margin-top: 125px; border: 1px solid gray; } -->

UEFI Secure Boot bootloader od Linux Foundation konečně na scéně, změní to pozici Linuxu na desktopech?

Karel Michal , 13. únor 2013 08:00 3 komentářů
UEFI Secure Boot bootloader od Linux Foundation konečně na scéně, změní to pozici Linuxu na desktopech?

Sdružení Linux Foundation konečně zpřístupnilo svoje univerzální řešení pro zabezpečené UEFI bootování, tedy vlastní Linux Foundation UEFI secure boot system, o kterém jsme poprvé informovali loni na sklonku léta. Linux Foundation si dala poměrně na čas, změna je ale natolik významná, že by mohla stát poměrně za to, mění totiž rovnováhu sil na desktopových počítačích (a konec konců i nových noteboocích). Tedy alespoň pokud odmyslíme, že je vydán Microsoftem.

Nová PC s moderními základními deskami využívají namísto tradičního zaváděcího software BIOS tzv. UEFI, to vedle grafického rozhraní přináší také ověřované bezpečné bootování operačního systému, kdy se kryptograficky ověřuje zabezpečený podpis spouštěného kódu. Ten zahrnuje ověření bootloaderu a případně také jádra systému a hlavních ovladačů. To je ale značně diskriminační pro celou řadu „neoficiálních“ operačních systémů.

Stahovat potřebné soubory Linux Foundation UEFI secure bootu je možné zde:

Hlavní problém s UEFI je ten, že bootloader musí být podepsán některým klíčem, jehož veřejná část je uložena v samotném zaváděcím programu na základní desce. Zatímco PC dodávané s Windows mají v sobě zabudovaný klíč od Microsoftu, Linux se najednou ocitl v mnohem horší pozici. Vývojáři zareagovali různě, jednou z možností je podepsat klíčem od Microsoftu, nebo doufat, že deska umožní „bezpečné bootování vypnout“, což je ideální cesta pro zavedení rootkitu či jiného malware kódu do PC.

Bezpečnou alternativu představuje právě uvolněná varianta od Linux Foundation, která vyvinula vlastní bootloader, ten je použitelný na jakémkoli PC s aktivní technologií UEFI Secure Boot, má jen jednu vadu, podepisuje opět klíčem od Microsoftu. Bootloader byl podepsán 6. února 2013 a oficiálně uvolněn minulý pátek.

Dosavadní stav

Až dosud se nabízela pouze varianta podpisu přímo klíčem od MS, podpis od Microsoftu ale není zadarmo, stojí 99 dolarů a nese sebou drobná omezení (licenční i technická). Tuto variantu průkopnicky zvolil komerční Linux od společnosti Red Hat. Podobnou alternativou s jedním mezikrokem pro všechny ostatní představuje bootloader od Linux Foundation.

Pre-bootloader od LF je sice také podepsaný klíčem od Microsoftu, ale načítá a spouští běžný bootloader linuxové distribuce bez jakýchkoli dalších omezení (například ověřování podpisu jádra).

V momentu bootování mohou nastat dvě možnosti, u profesionálnějších distribucí bude možná bootloader již podepsaný, v takovém případě není nikde žádný problém a systém normálně nabootuje. Druhou variantou je, že bootloader důvěryhodným klíčem podepsaný nebude (respektive u současných desek hlavně nebude jeho kontrolní hash uložena na desce), v takovém případě by měl za normálních okolností smůlu. Bootloader od LF v tento moment vyzve uživatele k potvrzení nabootování nepodepsaného kódu a systém může naběhnout i tak.

Red Hat a bootloadery Shim

Red Hat Enterprise Linux přišel s podobnou vlastní variantou. Jeho bootloader Shim, za kterým stojí Matthew Garrett, který Shim uvolnil pro svobodné užívání, je prakticky stejně fungujícím prvostupňovým botloaderem, který umožní natažení samotného bootloaderu systému.

Oproti řešení Linux Foundation se liší zejména tím, že udržuje vlastní databázi důvěryhodných klíčů a kontrolních hashovacích sum. Pokud pak uživatel bootuje z podepsaného systému s neznámou sumou, bootloader jej vyzve k potvrzení povolení nabootovat a zeptá se na to, zda li má klíč uložilo databáze, příště tak již další tázání odpadá.

Jak se liší LF bootloader a Shim prakticky?

Na první pohled z uživatelského hlediska (tedy až na bezpečnost a drobné změny uživatelského rozraní) žádný velký rozdíl neuvidíme, přesto zde je a malý opravdu není. Bootloader od Linux Foundation totiž pracuje tak, že rozpoznává důvěryhodné distribuce na základě kontrolní hash sumy, oproti tomu Shim hlavně zavádí již nějak podepsané distribuce a kontroluje podpisový klíč, takže uživatel nemusí znovu potvrzovat důvěryhodnost distribuce. Právě to pak hypoteticky umožňuje například instalaci podepsaného malware do PC a staví bezpečnostní stránku UEFI na hlavu. Výhodou Shim je univerzálnost použití, můžete pomocí něho například zavést zcela nepodepsané distribuce.

Bootloader od LF má také údajně lépe zvládnuté spouštění dalšího kódu, například upravených bootloaderů, které využívají UEFI API. LF bootloader bohužel oproti shim neobsahuje modul KeyTool.efi pro správu klíčů, Microsoft jej totiž odmítl podepsat kvůli potenciálnímu bezpečnostnímu riziku.

Obě řešení naopak podporují automatické nahrávání kontrolních hashových sum bootloaderu na čip základní desky, tedy alespoň v případě, že je zde povolený „setup“ režim.

Druhý bootloader může vypadat na první pohled jako komplikace, na druh stran je to ale dnes nejjednodušší cesta jak používat na stanici s UEFI alternativní operační systém. Přinese jednou budoucnost osobní počítače znehodnocené pevným svázáním se zamčeným operačním systém, jako jsme toho svědky například u některých dnešních mobilních telefonů? Doufejme, že se výrobci hardware právě na tomto příkladě poučili a nebudou ve vysoce konkurenčním prostředí hazardovat s trpělivostí uživatelů.


Komentáře

Aleš Kapica #1
Aleš Kapica 13. únor 2013 12:06

Mně osobně přijde na hlavu držet kvůli UEFI na disku partici s FAT

Matej Tokar #3
Matej Tokar 09. duben 2014 12:25

Neviete ci sa da aj telefon cez toto nejako spojazdnit nahodit dobho novy system? totiz som si rootol tel a skusal som tam dat vyladenia systemu a nieco som spravil zle a teraz mi nejde nabehnut tel. ... pocul som ze telefonny android bezia cez linux ...... prosim ak niekdo viem poradte mi prosim vopred dakujem moj email matej9@centrum.sk

Lol Phirae 16. únor 2013 09:14

"deska umožní „bezpečné bootování vypnout“, což je ideální cesta pro zavedení rootkitu či jiného malware kódu do PC."

Autore, takovýhle FUD je dobrý tak do Blesku. :-/


RSS 

Komentujeme

Chatbot mluví za mrtvého – od nápadu k realizaci

Pavel Houser , 30. listopad 2016 13:00
Pavel Houser

Na webu The Verge popsala Casey Newton příběh dvou přátel (Eugenia Kuyda a Roman Mazurenko). Peripet...

Více





Kalendář

20. 03.

24. 03.
CeBIT 2017
RSS 

Zprávičky

Nový zákon o výzkumu chystá "blacklist" příjemců i ministerstvo

ČTK , 09. prosinec 2016 16:31

Velké změny ve fungování Grantové a Technologické agentury, novou vědeckou radu ČR i takzvaný "black...

Více 0 komentářů

Fitbit koupil průkopníka chytrých hodinek Pebble

ČTK , 09. prosinec 2016 15:00

Americký výrobce chytrých náramků a hodinek Fitbit koupil software, patenty a další aktiva duševního...

Více 0 komentářů

Američané možná umožní v letadlech telefonování přes wi-fi

ČTK , 09. prosinec 2016 13:00

Aerolinky ve Spojených státech by v budoucnu mohly umožňovat telefonování v letadle s použitím wi-fi...

Více 2 komentářů

Starší zprávičky

Česká pošta od ledna zdraží posílání do zahraničí o pět až 20 Kč

ČTK , 09. prosinec 2016 11:39

Česká pošta od ledna zvýší ceny za posílání listovních zásilek do zahraničí o pět korun, balíky podr...

Více 0 komentářů

Za vzněcováním smartphonu iPhone 6 jsou vnější vlivy, tvrdí Apple

ČTK , 08. prosinec 2016 11:30

Firma Apple odmítla podezření čínských uživatelů svého chytrého telefonu iPhone 6, že za problémy s ...

Více 0 komentářů

Verizon prodá firmě Equinix datová centra za 3,6 miliardy USD

ČTK , 08. prosinec 2016 10:00

Největší americký mobilní operátor Verizon Communications prodá specializované společnosti Equinix 2...

Více 0 komentářů

Tchajwanský Foxconn jedná o rozšíření svých aktivit v USA

ČTK , 07. prosinec 2016 15:00

Tchajwanská společnost Foxconn jedná o rozšíření svých aktivit ve Spojených státech. Oznámila to dne...

Více 0 komentářů