margin-top: 125px; border: 1px solid gray; } -->

UEFI Secure Boot bootloader od Linux Foundation konečně na scéně, změní to pozici Linuxu na desktopech?

Karel Michal , 13. únor 2013 08:00 3 komentářů
UEFI Secure Boot bootloader od Linux Foundation konečně na scéně, změní to pozici Linuxu na desktopech?

Sdružení Linux Foundation konečně zpřístupnilo svoje univerzální řešení pro zabezpečené UEFI bootování, tedy vlastní Linux Foundation UEFI secure boot system, o kterém jsme poprvé informovali loni na sklonku léta. Linux Foundation si dala poměrně na čas, změna je ale natolik významná, že by mohla stát poměrně za to, mění totiž rovnováhu sil na desktopových počítačích (a konec konců i nových noteboocích). Tedy alespoň pokud odmyslíme, že je vydán Microsoftem.

Nová PC s moderními základními deskami využívají namísto tradičního zaváděcího software BIOS tzv. UEFI, to vedle grafického rozhraní přináší také ověřované bezpečné bootování operačního systému, kdy se kryptograficky ověřuje zabezpečený podpis spouštěného kódu. Ten zahrnuje ověření bootloaderu a případně také jádra systému a hlavních ovladačů. To je ale značně diskriminační pro celou řadu „neoficiálních“ operačních systémů.

Stahovat potřebné soubory Linux Foundation UEFI secure bootu je možné zde:

Hlavní problém s UEFI je ten, že bootloader musí být podepsán některým klíčem, jehož veřejná část je uložena v samotném zaváděcím programu na základní desce. Zatímco PC dodávané s Windows mají v sobě zabudovaný klíč od Microsoftu, Linux se najednou ocitl v mnohem horší pozici. Vývojáři zareagovali různě, jednou z možností je podepsat klíčem od Microsoftu, nebo doufat, že deska umožní „bezpečné bootování vypnout“, což je ideální cesta pro zavedení rootkitu či jiného malware kódu do PC.

Bezpečnou alternativu představuje právě uvolněná varianta od Linux Foundation, která vyvinula vlastní bootloader, ten je použitelný na jakémkoli PC s aktivní technologií UEFI Secure Boot, má jen jednu vadu, podepisuje opět klíčem od Microsoftu. Bootloader byl podepsán 6. února 2013 a oficiálně uvolněn minulý pátek.

Dosavadní stav

Až dosud se nabízela pouze varianta podpisu přímo klíčem od MS, podpis od Microsoftu ale není zadarmo, stojí 99 dolarů a nese sebou drobná omezení (licenční i technická). Tuto variantu průkopnicky zvolil komerční Linux od společnosti Red Hat. Podobnou alternativou s jedním mezikrokem pro všechny ostatní představuje bootloader od Linux Foundation.

Pre-bootloader od LF je sice také podepsaný klíčem od Microsoftu, ale načítá a spouští běžný bootloader linuxové distribuce bez jakýchkoli dalších omezení (například ověřování podpisu jádra).

V momentu bootování mohou nastat dvě možnosti, u profesionálnějších distribucí bude možná bootloader již podepsaný, v takovém případě není nikde žádný problém a systém normálně nabootuje. Druhou variantou je, že bootloader důvěryhodným klíčem podepsaný nebude (respektive u současných desek hlavně nebude jeho kontrolní hash uložena na desce), v takovém případě by měl za normálních okolností smůlu. Bootloader od LF v tento moment vyzve uživatele k potvrzení nabootování nepodepsaného kódu a systém může naběhnout i tak.

Red Hat a bootloadery Shim

Red Hat Enterprise Linux přišel s podobnou vlastní variantou. Jeho bootloader Shim, za kterým stojí Matthew Garrett, který Shim uvolnil pro svobodné užívání, je prakticky stejně fungujícím prvostupňovým botloaderem, který umožní natažení samotného bootloaderu systému.

Oproti řešení Linux Foundation se liší zejména tím, že udržuje vlastní databázi důvěryhodných klíčů a kontrolních hashovacích sum. Pokud pak uživatel bootuje z podepsaného systému s neznámou sumou, bootloader jej vyzve k potvrzení povolení nabootovat a zeptá se na to, zda li má klíč uložilo databáze, příště tak již další tázání odpadá.

Jak se liší LF bootloader a Shim prakticky?

Na první pohled z uživatelského hlediska (tedy až na bezpečnost a drobné změny uživatelského rozraní) žádný velký rozdíl neuvidíme, přesto zde je a malý opravdu není. Bootloader od Linux Foundation totiž pracuje tak, že rozpoznává důvěryhodné distribuce na základě kontrolní hash sumy, oproti tomu Shim hlavně zavádí již nějak podepsané distribuce a kontroluje podpisový klíč, takže uživatel nemusí znovu potvrzovat důvěryhodnost distribuce. Právě to pak hypoteticky umožňuje například instalaci podepsaného malware do PC a staví bezpečnostní stránku UEFI na hlavu. Výhodou Shim je univerzálnost použití, můžete pomocí něho například zavést zcela nepodepsané distribuce.

Bootloader od LF má také údajně lépe zvládnuté spouštění dalšího kódu, například upravených bootloaderů, které využívají UEFI API. LF bootloader bohužel oproti shim neobsahuje modul KeyTool.efi pro správu klíčů, Microsoft jej totiž odmítl podepsat kvůli potenciálnímu bezpečnostnímu riziku.

Obě řešení naopak podporují automatické nahrávání kontrolních hashových sum bootloaderu na čip základní desky, tedy alespoň v případě, že je zde povolený „setup“ režim.

Druhý bootloader může vypadat na první pohled jako komplikace, na druh stran je to ale dnes nejjednodušší cesta jak používat na stanici s UEFI alternativní operační systém. Přinese jednou budoucnost osobní počítače znehodnocené pevným svázáním se zamčeným operačním systém, jako jsme toho svědky například u některých dnešních mobilních telefonů? Doufejme, že se výrobci hardware právě na tomto příkladě poučili a nebudou ve vysoce konkurenčním prostředí hazardovat s trpělivostí uživatelů.


Komentáře

Aleš Kapica #1
Aleš Kapica 13. únor 2013 12:06

Mně osobně přijde na hlavu držet kvůli UEFI na disku partici s FAT

Matej Tokar #3
Matej Tokar 09. duben 2014 12:25

Neviete ci sa da aj telefon cez toto nejako spojazdnit nahodit dobho novy system? totiz som si rootol tel a skusal som tam dat vyladenia systemu a nieco som spravil zle a teraz mi nejde nabehnut tel. ... pocul som ze telefonny android bezia cez linux ...... prosim ak niekdo viem poradte mi prosim vopred dakujem moj email matej9@centrum.sk

Lol Phirae 16. únor 2013 09:14

"deska umožní „bezpečné bootování vypnout“, což je ideální cesta pro zavedení rootkitu či jiného malware kódu do PC."

Autore, takovýhle FUD je dobrý tak do Blesku. :-/


RSS 

Komentujeme

Zákaznické karty čekají změny

Pavel Houser , 17. leden 2017 13:00
Pavel Houser

Jedna z technologií, která se už po léta prakticky nezměnila, i když by mohla? Prý karty zákazníků d...

Více





Kalendář

06. 02.

07. 02.
konference G2B TechEd
15. 02. IDC Predictions 2017
22. 02. IT mezi paragrafy
RSS 

Zprávičky

Facebook postaví v Dánsku datové centrum

ČTK , 20. leden 2017 14:00

Americký provozovatel sociální sítě Facebook postaví v dánském městě Odense nové datové centrum, kte...

Více 0 komentářů

Americký Oracle převezme českou programátorskou firmu Apiary

ČTK , 20. leden 2017 12:00

Americký výrobce podnikového softwaru Oracle podepsal dohodu o převzetí české programátorské firmy A...

Více 0 komentářů

Internetová ekonomika za pět let posílila o 15 procent na 188 miliard

ČTK , 20. leden 2017 07:00

Objem internetové ekonomiky se předloni proti roku 2011 zvýšil o 15 procent na 188 miliard korun. Na...

Více 0 komentářů

Starší zprávičky

Facebook zřídí v Paříži svůj první inkubátor pro začínající firmy

ČTK , 19. leden 2017 14:00

Americká sociální síť Facebook zřídí v Paříži svůj první inkubátor pro začínající firmy, tzv. startu...

Více 0 komentářů

Toshiba prý zvažuje o osamostatnění své polovodičové divize

ČTK , 19. leden 2017 11:00

Japonská společnost Toshiba Corp. zvažuje oddělení svých aktivit v oblasti výroby polovodičů do samo...

Více 0 komentářů

Sněmovna uzákoní pravidla pro informační systémy veřejné správy

ČTK , 19. leden 2017 07:00

Sněmovna zřejmě uzákoní pravidla pro to, jaké funkční vlastnosti mají mít informační systémy ve veře...

Více 0 komentářů

ÚOOÚ za nevyžádaná obchodní sdělení uložil i půlmilionovou pokutu

ČTK , 18. leden 2017 14:00

Úřad pro ochranu osobních údajů (ÚOOÚ) v souvislosti s nevyžádanými obchodními sděleními udělil loni...

Více 0 komentářů