Este proceso evitará el arranque de software no certificado. Esto puede tener beneficios, aunque no puedo verlos.
Tiene un nuevo mecanismo de seguridad para controlar qué puede y qué no puede arrancar desde su hardware. Una característica de seguridad. No sientes que lo necesitas hasta que sea demasiado tarde. Pero yo divago.
He leído un hilo en la lista de correo de Linux donde un empleado de Red Hat le pide a Linus Torvalds que extraiga un conjunto de cambios que implemente la facilidad para analizar binarios PE y tomar un conjunto complejo de acciones para permitir que el kernel arranque en modo de arranque seguro (hasta donde puedo entender )
Los controladores, como el firmware de su GPU, deben estar firmados en línea con el Arranque seguro, de lo contrario, puede ser otro rootkit. El status quo es que esos controladores están firmados en formato PE. El núcleo puede arrancar sin esos de todos modos, pero el hardware no funcionará. Analizar el formato PE en el kernel es una opción técnicamente más simple para esto que pedirle a cada proveedor de hardware que firme sus blobs para cada distribución, o configurar un marco de espacio de usuario para hacerlo. Linus decide no chupar la polla de Microsoft. Ese no es un argumento técnico.
¿Qué beneficios obtendré con UEFI y Secure Boot, como usuario doméstico?
La característica más visible es el arranque rápido UEFI. Tengo en mis manos varios escritorios con el logotipo de Windows 8 y se inician tan rápido que a menudo echo de menos que aparezca el menú de inicio. Intel y los OEM tienen bastante ingeniería en esto.
Si eres del tipo de usuarios de Linux que odian la hinchazón y la duplicación de código con pasión, también puedes administrar el arranque múltiple a nivel de firmware y deshacerte de los cargadores de arranque por completo. UEFI proporciona un administrador de arranque con el que puede iniciar directamente en el kernel o elegir iniciar otros sistemas operativos con el menú de firmware. Aunque puede necesitar algunos retoques.
Además, gráficos más elegantes durante el tiempo de arranque y en el menú de firmware. Mayor seguridad durante el arranque (arranque seguro). Otras características (arranque de red IPv4 / 6, dispositivos de arranque de 2 TB +, etc.) están destinadas principalmente a usuarios empresariales.
De todos modos, como dijo Linus , se supone que BIOS / UEFI "simplemente carga el sistema operativo y salga de allí", y UEFI ciertamente lo parece para los usuarios domésticos con arranque rápido. Ciertamente hace más cosas que BIOS debajo del capó, pero si estamos hablando de usuarios domésticos, no les importará eso.
¿Cómo se hace esta firma?
Teóricamente, un binario se cifra con una clave privada para generar una firma. Luego, la firma se puede verificar con la clave pública para demostrar que el binario está firmado por el propietario de la clave privada, luego se verifica el binario. Ver más en Wikipedia .
Técnicamente, solo se firma el hash del binario, y la firma se incrusta en el binario con formato PE y twiddling de formato adicional.
De manera procesal, su OEM almacena la clave pública en su firmware, y es de Microsoft. Tienes dos opciones:
- Genere su propio par de claves y adminístrelas de forma segura, instale su propia clave pública en el firmware y firme el binario con su propia clave privada ( sbsign de Ubuntu o pesign de Fedora), o
- Envía tu binario a Microsoft y deja que lo firmen.
¿Quién puede obtener firmas / certificados? ¿Está pagado? ¿Puede ser público? (Debería estar disponible en el código fuente de Linux, ¿no?)
Como las firmas / certificados están integrados en los archivos binarios, se espera que todos los usuarios los obtengan. Cualquiera puede configurar su propia CA y generar un certificado para sí mismo. Pero si desea que Microsoft genere un certificado para usted, debe pasar por Verisign para verificar su identidad. El proceso cuesta $ 99. La clave pública está en el firmware. La clave privada está en la caja fuerte de Microsoft. El certificado está en el binario firmado. No hay código fuente involucrado.
¿Es Microsoft la única autoridad para proporcionar firmas? ¿No debería haber una base independiente para proporcionarlos?
El aspecto técnico es bastante trivial, en comparación con el proceso de gestión de PKI, verificación de identidad, coordinación con todos los OEM y proveedores de hardware conocidos. Esto cuesta un querido. Microsoft tiene una infraestructura (WHQL) y experiencia para esto por años. Entonces ofrecen firmar binarios. Cualquier fundación independiente puede dar un paso adelante para ofrecer lo mismo, pero ninguna lo ha hecho hasta ahora.
Desde una sesión UEFI en IDF 2013, veo que Canonical también ha comenzado a poner su propia clave para el firmware de algunas tabletas. De modo que Canonical puede firmar sus propios binarios sin pasar por Microsoft. Pero es poco probable que firmen binarios por usted porque no saben quién es usted.
¿Cómo afectará esto a los núcleos de código abierto y gratuitos, a los desarrolladores de kernel aficionados / académicos, etc.
Su kernel personalizado no arrancará en Arranque seguro, porque no está firmado. Sin embargo, puedes apagarlo.
El modelo de confianza de Arranque seguro bloquea algunos aspectos del núcleo. Como si no pudieras destruir tu núcleo escribiendo a / dev / kmem incluso si eres root ahora. No puede hibernar en el disco (se está trabajando en sentido ascendente) porque no hay forma de garantizar que la imagen del núcleo no se cambie a un kit de arranque cuando se reanude. No puede volcar el núcleo cuando el núcleo entra en pánico, porque el mecanismo de kdump (kexec) se puede usar para arrancar un bootkit (que también se trabaja en sentido ascendente). Estos son controvertidos y Linus no los acepta en el núcleo de la línea principal, pero algunas distribuciones (Fedora, RHEL, Ubuntu, openSUSE, SUSE) se envían con sus propios parches de arranque seguro de todos modos.
Personalmente, la firma del módulo requerida para construir un núcleo de arranque seguro cuesta 10 minutos, mientras que la compilación real solo toma 5 minutos. Si apago la firma del módulo y enciendo ccache, la construcción del kernel solo toma un minuto.
UEFI es una ruta de inicio completamente diferente del BIOS. El firmware UEFI no invocará todo el código de arranque del BIOS.
Un grupo de usuarios de Linux español llamado Hispalinux ha presentado una queja contra Microsoft sobre este tema ante Europan Comission.
Como se dijo anteriormente, nadie, excepto Microsoft, ha dado un paso al frente para hacer el servicio público. Actualmente no hay evidencia de la intención de Microsoft de hacer algo malo con esto, pero tampoco hay nada que evite que Microsoft abuse de su monopolio de facto e inicie un viaje de poder. Por lo tanto, si bien los grupos de usuarios de FSF y Linux pueden no parecer bastante pragmáticos y no se han sentado para resolver problemas de manera constructiva, es bastante necesario que las personas presionen a Microsoft y le adviertan sobre las repercusiones.
¿Debería Preocuparme? Rechazo no utilizar software privativo ni software firmado por compañías confiables. Lo he hecho hasta ahora y quiero continuar así.
Razones para adoptar el arranque seguro:
- Elimina un vector de ataque de seguridad real.
- Es un mecanismo técnico para dar al usuario más libertad para controlar su hardware.
- Los usuarios de Linux deben comprender el mecanismo de arranque seguro y actuar de manera proactiva antes de que Microsoft llegue demasiado lejos al monopolio de la política de arranque seguro .
UEFIen sí no es un gran problema, pero puede ser un arranque seguro.