Microsoft chiarisce la funzione Secure Boot: nessun problema per Linux

[Red Baron 80]

Originariamente inviato da HostFat

Si, a parer mio principalmente per impedire il funzionamento del famoso loader per far funzionare tutte le copie pirata di Windows 7

Immaginavo. E dopo di tutto mi sembra anche giusto. Però di sicuro lo aggireranno come è successo per tutti i Windows. Questo anche perchè se installi Win 8 su un PC dove adesso, ad esempio hai win 7 o Vista, ci sarà un qualche meccanismo che metterà in atto questo secure boot.

[bs82]

Originariamente inviato da Bromden

Allora, il rischio esiste ancora? Io direi di sì, assolutamente. E tra l'altro Matthew Garrett ha provveduto a rispondere alla questione con questo suo nuovo post:
http://mjg59.dreamwidth.org/5850.html

Mamma mia che SBADILATA di cavolate spara sto Garrett!!!!!!!!!!!!!!!!!!

• Windows 8 certification requires that hardware ship with UEFI secure boot enabled.
  Cavolata: Win8 NON RIECHIEDE MANCO L'UEFI per essere installato, o sfugge il significato di RICHIEDE?
• Windows 8 certification does not require that the user be able to disable UEFI secure boot, and we've already been informed by hardware vendors that some hardware will not have this option.
  Certo gli OEM! E faran quello che vogliono con il LORO PRODOTTO.
• Windows 8 certification does not require that the system ship with any keys other than Microsoft's.
  Oh mio dio, ma si rende conto di quello che dice????
• A system that ships with UEFI secure boot enabled and only includes Microsoft's signing keys will only securely boot Microsoft operating systems.
  Embè? Saranno PC OEM venduti appunto per essere usati solo con win8, nessuno obbliga comprarli, visto che appunto saranno per soluzioni O E M!

Di cosa si è drogato sto Matthew Garrett??????

I quattro punti sopra sono assolutamente C A V O L A T E !

Ma veramente date retta a questo frustrato non meglio precisato "dipendente" della red hat? (ma chi cavolo è? che autorità ha? )


1 - Windows8 si installa su qualsiasi macchina con BIOS o UEFI.
2 - Windows8 si installa su qualsiasi macchina a fianco di qualsiasi altro sistema operativo
3 - Qualsiasi altro sistema operativo si installa a fianco di Windows8 su qualsiasi macchina con BIOS o UEFI
4 - Sistemi operativi non signed (quindi non commerciali o SERI) non possono essere installati in macchine con schede madri per gli OEM (non vendibili al dettaglio) con UEFI e Secure Boot abilitato e non disattivabile e Windows 8 preinstallato.

[WarDuck]

Originariamente inviato da pabloski

Riguardo l'inutilità dell'articolo le voci sono unanimi

https://plus.google.com/109386511629...ts/GXc9y7E5uZX

http://linux.slashdot.org/story/11/0...FI-Secure-Boot

ma del resto basta leggerlo per capire che non dice assolutamente niente di niente, nessun dettaglio sull'implementazione viene dato e nessun dubbio viene fugato

gli oem possono scegliere? non possono? a che titolo? in che modo? fino a che punto? e ms che parte ha in tutto questo?

e che livello di sicurezza può garantire un sistema così lasco come lo definiscono in quell'articolo?

Che c'è da capire sull'implementazione?

Le specifiche UEFI sono disponibili. Tutti quanti i sistemi operativi possono implementere il supporto a UEFI.

SecureBoot è una funzionalità di UEFI se non si fosse capito, e non del sistema operativo.

Per questo come ho detto non è Microsoft secondo me a dover dare delle spiegazioni, quanto gli eventuali produttori di hardware che decideranno di non consentire la disattivazione di SecureBoot.

Il livello di sicurezza di questo sistema è ovviamente superiore a quanto disponibile finora. Non capisco perché hai dei dubbi in merito.

[Sire_Angelus]

quindi, si evince appunto che linux non potendo essere firmato non può essere installato se non di grazia di chi fornisce la scheda madre/pc. esattamente quello che i complottisti seri dicevano fin da ieri.

[WarDuck]

Originariamente inviato da Red Baron 80

Immaginavo. E dopo di tutto mi sembra anche giusto. Però di sicuro lo aggireranno come è successo per tutti i Windows. Questo anche perchè se installi Win 8 su un PC dove adesso, ad esempio hai win 7 o Vista, ci sarà un qualche meccanismo che metterà in atto questo secure boot.

E' leggermente difficile dato che il meccanismo è integrato nel firmware.

Se non si fosse capito il firmware non ti lascia caricare il sistema operativo se il boot loader non è quello originale.

Dunque se vuoi aggirare la protezione devi modificare il firmware.

Appena tocchi il boot loader (quindi qualsiasi modifica tu faccia) il firmware non fa partire il SO.

Questa cosa migliora drasticamente la sicurezza.

[WarDuck]

Originariamente inviato da Sire_Angelus

quindi, si evince appunto che linux non potendo essere firmato non può essere installato se non di grazia di chi fornisce la scheda madre/pc. esattamente quello che i complottisti seri dicevano fin da ieri.

Basta aggiungere la firma di Grub o Grub2 che dir si voglia al DB delle chiavi accettate.

Ovviamente a quel punto non potranno stare a modificare il boot loader ogni 3x2.

[bs82]

Originariamente inviato da Sire_Angelus

quindi, si evince appunto che linux non potendo essere firmato non può essere installato se non di grazia di chi fornisce la scheda madre/pc. esattamente quello che i complottisti seri dicevano fin da ieri.

Di distribuzioni linux SIGNED e per di più certificate ce ne sono a iosa... ubuntu stesso non ha problemi.

E i produttori dei firmware UEFI non ci guadagnano NULLA a non inserire in WHITELIST le firme necessarie ad altri OS.

PS: e' una whitelist, quindi pure aggiornabile.

[pabloski]

Originariamente inviato da WarDuck

Che c'è da capire sull'implementazione?

Le specifiche UEFI sono disponibili. Tutti quanti i sistemi operativi possono implementere il supporto a UEFI.

SecureBoot è una funzionalità di UEFI se non si fosse capito, e non del sistema operativo.

certamente e infatti perciò mi chiedevo come c'entra ms in tutto questo

il problema è piuttosto legato alla certificazione che ms rilascerà per i sistemi secureboot, certificazione che prevede alcune cose tra cui la non disabilitabilità del secureboot ( poi però nello stesso articolo dicono che l'utente potrà disabilitarlo )....onestamente non capisco come fa ad essere disabilitabile e non disabilitabile allo stesso tempo

Originariamente inviato da WarDuck

Il livello di sicurezza di questo sistema è ovviamente superiore a quanto disponibile finora. Non capisco perché hai dei dubbi in merito.

certo ma se poi è inefficace a che serve? non posso modificare il mbr ma posso modificare magari l'elemento successivo della catena di boot? e allora a che serve tutta questa complicazione?

se prendi chromeos, ti accorgi che non puoi modificare assolutamente niente senza incorrere in una reinstallazione del sistema e allora lì si che si può parlare di secureboot

in pratica o il secureboot coinvolge firmware, mbr, kernel e driver oppure è solo una complicazione in più che aggiunge difficoltà implementative a fronte di una discutibilissima sicurezza

perciò ho detto che ms dovrebbe spiegare un pò più in dettaglio come intende realizzare questa cosa, visto che per ora hanno solo spiegato superficialmente cosa intendono fare

[Red Baron 80]

Originariamente inviato da WarDuck

E' leggermente difficile dato che il meccanismo è integrato nel firmware.

Se non si fosse capito il firmware non ti lascia caricare il sistema operativo se il boot loader non è quello originale.

Dunque se vuoi aggirare la protezione devi modificare il firmware.

Appena tocchi il boot loader (quindi qualsiasi modifica tu faccia) il firmware non fa partire il SO.

Questa cosa migliora drasticamente la sicurezza.

Adesso mi è più chiara la faccenda. Credi che possano un giorno agire sul firmware?

[ironoxid]

di fronte alla comprovata inferiorità tecnica ed incapacità di evoluzione escono con la classica idiozia tanto per fare un po' di rumore... ridicoli!
ma se modifico il bootloader porca di quella ***** vuol dire che ho già forato il sistema in precedenza e beccato un account privilegiato... eh vabbè, ma non puoi cambiare il bootload... ECCHISSENEFREGA! Tanto ti ho già ownato... microsoft marketing party... invece di creare vera evoluzione cerchiamo di marchiare il territorio con una pisciatina qui e la...

[plfiorini]

Originariamente inviato da bs82

• Windows 8 certification requires that hardware ship with UEFI secure boot enabled.
  Cavolata: Win8 NON RIECHIEDE MANCO L'UEFI per essere installato, o sfugge il significato di RICHIEDE?
  

• Forse hai frainteso, parla di Windows 8 certification. In pratica un OEM per poter apporre sul proprio prodotto (fisso o laptop che sia) il logo Designed for Windows 8 deve ottenere la certificazione e per farlo deve supportare secure boot. Quanti prodotti senza logo Designed vedi nei negozi? Personalmente non ne ho mai visti tanti, inoltre il logo è spendibile ai fini di marketing ciò significa che molti produttori attiveranno il secure boot (che di per se non è un problema).
  
  

  Originariamente inviato da bs82

  Windows 8 certification does not require that the user be able to disable UEFI secure boot, and we've already been informed by hardware vendors that some hardware will not have this option.
  Certo gli OEM! E faran quello che vogliono con il LORO PRODOTTO.

  Mi senti di dissentire. Loro producono un oggetto che io compro e io voglio installarci il sistema operativo che voglio fosse anche FreeBSD, Haiku, Linux o il mio sistema operativo che ho tutto il diritto di scrivere e poter usare.
  Nessuno può togliermi il diritto di fare qualcosa con un oggetto che ho comprato. Pare invece che alcune persone siano convinte che le percentuali di diffusione di un sistema operativo possano negare la sua esistenza.
  
  Il fisso posso assemblarlo come voglio comprando i pezzi dove voglio e immagino che tutti gli UEFI su tali motherboard non avranno il secure boot o sarà disabilitabile dato che non è legato ad un particolare OS.
  Ma laptop e desktop "precotti" sono quasi sempre venduti con un sistema operativo (ultimamente ne vedo qualcuno con FreeDOS o Linux il che per me è una novità che accolgo con grande gioia ma sono sempre mosche bianche).
  E se compro un laptop mi stufo di Windows e voglio passare ad Ubuntu?
  Perchè qualcuno deve impedirmelo?
  
  

  Originariamente inviato da bs82

  Windows 8 certification does not require that the system ship with any keys other than Microsoft's.
  Oh mio dio, ma si rende conto di quello che dice????

  Cosa dice di male? A sembra scritto che la certificazione Designed for Windows 8 NON impone loro la sola diffusione delle chiavi di Win8. Questo significa che la distribuzione di chiavi per altri OS (magari anche vecchie versioni di Windows come Seven) non è espressamente vietata.
  Bene, è positivo, ma significa anche che alcuni potranno decidere di NON includere certe chiavi. Certo non è colpa di Microsoft, ma non ho bisogno di incolparli di tutto per giudicare con preoccupazione il secure boot.
  Infatti chi regolamenterà questi produttori? Voglio dire, ci sarà scritto sulla confezione se posso installare gli altri OS o no? Come farà il consumatore a scegliere. E ancora, il consumatore che vuole Windows oggi domani può voler provare Linux proprio perchè basta scaricarsi Wubi o un live cd, fare una prova e vedere se fa al caso proprio. Ecco queste persone, che magari non sanno manco cosa sia un BIOS o UEFI, all'acquisto del PC non baderanno ad una eventuale etichetta "Questo prodotto contiene le chiavi anche di Linux" e si ritroverà "fregato".
  
  

  Originariamente inviato da bs82

  A system that ships with UEFI secure boot enabled and only includes Microsoft's signing keys will only securely boot Microsoft operating systems.
  Embè? Saranno PC OEM venduti appunto per essere usati solo con win8, nessuno obbliga comprarli, visto che appunto saranno per soluzioni O E M!

A me personalmente può anche andare bene a patto che scrivano sulla confezione "Funziona solo con Windows" così li salto a piè pari. Ma rimangono tagliati fuori tutti quelli che vogliono usare un altro sistema *dopo*.
A ben pensare rimango tagliato fuori io, magari voglio installarmi un OS non supportato.

Originariamente inviato da bs82

I quattro punti sopra sono assolutamente C A V O L A T E !

Se per te la libertà individuale non conta hai perfettamente ragione.

Ma veramente date retta a questo frustrato non meglio precisato "dipendente" della red hat? (ma chi cavolo è? che autorità ha? )

Cerca di portare più rispetto verso qualsiasi altra persona.
Perchè sarebbe frustrato, sta semplicemente cercando di capire cosa comporta secure boot e scrive le sue impressioni.
Non sta facendo del male a nessuno, non c'è bisogno di essere così arroganti.
Capisci la sua buona fede dal fatto che non ha invitato i lettori ad andare in panico, si è limitato a dire che sicuramente bisogna prestare attenzione e porsi dei dubbi. E ha ragione.

Originariamente inviato da bs82

1 - Windows8 si installa su qualsiasi macchina con BIOS o UEFI.
2 - Windows8 si installa su qualsiasi macchina a fianco di qualsiasi altro sistema operativo
3 - Qualsiasi altro sistema operativo si installa a fianco di Windows8 su qualsiasi macchina con BIOS o UEFI
4 - Sistemi operativi non signed (quindi non commerciali o SERI) non possono essere installati in macchine con schede madri per gli OEM (non vendibili al dettaglio) con UEFI e Secure Boot abilitato e non disattivabile e Windows 8 preinstallato.

Non seri? Non vendibili al dettaglio?
Gli OEM sono quelli che producono il laptop o il fisso che trovi al supermercato. Dicesi appunto vendita al dettaglio.

Cerchiamo di aprire gli occhi, così come sembra fino ad ora il funzionamento di secure boot è chiaro che Microsoft sta cercando di tagliare le gambe alla concorrenza facendo barattare ai consumatori la sicurezza (con un sistema che non sembra più sicuro di altri) con la libertà individuale. Mi piacerebbe anche vedere la percentuale di diffusione di questi virus per capire se è davvero necessario oppure è una scusa.

[WarDuck]

Originariamente inviato da ironoxid

di fronte alla comprovata inferiorità tecnica ed incapacità di evoluzione escono con la classica idiozia tanto per fare un po' di rumore... ridicoli!
ma se modifico il bootloader porca di quella ***** vuol dire che ho già forato il sistema in precedenza e beccato un account privilegiato... eh vabbè, ma non puoi cambiare il bootload... ECCHISSENEFREGA! Tanto ti ho già ownato... microsoft marketing party... invece di creare vera evoluzione cerchiamo di marchiare il territorio con una pisciatina qui e la...

Un po' di cultura non ti guasterebbe.

Informati meglio su cosa è un rootkit, e perché si sono diffuse queste tecniche.

UEFI non è una specifica esclusiva Microsoft, SecureBoot non è una invenzione ad uso esclusivo di Microsoft.

State facendo tanto chiasso per nulla. Accendete il cervello ogni tanto dai.

[WarDuck]

Originariamente inviato da pabloski

certamente e infatti perciò mi chiedevo come c'entra ms in tutto questo

il problema è piuttosto legato alla certificazione che ms rilascerà per i sistemi secureboot, certificazione che prevede alcune cose tra cui la non disabilitabilità del secureboot ( poi però nello stesso articolo dicono che l'utente potrà disabilitarlo )....onestamente non capisco come fa ad essere disabilitabile e non disabilitabile allo stesso tempo

A quanto pare (sarà la terza o quarta volta che lo ripeto) la certificazione richiede semplicemente che il SecureBoot sia abilitato di default.

Originariamente inviato da pabloski

certo ma se poi è inefficace a che serve? non posso modificare il mbr ma posso modificare magari l'elemento successivo della catena di boot? e allora a che serve tutta questa complicazione?

se prendi chromeos, ti accorgi che non puoi modificare assolutamente niente senza incorrere in una reinstallazione del sistema e allora lì si che si può parlare di secureboot

in pratica o il secureboot coinvolge firmware, mbr, kernel e driver oppure è solo una complicazione in più che aggiunge difficoltà implementative a fronte di una discutibilissima sicurezza

perciò ho detto che ms dovrebbe spiegare un pò più in dettaglio come intende realizzare questa cosa, visto che per ora hanno solo spiegato superficialmente cosa intendono fare

Quanti virus/malware recenti conosci che attaccano il BIOS? Io 1 solo, uscito poco tempo fa...

[glca]

In questo modo forse vogliono proteggere il pc da un eventuale boot da cd-live linux/altro fatto da un malintenzionato per carpire dati.

Nella maggior parte dei pc si potrà entrare nel UEFI e disabilitare ilsecure boot.
Se un produttore volesse non mettere questa funzionalità, secondo me può al limite essere accettabile se:
- il computer costasse meno
- ci fosse scritto nella scatola a caratteri cubitali "Funziona solo con Windows"

Infine mi sembra che tale comportamento sia molto simile a quello adottato da Apple. Questo è il sistema utilizzato da Apple per non far installare Linux sui suoi pc.

[plfiorini]

@glca Windows e Linux sono installabili su Mac così come qualsiasi altro sistema operativo.

https://help.ubuntu.com/community/MacBookPro

E' Mac OS X che non si installa su macchine non Apple per due ragioni:
- EULA, ti vieta di farlo
- Compatibilità hardware, ma se compri i pezzi giusti non è nemmeno tanto difficile farlo. Una volta era più complicato dato che girava su PPC.

[AlexSwitch]

Originariamente inviato da glca

Infine mi sembra che tale comportamento sia molto simile a quello adottato da Apple. Questo è il sistema utilizzato da Apple per non far installare Linux sui suoi pc.

Apple è dal 1977 che costruisce computer ( Apple I ) e dal 1984 che vende computer da lei costruiti con il loro sistema operativo ( Macintosh e System 1 ).
E già dal primo Macintosh erano presenti delle " Boot Rom e System Rom " per l'avvio del System..... Cosa parecchio differente dai Pc che avevano un BIOS generico per il POST e l'avvio di un sistema operativo su dischetto ( PC DOS, MS DOS, CP/M, etc. ).
Inoltre come ti è stato già scritto Linux lo puoi installare tranquillamente su qualsiasi Macintosh Intel....

[WarDuck]

Originariamente inviato da glca

In questo modo forse vogliono proteggere il pc da un eventuale boot da cd-live linux/altro fatto da un malintenzionato per carpire dati.

Nella maggior parte dei pc si potrà entrare nel UEFI e disabilitare ilsecure boot.
Se un produttore volesse non mettere questa funzionalità, secondo me può al limite essere accettabile se:
- il computer costasse meno
- ci fosse scritto nella scatola a caratteri cubitali "Funziona solo con Windows"

Infine mi sembra che tale comportamento sia molto simile a quello adottato da Apple. Questo è il sistema utilizzato da Apple per non far installare Linux sui suoi pc.

Lo scopo di SecureBoot non è scongiurare le minacce da locale, quanto quelle da remoto, in particolare dovute a rootkit che si installano nel boot-loader (del disco).

Per impedire l'accesso da locale bastano diversi accorgimenti, dal disattivare il boot da CD e USB, e bloccare il bios tramite password, a criptare la partizione di Windows (o una parte di essa).

[Baboo85]

Originariamente inviato da HostFat

Si, a parer mio principalmente per impedire il funzionamento del famoso loader per far funzionare tutte le copie pirata di Windows 7

Ho pensato la stessa identica cosa. A me pareva piu' un sistema per bloccare le copie pirata direttamente prima del caricamento dell'OS senza affidarsi ad un facilmente bucabile sistema di attivazione online.

Ma dato che e' disattivabile (immagino come se fosse una attuale opzione da bios) mi sa che non sara' utilizzata anche per questo scopo.

[Pozhar]

CVD

[Bromden]

Originariamente inviato da WarDuck

la certificazione richiede semplicemente che il SecureBoot sia abilitato di default.

Non è così:

For Windows customers, Microsoft is using the Windows Certification program to ensure that systems shipping with Windows 8 have secure boot enabled by default, that firmware not allow programmatic control of secure boot

Oltre a richiedere il SecureBoot abilitato by default, impone di impedire di disabilitare il firmware per via programmatica. Che vuol dire? Semplicemente che via software (ivi compreso quello di Uefi) non è consentito di farlo. Quindi, per disabilitarlo, sempre in via teorica, occorrerebbe agire via hardware. Quanti lo farebbero per esempio su un notebook (ammesso che ne siano in grado)?