Den spanske Linux-brugergruppe Hispalinux har nu indgivet en formel klage over Microsofts brug af teknologien UEFI Secure Boot i Windows 8 til EU-Kommissionen. Det skriver nyhedsbureauet Reuters.
Gruppen mener, at teknologien fungerer som en konkurrenceforvridende spærring, der forhindrer brugeren i at benytte andre styresystemer end Microsofts Windows-platform.
UEFI Secure Boot er en del af en standard, som Microsoft har valgt at implementere i Windows 8. Den kræver, at pc-hardwaren understøtter det i BIOS.
Teknologien forhindrer ikke-signeret software i at indvirke på opstarten af pc'en, så malware eksempelvis ikke kan lægge sig i hukommelsen, før styresystemet indlæses.
Det betyder imidlertid, at det er sværere at lave såkaldte boot managers, som gør det muligt at vælge at starte forskellige styresystemer op på en pc med UEFI Secure Boot.
Microsoft har krævet, at pc-producenterne gør det muligt at slå funktionen fra, hvis brugeren ønsker eksempelvis at installere Linux side om side med Windows 8. Det tilføjer imidlertid et ekstra trin i forhold til tidligere installationer.
Der findes også udgaver af Linux, som er digitalt signeret, hvor pc-producenten kan vælge at levere pc'en med den digitale signatur.
Microsoft har flere gange gentaget, at brugen af UEFI Secure Boot er en væsentlig sikkerhedsforanstaltning for at beskytte brugerne.
- emailE-mail
- linkKopier link

...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
- Sortér efter chevron_right
- Trådet debat
Men er pointen ikke at Windows certificering kraever at UEFI Secure Boot er slaaet til som standard? Dvs. at det fungere som en forhindring for at installere alternative operativ systemer; efter at forskellige Linux distroer har brugt aar paa at goere installeringen af Linux saa nemt og gnidningsloest som muligt, bliver de sparket tilbage til foerste felt, fordi de nu skal forklare folk at de skal gaa ind i og slaa Secure Boot fra eller installere en alternativ noegle foerst.
Det er da helt klart et konkurrenceforvridende koncept, men lavet smart nok til at det paa overfladen kan se ud som om de spiller efter reglerne.
efter at forskellige Linux distroer har brugt aar paa at goere installeringen af Linux saa nemt og gnidningsloest som muligt
Så kunne de her distroer jo bruge den tid det tager og få lavet certifikater? Jeg kan simplthen ikke se problemet - det er da i alles interesse, at folks maskiner er så sikre så muligt.
Men er pointen ikke at Windows certificering kraever at UEFI Secure Boot er slaaet til som standard?
Jo - det er korrekt. For at OEM'er kan klistre mærkaterne på maskinerne skal de overholde logo certificerings kravene - og de omfatter Secure Boot.
efter at forskellige Linux distroer har brugt aar paa at goere installeringen af Linux saa nemt og gnidningsloest som muligt, bliver de sparket tilbage til foerste felt, fordi de nu skal forklare folk at de skal gaa ind i og slaa Secure Boot fra eller installere en alternativ noegle foerst.
Det er en mulig situation. Der var/er alternativer:
Linux Foundation eller en anden tilstrækkelig stor organisation som Linux community'et har tillid til (fx. Red Hat eller IBM) kunne stå frem og forhandle med OEM'er om at få registreret deres cert i UEFI cert databaserne (fx. et "Linux trusted" klistermærke) og derefter tilbyde Linux distroer at signere deres binære udgaver. Sådanne signerede distroer ville give samme istallationsoplevelse som i dag - uden at svække sikkerheden ved at slå Secure Boot fra.
De enkelte distroer kan bede Microsoft om at signere deres binære distro/bootload'er. Microsoft har en række krav hvis de skal bruge deres nøgle til at stå inde for et OS, fx. at det skal være tydeligt at der boot'es et ikke-Windows system. Kravene skal sikre at et signeret OS ikke kan bruges til at lace et rootkit som blot starter Windows i en VM. Microsoft tilbyder at signere bootload'ers for 99 USD pr. signering.
Nogen i Linux community kunne lave en generel boot-loader og få den signeret af Microsoft. Denne boot-loader kan så starte en Linux distro. Så skal en Linux distro blot inkludere denne boot-load'er med deres distro. Det er faktisk det som Matthew Garrett (tidligere Red Hat) har lavet. Svagheden her er så at Linux distroen ikke vil have samme sikkerhed for at den ikke bliver underløbet af et rootkit.
Tilbage i 2011 blev netop Linux Foundation (sammen med kernel.org og flere andre højt profilerede Linux sites) ofre for og kompromiteret af et rootkit. Der gik det meste af en måned indtil infektionen blev opdaget ved et tilfælde (rootkit'et loggede rent faktisk fejlmeddelelser). Det angreb havde ikke været muligt hvis Linux understøttede Secure Boot.
Så kunne de her distroer jo bruge den tid det tager og få lavet certifikater? Jeg kan simplthen ikke se problemet - det er da i alles interesse, at folks maskiner er så sikre så muligt.
Det er (desværre for Linux distroer) ikke helt så simpelt. Det er ikke nok at få lavet sine egne certifikater - deres public del skal også være i alle maskiners key databases. Ellers må man bruge et certifikat som rent faktisk findes i key databaserne. Der er ingen i Linux community'et som har ønsket at løfte dette. Selvom UEFI Secure Boot har været undervejs i flere år (det er ikke en Microsoft specifikation).
...men om smartphone/tablet markedet. MS vil sikre sig en række hardware løste, billige tablets der kan konkurrere med iOS og Android. De vil opnå sammme position som Apple - vi styrer din maskine, og kan sælge dig videre til reklame/content-branchen.
"Sikkerhed" er PR, ligesom "synshandicappede" var det for evalg. Det har intet at gøre med sagen eller grunden.
https://www.softwarefreedom.org/blog/2012/jan/12/microsoft-confirms-UEFI-fears-locks-down-ARM/
Ja lidt lissom X-box der blev solgt meget billigt, og så skulle spilproducenter betale pr spil de solgte.
Det var lidt en streg i regningen at det lykkedes nogen at boote Linux på sådan en billig pc, så nu prøver MS så med Arm. Fordi Arm ikke er "typisk" pc-hardware, så kan konkurrencestyrelsen (KS) ikke gribe ind. Så hvis man møder op med en Arm-phone hos KS, som man gerne vil installere Linux på, men ikke kan pga UEFI, så skal man virkelige have talegaverne i orden.
Hvis man kunne kræve at få adgang til at skifte software på alt, så har jeg en printer der mekanisk er helt fin, men softwaren er virkelig elendig, og den vil jeg gerne udskifte med noget andet.
et sted omkring, at det PC-leverandøren som leverer et stykke hardware, hvor de har valgt at bundle med windows + 1 stk aktiv secure-boot-bit. Da det ikke er Microsofts ansvar at hjælpe en PC bruger til at slå secure-boot fra, er det 'hus forbi'. Brugeren kan bare købe samme stk HW uden aktiv secureBootBit, - og derfor uden windows.
Det ville være befriende om EU så pålagde hw-fabrikanter at gøre det muligt at købe HW uden windows og med inaktiv SecureBootBit.
K
Fra Reuters artiklen:
'In its 14-page complaint, Hispalinux said Windows 8 contained an "obstruction mechanism" called UEFI Secure Boot that controls the start-up of the computer and means users must seek keys from Microsoft to install another operating system'.
Det er da klar tale fra de spanske kolleger til EU-kommisionen, hatten af for det.
'... Hispalinux said Windows 8 contained an "obstruction mechanism" called UEFI Secure Boot that controls the start-up of the computer and means users must seek keys from Microsoft to install another operating system'.</p>
<p>Det er da klar tale fra de spanske kolleger til EU-kommisionen, hatten af for det.
Klar tale og klart forkert. Windows 8 indeholder ikke sådan en "mekanisme". Windows 8 indeholder ikke og kræver ikke UEFI Secure Boot.
Det viser måske hvor meget de har sat sig ind i det før de klager.
Hvis du som OEM (hardware) leverandør vil have lov at sætte et skilt med "Designed for Windows 8" på dine kasser skal du opfylde Windows Hardware Certification Requirements for Client and Server Systems. Som jeg skrev ovenfor er det i øvrigt krav som netop sikrer at der kan installeres andre operativsystemer, enten med Secure Boot eller ved at slå Secure Boot fra.
Handler det ikke bare om at Linux jo gerne vil være for mere end nørden? Hvis de skal nå hr. og fru. DK, så er det jo ikke nemt med secureboot slået til pr. default.
Handler det ikke bare om at Linux jo gerne vil være for mere end nørden? Hvis de skal nå hr. og fru. DK, så er det jo ikke nemt med secureboot slået til pr. default.
Hvis Linux vil være det, så må de jo få smidt nøgler i - det har Uffe jo fint forklaret hvordan de gør. Jeg kan ikke se hvordan MS stiller sig i vejen for det - $99 kan næppe siges og være dyrt.
"Microsofts brug af UEFI Secure Boot, som skal forhindre malware i at overtage pc'en, før styresystemet indlæses, får nu en spansk Linux-organisation til at klage." - jeg gluggede lidt, for det lyder meget som om den spanske Linux gruppe klager over at man ikke kan installere malware på computeren :)
Microsoft kræver samtidig at secure boot skal kunne slås fra i BIOS på x86 hardware. Secure boot er, så vidt jeg har forstået, kun obligatorisk på ARM hardware...
</p>
<p>Microsoft kræver samtidig at secure boot skal kunne slås fra i BIOS på x86 hardware. Secure boot er, så vidt jeg har forstået, kun obligatorisk på ARM hardware...
Hele sagen handler svjv om hvorvidt brugeren/ejeren af systemet skal kunne instalere signeringsnøjler eller som MS har andbefalet at nøglerne skal værre fastlåste ie at en bruger hverken kan fjerne trust fra MS nøgler eller tilføge trust til andre nøgler(evt selvgenererede) som der ellers var lagt op til i UEFI specifikationen. Med RT har MS så valgt at specificere en binding til MS før de vil certificere hardwaren som egnet til Windows8.
Efter som der er gået spin i det, og vi taler om tekniske detalger kan det pt værre lidt svært helt at finde hoved og hale i det ud fra pressens dækning.
Men hovedpointen i UEFI debatten er svjv at MS har vejledt HW leverendøre til at lave en implementation der ikke tillader linux lige adgang til at gøre brug af secureboot.
Hele sagen handler svjv om hvorvidt brugeren/ejeren af systemet skal kunne instalere signeringsnøjler eller som MS har andbefalet at nøglerne skal værre fastlåste ie at en bruger hverken kan fjerne trust fra MS nøgler eller tilføge trust til andre nøgler(evt selvgenererede) som der ellers var lagt op til i UEFI specifikationen.
Læs https://msdn.microsoft.com/en-us/library/windows/hardware/jj128256.aspx(Windows Hardware Certification Requirements for Client and Server Systems)
Microsoft kræver med henvisning at UEFI specifikationen skal følges af HW leverandører. Der er ikke noget "som der ellers var lagt op til i UEFI specifikationen". Der er kun "som beskrevet i specifikationen":
"Mandatory. For the purposes of UEFI Secure Boot, the platform shall expose an interface to Secure Boot, whereby the system firmware is compliant with the following sections and sub-sections of UEFI version 2.3.1 Errata B: ..."
Mandatory. Secure Boot must ship enabled Configure UEFI Version 2.3.1 Errata B variables SecureBoot=1 and SetupMode=0 with a signature database (EFI_IMAGE_SECURITY_DATABASE) necessary to boot the machine securely pre-provisioned, and include a PK that is set and a valid KEK database. The system uses this database to verify that only trusted code (for example: trusted signed boot loader) is initialized, and that any unsigned image or an image that is signed by an unauthorized publisher does not execute. The contents of the signature database is determined by the OEM, based on the required native and third-party UEFI drivers, respective recovery needs, and the OS Boot Loader installed on the machine. The following Microsoft-provided EFI_CERT_X509 signature shall be included in the signature database: (...)
Altså, intet krav om at der ikke må være andre nøgler.
Derimod et krav om at det er OEM leverandøren som selv kan bestemme indholdet af nøgle databaserne når bare systemet mindst leveres MS nøglen.
Mandatory. On non-ARM systems, the platform MUST implement the ability for a physically present user to select between two Secure Boot modes in firmware setup: "Custom" and "Standard". Custom Mode allows for more flexibility as specified in the following (...)
Ja - det er et krav fra Microsoft at man kan slå SecureBoot fra på non-ARM systemer. Dette skulle sikre at man kan falde tilbage og boot'e styresystemer som ikke understøtter secure boot - med den mindre sikkerhed det giver.
It shall be possible for a physically present user to use the Custom Mode firmware setup option to modify the contents of the Secure Boot signature databases and the PK. This may be implemented by simply providing the option to clear all Secure Boot databases (PK, KEK, db, dbx), which puts the system into setup mode.
Ah! Microsoft kræver altså derudover at en fysisk bruger kan udskifte, tilføje og fjerne nøgler fra nøgledatabaserne. Hvor er de dog slemme! Det skal de dømmes for! hov, vent lidt....
Hele sagen handler svjv om hvorvidt brugeren/ejeren af systemet skal kunne instalere signeringsnøjler eller som MS har andbefalet at nøglerne skal værre fastlåste ie at en bruger hverken kan fjerne trust fra MS nøgler eller tilføge trust til andre nøgler(evt selvgenererede) som der ellers var lagt op til i UEFI specifikationen.
Der er ikke nogen anbefaling om dette. Tværtimod er der direkte krav om det modsatte hvis man vil have HW certificeret sit system.
Der har aldrig i UEFI spec'en været lagt op til selvgenererende nøgler. Der har været spekulationer og forslag om selvgenererende nøgler fra folk i Linux community'et som en del af ibrugtagelsesprocessen for nye systemer.
Sagen handler om at Linux Foundation ikke har kendt deres besøgelsestid og ikke har trådt i karakter som ejere/certificeringsmyndighed for nøgler som ville kunne bruges til at signere Linux distributioner.
Det store opgave for LF (eller hvem som ville stå for sådan en signeringsnøgle) ville være at garantere at den holdes hemmelig OG at de skal signere binære udgaver af distro'er/bootloaders. Ved den signering skal de sikre sig at der ikke slipper root-kits igennem under dække af at være en Linux distro. Hvis det skete kunne de blive ansvarlige for skader og skulle finde en måde at tilbagekalde signeringen. Hvis de ikke gjorde det ville de kunne risikere at deres egen nøgle blev betragtet som rootkit dør og ryge på blokeringslisten.
Med andre ord, dén opgave kræver en voksen organisation. LF og Red Hat har takket nej. Det er kun MS der har været interesseret i at udføre denne signering. De tilbyder så nu at signere bootload'ers for sølle $99 - hvilket vist er langt langt under kostprisen for signeringer når man betænker den organisation som skal støtte det.
Ah! Microsoft kræver altså derudover at en fysisk bruger kan udskifte, tilføje og fjerne nøgler fra nøgledatabaserne. Hvor er de dog slemme! Det skal de dømmes for! hov, vent lidt....
Her taler vi svjv om may og ikke must terminologi, hvilket netop er i direkte forlængelse af det MS tidligere har været dømt for, hvor man påstod der var valgfrihed mens man bag lukkede døre lagde pression på for noget andet. Igen er det utroligt svært at gennemskue fordi vi kun har forholdsvist vage dokumenter skrevet til ledelsesbrug dækket af en presse der ikke engang kan læse den slags dokumentation.
Indtil vi ser dokumentation for at den gennemsnitslige UEFI bærbare faktisk tillader at du erstatter OEM leverendørens nøjler med dine egne, er det hele lidt tåget.
EFI er en god specifikation(kommer ud af intels itatium platform hvis jeg husker rigtigt) UEFI er derfor en god ide i teorien, problemet er så om de praktiske implemtationer realt lever op til marketinghypen eller om de som det f.eks. skete for samsasung har kvejet sig til det punkt at systemet dør fuldstendigt hvis man forsøger at bruge de "ekstre" features.
Sagen handler om at Linux Foundation ikke har kendt deres besøgelsestid og ikke har trådt i karakter som ejere/certificeringsmyndighed for nøgler som ville kunne bruges til at signere Linux distributioner.
Ret mig hvis jeg tager fejl... Men baserer det udsagn sig ikke på en antagelse om at Linux-brugere og communitiet generelt skal ændre totalt adfærd og holde op med at compilere deres egne kerner?
Men baserer det udsagn sig ikke på en antagelse om at Linux-brugere og communitiet generelt skal ændre totalt adfærd og holde op med at compilere deres egne kerner?
Hvis du tænker på de entusiaster (brugere) som installerer ved at compile deres egen kerne så kunne de enten A) slå Secure Boot fra eller B) generere deres egen nøgle og registrere public-delen i deres egne maskiner og derefter signere deres oversatte version med deres private nøgle. Jeg ville nok forvente at de valgte A) da de må formodes at have styr på hvad de laver.
Hvis du tænker på det forhold at der er myriader af Linux distro'er som hver især gerne vil have at netop deres distro er den bedste og nemmeste at installere, så jo, de vil have et problem. De kan ret enkelt løse det ved at benytte Garetts boot-loader som er signeret med MS nøgle. Boot-loaderen er ikke en integreret del af en Linux distro - så de kan stadig beholde deres egenart.
Nu indrømmer jeg blankt at jeg ikke har sat mig ind i emnet, men ...
Mht. A), så synes jeg at jeg læste længere oppe at man ikke kunne slå Secure Boot fra på ARM maskiner. Korrekt?
Mht. B), så kan jeg altså forstå at det er ganske muligt for en bruger selv at fortælle SecureBoot hvilke nøgler den skal acceptere? Hvordan foregår det så? Er det (sådan løseligt fortalt) noget med at holde en tast nede under boot, stikke en USB-nøgle i maskine og vælge den rigtige menu i "BIOS'en" ?
Jeg må i øvrigt minde dig om at det absolut ikke er unormalt på netop ARM-devices at opdatere bootloaderen på linie med at ændre kernen.
Mht. A), så synes jeg at jeg læste længere oppe at man ikke kunne slå Secure Boot fra på ARM maskiner. Korrekt?
Ja. Desværre ser det ud til at være en tendens på ARM: iPhone, iPad, de fleste Android telefoner+tablets, Chrome-OS, Windows RT. Alle tager "appliance" standpunktet og forhindrer at et andet OS kan installeres.
Mht. B), så kan jeg altså forstå at det er ganske muligt for en bruger selv at fortælle SecureBoot hvilke nøgler den skal acceptere? Hvordan foregår det så?
Det er styret af UEFI firmwaren. Minimumskravet er at man kan nulstille nøgle databaserne. Uden nøgler skal UEFI firmwaren (ifølge spec'en) ved boot gå i en setup tilstand hvor nøgler kan tilføjes. Den enkelte OEM kan derudover vælge at tilbyde en supplerende måde at gå ind i setup tilstanden. Det er et krav at det skal være en bruger som er fysisk tilstede. Det er også et krav at nøgle databasen IKKE må kunne vedligeholdes fra en kørende OS. Dette sidste ville indebære en risiko for at fx trojanere putter deres egen nøgle i databasen.
Aha ... så det jeg har fået ud af mine første spæde forsøg på at sætte mig ind i emnet er at: A) SecureBoot kan ofte IKKE slås fra på ARM B) Det kræves kun at man kan tilføje sin egen nøgle ved at slette alle andre - hvilket jeg må gå ud fra inkludere den nøgle der er krævet for at boote ens eksisterende Windows installation.
Så forklar mig lige igen, hvorfor HispanLinux ikke har ret i at MS reelt har mulighed for at forhindre Dualboot?
Og selvom jeg skulle have misforstået konsekvenserne af det du siger, så er der vel ihvertfald tale om et bundling-problem, der blot er endnu mere effektivt end f.eks. browser-bundling i og med at hardwaren som udgangspunkt på leveringstidspunktet er bundet til at køre en bestemt leverandørs software.
Så forklar mig lige igen, hvorfor HispanLinux ikke har ret i at MS reelt har mulighed for at forhindre Dualboot?
Nu ignorerer vi lige ARM-systemerne, der generelt ikke bruges til dualboot til at starte med.
I samme specifikation står følgende:
Mandatory. Enable/Disable Secure Boot. On non-ARM systems, it is required to implement the ability to disable Secure Boot via firmware setup.
Med andre ord kan du slå det fra, og så ellers multi-boote så meget du har lyst til.
Hvis vi så antager at du gerne vil beholde Secure Boot, så har du stadig mulighed for at dualboote, da Microsofts nøgle fremgår af specifikationen, og du derfor kan tilføje den når du har lyst - fordi der er krav om at du skal have adgang til at modificere nøgledatabasen på en eller anden måde, hvorfor begge/alle ønskede nøgler kan tilføjes på det tidspunkt.
Den eneste måde at forhindre dualboot vil derfor være ved at have så lidt plads allokeret til nøgler at der kun er plads til Microsofts nøgle - men så er vi altså ude i en meget ekstrem situation, og jeg kan ikke se at nogen parter skulle have gavn af at lave sådan et setup.
Nu ignorerer vi lige ARM-systemerne, der generelt ikke bruges til dualboot til at starte med.
Det synes jeg er en lidt frisk antagelse i betragtning af hvor hurtigt ARM vinder markedsandele. Jeg har efterhånden flere ARM systemer herhjemme end jeg har x86.
Det synes jeg er en lidt frisk antagelse i betragtning af hvor hurtigt ARM vinder markedsandele.
Jeg har efterhånden flere ARM systemer herhjemme end jeg har x86.
Det har jeg også, men pointen er at Microsoft ikke stiller dig ringere end det er tilfældet med de fleste andre ARM-enheder - du kan eks. ikke lige smide Android på en iPhone.
Vi kan sagtens diskutere om det så er i orden, men så er det ikke kun Microsoft der skal have slag, og så bliver det en noget anden diskussion.
Vi kan sagtens diskutere om det så er i orden, men så er det ikke kun Microsoft der skal have slag, og så bliver det en noget anden diskussion.
Jeg har aldrig sagt at det kun var Microsoft, der brugte ufine metoder. Apple er på ingen måde undtaget og har ej heller været det historisk. Microsoft kan i den her sag måske ligefrem pege videre til hardware leverandørerne og sige at de springer over hvor gærdet er lavest, hvis de ikke tilbyder man kan bruge sine egne nøgler. Men det må de jo så fortælle dem, der skal vurdere klagen. Det ændrer jo ikke på om der er en sag.
Microsoft kan i den her sag måske ligefrem pege videre til hardware leverandørerne og sige at de springer over hvor gærdet er lavest, hvis de ikke tilbyder man kan bruge sine egne nøgler.
Men det må de jo så fortælle dem, der skal vurdere klagen. Det ændrer jo ikke på om der er en sag.
Jeg er bange for at jura er så klinisk, at sagen så falder fordi der så ikke er grundlag for en sag mod Microsoft.
Skulle det ske , er det pludeseligt ikke een, men mange der skal føres sag imod. Og dét sker nok ikke, fordi det er meget mere omstændigt.
Jeg har desværre ikke store forhåbninger om at EU af sig selv spotter at et påbud vil være på sin plads.
K
Jeg er bange for at jura er så klinisk, at sagen så falder fordi der så ikke er grundlag for en sag mod Microsoft.
Muligvis ... det jeg egentlig også i første omgang reagerede på var at det så ud til nogle af debatørerne fremførte det synspunkt at der slet ikke var noget problem overhovedet og det blot var linux distributørenene, der havde sovet i timen.
Men sådan forholder det sig tydeligvis ikke.
Men sådan forholder det sig tydeligvis ikke.
Nej, og Microsoft gør jo ikke noget der ikke beskytter deres produkt. At de så råber 'sikkerhed' hér, er blot en løftestang for at begrænse konkurrenterne. Men det er jo dét de skal, som firma. Man kan så lide det eller ej.
Jeg holder på 'ej'.
Alene det at man ikke må/kan boote Windows i en virtuel maskine....
K
... det så ud til nogle af debatørerne fremførte det synspunkt at der slet ikke var noget problem overhovedet og det blot var linux distributørenene, der havde sovet i timen
Det er præcist problemet. Linux Foundation er dem som kunne have skabt en fælles Linux mulighed for at benytte Secure Boot og tilbyde den ekstra sikkerhed som det giver.
UEFI Secure Boot specifikationen har været undervejs i et åbent forum siden 2007-2008 (se https://www.uefi.org/specs/download/UEFI_Spec_2_2_errata_D.pdf - SecureBoot er en del af 2.2 spec'en).
Der har været skrevet artikler om SecureBoot og Linux (se fx https://lwn.net/Articles/447381/). Men alligevel var det som om at himlen faldt ned da nogen pludselig besluttede at bruge det.
... Microsoft gør jo ikke noget der ikke beskytter deres produkt.
At de så råber 'sikkerhed' hér, er blot en løftestang for at begrænse konkurrenterne.
Sammen med andre sikkerhedsmekanismer gør Secure Boot det meget svært for et rootkit at få fodfæste. Samtlige de rootkit som kendes pt. ville alle blive forhindret af Secure Boot. Tænk lidt over det.
Det er noget af en påstand at Microsoft kun kræver Secure Boot for at beskytte deres produkt.
Du mener måske ikke at rootkits er et problem der skal gøres noget ved?
Linux Foundation, kernel.org og flere andre Linux sites blev inficeret af et rootkit. På private computere (alle operativsystemer) bliver intetanende brugere inficeret af trojanere som de bliver lokket til at download'e eller gennem sårbarheder i operativsystem, applikationssoftware eller middleware.
Det egentlige problem er at Windows nu kan tilbyde et lag af sikkerhed som ikke findes i Linux.
Det får nogle (eksempelvis Fedora) til at undersøge hvordan de både kan understøtte Secure Boot og benytte en tilsvarende signering af operativsystemet selv. Lidt sent - men ret ansvarligt.
En anden strategi er at spille ofre og lade som om der ikke er noget problem med rootkits og med det samme antage at der er et andet formål end sikkerhed.
Jeg er helt sikker på at Microsoft godter sig over den sene opvågning i Linux community'et. De er med garanti ikke blinde for at nogle brugere vil finde det sværere at installere andre OSer på maskiner som er Windows 8 certificeret. Jeg tror nu ikke at de forventer det vil påvirke deres omsætning. Det er imidlertid svært at se at det er deres ansvar at det er gået sådan.
Det får nogle (eksempelvis Fedora) til at undersøge hvordan de både kan understøtte Secure Boot og benytte en tilsvarende signering af operativsystemet selv. Lidt sent - men ret ansvarligt.
Din "lidt sent..." kommentar er grænsede til det fjollede. Særligt når du forsøger at forsvare et firma som ms på sikkerhedssiden. Der er vel i virkeligheden tale om at ms nu er ved at nå op på niveau med linux, bsd og andre unix systemer og ikke windows er foran sikkerhedsmæssigt.
Særligt når du forsøger at forsvare et firma som ms på sikkerhedssiden
Microsofts tidligere sikkerhedshistorie er sådanset sagen ret uvedkommende. Spørgsmålet er om den praktiske effekt af det her er at brugerne fratages muligheden for at ændre i kildeteksten til deres system og køre disse ændringer.
Samtlige de rootkit som kendes pt. ville alle blive forhindret af Secure Boot. Tænk lidt over det.</p>
<p>Det er noget af en påstand at Microsoft kun kræver Secure Boot for at beskytte deres produkt.</p>
<p>Du mener måske ikke at rootkits er et problem der skal gøres noget ved?
Og så bliver jeg nok lige nød til at gøre op med ovenstående stråmænd mm.
Jo. jeg har skam tænkt over at Trusted Computing og lign. er en fantastisk sikkerhedsfeature FOR DEM DER KONTROLLERER NØGLERNE. Giv brugerne en garanti for at de kontrollerer nøglerne og jeg har ingen anker!
Og jeg har aldrig påstået at Microsoft "kun kræver Secure Boot for at beskytte deres produkt." - men det er en side-effekt og det er et problem. På samme måde som talrige tidligere tiltag.
Og selvfølgelig mener jeg at rootkits skal bekæmpes... sikke noget ævl at fyre af.
Det er præcist problemet. Linux Foundation er dem som kunne have skabt en fælles Linux mulighed for at benytte Secure Boot og tilbyde den ekstra sikkerhed som det giver.
Nej. Det er noget sludder. Den påstand ignorer totalt den måde Linux bruges på og muligheden for selv at re-compilere alt fra bootloader over kerne til applikationer. At fjerne muligheden for alm. brugere på kort tid at modificere selv bootloader og kerne vil hive grundlaget væk for en meget stor del af Open Source princippet i Linux og være dræbende for det. Men det kan Microsoft vel heller ikke være blot en smule interesseret i.
... og i øvrigt har vi kun skrabet overfladen af problemet. Linux er langt fra det eneste Open Source produkt der vil få problemer.
Som jeg forstår på det, så giver det da også problemer hvis folk vil opgradere W8 (dvs. installere W7).... og i øvrigt har vi kun skrabet overfladen af problemet. Linux er langt fra det eneste Open Source produkt der vil få problemer.
Faktisk er det sådan at hvis man bestiller en computer hos f.eks. Actebis, så spøger de om man skal have en opgradering med (underforstået til W7).
Jeg tror jeg har forstået problematikken nu. Tak, Lars og Daniel.
Ikke korrekt.Microsoft kræver samtidig at secure boot skal kunne slås fra i BIOS på x86 hardware. Secure boot er, så vidt jeg har forstået, kun obligatorisk på ARM hardware...
For at få klistermærket "Windows 8 certified", hvilket alle PC fabrikanter vil have, kræver Microsoft at maskinen (UEFI/BIOS) understøtter secureboot, og at dette er slået til ved leverancen. Desuden kræver MS, at på x86 hardware (en PC), skal brugeren kunne slå secureboot fra.
På ARM hardware derimod, kræver de at secureboot ikke kan slås fra (locked down), på linie med f.eks. de fleste smartphones og tablets.
Bottom line: Situationen på x86 og non-x86 hardware er forskellig, hvad secureboot angår.
Det virker i det hele taget som om, at de generelt er sure på MS og bare vil have dem ned med nakken.
I årevis har folk anklaget MS for ikke at gøre nok for sikkerheden. Nu gør de så noget med SecureBoot og så brokker folk sig også over det.
Helt ærligt - hvis du er i stand til, at installere Linux på din maskine mon så ikke, at du også er i stand til, at slå SecureBoot fra i BIOS.