Мэтью Гаррет (Matthew Garrett), один из разработчиков ядра Linux из компании Red Hat, представил план реализации полного комплекса средств для поддержки режима безопасной загрузки UEFI в следующем выпуске Linux-дистрибутива Fedora. Целью обеспечения поддержки является предоставление из коробки возможности установки Fedora Linux на компьютеры, укомплектованные операционной системой Windows 8. Напомним, что для сертификации оборудования на совместимость с Windows 8, компания Microsoft требует обязательной активации по умолчанию режима безопасной загрузки UEFI, блокирующего загрузку систем, не имеющих заверенной цифровой подписи.
Возможность работы Fedora в режиме безопасной загрузки UEFI будет охватывать как технические стороны, так и организационные меры. Режим безопасной загрузки подразумевает, что все компоненты, взаимодействующие с оборудованием и обеспечивающие загрузку ОС, должны иметь цифровую подпись, в том числе загрузчик, ядро ОС, загружаемые ядром драйверы и все модули ядра. При этом возникает ряд проблем с цифровыми подписями. У создателей альтернативных систем имеется два пути получения таких подписей - заверение подписи у официально аккредитованной организации или самостоятельное создание цифровой подписи.
В первом случае возникает несовместимость с лицензией GPLv3 (запрет тивоизации), под которой распространяется GRUB2, и требуется заверение подписи при изменении каждого из загружаемых компонентов (например, при обновлении GRUB или пересборке модуля ядра нужно получить новую цифровую подпись). Во втором случае наблюдаются существенные для рядового пользователя трудности, связанные с необходимостью изменения конфигурации прошивки (отключению UEFI) или ручной загрузкой в прошивку своих ключей (интерфейс по загрузке ключей никак не стандартизирован и может быть реализован производителем на своё усмотрение). По мнению разработчиков дистрибутива недопустимо заставлять пользователя дополнительно разбираться в настройке прошивки при желании использовать Fedora Linux.
Тем не менее, несмотря на кажущуюся безвыходность сложившейся ситуации, разработчики Fedora нашли достаточно интересное компромиссное решение. На первом этапе загрузки будет использован специальный дополнительный загрузчик, заверенный ключом от компании Microsoft. Функции данного загрузчика будут сведены к проверке валидности цифровой подписи следующего компонента цепочки загрузки и передаче управление штатному загрузчику GRUB 2, который, как и ядро и все загружаемые в дальнейшем модули, будет подписан собственным ключом проекта Fedora. Первичный загрузчик будет заверен представителями проекта Fedora через сервис Microsoft, позволяющий за 99$ (сервис предоставляет Verisign) получить доступ к формированию неограниченного числа подписей для исполняемых файлов.
Заверение первичного загрузчика ключом Microsoft является оптимальным вариантом, который позволит обеспечить совместимость со всем оборудованием. Получение собственного заверяющего ключа для проекта Fedora привело бы к необходимости согласования с каждым OEM-производителем вопроса включения проверочного ключа Fedora в прошивку, что неизбежно отразилось бы в появлении оборудования, которое не поддерживает Fedora. Кроме того, получение подобного ключа дало бы несправедливое преимущество по отношению к другим дистрибутивам Linux. Получение ключа для Linux вцелом потребовало бы существенных финансовых затрат (миллионы долларов) и значительного времени на создание и поддержание специальной инфраструктуры для координации формирования подписей для различных дистрибутивов, которая смогла бы гарантировать безопасность корневого ключа.
В рамках реализации плана поддержки режима безопасной загрузки UEFI планируется внести изменения в различные компоненты дистрибутива. В GRUB 2 будут внесены такие изменения, как блокирование загрузки модулей на лету для обеспечения целостности процесса безопасной загрузки. Ядро Linux будет собрано с поддержкой проверки цифровых подписей модулей и драйверов. Так как спецификация требует обязательной проверки всех компонентов взаимодействующих с оборудованием, при использовании режима безопасной загрузки UEFI функциональность ядра будет немного урезана, например, будет заблокирована поддержка прямого обращения к памяти устройств из пространства пользователя, т.е. для работы с графической картой обязательным будет использование DRM-драйвера, работающего на уровне ядра (при загрузке в обычном режиме данное ограничение не будет действовать). Процесс формирования подписей для стандартных модулей и драйверов будет автоматизирован, вопросы организации формирования подписей для сторонних модулей ядра (например, virtualbox, драйверы nvidia и AMD Catalyst) и для модулей пересобранных из исходных текстов пока находятся на стадии обсуждения.
Изначально предлагалось подготовить специальный инструментарий, который бы позволил пользователям формировать подписи для своих вариантов ядра, модулей и загрузчиков, но создание такого инструментария сопряжено с необходимостью решения проблемы доступа к заверяющему подписи ключу, который необходимо держать в секрете. Другим, более приемлемым, вариантом в такой ситуации является генерация пользователем собственного ключа, добавление его в UEFI-прошивку и пересборка начального загрузчика с новым ключом, после чего новый ключ можно будет использовать для формирования локальных цифровых подписей (заверенные ключом Fedora компоненты не придётся переподписывать, так как новый ключ будет определён как доверительный в прошивке).
Поддержка режима безопасной загрузки UEFI ожидается только для x86-систем, для систем на базе архитектуры ARM с предустановленным Windows 8 использование Fedora принципиально поддерживаться не будет. Технически, реализуемая поддержка безопасной загрузки UEFI позволяет организовать установку Fedora на таких системах, но так как компания Microsoft явно запрещает предоставление любых способов отключения безопасной загрузки или добавления своих ключей, разработчики Fedora могут обеспечить работу только заверенных дистрибутивных компонентов, использовать пересобранные или сторонние компоненты без покупки ключа у Microsoft будет невозможно.
Источник »
Главная ссылка к новости »
LinuxForum.Fans
Fedora получит поддержку режима безопасной загрузки UEFI
Автор: Alecks-ei
42 сообщений
3554 просмотров
Ну вот и мы дождались момента истины. Чтобы собрать ядро линукс, нужно идти на поклон к Microsoft.
Дожили, блин!
А оно мне надо? Просто буду выбирать материнки с отключаемым SecureBoot, и все. Это лобби мелкософта, и некоторые персоны, похоже, не имели достаточной власти/силы воли, чтобы сказать "нет!". Но теперь ситуацию уже не исправить.
yars
Это на случай "зачем мне этот кривой Linux, ради которого мне надо особый ПК покупать?".
Это на случай "зачем мне этот кривой Linux, ради которого мне надо особый ПК покупать?".
М$ хочет всем свою ось навязать, а я говорю, что не буду я ее покупать. Не нужна. Эти их проблемы с левыми вендами не должны создавать проблем мне, и потому пусть M$ со своим SecureBoot катятся к чертям в болото. Как было с технологией защиты от boot-вирусов, помните? Она только лишние проблемы всем создавала. Так будет и с SecureBoot :( А уж платить денежки мелкософту за сертификацию ядра Linux - это вообще я не знаю как назвать, один мат на ум лезет.
yars
Ты молодец, а кто-то другой может и купить, ему Linux уже никогда не подойдёт?
Я не говорю про то, что это неправильно, ибо зачем говорить об очевидных вещах?
а я говорю, что не буду я ее покупать
Скажу больше, что в России вообще мало кто будет её покупать, ага.
Проще скачать.
а кто-то другой может и купить, ему Linux уже никогда не подойдёт?
Конечно. Но я не мелкософт, и не считаю себя вправе решать за других, как это делают они.
...ибо зачем говорить об очевидных вещах?
Молчание - знак согласия. Домолчались...
А на кой ляд вообще этот SecureBoot? Так и не понял механизма защиты.
Вроде как бы неподписанные модули (или что там) не даст загрузить… Ха, а недавний Win32.Flame был подписан же, емнип. И толку тогда с такой «защиты»?
А на кой ляд вообще этот SecureBoot? Так и не понял механизма защиты.
Вроде как бы неподписанные модули (или что там) не даст загрузить…
Это отмза от антимонопольных органов. А на самом деле цель простая - всем навязать свою ось.
Как же Маки тогда будут...
А ни как. Не будет Маков, и Линукса не будет, будет один виндовс, у которого от релиза к релизу самые заметные улучшения - это цветное руководство пользователя.
text
Дайте людям возможность выбора, и они превратятся в стадо, лишите их такой возможности, и они превратятся в рабов.Не помню кто сказал, но очень точно.
Как же Маки тогда будут...
А что с ними не так? У них железо то свое, а не стороннее. Вот на Мак восьмерку уже очевидно ни какому чудаку не удастся.
Не будет Маков
Почему?
железо то свое
Эм...вроде от интел, амд и других фирм же.
Вот на Мак восьмерку уже очевидно ни какому чудаку не удастся.
Нафига на мак винду накатывать? Бред же!
Вот на Мак восьмерку уже очевидно ни какому чудаку не удастся.
Если захотеть, то удастся, потому что: 1) нет ничего невозможного, 2) любой алгоритм (защиты), придуманный человеком, может быть взломан им же. Хакинтоши уже есть. А Мак, на котором винда, превращается в простой ноут. И железо там уже то же самое, потому что оно дешевле.
Это отмза от антимонопольных органов. А на самом деле цель простая - всем навязать свою ось.
Хм. Достаточно правдоподобно.
А что с ними не так? У них железо то свое, а не стороннее.
Эм. Там, вроде, с времён отказа от PPC самые обычные железки, те же Интеловские ЦП и т.д.
Нафига на мак винду накатывать? Бред же!
Уп-с…
http://www.ferra.ru/ru/soft/news/2012/06/08/Windows-Mac/
http://habrahabr.ru/post/145478/ - и на швабре, с комментариями.
Нафига на мак винду накатывать? Бред же!
Да проскакивали такие рассказы. В школу поступали маки и на них винду нкатывали
Целью обеспечения поддержки является предоставление из коробки возможности установки Fedora Linux на компьютеры, укомплектованные операционной системой Windows 8.
А что собственно обсуждаем и чего возмущаемся? Что, сейчас нет возможности купить комп без предустановленной ОС от МС? Или думаете что далее так не будет и пропадут с прилавков "пустые" компы и ноуты? Не верю. Да такого успеха МС желало бы всей душой. )))) Да вот только осуществить это не способна.
Или это у форума пятничный нервный срыв?
Войдите или зарегистрируйтесь, чтобы ответить.
