UEFI Secure Boot bootloader od Linux Foundation konečně na scéně, změní to pozici Linuxu na desktopech?

Karel Michal , 13. únor 2013 08:00 3 komentářů
UEFI Secure Boot bootloader od Linux Foundation konečně na scéně, změní to pozici Linuxu na desktopech?

Sdružení Linux Foundation konečně zpřístupnilo svoje univerzální řešení pro zabezpečené UEFI bootování, tedy vlastní Linux Foundation UEFI secure boot system, o kterém jsme poprvé informovali loni na sklonku léta. Linux Foundation si dala poměrně na čas, změna je ale natolik významná, že by mohla stát poměrně za to, mění totiž rovnováhu sil na desktopových počítačích (a konec konců i nových noteboocích). Tedy alespoň pokud odmyslíme, že je vydán Microsoftem.

Nová PC s moderními základními deskami využívají namísto tradičního zaváděcího software BIOS tzv. UEFI, to vedle grafického rozhraní přináší také ověřované bezpečné bootování operačního systému, kdy se kryptograficky ověřuje zabezpečený podpis spouštěného kódu. Ten zahrnuje ověření bootloaderu a případně také jádra systému a hlavních ovladačů. To je ale značně diskriminační pro celou řadu „neoficiálních“ operačních systémů.

Stahovat potřebné soubory Linux Foundation UEFI secure bootu je možné zde:

Hlavní problém s UEFI je ten, že bootloader musí být podepsán některým klíčem, jehož veřejná část je uložena v samotném zaváděcím programu na základní desce. Zatímco PC dodávané s Windows mají v sobě zabudovaný klíč od Microsoftu, Linux se najednou ocitl v mnohem horší pozici. Vývojáři zareagovali různě, jednou z možností je podepsat klíčem od Microsoftu, nebo doufat, že deska umožní „bezpečné bootování vypnout“, což je ideální cesta pro zavedení rootkitu či jiného malware kódu do PC.

Bezpečnou alternativu představuje právě uvolněná varianta od Linux Foundation, která vyvinula vlastní bootloader, ten je použitelný na jakémkoli PC s aktivní technologií UEFI Secure Boot, má jen jednu vadu, podepisuje opět klíčem od Microsoftu. Bootloader byl podepsán 6. února 2013 a oficiálně uvolněn minulý pátek.

Dosavadní stav

Až dosud se nabízela pouze varianta podpisu přímo klíčem od MS, podpis od Microsoftu ale není zadarmo, stojí 99 dolarů a nese sebou drobná omezení (licenční i technická). Tuto variantu průkopnicky zvolil komerční Linux od společnosti Red Hat. Podobnou alternativou s jedním mezikrokem pro všechny ostatní představuje bootloader od Linux Foundation.

Pre-bootloader od LF je sice také podepsaný klíčem od Microsoftu, ale načítá a spouští běžný bootloader linuxové distribuce bez jakýchkoli dalších omezení (například ověřování podpisu jádra).

V momentu bootování mohou nastat dvě možnosti, u profesionálnějších distribucí bude možná bootloader již podepsaný, v takovém případě není nikde žádný problém a systém normálně nabootuje. Druhou variantou je, že bootloader důvěryhodným klíčem podepsaný nebude (respektive u současných desek hlavně nebude jeho kontrolní hash uložena na desce), v takovém případě by měl za normálních okolností smůlu. Bootloader od LF v tento moment vyzve uživatele k potvrzení nabootování nepodepsaného kódu a systém může naběhnout i tak.

Red Hat a bootloadery Shim

Red Hat Enterprise Linux přišel s podobnou vlastní variantou. Jeho bootloader Shim, za kterým stojí Matthew Garrett, který Shim uvolnil pro svobodné užívání, je prakticky stejně fungujícím prvostupňovým botloaderem, který umožní natažení samotného bootloaderu systému.

Oproti řešení Linux Foundation se liší zejména tím, že udržuje vlastní databázi důvěryhodných klíčů a kontrolních hashovacích sum. Pokud pak uživatel bootuje z podepsaného systému s neznámou sumou, bootloader jej vyzve k potvrzení povolení nabootovat a zeptá se na to, zda li má klíč uložilo databáze, příště tak již další tázání odpadá.

Jak se liší LF bootloader a Shim prakticky?

Na první pohled z uživatelského hlediska (tedy až na bezpečnost a drobné změny uživatelského rozraní) žádný velký rozdíl neuvidíme, přesto zde je a malý opravdu není. Bootloader od Linux Foundation totiž pracuje tak, že rozpoznává důvěryhodné distribuce na základě kontrolní hash sumy, oproti tomu Shim hlavně zavádí již nějak podepsané distribuce a kontroluje podpisový klíč, takže uživatel nemusí znovu potvrzovat důvěryhodnost distribuce. Právě to pak hypoteticky umožňuje například instalaci podepsaného malware do PC a staví bezpečnostní stránku UEFI na hlavu. Výhodou Shim je univerzálnost použití, můžete pomocí něho například zavést zcela nepodepsané distribuce.

Bootloader od LF má také údajně lépe zvládnuté spouštění dalšího kódu, například upravených bootloaderů, které využívají UEFI API. LF bootloader bohužel oproti shim neobsahuje modul KeyTool.efi pro správu klíčů, Microsoft jej totiž odmítl podepsat kvůli potenciálnímu bezpečnostnímu riziku.

Obě řešení naopak podporují automatické nahrávání kontrolních hashových sum bootloaderu na čip základní desky, tedy alespoň v případě, že je zde povolený „setup“ režim.

Druhý bootloader může vypadat na první pohled jako komplikace, na druh stran je to ale dnes nejjednodušší cesta jak používat na stanici s UEFI alternativní operační systém. Přinese jednou budoucnost osobní počítače znehodnocené pevným svázáním se zamčeným operačním systém, jako jsme toho svědky například u některých dnešních mobilních telefonů? Doufejme, že se výrobci hardware právě na tomto příkladě poučili a nebudou ve vysoce konkurenčním prostředí hazardovat s trpělivostí uživatelů.


Komentáře

Aleš Kapica #1
Aleš Kapica 13. únor 2013 12:06

Mně osobně přijde na hlavu držet kvůli UEFI na disku partici s FAT

Matej Tokar #3
Matej Tokar 09. duben 2014 12:25

Neviete ci sa da aj telefon cez toto nejako spojazdnit nahodit dobho novy system? totiz som si rootol tel a skusal som tam dat vyladenia systemu a nieco som spravil zle a teraz mi nejde nabehnut tel. ... pocul som ze telefonny android bezia cez linux ...... prosim ak niekdo viem poradte mi prosim vopred dakujem moj email matej9@centrum.sk

Lol Phirae 16. únor 2013 09:14

"deska umožní „bezpečné bootování vypnout“, což je ideální cesta pro zavedení rootkitu či jiného malware kódu do PC."

Autore, takovýhle FUD je dobrý tak do Blesku. :-/

RSS 

Komentujeme

Microsoft a GitHub

Pavel Houser , 13. červen 2018 13:30
Pavel Houser

Transakce v hodnotě 7,5 miliardy dolarů je dost velká i na poměry Microsoftu, takže se prodejem GitH...

Více







RSS 

Zprávičky

Systém pro STK by měl za 120 mil. Kč nadále provozovat AutoCont

ČTK , 22. červen 2018 10:00

V novém smluvním období by firma měla zajistit také propojení s obdobnými systémy jednotlivých člens...

Více 0 komentářů

Divize firmy Deutsche Telekom T-Systems ruší 10 000 míst

ČTK , 22. červen 2018 09:00

Na 6000 míst z celkového počtu má být zrušeno v Německu v průběhu příštích tří let....

Více 0 komentářů

Šéfovi Intelu srazil vaz vztah na pracovišti

ČTK , 22. červen 2018 08:00

Ve funkci předsedy představenstva a člena správní rady Krzaniche přechodně nahradí dosavadní finančn...

Více 0 komentářů

Kalendář

23. 06.

24. 06.
Maker Faire Prague 2018
04. 08.

09. 08.
Black Hat USA 2018
09. 08.

12. 08.
DEF CON 26

Starší zprávičky

Musk: Favoritem pro evropskou továrnu na baterie Tesly je Německo

ČTK , 21. červen 2018 10:00

Revoluce elektrických aut zvýší do roku 2025 hodnotu evropského trhu s bateriemi na zhruba 250 milia...

Více 0 komentářů

Česko testuje komunikaci mezi auty, vlaky a MHD

ČTK , 21. červen 2018 09:00

Vozidla si budou vyměňovat informace například o tom, jak je vlak daleko od závor, nebo že tramvaj v...

Více 0 komentářů

Xiaomi chce při vstupu na burzu získat až 6,1 miliardy dolarů

ČTK , 21. červen 2018 08:00

Půjde o jednu z největších primárních nabídek akcií v technologickém sektoru za posledních několik l...

Více 0 komentářů

Kryptoměnovou burzu Bithumb napadli hackeři

ČTK , 20. červen 2018 10:16

Za poslední týden jde již o druhý útok na kryptoměnové burzy v Jižní Koreji. Bitcoin opět klesl....

Více 0 komentářů