribuce softwaru.

Distributor SW ti taky kompiluje binární balíčky a ty mu většinou prostě věříš a dekompiluje se to taky špatně. Máš ale zajištěnou bezpečnou cestu mezi distributorem a tebou – pomocí elektronického podpisu. Totéž bychom potřebovali pro HW – různé zapečetěné obaly, krabice, u kterých se po otevření nenávratně změní stav, takže je poznat, že s tím někdo manipuloval. Nebo aspoň znát přesnou hmotnost výrobku → poznáš, že tam někdo přidal nějaký čip navíc, třeba HW keylogger (aby zachoval původní hmotnost, tak by zase musel odbrousit třeba kus plastu, což by bylo poznat). Pokud by jen přehrál firmware, mohl by sis po obdržení HW nahrát vlastní stažený přímo od výrobce a elektronicky podepsaný.

Kdyby někdo vyráběl Arduina nebo RPi s backdoorem, tak je to podobné, jako když někdo začne dělat distribuci a bude dodávat binárky Firefoxu, LibreOffice a dalších programů s malwarem.

[pc2005]

Totéž bychom potřebovali pro HW – různé zapečetěné obaly, krabice, u kterých se po otevření nenávratně změní stav, takže je poznat, že s tím někdo manipuloval.

To by byl zajímavej projekt na komunitní financování. Akorát v případě distribuce do USA (apod.) by ti brzo na dveře zaklepali zástupci třípísmenkových agentur s neodmítnutelnou nabídkou.

[xkucf03]

V podstatě by to mohla být krabice protkaná dráty + napojený jednočip s displejem, na kterém by se zobrazovalo generované číslo (každých třeba deset minut jiné) a ty by sis ho mohl zkontrolovat proti nějaké službě odesílatele (nebo proti offline algoritmu a klíči). Při přerušení/zkratování drátů by ten jednočip vymazal paměť a nezobrazoval nic nebo čas, kdy k incidentu došlo.

[pc2005]

To by byla legrace posílat do ciziny, celníci by z podivné krabice plné drátů a s displeje, na kterém naskakujou čísla byli hodně rádi .

[Václav HFechs Švirga]

LOL

[Jendа]

To s těmi distribucemi je také smutné, nicméně se plánuje reproducible build.

[Grunt]

No spíš tu máš vždycky možnost sestavit si vlastní LFS nebo použít Gentoo. U nich vždy stahuješ balíčky z důvěryhodného zdroje.

[pavlix]

Akorát to pak na tom secure bootu možná budeš spouštět akorát tak ve windowsí virtuálce.

[Jendа]

Pak máš zase problém kde stáhnout zdrojáky a kompilátor.

[Grunt]

Z důvěryhodných zdrojů. Odkud odjinud taky?

[Radek Miček]

Udělat opravdu bezpečný software je strašně složité, ale alespoň tuším, jak by se taková věc dělala.

Pokud je možné bezpečnost specifikovat, tak by se program mohl dodávat s důkazem, že je bezpečný.

[pc2005]

Pokud bude ten čip upraven tak, aby byl například invertor pořád otevřen, tak to musí jít otestovat testovacími vektory (které právě testují třeba to, že je některej tranzistor proraženej nebo přerušenej). Ty sice kompletně nepokrývají všechny poruchy v designu, protože by to trvalo roky, ale na druhou stranu jsou kvůli tomu i generovaný náhodně, takže by nějakej invertor měly být schopný zachytit. Takže v tomhle případě by se prostě přidal další test jako třeba u Rowhammeru.

U designu v FPGA si navíc můžeš jednotlivé dráty a logiku otestovat i přímo vlastním designem (i když z reverzního inženýrství se asi zblázníš ).

[Jendа]

Případně ovládnout policejní, armádní a vládní počítače nebo počítače zaměstnanců, kteří pracují v těch továrnách na HW… protože oni mají taky často procesor od Intelu. Je otázka, kolik lidí na to má schopnosti a žaludek…

To může být obecně těžké provided that signed payload is used. (ten blábol cituju snad nejčastěji ze všech věcí co jsem kdy napsal :)

[pochybnik]

Although completely fake, our report demonstrates ...

[pc2005]

Hehe, ale je fakt, že to varování by mělo být spíš na začátku. Takhle to u někoho, kdo dostane infarkt už po abstraktu vyvolá paniku .

[radek]

Chápu to dobře, že dřív aby byl certifikován pro windows, tak secure boot MUSEL jít vypnout a teď to závisí na výrobci desky? A v čem je MS tak špatnej, že už nevyžaduje, aby šel secure boot vypnout?

[R]

Uvidis o dva roky, ked sa nebude predavat takmer ziadny (novy) HW bez povinneho secure bootu.

[chrono]

Microsoft nemôže zakázať vypínanie secure boot, takže teraz to oficiálne nechá na výrobcoch (a samozrejme ich bude neoficiálne motivovať, aby sa to vypnúť nedalo).

Inak je dosť možné, že to nejako súvisí aj s tým ich chaotickým vyjadrovaním sa k tomu, či budú, alebo nebudú poskytovať Windows 10 aj používateľom nelegálnych Windows (a ak áno, za akých podmienok).

[Michal Kubeček]

V těch požadavcích (ještě nejsou definitivní) má být mimo jiné i to, že počítač se musí dodávat se aktivním "secure bootem". Ano, je tam úlitba, že to, jestli půjde vypnout, se ponechá na rozhhodnutí výrobce (u desktopů, na mobilních platformách jít vypnout nesmí - ale tam to tak bylo už u Windows 8). Ale vzpomenete-li si na obchodní praktiky Microsoftu, jako třeba neveřejné nabídky zvýhodněných cen OEM licencí pro výrobce/prodejce, kteří se zavázali dávat Windows do všech počítačů, byl byste si ochoten vsadit, že nebudou výrobci podobně zákulisně motivováni, aby se rozhodli vypnutí "secure bootu" neumožnit?

[xxxs]

nakoniec to moze vypalit aj proti ms.

[xhc]

koniec linuxu? ... príliš "scifi" ... (či?)

[Jendа]

Pořád si můžeš koupit Raspberry Pi… Nebo milión počítačů v bazaru.

[Kvakor]

Nebo vývojové desky, desky pro embedded zařízení, serverové desky nebo rovnou celé servery (i když většina rack/blade serverů je na domácí použítí šíleně hlučná).

[R]

Uz len cakam, kedy sa Red Hat dohodne s M$, ze bude aj na serveroch povinny secure boot a pojde tam nainstalovat len Windows alebo RHEL.

[Nobody]

To zas budou chudacci vyrobci hardware plakat, jak jde trh dolu, protoze lidi nenakupuji. Treba nove notebooky. Mizerne displeje, jeste horsi klavesnice, rozlozeni konektoru uz ani ne mizerne, protoze ty tam pro jistotu skoro nejsou, vymena baterie nebo disku = komplet rozborka sborka. Snad jen vykon novych Uckovych CPU lze pochvalit, obvykle predci 8-10 let stara Core 2. A k tomu secure boot...

[bogo]

Mizerne displeje, jeste horsi klavesnice

Meh, same nedulezite kraviny. Dulezite je prece, ze je o 24% tenci!

Jo a tady ti Apple engineer vysvetli jak se dnes delaj laptopy

[Jendа]

Tu honbu za tenkostí vůbec nechápu. Notebook nosím v batohu a limitující jsou pro mě ty dva větší rozměry (a ty jsou určeny displejem a klávesnicí), tloušťka klidně 5 cm by mi vůbec nevadila. Totéž mobil (ale nepoužívám), radiostanice tlustá 3 cm mi vůbec nevadí, navigace má taky pár centimetrů a v kapse jde opět o ty další dva rozměry.

[Michal Kubeček]

Někdy tloušťka hraje roli, třeba když člověk potřebuje, aby se mu fotobatoh na letišti vešel do limitu pro palubní zavazadlo. Ale z tohoto pohledu jsou už současné honby za milimetry dávno bezpředmětné.

[Duff]

To mi něco připomíná http://www.bugemos.com/?q=node/444 . Ten druhém odkaz je španělská varianta Hitlera?

[Bill Gates]

Ja nevim, ale windows only system nemuze byt nikdy zajimavy pro 100 procent zakazniku. Jak se uz nekolikrat u opensource projektu ukazalo, pokazde se najde dost financne silna (a dle predpokladu i nekolikrat vice silna - kolikrat se vybralo nekolikrat vice nez se ocekavalo) cilova skupina schopna zaplatit vyrobu a vyvoj opensource HW, schopna ho koupit jako hotovy vyrobek, kde pujde provozovat/bootovat cokoliv. Toho bych se skutecne nebal:) Ta hystericka diskuze vyse je docela zabavna :)

[Jendа]

Jak se uz nekolikrat u opensource projektu ukazalo, pokazde se najde dost financne silna cilova skupina schopna zaplatit vyrobu a vyvoj opensource HW

To mi právě moc nepřijde… O jaké projekty třeba šlo?

[Miriam]

Třeba OpenMomo

[ivan]

Obavam se, ze to dopadne tak, ze volba zustane jen u nejdrazsich modelu. To rychle dojde vsem vyrobcum "Chces neco mimo mainstream? Priplat si".

[Pavel 'TIGER' Růžička]

Tak daleko to nedojde, je třeba si uvědomit, že jsou státy, kde se investují nemalé peníze k přechodu na Linux. Takže pokud komunita nevyvyne dostatečný tlak na výrobce, tak tyto státy zcela určitě ano. Navíc mohou mít problémy v podobě pokut, atp. Lowendy, ať si klidně zamknou, u profi mašin za několik desítek tisíc si to nikdo netroufne, protože v takovém případě se stává ten stroj neprodejným.

[Jiří J.]

Ale to je právě ta největší hrozba pro "hobbyisty" - velmi reálně si dovedu představit situaci, kdy existuje vyvolená sada distribucí (RHEL/Centos, Ubuntu, Debian), kterým bude bootování povoleno, ale jen pokud mají podepsaný kernel, který neumožní spouštět nepodepsané moduly. To nevadí v 98% komerčního nasazení linuxu. My, kteří si kompilujeme vlastní kernely, prostě ostrouháme (najdeme si jiný HW).

A nevěřím v žádné "Red Hat / SuSE / Canonical / FSF to nedovolí" - pokud půjde o rozhodnutí mezi nedodáváním produktu zákazníkům (krach) nebo zklapnutí a pokračování v pochodu, je volba pro firmy jasná. A nemyslím, že prostředníček od Linuse tentokrát zabere.

[kyknos]

kroporace to samozrejme dovoli, ale nevim proc mezi ne tahas FSF

[Rezza]

Jak uz jsem to tu psal - secure boot je nejvetsi fail komunity v tom, cim se prezentuje - v komuniti veci. Zrovna ta sada vyvolenych distribuci uz minule mela moznost proste mit sve klice v HW, ale odmitli to. Prave z duvodu drzet basu se zbytkem linuxoveho sveta. A zbytek toho sveta zase rikal, ze se nepripoji nijak, protoze restricted boot. Pritom je to ten zbytek, co tak nema rad tripismenkove agentury a secure boot zrovna zde prinasi celkem slusne moznosti, jak se branit. Linux Foundation je zase jen marketingova znacka, kdo zaplati, tomu daji pozehnani. Tak se ani nestala zadna floss autorita :(. Ano, mel jsem chut do toho trosku kopnout s par lidima, ale tenkrat byla osmnactka a to bylo vic nez dost :D.

[Nobody]

Uz vidim tu obranu. Zastupce tripismenkove agentury prijde do Microsoftu nebo jine korporace a rekne: potrebujeme podepsat tenhle nas rootkit, vec narodni bezpecnosti. A zastupce Microsoftu rekne: ne, tohle my nedelame, my chranime soukromi a bezpecnost uzivatelu. Chvile ticha. Pak oba vybuchnou, breci smichy, vali se po zemi. Nakonec si zastupce Microsoftu utre slzy a doda: tak kde to mam podepsat?

[pc2005]

(ale ve skutečnosti je to smutný)

[Delaunay]

[Martin Mareš]

Slušné možnosti, jak se bránit? Pro třípísmenkové agentury bude nejspíš podobně snadné získat podpis pro svůj rootkit, jako bylo získat ho pro falešné SSL certifikáty. Možná dokonce jednodušší: nechají si podepsat něco, co je na první pohled legitimní boot-loader, ale jsou v tom bezpečnostní díry, kterých si podepisující nevšimne, ale agentura je umí zneužít.

Kryptografická kontrola bootovaného OS je sama o sobě dobrý nápad, ale háček je v systému správy klíčů. Pokud klíče vydává džungle "důvěryhodných" certifikačních autorit, nebo dokonce usvědčený monopolista, sotva to dopadne dobře.

Přitom problém by bylo možné vyřešit i elegantně: stačilo by, aby firmware kontroloval hashe toho, co bootuje, oproti svému seznamu důvěryhodných hashů, a v případě neshody vyzval uživatele, ať potvrdí, že toto opravdu nabootovat chce (ideálně srovnáním s hashem z důvěryhodného zdroje). Pak si na vás tak snadno nepřijde ani ta třípísmenková agentura.

[Pev]

+1

[Jiří J.]

Řezza asi myslel secure boot skutečně jen jako technologii - v tom případě by sis mohl v BIOSu nahrát vlastní seznam klíčů a zahodit ty od MS (jak to umí většina x86 základek dneska), pak by ani podepsaný rootkit neuspěl. Na druhou stranu ochrana před NSA/KGB/.. to není, výrobce HW tam vždy může mít tajně schované výjimky pro tyto agentury, aniž by o tom uživatel či dokonce MS tušil.

V důsledku to pak ochrání možná před spolubydlícím, který by mi mohl chtít vecpat svůj kernel / initramfs, ale už ne před "autoritami". Stejně jako "zamknutí" bootu, jak to uměly starší Thinkpady. Stejně jako HW šifrování v některých dražších HDD.

[Miriam]

Podle mě rozumné rozhodnutí pro bezpečí zákazníka. Nikdo neříká, že nebude možnost prodávat ten samý hardware bez Secure Boot, některé pochybné existence jistě budou mít zájem o ztrátu vlastního bezpečí.

[kyknos]

na zadnem svem pocitaci zadne secureboot nemam a jako ztratu to nepocituji :)

[Miriam]

a z jednoho případu mám zobecňovat? Ty jsi mě nepochopil, díky bohu, že se neživíš jako vědec, to by to dopadlo.

[kyknos]

nemyslim, ze bych byl jediny pripad

[Miriam]

Jenže tvůj názor nikoho nezajímá.

[kyknos]

myslim ze spis nez ten tvuj :)

[Miriam]

Ano. Tvůj názor spíše někoho nezajímá než můj, to jsi trefil hlupárku přesně

[pc2005]

Ha! Říkal jsem to . Teď už jen aby zakázali vlastní klíče a přikázali secureboot a linux bude vydán na milost a nemilost několika bitů (klíče) vydávaných v MS.

[pc2005]

Naštěstí na novým Zynqu bude čtyřjádrovej 64bit ARM, takže Win10-compatible stroje můžu opustit .

[Radovan]

Zní to hezky, ale:

1. Kolik to u nás stojí?
2. Dá se to koupit v běžném českém obchodě?
3. Kolik lidí to bude používat?
4. Kolik běžných periferií s tím bude fungovat?

Já mám zatím v plánu aspoň čtyřjádrovou Malinu, ale až někdy v létě.

[pc2005]

1. Hodně, i když si uděláš vlastní desku, tak stále hodně .

2. Hmm možná, ale až za hodně dlouho a cenově o řád víc (navíc ještě nezačli ani distribuci). Jinak samozřejmě tyhle věci (čipy) je nejlepší kupovat přes společný projekt (asi jako openmoko), kde se koupí třeba tisíc kusů a dostaneš superslevu.

3. Čím víc, tím líp . Na fast-single-thread náročné aplikace to ale nebude.

4. Koukal jsem se do seznamu zařízení a snad by to už mohlo mít pár host PCIe linek (ale blbě se v tom orientuje). Ostatní rozhraní budou tipuju +- stejné jako obvyklý ARM SoC, zbytek si napíšeš .

[Radovan]

1. A na tom to hasne
2. Nojo, když já jsem spíš sólista
3. Jo, takže za dvacet let to bude používat jedno procento jako Linux?
4. Nenapíšu, zase tak dobrý nejsem. Představ si jak by to používali lidé kteří něco takového vůbec nedovedou.

Tím pádem mi zbývá furt jen ta Malina, aspoň že tak. Ale neměl by se touhle dobou už vyrábět ten serverový Elbrus? 64 bity, 8 jader, a Linux na tom poběží! Navíc to že mě bude možná šmírovat FSB je mi mnohem méně proti srsti než to že mě bude určitě šmírovat CIA, NSA, GSHQ, Intel, M$, Google a ještě hromada dalších, všichni najednou...

[pc2005]

1. Tak samozřejmě si můžeš koupit "normální" počítač, velmi levný a velmi prošpikovaný hw backdoory.

3. Jedinej problém s FPGA je ten, že mají tak o řád nižší výpočetní výkon a vysokej odběr. Na druhou stranu umí rekonfiguraci, takže se můžou výpočetní prostředky poddajně měnit za běhu úloh. Schválně koho by před 20 lety napadlo, že jednou někdo bude psát "realtime" simulátor 3D celulárního automatu v Javě (!) .

4. Představ si jak by Linux používali lidi, co neumí programovat kernel kód .

[tq]

že mě bude možná šmírovat FSB je mi mnohem méně proti srsti

To souvisí s politickou orientací. Proč by člověka s tvými názory měla FSB šmírovat? Aby ti udělila vyznamenání?

[Radovan]

A proč mě šmíruje CIA? Aby mě zavřela ne Guantanamo?

[bogo]

...

5. bude to mit >= 4G pameti ? uprimne 4 a 8jadrovych kravin je vsude spousta, akorat kdybych na kazdem jadre pustil g++ tak to zacne okamzite swapovat... to je mi k nicemu. Proc neumi nikdo udelat ARM s SO-DIMM slotem ?

[pc2005]

Oni ještě ani nevydali programovací datasheet (jen nějakej brief). Ale předpokládam, že s velikostí podporované DDR paměti nebude u FPGA problém (podle všeho tam bude až DDR4 řadič). Na vývojové desce (jiná řada bez CPU, viz. diskuze o Rowhammeru) je normálně notebookovskej DDR3 SO-DIMM.

Si pamatuju, že okolo OMAP3 byla na tohle téma diskuze s nějakým hardware inženýrem z Texaských Nástrojů () a prej, že to nešlo, protože jednak ten interface není kompatibilní a jednak, že to jejich řešení má vyšší rychlost (už nevím přesně co, ale tipoval bych, že místo 64bit sběrnice použili dvě 32bity pro nezávislé paralelní přístupy).

[bogo]

To zni fajn. Akorat otazkou je cena. Ty vyvojarske kity jdou do tisicu (USD), nebo se mylim ?

[pc2005]

Bohužel ano, vypadá to, že cena za oficiální desku je taková, aby výrobce neprodělal i kdyby měl vyrobit byť jen jeden exemplář vůbec . Ale reálná cena sériové nebo amatérské výroby je často o řád nižší.

[little.owl]

Problem neni Secure Boot, to je v podstate uzitecna vec. Problem je management klicu/certifikatu a pripadne podpisovani Microsoftem pro Windows only designed zarizeni.

[Rezza]

Diky, konecne to tu nekdo napsal.

[biolog]

+1

[jadd]

Jako zpráva hezký ale trotl každý kdo se k tomu vyjadřuje s nějakými závěry, když je to jen nepodložený článek, bez oficiálního vyjádření a navíc když W10 ještě ani nevyšlo.

admin: Odstraněno formátování.

[pavlix]

Trotl je ten, kdo má pocit, že jeho komentář je něco víc komentáře těch ostatních a celý ho nepatřičně zvýrazňuje.

[pavlix]

Děkuju adminovi za nápravu.

[jadd]

To mělo být upozornění a to se většinou zvýrazňuje aby si toho čtenář všiml dříve než udělá chybu.

[little.owl]

Microsoft poskytuje system requirements pro ziskani certifikace "Designed for Windows XX" svym HW partnerum dlouho pred vydanim oficialniho releasu.

[jadd]

A kdyby tak by to bylo ku prospěchu. Konečně by se komunita dala dohromady a vytvořila opensource hw. Kdo tvrdí, že je pro něj opensource víc než to, že za něj nemusí platit musí být rád, že se ledy mohou konečně hýbat.

[Laco]

Nejak mi to hlava nebere. Fanaticky linuxovy fetisisti sa posrali z nejakej spravicky z Windows sveta.. Nedajboze niektori z vas maju dual-boot? :)

[Bystroushaak]

Nepochopil jsi, a tím ses prozradil.

[jadd]

Většina tomu věř.

[Gilhad]

Jasne ze mam dual-boot (casto i vice nez dual), to ovsem jeste vubec neznamena, ze bych mel pouzivat nejake MS nesmysly - jen mam proste pro ruzne ucely ruzne konfigurace :)

[Michal Kubeček]

Já hlavně nechápu, jak by s tím měl dual boot souviset - "secure boot" je problém i bez dual bootu.

[paul2no]

Já si zrovna nedávno říkal, jestli to u PC (obzvlášť notebooků) nekdy dospěje do stádia, že přehráním OS na nějaký "nepodporovaný" (či jiným zásahem do SW - třeba rootnutím u Androidu) ztratím podle výrobce záruku, stejně jako třeba u mobilů, kde je to normální věc. A oni zatím takhle.

No, myslím (doufám), že případný nevypnutelný SecureBoot se snad bude týkat jen hotových sestav, tam by to snad až tak vadit nemuselo. Hlavně aby to nebylo i v deskách, co se budou prodávat samostatně. A přece jen asi uživatelé linuxových systému nejsou BFU, takže než hotovku, tak si radši PC poskládají sami podle svého.

[Michal Kubeček]

Já se hlavně bojím toho, aby to vůbec šlo zjistit předem. Teď mám třeba základní desku, která je jinak skvělá, ale někomu připadalo zbytečné mít dvě oddělené funkce "vyžadovat heslo pro vstup do setupu" a "vyžadovat heslo pro boot", tak je prostě sloučil (přestože v manuálu se popisují jak dvě různé funkce a v setupu se to tváří jako dvě funkce). Takže se obávám toho, že jednoho dne si předem stáhnu manuál k základní desce, ověřím si, že tam je možnost "secure boot" vypnout, pak si tu desku koupím a zjistím, že ta položka v setupu prostě není. (A někde vzadu bude drobným písmem cosi o tom, že výrobce si vyhrazuje právo cokoli změnit oproti dokumentaci.)

[pc2005]

Tak tu desku prostě do 14 dnů vrátíš ne?

[jadd]

To těžko když bude bez závad, záleží na prodejci ale pochybuju. Pořád může kontaktovat podporu výrobce a když nebude ani s vyjádřením spokojen, prostě to kupovat nebude.

[petr_p]

Za prvé nárok je na vrácení bez udání důvodu a zdruhé výrobek zákazník kupuje od prodejce, ne od výrobce. Tak ať se prodejce smeká. (Nehledě na to, že výrobce, který prodej outsourcuje na prodejce, se s člověkem, který chce jeden kus, otěžovat nebude.)

[jadd]

A platí to u použitého zboží? Já vyměnil kalhoty ve Sportisimu bez problémů ale jen proto, že jim nechyběly cedulky a zpoží tudíž bylo po jednom vyzkoušení dále prodejné. Pak nekupovat v Alze nebo CZC protože ti často lžou i na svých stránkách. Když jsem měl stolní pc a v něm desku od MSI, nemohl jsem si u online podpory (české) výrobce stěžovat.

[petr_p]

Samozřejmě. Smyslem je, že při koupi dálkovým způsobem nemůžete výrobek vyzkoušet a tudíž se přesvědčit o všech jeho vlastnostech.

[pc2005]

Přinesu USB a starý komp. Nabootuju na starým kompu → OK. Začnu bootovat na novým kompu → secureboot fail, což je docela velká vada pro použití. Požádám o odblokování, nebo o vrácení peněz. (+nedá se do 14 dnů odstoupit od koupi bez udání důvodů?)

...popřípadě nastoupí in-system flashing UEFI .

[Jendа]

Pořád může kontaktovat podporu výrobce a když nebude ani s vyjádřením spokojen, prostě to kupovat nebude.

Doporučil bych ti tento postup někdy vyzkoušet třeba u mobilních telefonů nebo tiskáren a DRM. Pak nám můžeš napsat co ti výrobce řekl :).

[jadd]

Telefon mám stále Nokia E51 a Android nechci, počkám na W10 telefon. Tiskárnu bych koupil od Brotheru kompatibilní s Linuxem a DRM neřeším, protože mi nevadí. Než něco koupím pořádně si to ověřím dle recenzí které si umím snad vyhodnotit, jestli jsou to opravdové recenze nebo zaplacené výrobcem.

[Jendа]

Telefon mám stále Nokia E51 a Android nechci

No a? DRM není žádná novinka, má ho i Siemens S6 z roku 1998.

Tiskárnu bych koupil od Brotheru kompatibilní s Linuxem a DRM neřeším, protože mi nevadí.

A mně zase jo.

Než něco koupím pořádně si to ověřím dle recenzí které si umím snad vyhodnotit, jestli jsou to opravdové recenze nebo zaplacené výrobcem.

Ještě jsem neviděl recenzi na mobil nebo tiskárnu kde by psali o přítomnosti či absenci DRM. Navíc k tomu aby se to zjistilo si to musí ten první chudák koupit. A taky to že najdeš recenzi na nějaký model vůbec nic neznamená, výrobce klidně vymění vnitřnosti nebo alespoň firmware a prodává to pod stejným označením dál.

[pwgenem náhodně generovaný řetězec]

+1

Přesně toho se obávám taky. Už dneska je obtížné všechny detaily dohledat a secure boot je prostě jen komplikace, nebo důvod k reklamaci (nepůjde-li vypnout).

Btw... možnost vrácení bez udání důvodu máte i v kamenné prodejně (stejně jako v eshopu), pokud vám prodejce zboží nepředvedl. Což většina prodejců nedělá a se základní deskou to dost často ani nejde.

Lituji prodejce předem, protože tohoto práva budu určitě využívat, jakmile na sviňárnu typu secure boot narazím.

[Jendа]

Ale notebook se skládá blbě.

[pc2005]

BTW získat roota můžeš i firmwarem (dělaj se ještě video BIOSy?) PCI karty. Takže v případě opravdu bezpečného bootu by se musely zakázat necertifikované karty (nebo by v UEFI musel bejt nějakej virtuální stroj, co bude blokovat přístup přes IOMMU).

[R]

Kto vidi, ake su OS derave, tak je mu jasne, ze Secure Boot nie je nastroj na zvysenie bezpecnosti systemu, ale na obmedzovanie pouzivatela.

[r4in]

Takže v Orwellovské budoucnosti budeme mít pouze notebooky s Windows, nebo s Chrome OS? No fuj.

[Delaunay]

K plnohodnotnému zabezpečenému počítači budou mít povolen přístup jen majitelé certifikovaného informačního pasu a zbrojního průkazu.

[the.max]

Pokud bude stačit splnit pouze jednu podmínku, jsem v klidu, zbroják mám

[|🇵🇸]

Konjunkce. Neslyšeli? NIKDY?!