margin-top: 125px; border: 1px solid gray; } -->

Linux získal vlastní bootloader pro UEFI Secure Boot pro nepodepsané distribuce

Karel Michal , 16. říjen 2012 08:00 1 komentářů
Linux získal vlastní bootloader pro UEFI Secure Boot pro nepodepsané distribuce

Ještě nedávno měli různé komunitní distribuce Linuxu smůlu a vypadalo to, že je vytlačí komerční řešení a majoritní operační systém. Nová PC s moderními základními deskami využívají namísto tradičního zaváděcího software BIOS tzv. UEFI, to vedle grafického rozhraní přináší také ověřované bezpečné bootování operačního systému, kdy se kryptograficky ověřuje zabezpečený podpis spouštěného kódu. Ten zahrnuje ověření bootloaderu a případně také jádra systému a hlavních ovladačů. To je ale značně diskriminační pro celou řadu „neoficiálních“ operačních systémů.

Hlavní problém s UEFI je ten, že bootloader musí být podepsán některým klíčem, jehož veřejná část je uložena v samotném zaváděcím programu na základní desce. Zatímco PC dodávané s Windows mají v sobě zabudovaný klíč od Microsoftu, Linux se najednou ocitl v mnohem horší pozici. Vývojáři zareagovali různě, jednou z možností je podepsat klíčem od Microsoftu, nebo doufat, že deska umožní „bezpečné bootování vypnout“. Alternativu představuje varianta od Linux Foundation, která vyvinula vlastní bootloader, ten je použitelný na jakémkoli PC s aktivní technologií UEFI Secure Boot, má jen jednu vadu, podepisuje opět klíčem od Microsoftu.

Sice dražší, zato ale horší cesta

Až dosud se nabízela pouze varianta podpisu římo klíčem od MS, podpis od Microsoftu ale není zadarmo, stojí 99 dolarů a nese sebou drobná omezení (licenční i technická). Tuto variantu průkopnicky zvolil komerční Linux od společnosti Red Hat. Podobnou alternativou s jedním mezikrokem pro všechny ostatní představuje nový bootloader od Linux Foundation.

Druhý, respektive první bootloader

Pre-bootloader od LF je sice také podepsaný klíčem od Microsoftu, ale načítá a spouští běžný bootloader linuxové distribuce bez jakýchkoli dalších omezení (například ověřování podpisu jádra).

V momentu bootování mohou nastat dvě možnosti, u profesionálnějších distribucí bude možná bootloader již podepsaný, v takovém případě není nikde žádný problém a systém normálně nabootuje. Druhou variantou je, že bootloader důvěryhodným klíčem podepsaný nebude (respektive u současných desek hlavně nebude jeho kontrolní hash uložena na desce), v takovém případě by měl za normálních okolností smůlu. Bootloader od LF v tento moment vyzve uživatele k potvrzení nabootování nepodepsaného kódu a systém může naběhnout i tak.

Alternativa od RedHatu

Red Hat Enterprise Linux přišel s podobnou vlastní variantou. Jeho botloader shim je prakticky stejně fungujícím prvostupňovým botloaderem, který umožní natažení samotného bootloaderu systému. Oproti řešení Linux Foundation se liší zejména tím, že udržuje vlastní databázi důvěryhodných klíčů a kontrolních hashovacích sum. Pokud pak uživatel bootuje z podepsaného systému s neznámou sumou, bootloader jej vyzve k potvrzení povolení nabootovat a zeptá se na to, zda li má klíč uložilo databáze, příště tak již další tázání odpadá.

Obě řešení také podporují automatické nahrávání kontrolních hashových sum bootloaderu na čip základní desky, tedy alespoň v případě, že je zde povolený „setup“ režim. Druhý bootloader může vypadat na první pohled jako komplikace, na druh stran je to ale dnes nejjednodušší cesta jak používat na stanici s UEFI alternativní operační systém. Přinese jednou budoucnost osobní počítače znehodnocené pevným svázáním se zamčeným operačním systém, jako jsme toho svědky například u některých dnešních mobilních telefonů? Doufejme, že se výrobci hardware právě na tomto příkladě poučili a nebudou ve vysoce konkurenčním prostředí hazardovat s trpělivostí uživatelů.


Komentáře

František Kučera #1
František Kučera 20. říjen 2012 21:32

suma → součet, otisk, ne?

RSS 

Komentujeme

Bezpečnost IT a tygří logika

Pavel Houser , 14. únor 2017 11:00
Pavel Houser

Jak praví známý vtip, běží-li za vámi tygr, netřeba se pohybovat rychleji než šelma – stačí předběhn...

Více






Kalendář

20. 03.

24. 03.
CeBIT 2017
21. 03. IT Security Workshop
23. 03. Cloud computing v praxi
RSS 

Zprávičky

ČTÚ plánuje vypsat aukci kmitočtů pro sítě 5G koncem čtvrtletí

ČTK , 01. březen 2017 14:18

Český telekomunikační úřad (ČTÚ) vypíše na konci prvního čtvrtletí aukci kmitočtů pro rychlé mobilní...

Více 0 komentářů

Praha a střední Čechy mají 11 programů v DVB-T2

ITBiz.cz , 01. březen 2017 12:20

České rediokomunikace zahájily vysílání druhé generace digitálního televizního vysílání. Téměř pětin...

Více 1 komentářů

NetBotz 250 usnadňuje monitoring datových center

Pavel Houser , 28. únor 2017 15:00

Schneider Electric uvádí do ČR produktovou novinku NetBotz 250 pro jednoduché fyzické zabezpečení a ...

Více 0 komentářů

Starší zprávičky

SpaceX příští rok dopraví dva lidi k Měsíci

ČTK , 28. únor 2017 12:00

Soukromá americká společnost SpaceX příští rok uskuteční let k Měsíci, do jehož blízkosti dopraví dv...

Více 0 komentářů

Tech Data roste akvizicí divize Technology Solutions společnosti Avnet

Pavel Houser , 28. únor 2017 09:57

Cena při uzavření transakce byla 2,6 miliardy dolarů....

Více 0 komentářů

Ford chce v roce 2021 komerčně nasadit plně autonomní vůz

ČTK , 28. únor 2017 09:44

Ford rovněž očekává, že do 15 let přesáhne nabídka elektrifikovaných automobilů auta s konvenčním mo...

Více 0 komentářů

Kybernetické útoky proti Rakousku prováděl Turek žijící v USA

ČTK , 28. únor 2017 07:00

Za nedávnými kybernetickými útoky proti klíčovým institucím v Rakousku stojí turecký nacionalista ži...

Více 0 komentářů