Zážitky z podepisování UEFI předzavaděče

James Bottomley zveřejnil v říjnu na svém blogu plán Linux Foundation na řešení problému UEFI Secure Boot. Jejich Microsoftem podepsaný předzavaděč bude dostupný všem linuxovým distribucím. V dnešním příspěvku se věnuje problémům, které musel na cestě za podepsaným předzavaděčem zatím překonat. Zaplatit 99 USD Verisignu je nejmenší problém. Větším problémem je vytvoření účtu na Microsoft sysdev, podepsání papírových smluv, uložení předzavaděče ve formátu Microsoft Cabinet, Silverlight, Moonlight, KVM, Windows 7. Potvrzení, že podepisovaný binární kód není pod licencí GPLv3. Dlouhé čekání na email od Microsoftu. Dotaz, zda se jedná o Win32 aplikaci. Po odpovědi, že se jedná o 64bitový UEFI binární soubor opět čekání. Po získání podepsaného souboru email od Microsoftu, že soubor je podepsán nesprávně...

20.11.2012 18:42 | Ladislav Hagara | Zajímavý článek

Komentáře

[jiri.one]

ms-hell

[zdsafgtsergt]

precetl jsem si clanek, to mi pripomina nejakou "peknou" totalitku!

[Vac]

Korporátní prostředí. Procesy a jejich deadlines. Takhle to chodí všude, kde je důležitá certifikace iso místo efektivity.

Corporation, (Noun). An ingenious device for obtaining individual profit without individual responsibility." - Ambrose Bierce

[michi]

No…čekal snad někdo něco jinýho?

[l4m4]

Čekal jsem, že to tak snadno nepůjde...

[Xerces]

Asi těžko. Spíš se divím Jamesovi, kde sebral tu vůli se do toho pustit.

[mankind_boost]

Zajímavá je ta diskuze - MS prý může přes Windows Update zapisovat do UEFI seznamu klíčů - a tak vytvořit blacklist (!), tudíž můžou v budoucnu odstřelit Linux raz dva. Otázkou je, jestli je to pravda (nikde na netu jsem to nenašel - nehledě na to, že by to byla gigantická bezpečnostní díra)

[zdsafgtsergt]

otevreny hardware, otevreny hardware, otevreny hardware !!!

[balki]

+1

[2012]

MS se odstreli sam, az vyda cloudovy win9...

[xkucf03]

Další důvod, proč si na počítač nedávat MS Windows.

[PanZvedavy]

takze MS konecne nasel ultimatni tool(ve spolecnosti uefi HW) na boj s kradenyma windowsama? Tohle uz zachazi trochu moc daleko... Co bude nasledovat? Povinost uzivatele mit ucet na msn,FB,twitru a jinych srackach s povinne vyplnenymi detailnimi informacemi...jinak se windows priste nespusti?

[Jendа]

Tohle uz zachazi trochu moc daleko...

Tak akorát daleko na to Windows nepoužívat ;)

[PanZvedavy]

Ano to by bylo nejlepsi. Ale pote co jsem na rok zmigroval na tehdejsi ubuntu 10.4 a vydrzel na nem skoro cely rok, tak jsem se musel pokorne vratit k win. Je smutne, ze i dnes je odezva linux dekstopu ve srovnani s win zalostna. Cert vi jestli to sou Xka, nebo neco jineho, ale kazde prostredi krom konzole ma vetsi ci mensi lag a po nejake dobe to jde na nervy. Samozrejme kazdy ma jine naroky na svuj desktop, ale me prozatim linux na desktopu neuspokojil...mozna to vyresi wayland ci jak se to jmenuje, ale prozatim si virtualizuji Kde 4.9 ciste z nostalgie na win7 a doufam v lepsi zitrky. Nicmene pravda je, ze si obcas zahraju pro odreagovani i nejakou tu hru, takze jednu starsi masinu s win budu potrebovat i v budoucnu.

[Luboš Doležel (Doli)]

Lag si pamatuju na PC s Linuxem naposledy kolem roku 2004/2005, mimo PC pak na různých ARM SoC jako CuBox. Jinak ne.

[pavuk]

skus to otocit - nainstaluj si Linux a virtualizuj Windows

[dede]

To je nesmysl, clovek potrebude napriklad Autocad...ty reakce ve virtualnim stroji jsou primo silene. neni to nmici chyba, proste je to utopie

[Ravensun]

Autocad jde nahradit Drafsight Cadem, Na tvorbu 2D výkresů je velmi dobrý. Pravda nejsem takový profík, abych mohl potvrdit kompatibilitu se všemi těmi vychytávkami, který Autoacad LT nebo Autocad v 2D režimu má, ale pravda je, že jsem zkoušel otevřít jeden svůj a jeden zákazníkův výkres z Autocad v Drafsight cadu (pro zajímavost) a velmi mile mě Draftsight překvapil. V práci mám Autocad LT 2008 a musím říct, že některé funkce mi z Draftsight v Autocad LT chybí a že kdyby naše firma nebyla tak velká, tak bych doporučil Draftsight do naší konstrukce a za úsporu na licencích, bychom si pořídili větší monitory a lepší HW, které nám tak dlouho slibují.

Rovněž mě překvapilo, že Drafsight Cad má i českou podporu. Tím, že jsem tam po pravdě vyplnil registrační folmulář, tak mě kontaktoval jistý pán, který byl velmi ochotný ve všem poradit, což mě mile potěšilo.

Dále ještě jedna malá výhoda Draftsight:

Umí pracovat s DWG výkresy

A jedna nevýhoda:

Pokud se nemýlím, tak source code neexistují. Prostě jen binárka Což ale mě osobně nevadí, protože na Drafsith cadu se intenzivně pracuje (soudím tak z mailů, které mě informují o nových verzích atd..)

Toť mé zkušenosti s Cad

[tomo_tn]

Draftsight naozaj otvori, pre mna zatial kazdy vykres z cadu, pracujem vo firme kde sa otvaraju desiatky vykresov a DS pouzivam hlavne ked ZWcad/ Acad si z vykresom nevie poradit. Jedine co sa mu da vytykat je nizsia rychlost oproti Acadu alebo ZW. To ale plati ibe pre vykresy z mnoho elementami...

[balki]

Nemozno dobre virtualizovat na PMD. Ak to ma clovek v plane, treba si kupit dobre vybaveny pocitac. Mam i3 s 12 gb ram a stalo to dokopy 500 eur. Co nie je vela.

[Rovano]

Lagů je v každým systému spoustu. Nevím co přesně máte na mysli. Mně teď lagovali Windows 7 se všemi opravami po svém startu asi 7minut. Odtud ten název? Je to protivné. Člověk si stihne udělat kafe, než to na obstojném hw(2jádro Intel,3GB RAM) nastartuje. A to se tu nespouští nic moc po startu krom antiviru a jedné Java aplikace.

Nemáte na mysli jednoduše jen špatné grafické ovladače? KWin s efekty se špatnými ovladači laguje hodně. To je pravda.

[JoHnY2]

Lagovani na Linuxu hodne zalezi na kombinaci DE->X->Driver->GPU+CPU, je tam prilis mnoho veci co na to ma vliv. U widli bezi stary 2Dcko plynule snad vsude, protoze ho u XPcek utahne 400Mhz CPU a Aero je vyladeny tak aby dobre chodilo na vsem rekneme GMA950 pocinaje. Navic si kazdej vyrobce da velkyho bacha aby mu na jeho driverech chodilo Aero jak ma. MS mu bez toho ani neda WHQL certifikaci.

[PanZvedavy]

Lagem mam na mysli prodlevu mezi akci provedenou uzivatelem a reakci pracovniho prostredi na nej. Ubuntu 10.4 64bit LTS jsem provozoval na Q6600, 8GB ram, SSD, GF280 vse samozrejme s poslednima ovladacema. V zaveru jsem uz zkousel kde co vcetne ruznych navodu a ladeni, ale lag tu byl stale. Pak sem jeste chvili zkousel KDE 4.8 ci kolik v te dobe to bylo a jeste horsi odezva nez gnome a to po ruznych ladenich, vypinanich efektu apod. Tohle se zkratka nemuze v dnesni dobe na plnohodnotnem desktopu dit. Argumenty typu, vzdyt je to zadarmo a delaji to nadsenci ve svem volnem case...kohoto dnes z koncovych uzivatelu zajima? Windows maji taky zadarmo od znameho ci kamarada a tam to zkratka bezi, takze to musi bezet i u "konkurence". A samo cim vic aplikaci spustim, tim system vic laguje(KDE), u windows7 mam spustenych v taskbaru 50 oken, od terminalu vseho druhu, virtualizace, tri ruzne browsery etc a svina drzi, je porad svizna i po 50 nebo 80 dnech nonstop provozu, kdy to restartuju kvuli ms updatum. Vim i o dalsich kdysi linuxu vernych lidickach, kteri po posledni kapce s transformaci gnome 3 a celkove krizi desktopu na linuxu vubec utekli se stazenym ocasem ke zlemu billovi. Hanba jim a hanba me, ale ted namatkove marne hledam duvod proc bych mel migrovat zpatky na linux desktop. Situace, kdy se cely desktop jeste vice stepi na ruzne unity, gnome3, cinamon, mate..to opravdu dela medvedi sluzbu.

[aceman]

Tak preco nepouzivate KDE3?

[Bhua]

Vidis, ja zkousel Windows a z brekotem jsem se vratil k Linuxu. Dost me udivuje ze za 17 let konecne nespravili bugy v notepadu a shellu. Microsoft je naprosto impotentni firma.

[JoHnY2]

Tak prvni co musis udelat ne nahradit Nonetpad Notepadem2 nebo jinou alternativou a CMD nahradit ConEmu. Je to jako stezovat si, ze /bin/sh nema funkce jako bash nebo joe neumi kouzla jako vim. Vychozi nastroje ve windows jsou umyslne to nejjednodussi a nejtupejsi a umyslne se to nemeni.

Jinak souhlas, ze jsou to extra tupy kusy SW.

[Bhua]

A kdyz muj zamestnavatel ma 10000 pocitacu tak mam udelat co?

[AsciiWolf]

Co ti brání vytvořit si vlastní instalační image, vyházet z něj ten nepoužitelný bastl (Notepad, Paint, WMP, ...) a nahradit jej něčím použitelným?

[Jendа]

Čemu říkáš lag? Jako že třeba myš má zpoždění proti podložce nebo že při přepínání oken trvá dlouho překreslení, vykreslení menu a tak?

[smazáno]

Tezko. Secure boot se da na x86 vypnout. A navic, jako s podobnyma omezenima na konzolich atd., casem se to prolomi a zustanou akorat neprijemnosti pro poctive uzivatele a crackerum to bude jedno. Ten ultimatni tool na boj s kradenyma windows je spis ze se z nich stal adware

[xkucf03]

Díra je celý SecureBoot – když totiž může dostat certifikát i předzavaděč schopný zavést libovolný OS, tak může klidně zavádět i viry a argument pro SecureBoot tím padá. A tady je krásně vidět, k čemu tahle bouda má sloužit – ve skutečnosti nejde o bezpečnost uživatelů, ale o posílení pozice Microsoftu – tím, že v budoucnu bude moci nevydat (nebo dokonce blacklistovat) certifikáty OS, které se mu nelíbí (tzn. jakákoli konkurence s GNU/Linuxem v čele). Zpočátku to bude volnější, aby se lidi tolik nebouřili a měli pocit, že vlastně o nic nejde, ale jakmile tato technologie zaplevelí dostatečné množství počítačů, MS svojí pozice zneužije. Závislost na této firmě je nežádoucí a nebezpečná. Je potřeba se jí zbavit.

[little.owl]

tak může klidně zavádět i viry a argument pro SecureBoot tím padá.

A dokaze vir podepsat system MS klicem?

certifikáty OS, které se mu nelíbí

Sve certifikaty.

[mankind_boost]

"A dokaze vir podepsat system MS klicem?"

Proc by mel? Proste si ho autor necha podepsat. Ten pak treba virtualizovane spusti OS. Nikdo na nic neprijde.

[little.owl]

Ten pak treba virtualizovane spusti OS

A jak mu to pomuze? Krom toho 100% virtualizovat predchozi HW nebude tak jednoduche. Uvedomte si, ze se bude checkovat i treba FW - treba graficke karty.

[mankind_boost]

Prostě obyč. bootkit, jako to fungovalo doteď.

[Jendа]

A dokaze vir podepsat system MS klicem?

Autorovi ze zprávičky odkazovaného článku se to zjevně podařilo. Nebo mi něco nedochází?

[little.owl]

Nedochazi.

[Jendа]

Já jsem to pochopil tak, že i když si na svém počítači nastavím, že věřím pouze klíči MS, může teď nějaký útočník přijít a spustit zavaděč od Linux Foundation, který natáhne GRUB a následně libovolný kód.

[mankind_boost]

To si také myslím

[little.owl]

Ano, ale toho se netykal prispevek, ktery jsem napsal.

Nemusi to byt klic od Linux Foundation, ale treba shim od Fedory.

Jde o to, ze OS bude checkovat sam sebe a muze pouzit validni klice v UEFI. Teoreticky to muzete prolomit, to uz je mozne zkusit ted - Win si delaji testy integrity - a zatim nevim o tom, ze by se to povedlo, nevim.

[Jendа]

Ano, ale toho se netykal prispevek, ktery jsem napsal.

Aha, tobě jde o podepsání systému. Ale jak má napadený systém sám sebe zkontrolovat?

Jde o to, ze OS bude checkovat sam sebe a muze pouzit validni klice v UEFI.

A checkovat to bude nějakou svou vnitřní funkcí, kterou může útočník upravit/vyhodit?

[little.owl]

A checkovat to bude nějakou svou vnitřní funkcí, kterou může útočník upravit/vyhodit?

Jak jsem psal, muzete to zkusit uz ted.

[Jendа]

Takže bezpečnost tohoto systému závisí na tom, že se nikomu nepovede patchnout v binárce OS tu funkci? To tam rovnou může být i ten klíč…

[pc]

+1

[pc2005]

Ale jak má napadený systém sám sebe zkontrolovat?

Muhehe zase se vrací doba stealth virů.

[Jakub Lucký]

Jeeej

[Andrtalec]

Zarazilo ma, že Linus si z toho nič nerobí a má (IMHO naivný) postoj "To sa nerozšíri, výrobcovia HW by boli hlúpi, keby na to pristúpili"

[Xerces]

Protože soudnýmu člověku je jasný, že to je <|>vina a jenom tlačenka MS.

[Delaunay]

Myslím si, že Microsoftu nejde primárně ani tak o kontaminaci a zaplevelení všech dostupných počítačů, jako spíše o vyřešení svých vlastních bezpečnostních problémů a účinnější podporu DRM.

Jenže svoboda jednoho končí tam, kde začíná svoboda druhého. A u multiboot konfigurací by mohl být jakýkoliv nekontrolovaný blacklisting klíčů docela vážným bezpečnostním rizikem.

Nejspíš bude nutné vynalézt způsob, jak v rámci chain-loadingu Windowsu podvrhnout (dočasnou) kopii UEFI systémového oddílu. Protože vždy bude lepší riskovat nespuštění Windows než nespuštění operačního systému

[VM]

Myslím si, že Microsoftu nejde primárně ani tak o kontaminaci a zaplevelení všech dostupných počítačů, jako spíše o vyřešení svých vlastních bezpečnostních problémů a účinnější podporu DRM.

To si nemyslím, problém firmy, která desetiletí píše programy tak aby spustily jakýkoliv škodlivý kód co se jim dostane pod ruku (ActiveX, Office makroviry, Outlook viry atd.) se nevyřeší tímhle. A nebo vyřeší - virus přes zmíněnou funkci Windows revokuje MS certifikát a Windows nenabootují

[Jiří Benc]

Díra je celý SecureBoot – když totiž může dostat certifikát i předzavaděč schopný zavést libovolný OS, tak může klidně zavádět i viry a argument pro SecureBoot tím padá.

Právě, že takový zavaděč být podepsaný nemůže. Smyslem LF předzavaděče je provést před každým bootem tzv. "present user test", tedy ověřit, že u počítače fyzicky sedí člověk, který musí boot explicitně odsouhlasit. Odsouhlasí-li boot viru, jeho problém.

Ano, znamená to, že v takovém případě můžete zapomenout na vzdálený reboot stroje. Proto Red Hat a SUSE použijí shim, který vzdálený reboot pro podepsané kernely umožňuje.

[smazáno]

tzv. "present user test" pro malware ale nebude vubec problem. Uzivatele nebudou chapat (a neni se co divit) o co jde. A jen si reknou "tady musim kliknout na 'Ano' aby se mi spustil system".

[Jendа]

Právě, že takový zavaděč být podepsaný nemůže. Smyslem LF předzavaděče je provést před každým bootem tzv. "present user test", tedy ověřit, že u počítače fyzicky sedí člověk, který musí boot explicitně odsouhlasit. Odsouhlasí-li boot viru, jeho problém.

Počkat, a jaký je pak smysl SB? Protože útoku s fyzickým přístupem to teď nezabrání (útočník ten dotaz potvrdí).

[Vskutečnosti Saýc]

Smyslem Secure Bootu je, aby na pocitac koupeny s Windows neslo nainstalovat nic jineho. Lhat si ze je to o bezpecnosti je hloupost. No vlastne je to o bezpecnosti, ale o bezpecnosti zisku MS.

[VM]

No jo, ale proč by něco takového měl někdo vyrábět?

[mankind_boost]

Protože jinak nedostanou certifikát pro OEM Wokna. Ergo pokud s tím HW firma nesouhlasí, může rovnou vyhlásit bankrot :(

[Jiří Benc]

Smyslem Secure Bootu je možnost ověření, že běžící privilegovaný kód nebyl nikým pozměněn.

S fyzickým přístupem k počítači to máte těžké - má-li ho útočník, jste ztracen, ať děláte, co děláte. I proto jsou ve většině serveroven poměrně přísná bezpečnostní opatření.

[Franta]

jj, běda jak nemáš přezůvky a našlapal bys jim tam (ale jinak se mezi cizími servery můžeš prohánět jak chceš)

[little.owl]

Ano, je to tak, MS bude moci pres blacklist a update zneplatnit svuj klic.

[mankind_boost]

Tak to by bylo docela fajn, ne?

[little.owl]

Nacpe vam tam jiny, zatim platny.

[smazáno]

to si mysli oni ale takhle nekdo ziska "roota" na windows a muzes si hrat a klicema v UEFI ... hmmm, to moc nedomysleli. Spis, vyvojari to domysleli, ale management o tom nic nechtel slyset

[little.owl]

Faktem je, ze podle mne to tady MS projede, klice si muzete spravovat je vy sam, ale oni tezko, aniz by meli na krku zalobu ze nekomu brickly HW.

A o to jde - ja chci spravu vlastnich klicu!

[smazáno]

Ja reaguju na MS prý může přes Windows Update zapisovat do UEFI seznamu klíčů .

Pokud toto muze udelat MS pres Windows Update tak to muze udelat i sikovny utocnik.

[little.owl]

Ano. Osobne mam skodolibou radost, jak se to MS dostava z rukou. Puvodne si mysleli, ze bude vice certifikacnich autorit, ale nikdo to nechce delat a tak je to jen na nich. Z toho budou mit jeste kocovinu.

[smazáno]

A o to jde - ja chci spravu vlastnich klicu!

Me vyhovuje soucasna situace.

Ono staci jedno nenapadny rozsireni do firefoxu a vykrade mi moje osobni udaje, heslo k internet bankingu a vsechno co tak nejak ma cenu na desktopu chranit. Resit klice na urovni hardware - teoreticky je to fajn, prakticky v obecnem nasazeni k nicemu.

[Jiří Benc]

Ano, je to tak, MS bude moci pres blacklist a update zneplatnit svuj klic.

Nacpe vam tam jiny, zatim platny.

Není potřeba tak zložitě, zneplatnit jdou i jednotlivé podepsané image.

[mankind_boost]

Bud to spatne chapete vy, nebo ja. Pokud si Wokna mohou hmatnout do UEFI pameti s klici, mohou zneplatnit i Linux - jednoduse blacklistnou Fedora klic (napr).

[Jendа]

A ty pak za to blacklistneš klíč woken a klíč Fedory z blacklistu vyhodíš, ne?

(přiznám se, že mi teď opravdu nedochází, jakému attack-vectoru má vlastně celý tenhle taneček bránit)

[mankind_boost]

Trik spočívá v tom, že měnit tabulky UEFI může jen Windows

[little.owl]

Ne, muzete to jeste delat sam rucne pres UI interface.

[WNJ]

pres UI interface.

A prohlednout si ho na LCD displayi.

[jos]

a poslouchat u toho kompaktní CD disk

[Jendа]

To iface je něco jako BIOS a tam se to dá zaškrtávat a měnit? Předpokládám, že je chráněno nějakým heslem. Proč nemůže být heslem chráněna rovnou změna obsahu bootovacích zařízení?

[little.owl]

Bude zalezet na vyrobci, jak poleze MS do *********.

[kralyk z abclinuxu]

Trik spočívá v tom, že měnit tabulky UEFI může jen Windows

Jakmile to může dělat Widlous, nevidím důvod, proč by to samé nemohl dělat kterýkoli jiný systém.

Čimž ovšem imho celá ta sranda celkem pozbývá smyslu...

[little.owl]

To neni tak jednoduche ... najdete se si neco UEFI db/dbx, KEK a platform key PK.

[Luboš Doležel (Doli)]

Ty Windows to zjevně někde v sobě mají. Takže je to security through obscurity. To už jsme tu měli.

[Jiří Benc]

Nikoliv. Update musí být podepsaný klíčem, který je v KEK. Máte-li takto podepsaná data, lze update pochopitelně provést z libovolného operačního systému.

[xkucf03]

Proto není dobré být závislý na klíčích od MS. A pokud je tohle jediná cesta, jak provozovat GNU/Linux na PC, tak je něco sakra špatně-

[Jiří Benc]

MS prý může přes Windows Update zapisovat do UEFI seznamu klíčů - a tak vytvořit blacklist (!), tudíž můžou v budoucnu odstřelit Linux raz dva.

Ano, může. Proto je jedním z kroků ona smlouva, která tohle upravuje. Chce-li Microsoft umožnit ostatním výrobcům/distributorům operačních systémů nechat si podepsat zavaděč jejich klíčem, musí mít možnost bránit se proti zneužití.

Co je obsahem smlouvy vám ale nikdo neřekne, takže těžko říct, jak je upraveno, za jakých podmínek smí Microsoft podpis revokovat.

Otázkou je, jestli je to pravda (nikde na netu jsem to nenašel - nehledě na to, že by to byla gigantická bezpečnostní díra)

Bezpečnostní díra to není, updatovaný seznam musí být podepsaný klíčem, který je uložený v KEK databázi (Key Enrollment Key database) spravované firmwarem.

[Petr Tomášek]

Potvrzení, že podepisovaný binární kód není pod licencí GPLv3.

Hustý.

[Dreit]

Tak hodíme GPLv2

[Dreit]

....a až si někdo patentuje tvary čísel, tak budeme všichni v /dev/null

[xkucf03]

Tivoizaci řeší až GPLv3.

[Dreit]

Příště budu líp číst, omlouvám se za tu blbost.

[Salamek]

"Presne" to jsem chtel napsat

Potvrzení, že podepisovaný binární kód není pod licencí GPLv3
WTH ?

[pc2005]

ve třech kopiích podepsaný, podaný, vrácený, přijatý, ztracený, nalezený, prošlý průzkumem veřejného mínění, znovu ztracený, tři měsíce kompostovaný a nakonec zpracovaný v rašelinu.

Potvrzení, že podepisovaný binární kód není pod licencí GPLv3.

WTF?

Jejich Microsoftem podepsaný předzavaděč bude dostupný všem linuxovým distribucím.

Tedy i pro distribuci my_lovely_virus ?

[Jendа]

WTF?

GPL 3 znemožňuje tivoizaci.

[pc2005]

Tak to jsem si domyslel, ale stejně. Pokud bude UEFI na všech PC (asi nakonec) a na části ARM, tak to bude znamenat dost brutální diskriminaci GPLv3 (a pravděpodobně následujících verzí). Ještě by se dalo brát, kdyby to bylo v nějakým MS only softu, ale všechny PC desky je prostě moc!

Nehledě na to, že by časem mohlo někoho napadnout, že bootloader musí zaručit tivoizaci OS, jinak nedostane podpis.

[Stanislav Brabec]

Kdyby podepsali GPLv3 aplikaci, tak by podle licence ten, komu to podepsali, musel vydat soukromé klíče Microsoftu.

Nejde o diskriminaci GPLv3. To GPLv3 se sama diskriminovala od všeho, kde je spouštěný kód podepsaný, a vydání tajného soukromého klíče nepřipadá v úvahu.

GPLv3 aplikace na takové desce spouštět jdou. Zákaz spouštění GPL aplikací z aplikací nesplňujících GPL zatím v GPL opravdu není (a doufejme, že nikdy nebude).

[pc2005]

Nejde o diskriminaci GPLv3. To GPLv3 se sama diskriminovala od všeho, kde je spouštěný kód podepsaný, a vydání tajného soukromého klíče nepřipadá v úvahu.

No právě to je problém. GPLv3 je ta dobrá, tivoizace PC (teda zatím jen bootloaderu) je ten špatný. V tomhle kontextu je to IMHO diskriminace.

GPLv3 aplikace na takové desce spouštět jdou...

No však jsem psal.

Nehledě na to, že by časem mohlo někoho napadnout, že bootloader musí zaručit tivoizaci OS, jinak nedostane podpis.

[Sten]

Kdyby podepsali GPLv3 aplikaci, tak by podle licence ten, komu to podepsali, musel vydat soukromé klíče Microsoftu.

Nemusel. MS by akorát musel dát do podmínek Windows (a nikdy neodebrat), že musí jít do UEFI nahrát vlastní klíč nebo Secure Boot vypnout. Takže to, že GPLv3 nedovoluje, jen ukazuje, jaké má MS plány.

[Jiří Benc]

Ke splnění podmínek GPLv3 bez vydání použitého soukromého klíče pravděpodobně opravdu postačuje, když je možné přidat vlastní klíče nebo Secure Boot vypnout.

Otázka je, co by se stalo, kdyby se některý výrobce na to vykašlal (ať už schválně či omylem) a takto zativoizovaný počítač prodával s Linuxem. Myslím, že o komplikovaný soudní spor, který by mohl následovat, nemá zájem nikdo.

[Ovocníček]

Zřejmě se bojí, že by je akceptace mohla nějak ohrozit kvůli virálnosti... čert ví. V článku se zmiňuje, že by se to dalo vykládat toho, že se bojí, že z nich kvůli gpl 3.0 někdo vyrazí přístup k tomu klíči...

[Dreit]

Tedy i pro distribuci my_lovely_virus ?

A teď si představte jak toho může MS využít - prohlášení jak jde najednou Win rozbít jen a pouze díky GNU/Linuxu a kdyby tu nebyl ten a jeho fanatici, tak je Win nejbezpečnější a nejlepší platforma na planetě

Mimochodem už se těšim, jak budeme v budoucnu připojovat Win přes proxy aby si myslel, že komunikuje s Win update serverem a natáhnul update s požadovanou funkcionalitou Samozřejmě až se uzná s celosvětovou platností, že licence Win opravdu nejde vrátit a používat další operační systémy bude ilegální

[hufhendr]

Právě dnes jsem instaloval na HP Pro 3500 MicroTower Ubuntu a docela jsem se vyřádil.
Už to má UEFI Secure Boot a chvilku to vypadalo, že se Windows 8 udrží. Nakonec jsem si pohrál v BIOSu, vzal poslední verzi 12.10 a Windows jsou smazané.
Přiznám se, že původně jsem chtěl jen přidal Linux jako primární systém, ovšem teď jsem tak naštvaný (jak to bylo pracné), že budu za Windows chtít vrátit peníze.

[Grunt]

When you get to this stage, you also have to certify that the binary “to be signed must not be licensed under GPLv3 or similar open source licenses”. I assume the fear here is key disclosure but it’s not at all clear (or indeed what “similar open source licences” actually are).

Tenhle odstavec nechápu. To snad platí jen pro Microsoftem vlastněný HW, ne?

[Ivan]

Myslim, ze cely ten jejich portal primarne slouzi k podepisovani "normalnich" WIN32 aplikaci. Proto meli takovy problemy s tim UEFI bootloaderem.

[Grunt]

Já už jsem z toho jelen. A co má společného zavaděč a WIN32 aplikace?

[pc2005]

Formát UEFI binárky :-P .

[Luboš Doležel (Doli)]

Když už tu máme podobně živou diskuzi: Nenašel by se někdo, kdo by fungování, používání a možnosti UEFI (a případně i Secure Boot) popsal v článku?

[petr_p]

Právě mám za sebou, nebo ještě vedle sebe, jednu instalaci. První setkání s UEFI. Zkusím hodit něco do blogu.

[pc]

Nejsmutnější na tom je, že i když je MS na ústupu co se týče podílů na trhu, má i dnes pořád tu sílu "přimět" výrobce HW aby se mu podřídili. Kdyby ho aspoň dva nebo tři z nejvýznamnějších výrobců poslali někam, tak se urychlí jeho pád. Bohužel to z obchdoních důvodů nikdo neudělá, to by si pod sebou podřezal větev …

[j]

Otazka blizke budoucnosti - zrovna sem si nekde pocet jak dou zisky velkych dodavatelu PC dokopru (pry kvuli dotykacum) ... pokud by to byla pravda (je to nesmysl), pak by v jejich zajmu bylo podporovat predevsim mainstream = Android. M$ se svym pidipodilem je pro ne naprosto nezajimavej hrac.

Ad desktopy ...realita je takova, ze znam hromadu firem(zivitele Dellu, IBM, ...a M$), kde maji desktopy 5+let stare, a neexistuje zadny duvod je obmenovat. Zdaleka uz neplati, ze za 2-3 je stroj prakticky nepouzitelnej. Vyvoj kterej probihal v devadesatych letech uz neexistuje, a i 5+let stary zelezo se da celkem bez potizi pouzivat.

Sam mam doma jeden 7let starej stroj a behaj na tom i nejnovejsi gamesky. Pravda, nektery uz ne v plnych detailech a ve svy dobe to byl highend, ale vpohode pouzitelny. Davno uz neplati ze gamesnickej stroj treba menit co dva roky, natoz kancl stroj ...

Takze bych se toho vlivu M$ moc nebal. Spis nejaky ty PR masaze (podobne jako HD ...) "UEFI do kazde rodiny" ...

[Rezza]

Jinak to opravdu neni takova sranda, jak se zda. Jsem rad, ze mi FESCo nebloklo na MS signed shimu Betu. Kazdopadne final bude muset byt podepsany. A kdyz i Red Hatu trva domlouvani s MS takovou dobu...