Linux-kernelontwikkelaar Matthew Garrett: "Microsoft verdient 'kudos'"

[Vistaus]

http://www.itnews.com.au/News/369193,microsoft-earns-kudos-in-linux-conf-keynote.aspx

Wauw, ik had allerminst verwacht dat ie er zo positief over zo zijn...

[markba]

UEFI Boot verification - a controversial measure that can lock out unsigned code - is a must to protect users, Garrett said.

Dat is de grote vraag. Voor een inherent onveilig systeem als Windows zal het best nodig nodig zijn, andere systemen als Linux hebben er alleen maar last van, gezien alle topics die hier op dit forum langs zijn gekomen over EUFI + Linux.

[Gandyman]

Garrett told the audience that in his area of expertise, Microsoft was one of the few organisations providing the right balance between security and user freedoms.

Die heeft maar een kleine area in ieder geval.
Microsoft zet functies uit, voor veiligheid dus de gebruiker heeft steeds minder vrijheid op zijn pc, ik weet niet hoor ?
UEFI slim bedacht dat een besmette PC niet opstart, alleen jammer dat de PC's besmet raken en zoals op ons werk nooit uitgezet worden, dan heeft UEFI ineens niet zoveel zin meer behalve schijnveiligheid.

effin, geef mij €10 000.- doekoes dan schrijf ik ook een positief stukje over kudos...

[markba]

effin, geef mij €10 000.- doekoes dan schrijf ik ook een positief stukje over kudos...

[Pjotr]

Ik ben ook bepaald niet blij met dat secure boot-gedoe. De drempel om Linux te installeren is een stuk verhoogd, want het is duidelijk minder makkelijk dan vroeger. Mij persoonlijk maakt het niet uit, maar beginners kunnen erop stuklopen.

[Vistaus]

Garrett told the audience that in his area of expertise, Microsoft was one of the few organisations providing the right balance between security and user freedoms.

Die heeft maar een kleine area in ieder geval.

Precies. Hij is alleen "maar" een heel bekende en geleerde Linux-kernelontwikkelaar

Nee maar zonder dollen: ben het wel met je eens, Gandyman

[testcees]

Voor een inherent onveilig systeem als Windows zal het best nodig nodig zijn, andere systemen als Linux hebben er alleen maar last van

Dezelfde UEFI (voorheen BIOS) firmware wordt gebruikt om Windows of Linux te booten. Voordat het besturingssysteem start is er nog geen verschil. Met hetzelfde gemak kan ik beweren dat Linux gebruikers in theorie minder veilig zijn als Secure boot wordt uitgezet.

De drempel om Linux te installeren is een stuk verhoogd

De Secure boot ‘drempel’ is er om te voorkomen dat ongeautoriseerde software (malware) ongemerkt kan worden geïnstalleerd. Niet zo vreemd dat voor het installeren van Linux deze drempel ook moet worden genomen. Juist omdat het toch mogelijk is (een niet-Windows besturingssysteem te installeren) krijgt Microsoft nu kudos:

While this is not easy or straightforward, Garrett notes that this is not possible on devices running Google's Android operating system, or Apple's Mac OS X or iOS.

[Pjotr]

De drempel om Linux te installeren is een stuk verhoogd

De Secure boot ‘drempel’ is er om te voorkomen dat ongeautoriseerde software (malware) ongemerkt kan worden geïnstalleerd. Niet zo vreemd dat voor het installeren van Linux deze drempel ook moet worden genomen.

Die reden was mij reeds bekend. Het feit blijft: de drempel voor het installeren van Linux is in de praktijk in veel gevallen een stuk verhoogd. In de praktijk met een onvermijdelijk gevolg: sommigen zullen daardoor afhaken.

Juist omdat het toch mogelijk is (een niet-Windows besturingssysteem te installeren) krijgt Microsoft nu kudos:

Maar niet van mij. Linux installeren is bemoeilijkt, en voor Linux is dat hele secure-boot-gedoe sowieso overbodig.

[markba]

De drempel om Linux te installeren is een stuk verhoogd

De Secure boot ‘drempel’ is er om te voorkomen dat ongeautoriseerde software (malware) ongemerkt kan worden geïnstalleerd. Niet zo vreemd dat voor het installeren van Linux deze drempel ook moet worden genomen.

Die reden was mij reeds bekend. Het feit blijft: de drempel voor het installeren van Linux is in de praktijk in veel gevallen een stuk verhoogd. In de praktijk met een onvermijdelijk gevolg: sommigen zullen daardoor afhaken.

Zie hier de motivatie voor MS of EUFI (met hun eigen sleutels) er maar snel doorheen te jagen: het lijkt wel een ordinaire pesterij om mensen maar weg te houden van de concurrent. En maar doen alsof je neus bloedt als Linux-gebruikers steen-en-been klagen over dat EUFI-gedoe, het is zogenaamd 'toeval'.

Het artikel waar de TS mee komt, laat de indruk achter dat EUFI een geschenk is van MS aan de IT-industrie, terwijl wij als Linux-gebruikers er alleen maar de ellende van meemaken. De linux-community moet zich in allerlei bochten wringen om EUFI maar enigszins hanteerbaar te maken. Dat laat je denken wat de beweegredenen van die kernel-ontwikkelaar zijn die die presentatie heeft gedaan.

Maar goed, gaan we hier de EUFI-gedoe nog maar eens dunnetjes overdoen? Heeft weinig zin denk ik.

[vanadium]

Maar niet van mij. Linux installeren is bemoeilijkt, en voor Linux is dat hele secure-boot-gedoe sowieso overbodig.

Hier weet ik niet of ik akkoord kan gaan. Ook voor linux kan er een probleem zijn als een stukje malware vóór de opstart van linux zijn werk kan doen. In de praktijk is het probleem er niet echt, omdat malwareontwikkelaars niet in linux geïnteresseerd zijn.

Secure boot is in principe een goede zaak. Het is de manier waarop secure boot wordt geïmplementeerd, die van belang is. Als de implementatie zo is dat ze je vrijheid aan banden legt, dan hebben we inderdaad een groot probleem. Als de implementatie de vrijheid respecteert, dan is secure boot enkel maar toe te juichen.

 Blijkbaar vindt de kernelontwikkelaar dat Microsoft in de implementatie de deur open heeft gehouden en de goede balans heeft gehanteerd tussen veiligheid en vrijheid. Wie ben ik om te oordelen of dat juist of fout is.

[testcees]

het lijkt wel een ordinaire pesterij om mensen maar weg te houden van de concurrent.

Maar dat blijkt niet zo te zijn:

Microsoft denied that the secure boot requirement was intended to serve as a form of lock-in, and clarified its requirements by stating that systems certified for Windows 8 must allow secure boot to enter custom mode or be disabled

Helaas is het veel lastiger geworden de eerste stappen van het (zelf) installeren van Linux te beschrijven. Dat is zeker jammer maar heeft niet te maken met het Microsoft besturingssysteem. Het is afhankelijk van de bouwer van de computer (het merk, type).

“It's effectively impossible to document Linux installation when the first step becomes (a) complicated and (b) vendor specific,” Garrett wrote.

[Pjotr]

het lijkt wel een ordinaire pesterij om mensen maar weg te houden van de concurrent.

Maar dat blijkt niet zo te zijn:

Microsoft denied that the secure boot requirement was intended to serve as a form of lock-in, and clarified its requirements by stating that systems certified for Windows 8 must allow secure boot to enter custom mode or be disabled

"Maar dat blijkt niet zo te zijn"     

Sinds wanneer is de onschuld van een verdachte (in casu Microsoft) een feit, louter en alleen door de verklaring van de verdachte zelf, dat-ie onschuldig is?

Er is een drempel opgeworpen voor Linux. Microsoft wist ongetwijfeld van tevoren ook donders goed dat Linuxhandleidingen lastiger te maken en te vinden zouden zijn, door de te verwachten wirwar van uitschakel-implementaties door de verschillende fabrikanten.

Microsoft is geen naïeve vriendelijke oom tjokvol goede bedoelingen, maar een listige straatvechter. Secure boot is er niet alleen voor de veiligheid van Windows. Het is er ook om het marktaandeel van Windows te beschermen tegen overstap naar Linux.

[Johan van Dijk]

Zijn complimentje aan MS is maar een heel klein onderdeeltje van zijn hele presentatie en het wordt met veel sensatie gebracht door die site...

Als je een uurtje over hebt moet je zijn hele presentatie bekijken, heel interessant!
http://mirror.linux.org.au/pub/linux.conf.au/2014/Thursday/182-LCA_2014_Thursday_Keynote_-_Matthew_Garrett.mp4

En de mensen die twijfelen aan zijn kennis moeten deze presentatie maar even bekijken:
http://mirror.linux.org.au/pub/linux.conf.au/2014/Wednesday/56-Reverse_engineering_vendor_firmware_drivers_for_little_fun_and_no_profit_-_Matthew_Garrett.mp4

Oh, en de rest van de presentaties van Linux.conf.au zijn ook best interessant: http://mirror.linux.org.au/pub/linux.conf.au/2014/
http://linux.conf.au/

[testcees]

Microsoft wist ongetwijfeld van tevoren ook donders goed dat Linuxhandleidingen lastiger te maken en te vinden zouden zijn, door de te verwachten wirwar van uitschakel-implementaties door de verschillende fabrikanten.

Microsoft wist ongetwijfeld van tevoren ook donders goed dat Windowshandleidingen lastiger te maken en te vinden zouden zijn, door de te verwachten wirwar van inschakel-implementaties door de verschillende fabrikanten. Vandaar de fabrieksinstelling om secure boot in te schakelen.

Keuze vrijheid is iets anders dan de 'standaard instelling', de 'standaard instelling' is vaak wel heel belangrijk.

[markba]

Microsoft wist ongetwijfeld van tevoren ook donders goed dat Linuxhandleidingen lastiger te maken en te vinden zouden zijn, door de te verwachten wirwar van uitschakel-implementaties door de verschillende fabrikanten.

Microsoft wist ongetwijfeld van tevoren ook donders goed dat Windowshandleidingen lastiger te maken en te vinden zouden zijn, door de te verwachten wirwar van inschakel-implementaties door de verschillende fabrikanten. Vandaar de fabrieksinstelling om secure boot in te schakelen.

Uiteraard hoeft MS zich daar niet al te druk om te maken omdat het gros (95%+) voor-installaties zijn. Dit itt Linux installaties waar het omgekeerde voor geldt.

[Gandyman]

@Johan van Dijk,
Ik twijfel geen seconden aan de kwaliteiten van Matthew Garrett, en dat heeft in wezen te maken dat ik het volste vertrouwen heb in Linus, die bij mijn weten iedereen voor zijn ballen trapt zodra ze lopen te kloten of fouten maken.

Secure boot in UEFI is leuk bedacht door de "Belanghebbende" feit is dat wanneer je windows zo veilig wilt houden het al vele jaren mogelijk is zoals in de embedded versie het gehele OS op slot te zetten.
Als het op slot zit kan er alleen iets tijdens het werken in het geheugen geinstalleerd worden en bij het rebooten is het weg.
Dus het gehele UEFI verhaal kan zowel linksom als rechtsom volledig de prullenbak in, en heeft vanaf de eerste dag maar 1 doel gehad, rarararara...

[testcees]

Dus het gehele UEFI verhaal kan zowel linksom als rechtsom volledig de prullenbak in, en heeft vanaf de eerste dag maar 1 doel gehad

De UEFI standaard is meer dan alleen secure boot. De ouderwetse BIOS (uit de jaren '70) past niet goed meer bij de ontwikkeling van nieuwe PC's.

Reden voor het overgaan op UEFI zijn naast het securityaspect ook het feit dat een BIOS slechts 1024KB (1MB) ruimte voor programmatuur mag hebben. Dit maakt het voor fabrikanten lastig om alle benodigde interfaces (denk aan USB, eSATA, Thunderbolt, audio etc.) vanaf een moderne pc op te laten starten. Ook is het niet mogelijk met een BIOS een harde schijf vanaf een grootte van 2,2TB op te starten.

De  Ubuntu oplossing van Canonical voor secure boot is zo mogelijk nog slechter:

That is, a certified Ubuntu system may be more locked down than a certified Windows 8 system.

[Pjotr]

Dus het gehele UEFI verhaal kan zowel linksom als rechtsom volledig de prullenbak in, en heeft vanaf de eerste dag maar 1 doel gehad

De UEFI standaard is meer dan alleen secure boot. De ouderwetse BIOS (uit de jaren '70) past niet goed meer bij de ontwikkeling van nieuwe PC's.

Reden voor het overgaan op UEFI zijn naast het securityaspect ook het feit dat een BIOS slechts 1024KB (1MB) ruimte voor programmatuur mag hebben. Dit maakt het voor fabrikanten lastig om alle benodigde interfaces (denk aan USB, eSATA, Thunderbolt, audio etc.) vanaf een moderne pc op te laten starten. Ook is het niet mogelijk met een BIOS een harde schijf vanaf een grootte van 2,2TB op te starten.

De  Ubuntu oplossing van Canonical voor secure boot is zo mogelijk nog slechter:

That is, a certified Ubuntu system may be more locked down than a certified Windows 8 system.

Het lijkt me nogal voor de hand liggen dat Gandyman "secure boot" bedoelt wanneer hij "UEFI" zegt in zijn laatste bericht. Aangezien de hele discussie ook over secure boot gaat, en niet over UEFI als zodanig.

En wat die laatste opmerking van jou betreft: ik begrijp werkelijk niet wat dat er nou weer toe doet. We hebben 't over secure boot zelf, en niet over de manieren waarop de verschillende Linuxdistro's proberen om er het beste van te maken. Afkraken van Ubuntu lijkt nogal een liefhebberij te zijn van sommigen...

[testcees]

En wat die laatste opmerking van jou betreft: ik begrijp werkelijk niet wat dat er nou weer toe doet. We hebben 't over secure boot zelf, en niet over de manieren waarop de verschillende Linuxdistro's proberen om er het beste van te maken.

De opmerking gaat over secure boot zelf en we hebben het (meen ik) over de manier waarop secure boot wordt toegepast door Microsoft ten opzichte van anderen. Maar het blijkt inderdaad verouderde informatie te zijn, behalve een Ubuntu key is er ook een Microsoft key nodig voor Ubuntu certificering (excuses voor de verwarring).

We will be requiring that the standard Microsoft key be present in the Ubuntu certification process.

[Gandyman]

De  Ubuntu oplossing van Canonical voor secure boot is zo mogelijk nog slechter:

Ik denk idd dat je mijn punt niet snapt.....

En in mijn optiek is alles wat je verder aanhaalt het anticiperen van 3e partijen op de beperkingen die in UEFI worden opgelegd.
BIOS of UEFI of wat dan ook moet beperkt blijven tot het kunnen opstarten van het moederbord en de hardware, niet meer of minder.

Zodra ergens een deur is kan die ingetrapt worden of misbruikt worden, dus ook voor UEFI is het een kwestie van tijd voordat iemand een truc heeft gevonden dit te overschrijven, hoe dan ook, en daar zit je/we dan met het mooie UEFI..........

[daido]

Bij mij draait windows 8 beter dan ubuntu 13.10. Veel bugs die denk te maken hebben met unity. Ik denk erover om over te schakelen naar gnome.
Ik vind windows 8 niet mooi om te zien, maar het werkt wel goed. Misschien wel de beste versie tot nu toe.
http://skinpacks.com/ Hier kan je windows een ubuntu-skin geven of zelfs een Web Os-skin

[Vistaus]

Bij mij draait windows 8 beter dan ubuntu 13.10. Veel bugs die denk te maken hebben met unity. Ik denk erover om over te schakelen naar gnome.
Ik vind windows 8 niet mooi om te zien, maar het werkt wel goed. Misschien wel de beste versie tot nu toe.
http://skinpacks.com/ Hier kan je windows een ubuntu-skin geven of zelfs een Web Os-skin

Ik zie daar geen webOS-skin, ook niet via de zoekfunctie. Jammer (ben zelf nog steeds fervent webOS-gebruiker)

Dus het gehele UEFI verhaal kan zowel linksom als rechtsom volledig de prullenbak in, en heeft vanaf de eerste dag maar 1 doel gehad

De UEFI standaard is meer dan alleen secure boot. De ouderwetse BIOS (uit de jaren '70) past niet goed meer bij de ontwikkeling van nieuwe PC's.

Dat hadden ze ook kunnen oplossen met Coreboot: http://www.coreboot.org/Welcome_to_coreboot Als ze daar geld in hadden gestoken (en extra ontwikkelaars), dan was dat ook een mooie vervanging geweest. Nu blijft Coreboot een klein project (wel maken ze grote voortgaan de laatste tijd!).

[Johan van Dijk]

@Johan van Dijk,
Ik twijfel geen seconden aan de kwaliteiten van Matthew Garrett, en dat heeft in wezen te maken dat ik het volste vertrouwen heb in Linus, die bij mijn weten iedereen voor zijn ballen trapt zodra ze lopen te kloten of fouten maken.

UEFI is leuk bedacht door de "Belanghebbende" feit is dat wanneer je windows zo veilig wilt houden het al vele jaren mogelijk is zoals in de embedded versie het gehele OS op slot te zetten.
Als het op slot zit kan er alleen iets tijdens het werken in het geheugen geinstalleerd worden en bij het rebooten is het weg.
Dus het gehele UEFI verhaal kan zowel linksom als rechtsom volledig de prullenbak in, en heeft vanaf de eerste dag maar 1 doel gehad, rarararara...

UEFI is juist dringend nodig, om de redenen die Cees al zei (BIOS is echt te oud aan het worden voor moderne hardware).

Als het om secure boot gaat zijn er niet zoveel andere oplossingen mogelijk als je er zeker van wil zijn dat je computer alleen met betrouwbare code opstart. Die code zal je dan moeten ondertekenen met cryptografische sleutels en de UEFI moet controleren of de code wel met een geldige sleutel is getekend. En deze veiligheidsmaatregel is niet alleen nuttig voor Windowsgebruikers. Want ook onder Linux kan een kwaadwillende rottigheid uithalen. Bijv. via een lek in de kernel of door het aansluiten van gemanipuleerde hardware.

Het complimentje van Garrett voor MS is omdat ze de gebruiker een vrije keus geven mbt secure boot op gewone computers en laptops. Het moet mogelijk zijn dat een gebruiker secure boot helemaal uitzet of dat er andere sleutels geladen kunnen worden.
Ze hadden het ook heel anders kunnen doen, met veel grotere gevolgen voor je vrijheden.

Wat dat laatste betreft zijn tablets een veel groter probleem. Bij deze platformen moet secure boot aan staan en mag niet door een gebruiker aangepast worden. Dan heb je dus alleen de mogelijkheid om Windows te draaien en verder niets. Als het om tablets gaat ben ik het dus met je eens dat de beperkingen te groot zijn.

[Vistaus]

Wat dat laatste betreft zijn tablets een veel groter probleem. Bij deze platformen moet secure boot aan staan en mag niet door een gebruiker aangepast worden. Dan heb je dus alleen de mogelijkheid om Windows te draaien en verder niets. Als het om tablets gaat ben ik het dus met je eens dat de beperkingen te groot zijn.

Alleen tablet met Windows RT. Tablets met bijv. een Atom-processor of i5 (Surface Pro 2 bijv.) hebben gewoon de optie om secure boot uit te zetten. Je kunt makkelijk Ubuntu installeren op de Microsoft Surface Pro en Pro 2. (ja, daar zal misschien Gandyman wel even versteld van staan dat MS ons Linuxers zomaar de vrijheid geeft Linux op een tablet van hun makelij te zetten )

[Gandyman]

Secure boot in UEFI is leuk bedacht door de "Belanghebbende" feit is dat wanneer je windows zo veilig wilt houden het al vele jaren mogelijk is zoals in de embedded versie het gehele OS op slot te zetten.

UEFI is juist dringend nodig, om de redenen die Cees al zei (BIOS is echt te oud aan het worden voor moderne hardware).

Ik heb me tekst aangepast zodat het zegt wat ik bedoel. 
En zie een postje terug wat ik daar zeg.
Geloof me we zitten op 1 lijn.

Ik zal het nog anders zeggen: EFI & UEFI moeten strikt gebruikt worden om de tekort komingen van de oude bios op te vangen en waar het in wezen voor bedoeld was.
En dat waar het nu OOK voor word gebruikt (secure boot) moeten ze mee stoppen, als iemand een computer koopt moet hij ermee kunnen doen wat hij wil, als jij een koelkast koopt word je ook niet verplicht er alleen kaas of melk in te stoppen.
En als Microsoft zijn windows zo graag wil beschermen dan verkopen ze er maar een hardware dongle bij met 10 000 sleutels erin.

Maar dat gaat Microsoft nooit doen want dan raken ze al hun klanten kwijt en heeft hun strategie om gehackte windows versies te verspreiden (zodat iedereen maar bij windows blijft hangen) ook geen nut meer.   

Of gewoon op slot zetten zoals in de Embedded versie..... lekker veilig