У Linux Foundation возникли проблемы при попытке заверить UEFI-загрузч

[enalesck]

Напомним, что Linux Foundation приняла решение распространять от своего имени промежуточный заверенный ключом Microsoft загрузчик. Новая разработка Linux Foundation обеспечит работу любого дистрибутива на системах с активным по умолчанию режимом безопасной загрузки UEFI.

Изначально трудности возникли при первом входе в сервис для заверения загрузчиков и драйверов ключом Microsoft. Сервис позиционировался Linux Foundation в качестве средства для преодоления препятствий во время запуска систем от сторонних производителей на оборудовании, работающем на базе ОС Windows 8. На самом деле, процесс заверения выходит за рамки проверки соответствия загрузчика техническим требованиям. Перед тем как загрузить UEFI-загрузчик для формирования подписи требуется заключить специальный контракт, в котором указывается большое количество тонкостей и ограничений.

Среди ограничений следует выделить то, что в соглашении указываются не только особенности использования загрузчика и объектов, участвующих в проверке с использованием режима безопасной загрузки UEFI, но и связанные с ними компоненты. По мнению юристов, требование, указанные в соглашении, не принесут никакого вреда Linux Foundation, потому что компания не распространяет продукты. Однако другие компании могут оказаться в невыгодном положении. Помимо этого, контракт также содержит в себе список лицензий, которые не могут быть заверены ключом Microsoft. В частности, запрет касается исключительно драйверов на лицензии GPLv2, а также всего программного обеспечения на лицензии GPLv3 и на подобные лицензии.

Файл UEFI-загрузчика предлагается пользователям в формате CAB (Microsoft Cabinet), который подписан ключом Verisign. Этот архив создавался посредством свободной утилиты lcab и подписан программой osslsigncode. Оказалось, что для загрузки архива в сервис нужно использовать браузер с поддержкой плагина Silverlight, который работает только в Windows. На этот раз без Windows обойтись не удастся, так как с плагином Moonlight форма загрузки работать не будет.

Пройдя все предыдущие этапы загрузки, UEFI-загрузчик был добавлен для проверки, на что сервис выдал ошибку c непонятным номером. В результате проверки было установлено, что ошибка связана с тем, что исполняемый файл не является корректным Win32-приложением. В ответ им было заявлено, что это 64-разрядный UEFI-бинарник, после чего ответа не последовало. Повторная загрузка прошла стадию проверки, но привела к ошибке формирования подписи.

Несмотря на ошибку, подписанный файл стал доступен для загрузки и работал на платформах с режимом безопасной загрузки. В параметрах подписи было указано, что файл был подписан основным ключом Microsoft без возможности отзыва подписи. На вопрос в службу поддержки, был дан совет не использовать данный файл, так как он подписан неверно.

Сейчас Linux Foundation продолжает работу над формированием подписи и после того, как правильно заверенный UEFI-загрузчик будут разработан, он будет опубликован для общего использования на сайте компании.

Подробнее: http://www.securitylab.ru/news/432739.php

[yars]

Вот это плохая новость, очень плохая. Надеюсь, ничего с монополизацией у мелкософта не выйдет. А будет очередной суд и штраф в 200 триллионов долларов.

[alv]

Вот это плохая новость, очень плохая. Надеюсь, ничего с монополизацией у мелкософта не выйдет. А будет очередной суд и штраф в 200 триллионов долларов.

А причём здесь, извините, Микрософт? Они ведь насильно никого не заставляли. Просто сказали: для сертификации на Windows 8 нужно иметь Secure Boot, или как он там зовётся. Причём добавили, что опция эта может быть отключаема.
Так что производители матплат могли:
а) отказаться от логотипа,
б) вставить отключаемость опции
Они ни того, ни другого не сделали. Так что карать по всей строгости законов о защитах всяческих прав потребителей надо их.

Где там у нас бывший полковник, который несколько лет назад палил из пушки народного гнева по воробьям OEM'ной винды?
Разумеется, когда дело доходит до настоящего дела, всех этих рататуев за права днём с огнём не сыщешь.

[Bizdelnick]

опция эта может быть отключаема.
Так что производители матплат могли:
а) отказаться от логотипа,
б) вставить отключаемость опции
Они ни того, ни другого не сделали.

Во-первых, не может, а должна быть отключаема (кроме как на ARM), во-вторых, производители так и сделали, в-третьих, я вообще не понимаю, на фига эту ерунду с загрузчиками затеяли.

[yars]

alv, это же их, М$ затея. Ну, а раз производители железа закрыли глаза на то, что лицензия GPL и ей подобные в черном списке у М$, им, видно, не без разницы, что у пользователя будет, линукс или оффтопик, и отдают предпочтение последнему, надеясь, что срубят денежек. Мол, подумаешь, потеряем пять-десять процентов потенциальных покупателей - что с того? Но люди-то терпят неудобства. Из-за этого SecureBoot.

[alv]

Во-первых, не может, а должна быть отключаема (кроме как на ARM)

можно понять и так, что в ARM'ах не должна быть отключаема, а в x86 - то ли может, то ли должна

производители так и сделали

вполне допускаю, что так сделали не все производители, иначе базара не возникло бы

я вообще не понимаю, на фига эту ерунду с загрузчиками затеяли.

вот и я не понимаю
тем более что этого страшного зверя не видел и надеюсь никогда не увидеть
похоже, всё это пеарастёж чистейшей воды...
и вовсе не со стороны Микрософта

люди-то терпят неудобства. Из-за этого SecureBoot.

Этим людям можэно ответить: не покупвайте машины с неотключаемым Secure Boot.
Примерно как лет 12 назад каждая статья про Линукс начиналась словами: не покупайте Win-притеры и Win-модемы

потеряем пять-десять процентов потенциальных покупателей

как раз производители рискуют нарваться на судебные иски и антимонопольные проверки, такие, по сравнению с которыми дело об OEM'ной винде могло бы показаться мелкой квартиной склокой. Однако

Настоящих буйных мало -
Вот и нету вожаков

[yars]

Ну что ж, поживем - увидим... Я с этим "страшным зверем "сталкивался, впечатлений приятных не осталось. Но я и особо не разбирался, что там да как - не в своем компе материнскую плату менял.

[Ism]

А какого , извините, хрена Secure boot может подписан только Микрософт ? Каким боком Микрософт вообще связан с UEFI ? Это же нейтральная технология к осям
Ключ проверки вообще должен вводиться руками в BIOS

[alv]

А какого , извините, хрена Secure boot может подписан только Микрософт ?

а никто и не говорил, что Микрософтом
просто Микрософт говорит, что для сертификации на работу с их ОСью ключ должен быть подписан ими
и всё
не хочешь - не сертифицируй

[babay2004]

Я недавно покупал материнку с UEFI, там Secure Boot по умолчанию отключен. Проблем нет.
А вот если какой-то производитель выпускает х86 железо со включенным, да еще и не отключаемым Secure Boot - ну отнесите обратно в магазин такую железку, делов-то.

[Bluetooth]

Я недавно покупал материнку с UEFI, там Secure Boot по умолчанию отключен. Проблем нет.
А вот если какой-то производитель выпускает х86 железо со включенным, да еще и не отключаемым Secure Boot - ну отнесите обратно в магазин такую железку, делов-то.

Ну, когда сам покупаешь, можно и вовсе заранее узнать, как там обстоят дела с secure boot. Но иногда приходится работать с тем, что есть, что куплено людьми, не слыхавшими про secure boot вообще. И вот тут возможны проблемы.

[BURF]

Ну, когда сам покупаешь, можно и вовсе заранее узнать, как там обстоят дела с secure boot.

Кстати да, как там со списками производителей по их отношению к Secure Boot? Уже появились засранцы/молодцы?

[alv]

Я с этим "страшным зверем "сталкивался, впечатлений приятных не осталось. Но я и особо не разбирался, что там да как

Тем не менее, рассказали бы как очевидец - ведь мы в большинстве просто гадаем.
А так хотя бы осветили вопросы:
что, действительно не грузится без подписи?
даже с LiveCD?
и действительно нельзя отключить?
и на сайте производителя нет перепрошивки BIOS без SB или с отключаемым SB?

Я недавно покупал материнку с UEFI, там Secure Boot по умолчанию отключен.

Кстати, да. Я просто не верю, что в розничную торговлю выпустят материнки с включённым и неотключаемым SB. Это был бы такой удар по репутации производителей, выпускающих розничные материнки вообще...
Ибо

людьми, не слыхавшими про secure boot вообще.

розничные материнки обычно не покупаются.
А если поккупаются - то это не люди, а ССЗБ.

как там со списками производителей по их отношению к Secure Boot? Уже появились засранцы/молодцы?

присоединяюсь к вопросу
в своё время incompatible lists всяких принтеров со сканерами и модемами были очень популярны

[yars]

Тем не менее, рассказали бы как очевидец - ведь мы в большинстве просто гадаем.
А так хотя бы осветили вопросы:
что, действительно не грузится без подписи?
и действительно нельзя отключить?

Нельзя. Я не помню, что это была за материнка, но она от Gigabyte. Там в BIOS можно выбрать тип загрузчика - EFI/non-EFI. Слака 13.37 не стартует ни с флешки, ни с DVD, оффтопХР тоже. Такие дела.

[Bizdelnick]

можно понять и так, что в ARM'ах не должна быть отключаема, а в x86 - то ли может, то ли должна

А как насчёт почитать оригинал мелкософтовских требований, а не верить всему, что пишут на опеннете?

[reg123]

На свежесобранный комп, недавно, ставил вин и лин. Всё встало без проблем, а вот перацкий лоудер для вин сказал что не может определить биоса. Оказалось что это UEFI. Пришлось перебрать несколько лоудеров. Короче полёт нормальный.

[alv]

А как насчёт почитать оригинал мелкософтовских требований

Вроде его и читал когда-то. Недопонял. Судя по распространяемым слухам, что бывают таки мамы с неотключаемым SB - недопонял не только я.
Можно судить также по тому, что волну по этому поводу гонят уже задолго до появления этих самых мам с ихней виндой 8-й. Причём гонят не какие-то звери-проприетарщики, а самые что ни на есть адепты опенсорса.
Потому и хочу услышать рассказ из первых рук, от того, кто такие платы в руках держал.
А не слушать, что говорят министры, и что говорят их враги.

[alv]

Там в BIOS можно выбрать тип загрузчика - EFI/non-EFI. Слака 13.37 не стартует ни с флешки, ни с DVD, оффтопХР тоже

Это дело не в Secure Boot, а в чём-то другом. Все мамы предпоследнего времени с EFI, что я видел, имели эту опцию. И появилась она задолго до начала разговоров (ещё только разговоров) про SB.
Судя по всему, она для того и предназначена: если система не стартует с EFI, отключаешь EFI.
Мне, кстати, ни разу не приходилось это делать.

[Bluetooth]

розничные материнки обычно не покупаются.
А если поккупаются - то это не люди, а ССЗБ.

Еще как покупаются. Давно в доску тупого админа не видели?
Ну и потом, проблемы не только с материнками огребаются, а еще и с готовыми системами, которые уже всеми подряд покупаются.

присоединяюсь к вопросу

Мне и самому интересно(поскольку-постольку :) ), но на данный момент знаю только один способ - гуглить по конкретной модели. И то, только если заявлена совместимость с win8 - в платах без него, я уверен, ни о каком secureboot неотключаемый речи и не идет :)
Ну а пройдет сколько-то времени, и появятся списки, куда уж без них. Проблема вся только в том, что списки будут неполные :)

[yars]

2alv
Так-то оно так, но включение-отключение EFI на той материнской плате не приносило никаких результатов. Может, я что-то упустил, но результат меня все равно не радует. Да и сейчас уже не получится разобраться, разве что я возьму такую же плату и поковыряю.

[serzh-z]

Где там у нас бывший полковник, который несколько лет назад палил из пушки народного гнева по воробьям OEM'ной винды?

Он же на форум подшипников давно сбежал.

А как насчёт почитать оригинал мелкософтовских требований, а не верить всему, что пишут на опеннете?

Достаточно вики почитать.