Linus Torvalds heeft idee als alternatief voor UEFI

[Vistaus]

http://www.muktware.com/5295/linus-torvalds-suggests-how-handle-uefi-secure-boot-crisis

Ik vraag me af of dat het wel zo makkelijk maakt... ik zeg niet dat UEFI zo geweldig is maar ik weet ook niet of dit nu zo'n makkelijke oplossing is...

[foxofinfinety]

titel is wat misleidend zo, UEFI is de firmware, dit gaat over een alternatief voor beveiliging in plaats van SecureBoot.

dit gaat om te zorgen dat de gebruiker mag bepalen wat hij of zij wel of niet gebuikt, en dat het niet bepaald word door wie die sleutels uitlevert.
echter lijkt mij dat zijn 'oplossing' ook absoluut niet gaat werken, als je wilt dat de gebruikt kan bepalen, laat dat dan ook door de gebruiker doen.

zoals ook onder het artikel staat, in iets als een datacenter wil je de uitrol van het systeem automatisch kunnen doen, dat kan met SecureBoot, als het systeem maar een key heeft, maar door altijd om toestemming te vragen is dat onmogelijk.

[flyerman]

Ik zie het probleem niet zo met secure boot, in mijn laptop heb ik het uitgezet en gewoon een dual boot gemaakt met Ubuntu en Windows 8.

Of mis ik iets hier?

[Vistaus]

@fox: Ja, ik hou de topictitel liever zo summier mogelijk; lange titels zijn vervelend.

[SeySayux]

Ik zie het probleem niet zo met secure boot, in mijn laptop heb ik het uitgezet en gewoon een dual boot gemaakt met Ubuntu en Windows 8.

Of mis ik iets hier?

Niet alle laptops kan je het zomaar uitzetten, sommige mensen weten ook niet wat het is en hoe je het moet uitzetten. Om je OS te laten starten op een computer met SecureBoot moet je kernel en alle modules getekend zijn door de key van iemand wie standaard in de firmware zit. Bij zo goed als alle PCs is dat de key van Microsoft. Dus je moet aan Microsoft toestemming vragen als je jouw Linuxdistributie wilt draaien op laptops van het laatste jaar.

[markba]

Dus je moet aan Microsoft toestemming vragen als je jouw Linuxdistributie wilt draaien op laptops van het laatste jaar.

Dat is precies de kritiek die Linus heeft: Microsoft wordt zo de baas over je machine. Hij heeft groot gelijk dat dit soort fratsen niet thuishoren in Linux en al zeker niet in de kernel.

[Thomas de Graaff]

Ik vind het ook goed dat Linus zich afvraagt of veiligheid eigenlijk überhaupt wel gebaat is bij één groot bedrijf die de certificaten verzorgt. Het is net als aandelen kopen, en je hele vermogen investeren in één bedrijf, als het misgaat, is de schade niet te overzien (ik herinner me iets van Diginotar oid..). Zo werkt het denk ik ook voor veiligheid, door het gespreid implementeren van veiligheid blijft de schade beperkt als het ergens misgaat.

Maar goed, dergelijke argumenten spelen volgens Linus waarschijnlijk geen rol bij de implementatie van UEFI, Linus geeft aan dat het Microsoft waarschijnlijk meer gaat om controle, dan om veiligheid..

[Gandyman]

Het hele verhaal is belachelijk en Microsoft had nooit de kans mogen krijgen om dit idee op de markt te brengen.
Snappen doe ik het wel, als je OS zo verschrikkelijk bagger is en het absoluut niet veilig te maken is met alles wat er beschikbaar is dan is dit misschien (denk het niet) een oplossing om je OS een beetje veilig te houden.
Zou leuk zijn als Brussel zich er meteen mee bemoeit had.

Wat ik wel triest vind is dat Matthew Garrett een ex Red Hat ontwikkelaar zich bij microsoft ingewerkt heeft en het verder ontwikkeld heeft.
Dus iemand uit de community is daar vertrokken voor het grote geld, wat ik wel snap maar ook afkeur, omdat zeker in dit geval de hele aardbol hier last van krijgt....

Lees hier de andere disc waarbij Linus ff hele maal los gaat op die idioten :
http://www.muktware.com/5276/linus-torvalds-secure-boot-supporters-not-dick-sucking-contest

[Joris Donders]

mag ik zeggen dat ik hier niets van begrijp? Nou ja, in die zin dat dus bepaalde pc's (zie de post van flyerman) wel gewoon te dualbooten zijn. Waarom dan de een wel en de ander niet?

Dus, ik moet toestemming vragen aan een of ander bedrijf die zijn software heeft op een of andere pc? Dan is dus de pc die je koopt helemaal niet van jou maar van de hardware fabrikant en de software fabrikant.

Is het niet zo dat je op elke pc de SecureBoot kan uitzetten?

We zitten nog in de overgangsfase op dat gebied, dus ik kan me levendig voorstellen dat hardware-bakkers nog gedeeltelijke vrijheid hebben om in hun BIOS (of UEFI) een mogelijkheid aanbieden om secure boot alsnog uit te zetten.
De komst van W9 zal die mogelijkheden zeker en vast op slot en grendel zetten (= speculatief van mij hoor), door gewoon te verbieden aan de hardware-reuzen die optie nog mee te geven op een verkochte Windows-machine.
Natuurlijk blijft de vraag of die reuzen een optie willen aanbieden om een andere versie van BIOS mee te geven zodat je deze kan flitsen om toch nog met Linux aan de gang te gaan. Maar dat zie ik niet gebeuren (ontwikkelingskosten vermoed ik).

Het is zeker niet zo dat je op elke PC die Secure Boot kan uitzetten op dit moment.
Dus bij aankoop van zo'n PC dien je zeker na te gaan in de winkel of deze optie wel aangeboden wordt op jouw kandidaat PC (of laptop etc). Dus is volgens mij aankopen op internet niet direct aangewezen omdat over het BIOS of EUFI zo goed als geen info wordt meegegeven.

Ik hoop enkel dat een soort van universeel BIOS-tool uit de as kan ontstaan om flitsen te vergemakkelijken op een Linux-systeem (vanuit een Live modus ofzo; riskant ik weet het, maar waarom niet eh .... ), de software is natuurlijk een andere vraag.

Jammer dat het allemaal zo moet lopen. Hopelijk blijven Lenovo en HP producten aanbieden zonder besturingssysteem.

[SeySayux]

Ik hoop enkel dat een soort van universeel BIOS-tool uit de as kan ontstaan om flitsen te vergemakkelijken op een Linux-systeem (vanuit een Live modus ofzo; riskant ik weet het, maar waarom niet eh .... ), de software is natuurlijk een andere vraag.

Als SecureBoot aan staat is het sowieso onmogelijk om de firmware van je computer te flashen met een niet-getekende versie.

Mijn vrees (hoop?) is dat als Microsoft zo door gaat, iemand wel eens op de een of andere manier achter hun master key kan geraken... En dan is het gedaan.

[Ronaldus]

Bestaat er nu concreet een risico dat ik straks nergens meer Linux op kan installeren? (Komt het marktaandeel Linux niet ten goede.)

Lijkt mij iets voor Neelie Kroes. Het opstellen van een zwartboek voor onwerkbare pc's en laptops lijkt mij ook wel handig.

[SeySayux]

Bestaat er nu concreet een risico dat ik straks nergens meer Linux op kan installeren? (Komt het marktaandeel Linux niet ten goede.)

Lijkt mij iets voor Neelie Kroes. Het opstellen van een zwartboek voor onwerkbare pc's en laptops lijkt mij ook wel handig.

Zolang distributiemakers de knieval voor Microsoft doen* en Microsoft zo vrijgevig is om een key te geven, kan je Linux installeren...

* Linus zegt ditzelfde iets kleurrijker...

[Johan van Dijk]

Er zijn nu twee mogelijkheden om het probleem SecureBoot op te vangen, een makkelijke manier en een correcte manier.

Garrett kiest voor de makkelijke manier: laat Microsoft de bootloader, kernel en alle modules tekenen. Dit is makkelijk omdat alle apparaten de sleutel van MS vertrouwen. Distro's als Red Hat of Ubuntu kunnen hun kernels e.d. bij MS afgeven zodat ze getekend weer retour komen. Voor eindgebruikers is dit makkelijk, want ze kunnen zo direct aan de slag. Het nadeel is dat die eindgebruiker daarna zelf niets meer aan de kernel of drivers aan kan passen, want dan klopt de ondertekening niet meer. Drivertje van Nvidia? Dat kan niet, tenzij Nvidia ook bij MS langsgaat om de driver te laten tekenen. Modules voor Virtualbox of je draadloze muis? Precies hetzelfde.
Voor grote bedrijven als Red Hat is dit niet zo'n probleem. Die hebben de cash en contacten om dit allemaal te regelen. Voor kleinere thuisgebruikers of onafhankelijke ontwikkelaars werpt dit een obstakel op waar je bijna niet omheen kunt. Verder stop je al je eieren in 1 mandje. Zie de schandalen mbt Diginotar en andere certificaatboeren hoe goed de betrouwbaarheid van allerlei partijen gecontroleerd wordt... Wordt die beveiliging gekraakt dan is SecureBoot nutteloos geworden. Weigert MS om jouw spullen te ondertekenen, dan is het ook einde verhaal. Wil je je eigen driver voor een apparaat dat je hebt gebruiken? Dan moet je 99 Dollar (of iets in die orde van grootte) aftikken bij MS en enkele weken wachten. Komt er een kernelupdate waardoor je die driver opnieuw moet compilen, dan kan je dat weer doen. Lekker gebruiksvriendelijk.

Linus kiest voor de correcte methode: laat de controle bij de gebruiker. Dit betekent dat je als gebruiker zelf mag bepalen welke kernel en modules er mogen draaien op jouw systeem. Dit kan het voor de gebruiker wel ingewikkelder maken. Je zal zelf sleutels moeten maken en aan de vertrouwde sleutels toe moeten voegen en je zal ook zelf moeten bepalen of een bepaalde partij van wie je je programma's gekregen hebt wel te vertrouwen is. De sleutels aanmaken en in de firmware zetten zou evt. wel geautomatiseerd kunnen worden bij het installeren van je favoriete distro, maar het zal voor onervaren gebruikers weer een extra drempel zijn om Linux te installeren.

[Vistaus]

@Joris: Die tool is er al en het heet 'coreboot'.

[Gandyman]

Er zijn nu twee mogelijkheden om het probleem SecureBoot op te vangen, een makkelijke manier en een correcte manier.

Garrett kiest voor de makkelijke manier: laat Microsoft de bootloader, kernel en alle modules tekenen. Dit is makkelijk omdat alle apparaten de sleutel van MS vertrouwen. Distro's als Red Hat of Ubuntu kunnen hun kernels e.d. bij MS afgeven zodat ze getekend weer retour komen.

Voor alle duidelijkheid, als de kernel of andere zaken richting MS gaan waar er vervolgens met de software geknoeit gaat worden en het dan weer terug komt, gaat dit nevernooitvanzijnleven op mijn computer komen. 

Ik vertrouw dat concern nog geen micro-mili-seconden en weet zeker dat ze meer rotzooi erin stoppen, omdat dit hun beleid is.

In het andere geval zijn we het erover eens dat alles te kraken is, dus mochten ze zo stom zijn de sleutels in de kernel te verwerken vrees ik dat de community minder dan een maand nodig heeft dit te ontcijferen........
En dan hebben ze weer nix. 

[Vistaus]

Voor alle duidelijkheid, als de kernel of andere zaken richting MS gaan waar er vervolgens met de software geknoeit gaat worden en het dan weer terug komt, gaat dit nevernooitvanzijnleven op mijn computer komen. 

Was leuk je gekend te hebben Gandyman

* Vistaus wijst je erop dat 12.04 en hoger zijn allemaal voorzien van die door MS-getekende kernel

[Gandyman]

Ik werk op 10.04 Lucid,  kernel 2.6.32-45,  gnome 2.30.2

en raad eens ? 

de computer doet het gewoon iedere dag, en ik kan er alles mee doen wat ik wil. dus?

BTW, misschien prettig voor andere mensen met dezelfde gevoelens als ik heb en toch nieuwer willen werken eens aanwijzen waar dat stukje code staat zodat men het eruit kan halen.

[Johan van Dijk]

Het is geen code. Je kan het vergelijken met een md5 checksum, maar dan iets ingewikkelder.
MS past de kernel niet aan, maar levert er bestanden bij die de ondertekening bevatten.

[Vistaus]

@Gandyman: Snap je niet dat ik je alleen maar plaagde? Dacht dat die vele knipogen wel duidelijk waren En dan zeg je dat ik soms dingen te serieus neem

@Johan: Ah zo. In dat geval heeft Gandyman niks te vrezen dus (en anderen die zich zorgen maakten om kernelaanpassingen)

[Gandyman]

Het is geen code. Je kan het vergelijken met een md5 checksum, maar dan iets ingewikkelder.
MS past de kernel niet aan, maar levert er bestanden bij die de ondertekening bevatten.

Dat MS de kernel niet aanpaste ging ik al vanuit, dit accepteert Linus nooit, dat er files/bestanden bijgevoegd worden met sleutel is ook logischer.
Echter ik vind dat iedereen zelf moet kunnen uitmaken of hij die troep op zijn pc wil hebben of niet, en dus zou het wel zo aangenaam zijn dat de eindgebruiker de mogelijkheid heeft die bestanden te verwijderen.

Net als dat iedereen valt over de Dash die ongevraagd zaken het internet opslingert vind ik dit ook iets wat niet in mijn Linux thuishoort.

@Vistaus
Had ik gezien en begrepen, liet je echter weten dat ik het nog niet op mijn werkpc heb staan.