UEFI Secure Boot bootloader od Linux Foundation konečně na scéně, změní to pozici Linuxu na desktopech?

Karel Michal , 13. únor 2013 08:00 3 komentářů
UEFI Secure Boot bootloader od Linux Foundation konečně na scéně, změní to pozici Linuxu na desktopech?

Sdružení Linux Foundation konečně zpřístupnilo svoje univerzální řešení pro zabezpečené UEFI bootování, tedy vlastní Linux Foundation UEFI secure boot system, o kterém jsme poprvé informovali loni na sklonku léta. Linux Foundation si dala poměrně na čas, změna je ale natolik významná, že by mohla stát poměrně za to, mění totiž rovnováhu sil na desktopových počítačích (a konec konců i nových noteboocích). Tedy alespoň pokud odmyslíme, že je vydán Microsoftem.

Nová PC s moderními základními deskami využívají namísto tradičního zaváděcího software BIOS tzv. UEFI, to vedle grafického rozhraní přináší také ověřované bezpečné bootování operačního systému, kdy se kryptograficky ověřuje zabezpečený podpis spouštěného kódu. Ten zahrnuje ověření bootloaderu a případně také jádra systému a hlavních ovladačů. To je ale značně diskriminační pro celou řadu „neoficiálních“ operačních systémů.

Stahovat potřebné soubory Linux Foundation UEFI secure bootu je možné zde:

Hlavní problém s UEFI je ten, že bootloader musí být podepsán některým klíčem, jehož veřejná část je uložena v samotném zaváděcím programu na základní desce. Zatímco PC dodávané s Windows mají v sobě zabudovaný klíč od Microsoftu, Linux se najednou ocitl v mnohem horší pozici. Vývojáři zareagovali různě, jednou z možností je podepsat klíčem od Microsoftu, nebo doufat, že deska umožní „bezpečné bootování vypnout“, což je ideální cesta pro zavedení rootkitu či jiného malware kódu do PC.

Bezpečnou alternativu představuje právě uvolněná varianta od Linux Foundation, která vyvinula vlastní bootloader, ten je použitelný na jakémkoli PC s aktivní technologií UEFI Secure Boot, má jen jednu vadu, podepisuje opět klíčem od Microsoftu. Bootloader byl podepsán 6. února 2013 a oficiálně uvolněn minulý pátek.

Dosavadní stav

Až dosud se nabízela pouze varianta podpisu přímo klíčem od MS, podpis od Microsoftu ale není zadarmo, stojí 99 dolarů a nese sebou drobná omezení (licenční i technická). Tuto variantu průkopnicky zvolil komerční Linux od společnosti Red Hat. Podobnou alternativou s jedním mezikrokem pro všechny ostatní představuje bootloader od Linux Foundation.

Pre-bootloader od LF je sice také podepsaný klíčem od Microsoftu, ale načítá a spouští běžný bootloader linuxové distribuce bez jakýchkoli dalších omezení (například ověřování podpisu jádra).

V momentu bootování mohou nastat dvě možnosti, u profesionálnějších distribucí bude možná bootloader již podepsaný, v takovém případě není nikde žádný problém a systém normálně nabootuje. Druhou variantou je, že bootloader důvěryhodným klíčem podepsaný nebude (respektive u současných desek hlavně nebude jeho kontrolní hash uložena na desce), v takovém případě by měl za normálních okolností smůlu. Bootloader od LF v tento moment vyzve uživatele k potvrzení nabootování nepodepsaného kódu a systém může naběhnout i tak.

Red Hat a bootloadery Shim

Red Hat Enterprise Linux přišel s podobnou vlastní variantou. Jeho bootloader Shim, za kterým stojí Matthew Garrett, který Shim uvolnil pro svobodné užívání, je prakticky stejně fungujícím prvostupňovým botloaderem, který umožní natažení samotného bootloaderu systému.

Oproti řešení Linux Foundation se liší zejména tím, že udržuje vlastní databázi důvěryhodných klíčů a kontrolních hashovacích sum. Pokud pak uživatel bootuje z podepsaného systému s neznámou sumou, bootloader jej vyzve k potvrzení povolení nabootovat a zeptá se na to, zda li má klíč uložilo databáze, příště tak již další tázání odpadá.

Jak se liší LF bootloader a Shim prakticky?

Na první pohled z uživatelského hlediska (tedy až na bezpečnost a drobné změny uživatelského rozraní) žádný velký rozdíl neuvidíme, přesto zde je a malý opravdu není. Bootloader od Linux Foundation totiž pracuje tak, že rozpoznává důvěryhodné distribuce na základě kontrolní hash sumy, oproti tomu Shim hlavně zavádí již nějak podepsané distribuce a kontroluje podpisový klíč, takže uživatel nemusí znovu potvrzovat důvěryhodnost distribuce. Právě to pak hypoteticky umožňuje například instalaci podepsaného malware do PC a staví bezpečnostní stránku UEFI na hlavu. Výhodou Shim je univerzálnost použití, můžete pomocí něho například zavést zcela nepodepsané distribuce.

Bootloader od LF má také údajně lépe zvládnuté spouštění dalšího kódu, například upravených bootloaderů, které využívají UEFI API. LF bootloader bohužel oproti shim neobsahuje modul KeyTool.efi pro správu klíčů, Microsoft jej totiž odmítl podepsat kvůli potenciálnímu bezpečnostnímu riziku.

Obě řešení naopak podporují automatické nahrávání kontrolních hashových sum bootloaderu na čip základní desky, tedy alespoň v případě, že je zde povolený „setup“ režim.

Druhý bootloader může vypadat na první pohled jako komplikace, na druh stran je to ale dnes nejjednodušší cesta jak používat na stanici s UEFI alternativní operační systém. Přinese jednou budoucnost osobní počítače znehodnocené pevným svázáním se zamčeným operačním systém, jako jsme toho svědky například u některých dnešních mobilních telefonů? Doufejme, že se výrobci hardware právě na tomto příkladě poučili a nebudou ve vysoce konkurenčním prostředí hazardovat s trpělivostí uživatelů.


Komentáře

Aleš Kapica #1
Aleš Kapica 13. únor 2013 12:06

Mně osobně přijde na hlavu držet kvůli UEFI na disku partici s FAT

Matej Tokar #3
Matej Tokar 09. duben 2014 12:25

Neviete ci sa da aj telefon cez toto nejako spojazdnit nahodit dobho novy system? totiz som si rootol tel a skusal som tam dat vyladenia systemu a nieco som spravil zle a teraz mi nejde nabehnut tel. ... pocul som ze telefonny android bezia cez linux ...... prosim ak niekdo viem poradte mi prosim vopred dakujem moj email matej9@centrum.sk

Lol Phirae 16. únor 2013 09:14

"deska umožní „bezpečné bootování vypnout“, což je ideální cesta pro zavedení rootkitu či jiného malware kódu do PC."

Autore, takovýhle FUD je dobrý tak do Blesku. :-/

RSS 

Komentujeme

Lithium není zlato

Pavel Houser , 11. listopad 2017 11:11
Pavel Houser

Hádky o české zásoby lithia v předvolebním období prakticky pomíjely jeden dosti podstatný aspekt. C...

Více







RSS 

Zprávičky

Slovenské soudy zakázaly přístup k více než 30 webům s hazardem

ČTK , 17. listopad 2017 09:00

Podobnou úpravu proti nepovoleným hazardním hrám jako Slovensko uplatňují i další členské země EU....

Více 1 komentářů

Foxconnu klesl čtvrtletní zisk o 39 %

ČTK , 17. listopad 2017 08:00

V důsledku slabého zájmu o iPhone 8 a problémům při výrobě iPhone X akcie společnosti za poslední tř...

Více 0 komentářů

MPSV odstoupilo od zakázky na systém dávek za stovky milionů Kč

ČTK , 16. listopad 2017 17:45

Nový systém pro vyplácení dávek za stovky milionů korun úřady práce příští rok mít nebudou. ...

Více 0 komentářů

Starší zprávičky

Europoslanci schválili větší ochranu při nákupech v e-shopech

ČTK , 16. listopad 2017 09:00

Nedůvěra spotřebitelů k nákupu v zahraničí stále přetrvává....

Více 0 komentářů

Apple ovládl trh s nositelnou elektronikou

ČTK , 16. listopad 2017 08:00

Apple v počtu prodaných kusů dosud zaostával za výrobci levnějších fitness náramků....

Více 0 komentářů

Rok 2018 bude pro kontaktní centra ve znamení automatizace a IoT

Pavel Houser , 15. listopad 2017 11:00

Bosch do svých praček montuje snímače, které odhalí, že se buben otáčí 5 000 otáček za minutu namíst...

Více 0 komentářů

Deloitte: Sdílená ekonomika v ČR má potenciál až 60 miliard Kč

Pavel Houser , 15. listopad 2017 11:00

Sdílená ekonomika představuje pro českou ekonomiku i určité riziko. Její rozmach by mohl omezit popt...

Více 0 komentářů