Гарри Поттер и анальный зонд^w^wSecure Boot.⁠⁠

Несколько дней назад наш уважаемый коллега @ahovdryk опубликовал пост об Secure Boot. В целом все описано довольно понятно и доступно, за исключением одного аспекта, одного НО, за что же эта технология подвергается такой критике.

Дело в том, что это одна из технологий существенно ограничивающих цифровую свободу, ну и как результат свободу в целом. Это один из анальных зондов, навязанных пользователям IBM PC совместимых платформ, избавится от которого крайне сложно.

Давайте попробуем разобраться по порядку, иначе будет непонятно.

Secure Boot является частью спецификации UEFI, которая, в сущности, является международным стандартом программного обеспечения для низкоуровневой инициализации компьютеров, а в IBM PC используется вместо древнего BIOS.

BIOS и вправду очень стар, у него масса недостатков и рудиментов, нет 64битной реализации, нет механизма работы с дисками большого объема и т.д.

Эти недостатки не современные, не сегодняшние и не вчерашние, они были с BIOS всегда, если кто помнит, проблемы с объемом дисков всплывали в прошло неоднократно и успешно решались. Помнит кто про 32ГБ? А ведь было много и раньше, еще с мегабайтов. Решались проблемы с CHS/LBA разметкой, с флагом активности в MBR, и еще овер 9000 вещей были доработаны в BIOS за его более чем 30-тилетнюю историю. В принципе, он еще может выполнять свои функции после доработки напильником.

UEFI быстрее, выше, сильнее, нет вопросов, современный UEFI представляет собой практически полноценную операционную систему и позволяет, например, использовать ПК вместо DVD или mp3 плеера, на загружая основную ОС. UEFI умеет 64 бита, т.е. может адресовать всю доступную память и полноценно использовать регистры; он же умеет в диски большого объема, кроме того относительно неплохо умеет в сеть. Ну это если про существенные преимущества, а не про двд плеер.

Тут необходимо понимать, что UEFI не лучший и не худший, причем, далеко не единственный из вариантов эволюции. Я перечислю только открытые: Coreboot, Libreboot, OpenBIOS и Das U-Boot.

Кто-то, наверное, скажет: "Опа, очередной линуксоид!". Неа, я, конечно, FOSS евангелист, по крайней мере в моей жизни и практике FOSS играл и играет огромную роль, даже может линуксоид. Но для меня всех на свете милее FreeBSD, хоть и приходится сейчас, в основном, в Linux.

Вернемся к теме про Secure Boot.

На сейчас, при том, что международный стандарт и множество производителей айбиэмсовместимого железа, загрузчики подписывает только Microsoft. То есть кроме Microsoft никто не может создать цифровую подпись для загрузчика, чтобы UEFI Secure Boot стал считать загрузчик безопасным. Большая часть вендоров сохраняют возможность загрузки старым способом, называя его "легаси", но это необязательный, опциональный вариант, которого может и не быть ( мне, к счастью, такое железо пока не попадалось). Причем биос спокойно может загрузить систему даже с GPT диска, используя protective MBR. GPT разметка, пожалуй, лучшее из всего того, что создано UEFI форумом.

То есть некая группа Microsoft и ко пролоббировала принятие стандарта, который не позволяет мне использовать такие ОС, какие я хочу, сам я создавать цифровые подписи никак не могу, и сделать с этим ничего нельзя. И никто кроме майкрософта не может. Майкрософт это такая международная общественная организация или часть правительства какого-то? Ну пока есть легаси режим загрузки это не проблема, но ситуация будет, думаю, развиваться по ограничительному, а не разрешительному пути.

Сделайте, ладно, так, чтобы я сам мог определить, что безопасно, а что нет. Нет, жри наше говно ложками и не вякай. Не хочешь Secure Boot, на тебе spectre/meltdown, не хочешь meltdown, получи официальный Intel ME.

Вышла новая загрузочная бинарь GRUB, например, добро пожаловать, так сказать, в майкрософт на сертификацию, а пока обождите загружаться. Ну или грузите десяточку, чего уж.

На мобильных результаты уже видно, где вендор даст возможность разблокировки загрузчика, там грузитесь, а где не даст, там "бюстгальтер женщины самоклеящиеся толчок вверх хлопок бюст без бретелек установить белье".  И ничего не сделаешь. Ну а у на PC прилетели полезные автоматические обновления и нужна срочная перезагрузка, подождите пока установятся обновления, не выключайте компьютер. Не сохранили работу, так зато все безопасно.

Хорошо, конечно, удаленно заблокировать потерянный ноутбук как айфон, это возможно с Secure Boot, а можно ли сделать так, чтобы этот ноутбук гарантированно работал как надо и делал то, что нужно, и не зависел от кого-то извне, имеющего на словах самые лучшие побуждения?

Нужно же ведь четко понимать, что айфон блокируете не вы, его блокируют эппл или мейзу с сяоми.