Несколько дней назад наш уважаемый коллега @ahovdryk опубликовал пост об Secure Boot. В целом все описано довольно понятно и доступно, за исключением одного аспекта, одного НО, за что же эта технология подвергается такой критике.

Дело в том, что это одна из технологий существенно ограничивающих цифровую свободу, ну и как результат свободу в целом. Это один из анальных зондов, навязанных пользователям IBM PC совместимых платформ, избавится от которого крайне сложно.

Давайте попробуем разобраться по порядку, иначе будет непонятно.

Secure Boot является частью спецификации UEFI, которая, в сущности, является международным стандартом программного обеспечения для низкоуровневой инициализации компьютеров, а в IBM PC используется вместо древнего BIOS.

BIOS и вправду очень стар, у него масса недостатков и рудиментов, нет 64битной реализации, нет механизма работы с дисками большого объема и т.д.

Эти недостатки не современные, не сегодняшние и не вчерашние, они были с BIOS всегда, если кто помнит, проблемы с объемом дисков всплывали в прошло неоднократно и успешно решались. Помнит кто про 32ГБ? А ведь было много и раньше, еще с мегабайтов. Решались проблемы с CHS/LBA разметкой, с флагом активности в MBR, и еще овер 9000 вещей были доработаны в BIOS за его более чем 30-тилетнюю историю. В принципе, он еще может выполнять свои функции после доработки напильником.

UEFI быстрее, выше, сильнее, нет вопросов, современный UEFI представляет собой практически полноценную операционную систему и позволяет, например, использовать ПК вместо DVD или mp3 плеера, на загружая основную ОС. UEFI умеет 64 бита, т.е. может адресовать всю доступную память и полноценно использовать регистры; он же умеет в диски большого объема, кроме того относительно неплохо умеет в сеть. Ну это если про существенные преимущества, а не про двд плеер.

Тут необходимо понимать, что UEFI не лучший и не худший, причем, далеко не единственный из вариантов эволюции. Я перечислю только открытые: Coreboot, Libreboot, OpenBIOS и Das U-Boot.

Кто-то, наверное, скажет: "Опа, очередной линуксоид!". Неа, я, конечно, FOSS евангелист, по крайней мере в моей жизни и практике FOSS играл и играет огромную роль, даже может линуксоид. Но для меня всех на свете милее FreeBSD, хоть и приходится сейчас, в основном, в Linux.

Вернемся к теме про Secure Boot.

На сейчас, при том, что международный стандарт и множество производителей айбиэмсовместимого железа, загрузчики подписывает только Microsoft. То есть кроме Microsoft никто не может создать цифровую подпись для загрузчика, чтобы UEFI Secure Boot стал считать загрузчик безопасным. Большая часть вендоров сохраняют возможность загрузки старым способом, называя его "легаси", но это необязательный, опциональный вариант, которого может и не быть ( мне, к счастью, такое железо пока не попадалось). Причем биос спокойно может загрузить систему даже с GPT диска, используя protective MBR. GPT разметка, пожалуй, лучшее из всего того, что создано UEFI форумом.

То есть некая группа Microsoft и ко пролоббировала принятие стандарта, который не позволяет мне использовать такие ОС, какие я хочу, сам я создавать цифровые подписи никак не могу, и сделать с этим ничего нельзя. И никто кроме майкрософта не может. Майкрософт это такая международная общественная организация или часть правительства какого-то? Ну пока есть легаси режим загрузки это не проблема, но ситуация будет, думаю, развиваться по ограничительному, а не разрешительному пути.

Сделайте, ладно, так, чтобы я сам мог определить, что безопасно, а что нет. Нет, жри наше говно ложками и не вякай. Не хочешь Secure Boot, на тебе spectre/meltdown, не хочешь meltdown, получи официальный Intel ME.

Вышла новая загрузочная бинарь GRUB, например, добро пожаловать, так сказать, в майкрософт на сертификацию, а пока обождите загружаться. Ну или грузите десяточку, чего уж.

На мобильных результаты уже видно, где вендор даст возможность разблокировки загрузчика, там грузитесь, а где не даст, там "бюстгальтер женщины самоклеящиеся толчок вверх хлопок бюст без бретелек установить белье".  И ничего не сделаешь. Ну а у на PC прилетели полезные автоматические обновления и нужна срочная перезагрузка, подождите пока установятся обновления, не выключайте компьютер. Не сохранили работу, так зато все безопасно.

Хорошо, конечно, удаленно заблокировать потерянный ноутбук как айфон, это возможно с Secure Boot, а можно ли сделать так, чтобы этот ноутбук гарантированно работал как надо и делал то, что нужно, и не зависел от кого-то извне, имеющего на словах самые лучшие побуждения?

Нужно же ведь четко понимать, что айфон блокируете не вы, его блокируют эппл или мейзу с сяоми.

Привет всем, особенно любителям котят. Намедни дёрнула меня нелёгкая влезть в холивар Windows vs Linux. Попытка объяснить, что системы не полностью эквивалентны и у каждой есть свои сильные и слабые стороны, естественно, провалилась. И в числе аргументов в споре один из оппонентов написал буквально следующее:

Secure Boot? Нафига оно тебе? Просто чтобы было? Недостатков больше чем достоинств

Вот давайте и поговорим об этом.

Как мы все с вами знаем концепция BIOS давно окончательно себя изжила, так как со времён IBM PC компьютеры замечательно уплыли за горизонты, которые в прошлом веке не снились даже самым мечтательным инженерам. В качестве наглядной демонстрации этого рекомендую прочитать НФ-роман Гаррисона и Мински "Выбор по Тьюрингу". А Марвин Мински, на секундочку, голова. Я бы, как незабвенный Валиадис, пальца бы ему в рот не клал. Так вот, с этим уплытием надо было что-то делать, и решение нашлось. UEFI. И как всегда вместе с новыми возможностями вылезли и новые опасности. Не думаю, что в уважаемой Лиге найдётся хоть один человек который не был бы в курсе о буткитах и руткитах. UEFI в свою очередь, если кто вдруг этого не знал, нас порадовал возможностями грузить в него модули. Например такие безусловно полезные и необходимые как буткиты. Об этом говорили давно и решение, в принципе, было найдено. Secure Boot.

Некоторые горячие головы во времена введения стандарта UEFI 2.2 побежали обвинять кровавый Microsoft в том, что их (sic!) не менее кровавый Secure Boot душит опенсорс в пользу своей ужасной Windows 8. Забавно, что при этом Microsoft требовал от производителей компьютеров, которые хотели чтобы на их поделиях была наклеечка о совместимости с 8, требовали как раз возможность этот самый Secure Boot отключить. Сказки же о том, что этот режим был введён MS, мягко говоря, неосновательны. Достаточно взглянуть на список членов UEFI Forum.

Собственно, о чём речь?  А то три абзаца навалял, а до сути не добрался, да? Идея Secure Boot, если кто не знал, проста до икоты: если в UEFI загружен модуль, то с него надо спрашивать аусвайс, сиречь, цифровую подпись. А то ходють тут всякие. Хохма тут в том, что загрузчик ОС запросто можно рассматривать как модуль UEFI, а сами модули могут взамодействовать с операционкой. Ну, например, сходить в Интернет и что-то в эту операционку загрузить. Secure Boot, как честный вахтёр, спросит у модуля пропуск, и если таковой имеется - пусть ходит, жалко что ли? В общем и целом этот механизм нормально защищает вас от всякой бяки, которая хочет загрузиться до вашей операционки и делать потом с ней всякое. Отлично же?

Как бы не так. У Microsoft всё хорошо. Они участники UEFI Forum и делают свою ОС не только совместимой с этим режимом, а и с расчётом на него. У Apple, хоть они и участники UEFI Forum - дно, ад и Сцилла с Харибдой. Догадайтесь где так себе.

Собственно, там, где вместо соблюдения стандарта им подтираются и делают страшные вещи, чтобы стандарт "не мешал". Так себе в мире Linux. И не потому что система плохая. А потому что соблюдение стандартов вещь добровольная, а смотреть на них в свободном мире желают ой как не все. И поэтому рассчитывать, что в мире Linux не пойми кто не влезет к вам с буткитом, увы, не приходится. Вот тому наглядный пример. На секундочку в самом популярном дистрибутиве! RHEL и CentOS, впрочем, как обычно на высоте.

А почему я это всё написал? Смотрите.

1. В современные компьютеры ставится UEFI, который может что-то грузить в ОС, имея куда больше возможностей чем сама ОС.

2. Так как загрузить модуль в UEFI может практически кто попало, то для этого придумали вахтёра.

3. Если вы пользуетесь FOSS, то вам за вахтёром надо следить самостоятельно на довольно высоком уровне квалификации.

3.1 Всё очень плохо с GRUB и на кой он нужен, когда ядро Linux отлично стартует на UEFI-системах и без него - непонятно.

3.1.1 systemd-boot, хоть и спартанский, является отличным аргументом за systemd

4. В свете вышеперечисленного отключение вахтёра без крайней необходимости выглядит затеей несколько тупой.

5. Если вы не знали, то в дикой природе выловлен первый UEFI-буткит, который, вот умора, не работает при включённом Secure Boot. Да, для Windows. И что? Мы Linux-ботнетов не видели что ли?

Так что, господа, в сей пятничный день желаю вам всех благ, уточек-котяток и безопасной загрузки. Пьющим господам советую не забыть купить минералочку/кефир на утро.

P.S. Знаете почему я ничего не сказал про FreeBSD? Потому что там половина работ по теме в потрясающем состоянии Not started.