Ніхто в Linux-співтоваристві не радий тому, як компанія Microsoft реалізувала механізм перевірки цифрового підпису коду Unified Extensible Firmware Interface (UEFI) Secure Boot в сертифікованих комп'ютерах під Windows 8. Однак, розробникам доводиться якось вирішувати цю проблему, щоб користувачі мали можливість поставити на такі комп'ютери дистрибутив Linux. Яким чином це найкраще зробити - це питання викликає бурхливі дискусії. Нарешті свою думку з цього приводу чітко висловив і Лінус Торвальдс.
Все почалося кілька днів тому, коли розробник Red Hat надіслав патч, який динамічно впроваджує в ядро Linux при завантаженні в Secure Boot бінарні ключі з підписом Microsoft. Конкретно, мова йде про бінарниках EFI PE [Extensible Firmware Interface Portable Executable], завірених цифровим підписом Microsoft, всередині яких міститься сертифікат X.509. Торвальдс сказав, що такий спосіб включення сертифіката X.509 в ядро неприйнятний. Він відповів у своєму стилі, використовуючи нецензурну лексику. Причина його реакції зрозуміла: в ядрі Linux є підтримка X.509, навіщо ж виробникам обладнання додатковий «посередник» у вигляді бінарники Microsoft для спрацьовування схеми UEFI Secure Boot.
Лінус Торвальдс сказав буквально наступне. «Якщо Red Hat хоче отсо # ать у Microsoft, то це * ваша * проблема. Це ніколи не трапиться з ядром, яке я підтримую. Вам, хлопці, здається нормальним мати справу з машиною для підпису, яка парсит PE бінарники, перевіряє підпис і підписує результат своїм власним ключем. Ви вже написали такий код, мать вашу, і прислали його для включення в ядро.
Чому * мене * це повинно хвилювати? Чому ядро має дбати про чиюсь дурість «ми підписуємо тільки бінарники PE»? Ми підтримуємо X.509, що є стандартом для підпису.
Робіть це на рівні користувача на довіреній машині. Немає ніяких виправдань для того, щоб робити це в ядрі ».
Пізніше Лінус Торвальдс підтвердив свій безкомпромісний підхід. В окремому листі до розробників він закликав їх перестати боятися і сформулював кілька принципів.
- Дистрибутив повинен підписувати тільки свої власні модулі та нічого більше. Цифрового підпису Microsoft тут не місце.
- Перед завантаженням стороннього модуля потрібно запитати дозволу у користувача, через текстову консоль.
- Можна використовувати випадково згенеровані ключі з повним відключенням перевірки UEFI, по можливості. Навіть випадково згенеровані ключі надійніше, ніж «центр довіри» в одній-єдиній компанії, яка видає ключі кожному, у кого є кредитна карта.
- Заохочувати користувачів до генерації своїх власних одноразових випадкових ключів.
На думку Торвальдса, вся система UEFI Secure Boot створена швидше для контролю, ніж для безпеки.
Поділися новиною з друзями: