UEFI Secure Boot bootloader od Linux Foundation konečně na scéně, změní to pozici Linuxu na desktopech?

Karel Michal , 13. únor 2013 08:00 3 komentářů
UEFI Secure Boot bootloader od Linux Foundation konečně na scéně, změní to pozici Linuxu na desktopech?

Sdružení Linux Foundation konečně zpřístupnilo svoje univerzální řešení pro zabezpečené UEFI bootování, tedy vlastní Linux Foundation UEFI secure boot system, o kterém jsme poprvé informovali loni na sklonku léta. Linux Foundation si dala poměrně na čas, změna je ale natolik významná, že by mohla stát poměrně za to, mění totiž rovnováhu sil na desktopových počítačích (a konec konců i nových noteboocích). Tedy alespoň pokud odmyslíme, že je vydán Microsoftem.

Nová PC s moderními základními deskami využívají namísto tradičního zaváděcího software BIOS tzv. UEFI, to vedle grafického rozhraní přináší také ověřované bezpečné bootování operačního systému, kdy se kryptograficky ověřuje zabezpečený podpis spouštěného kódu. Ten zahrnuje ověření bootloaderu a případně také jádra systému a hlavních ovladačů. To je ale značně diskriminační pro celou řadu „neoficiálních“ operačních systémů.

Stahovat potřebné soubory Linux Foundation UEFI secure bootu je možné zde:

Hlavní problém s UEFI je ten, že bootloader musí být podepsán některým klíčem, jehož veřejná část je uložena v samotném zaváděcím programu na základní desce. Zatímco PC dodávané s Windows mají v sobě zabudovaný klíč od Microsoftu, Linux se najednou ocitl v mnohem horší pozici. Vývojáři zareagovali různě, jednou z možností je podepsat klíčem od Microsoftu, nebo doufat, že deska umožní „bezpečné bootování vypnout“, což je ideální cesta pro zavedení rootkitu či jiného malware kódu do PC.

Bezpečnou alternativu představuje právě uvolněná varianta od Linux Foundation, která vyvinula vlastní bootloader, ten je použitelný na jakémkoli PC s aktivní technologií UEFI Secure Boot, má jen jednu vadu, podepisuje opět klíčem od Microsoftu. Bootloader byl podepsán 6. února 2013 a oficiálně uvolněn minulý pátek.

Dosavadní stav

Až dosud se nabízela pouze varianta podpisu přímo klíčem od MS, podpis od Microsoftu ale není zadarmo, stojí 99 dolarů a nese sebou drobná omezení (licenční i technická). Tuto variantu průkopnicky zvolil komerční Linux od společnosti Red Hat. Podobnou alternativou s jedním mezikrokem pro všechny ostatní představuje bootloader od Linux Foundation.

Pre-bootloader od LF je sice také podepsaný klíčem od Microsoftu, ale načítá a spouští běžný bootloader linuxové distribuce bez jakýchkoli dalších omezení (například ověřování podpisu jádra).

V momentu bootování mohou nastat dvě možnosti, u profesionálnějších distribucí bude možná bootloader již podepsaný, v takovém případě není nikde žádný problém a systém normálně nabootuje. Druhou variantou je, že bootloader důvěryhodným klíčem podepsaný nebude (respektive u současných desek hlavně nebude jeho kontrolní hash uložena na desce), v takovém případě by měl za normálních okolností smůlu. Bootloader od LF v tento moment vyzve uživatele k potvrzení nabootování nepodepsaného kódu a systém může naběhnout i tak.

Red Hat a bootloadery Shim

Red Hat Enterprise Linux přišel s podobnou vlastní variantou. Jeho bootloader Shim, za kterým stojí Matthew Garrett, který Shim uvolnil pro svobodné užívání, je prakticky stejně fungujícím prvostupňovým botloaderem, který umožní natažení samotného bootloaderu systému.

Oproti řešení Linux Foundation se liší zejména tím, že udržuje vlastní databázi důvěryhodných klíčů a kontrolních hashovacích sum. Pokud pak uživatel bootuje z podepsaného systému s neznámou sumou, bootloader jej vyzve k potvrzení povolení nabootovat a zeptá se na to, zda li má klíč uložilo databáze, příště tak již další tázání odpadá.

Jak se liší LF bootloader a Shim prakticky?

Na první pohled z uživatelského hlediska (tedy až na bezpečnost a drobné změny uživatelského rozraní) žádný velký rozdíl neuvidíme, přesto zde je a malý opravdu není. Bootloader od Linux Foundation totiž pracuje tak, že rozpoznává důvěryhodné distribuce na základě kontrolní hash sumy, oproti tomu Shim hlavně zavádí již nějak podepsané distribuce a kontroluje podpisový klíč, takže uživatel nemusí znovu potvrzovat důvěryhodnost distribuce. Právě to pak hypoteticky umožňuje například instalaci podepsaného malware do PC a staví bezpečnostní stránku UEFI na hlavu. Výhodou Shim je univerzálnost použití, můžete pomocí něho například zavést zcela nepodepsané distribuce.

Bootloader od LF má také údajně lépe zvládnuté spouštění dalšího kódu, například upravených bootloaderů, které využívají UEFI API. LF bootloader bohužel oproti shim neobsahuje modul KeyTool.efi pro správu klíčů, Microsoft jej totiž odmítl podepsat kvůli potenciálnímu bezpečnostnímu riziku.

Obě řešení naopak podporují automatické nahrávání kontrolních hashových sum bootloaderu na čip základní desky, tedy alespoň v případě, že je zde povolený „setup“ režim.

Druhý bootloader může vypadat na první pohled jako komplikace, na druh stran je to ale dnes nejjednodušší cesta jak používat na stanici s UEFI alternativní operační systém. Přinese jednou budoucnost osobní počítače znehodnocené pevným svázáním se zamčeným operačním systém, jako jsme toho svědky například u některých dnešních mobilních telefonů? Doufejme, že se výrobci hardware právě na tomto příkladě poučili a nebudou ve vysoce konkurenčním prostředí hazardovat s trpělivostí uživatelů.


Komentáře

Aleš Kapica #1
Aleš Kapica 13. únor 2013 12:06

Mně osobně přijde na hlavu držet kvůli UEFI na disku partici s FAT

Matej Tokar #3
Matej Tokar 09. duben 2014 12:25

Neviete ci sa da aj telefon cez toto nejako spojazdnit nahodit dobho novy system? totiz som si rootol tel a skusal som tam dat vyladenia systemu a nieco som spravil zle a teraz mi nejde nabehnut tel. ... pocul som ze telefonny android bezia cez linux ...... prosim ak niekdo viem poradte mi prosim vopred dakujem moj email matej9@centrum.sk

Lol Phirae 16. únor 2013 09:14

"deska umožní „bezpečné bootování vypnout“, což je ideální cesta pro zavedení rootkitu či jiného malware kódu do PC."

Autore, takovýhle FUD je dobrý tak do Blesku. :-/

RSS 

Komentujeme

Makroviry inspirují

Pavel Houser , 20. září 2017 06:30
Pavel Houser

Úspěšný návrat malwaru šířeného pomocí maker vedl útočníky k tomu, že svou pozornost obrátili k příb...

Více






Kalendář

21. 09. Mobilní řešení pro business
25. 09.

29. 09.
Susecon 17
25. 09.

29. 09.
Microsoft Ignite 2017
RSS 

Zprávičky

Američtí operátoři T-Mobile US a Sprint jednají o fúzi

ČTK , 20. září 2017 11:00

Tržní hodnota T-Mobile US se pohybuje kolem 51 miliard dolarů hodnota Sprintu dosahuje zhruba 30 mil...

Více 0 komentářů

EK chce vyšší pravomoci pro řešení kybernetických útoků

ČTK , 20. září 2017 09:00

Celounijní certifikace by se měla týkat miliardy zařízení kritické infrastruktury....

Více 0 komentářů

Oblíbený nástroj CCleaner obsahoval malware

Pavel Houser , 19. září 2017 17:17

Ohroženy mohou být miliony uživatelů. Zranitelné jsou verze CCleaner 5.33 a CCleaner Cloud 1.07.3191...

Více 1 komentářů

Starší zprávičky

EK navrhuje nová pravidla pro pohyb dat neosobního charakteru

ČTK , 19. září 2017 15:26

Členské státy EU by už podle návrhu neměly nutit organizace, aby uchovávaly či zpracovávaly data na ...

Více 0 komentářů

Na trh přichází Synology C2 Backup

Pavel Houser , 19. září 2017 11:34

Synology strávila více než rok budováním vlastního datového centra....

Více 0 komentářů

Hackathon veřejné správy přilákal na 6 desítek vývojářů

Pavel Houser , 19. září 2017 08:00

Propojit otevřená data veřejné správy v užitečné aplikace bylo cílem šesti desítek programátorů, kte...

Více 0 komentářů

Úřad pro ochranu hospodářské soutěže zkoumá zakázky na IT systémy

Pavel Houser , 18. září 2017 12:50

Úřad aktuálně se zaměřil na smlouvy na IT systémy uzavřené v jednacím řízení bez uveřejnění. ...

Více 0 komentářů