Linux
Foundation releases blueprint for UEFI Secure Boot
28 October 2011, 14:48
Bài được đưa lên
Internet ngày: 28/10/2011
Lời
người dịch: Chức năng khởi động an ninh UEFI dự kiến
sẽ có trong hệ điều hành Windows 8 từng là một chủ đề
gây tranh cãi khi nhiều người cho rằng nó sẽ khóa không
cho các hệ điều hành khác, như GNU/Linux, khởi động
trên cùng một máy tính có Windows 8. Quỹ Linux vừa đưa
ra tài liệu phân tích kỹ thuật, trong đó đề nghị các
nhà sản xuất thiết bị gốc OEM sử dụng một thiết kế
cách triển khai UEFI sao cho người sử dụng có khả năng
cài đặt từng hệ điều hành mà họ muốn sử dụng mà
không gây ảnh hưởng và loại bỏ hệ điều hành kia,
một khi họ muốn chuyển sang.
Để giải quyết các
lo lắng về khả năng Microsoft sử dụng chức năng khởi
động an ninh UEFI để khóa loại trừ Linux và các hệ
điều hành nguồn mở khác, Quỹ Linux đã xuất bản một
báo cáo xem xét UEFI và đưa ra cho các nhà sản xuất thiết
bị gốc OEM một thiết kế về cách triển khai UEFI. Làm
cho khởi động an ninh UEFI làm việc được với các nền
tảng mở - của James Bottomley, Chủ tịch hội đồng cố
vấn kỹ thuật của Quỹ và CTO của Parallels, và Jonathan
Corbet, thành viên bản lãnh đạo và biên tập viên của
LWN.net - tài liệu khai thác chức năng của đặc tả kỹ
thuật UEFI 2169 trang “dày đặc các bit” và kết luận
rằng mặc dù Khởi động An ninh là một cơ chế hữu
dụng, thì công việc sẽ cần phải được thực hiện
với các OEM để đảm bảo rằng các khách hàng có thể
cài đặt được các khóa của riêng họ. Một kết luận
tương tự đạt được trong một tài liệu đồng tác giả
của Bottomley, Lập trình viên của Red Hat Matthew Garrett và
Kiến trúc sư Kỹ thuật của Canonical Jeremy Kerr: “Ảnh
hưởng của Khởi động An ninh lên Linux”.
Tháng trước khi
Matthew Garrett đã dấy lên vấn đề này thì nó đã sợ
rằng những yêu cầu của Microsoft cho Windows 8 có thể
thấy các OEM xuất các phần nhão chỉ với khóa nền tảng
PK (Platform Key) của Microsoft được cài đặt và điều đó
chỉ có thể có khả năng khởi động an ninh cho Windows 8.
Microsoft đã trả lời đối với những quan ngại này và
nói rằng họ không có ý định khóa loại trừ bất kỳ
hệ điều hành nào khác, nhưng đã chỉ ra rằng, muốn
hay không, thì điều này sẽ có tác động tới các kế
hoạch hiện hành của họ. Quỹ Phần mềm Tự do sau đó
đã đưa ra một lời kêu gọi các OEM triển khai một
phiên bản mở và công bằng của Khởi động An ninh UEFI,
nhưng đã không đưa ra bất kỳ gợi ý nào về cách mà
điều đó có thể đạt được.
Tài liệu của Quỹ
Linux gọi các kế hoạch của Microsoft là “tính tới
khuyến cáo UEFI rằng người chủ nền tảng sẽ là người
kiểm soát PK” và nói rằng đây là “một sự lựa chọn
hợp pháp đối với một người sử dụng được thông
báo để thực hiện một cách tự nguyện”. Cả 2 tài
liệu đều gợi ý rằng tất cả các nền tảng mà cho
phép Khởi động An ninh nên xuất ra ở “chế độ cài
đặt” mà có thể trao cho người chủ hệ thống sự
kiểm soát hệ thống Khởi động An ninh đó. Khởi động
ban đầu của một hệ điều hành nên sau đó dò tìm ra
chế độ cài đặt và cài đặt một khóa trao đổi khóa
KEK (key - exchange - key) và PK để cho phép Khởi động An
ninh. Hệ thống này có thể sau đó khởi động một cách
an ninh hệ điều hành đó. Khi một người sử dụng cần
kiểm soát khởi động an ninh hệ thống của họ, thì một
lựa chọn “thiết lập lại” cho các khóa UEFI có thể
cho phép những khóa đó được xóa và một hệ điều
hành khác được cài đặt. Windows 8 của Microsoft có thể
cũng được cài đặt sẵn theo cách y hệt: sự thiết lập
lại UEFI có thể sau đó mở khóa cho máy cho các hệ điều
hành khác.
Tài liệu của Quỹ
Linux cũng khai thác nhiều khả năng phức tạp hơn nữa
của việc tạo ra một mô hình tin cậy cho UEFI, hỗ trợ
cho chế độ khởi động kép và cách mà việc khởi động
có thể được thực hiện từ phương tiện bên ngoài.
Triển khai các khuyến cáo đầy đủ có thể cần sự
cộng tác rộng rãi của nền công nghiệp, một vấn đề
nằm ngoài phạm vi của tài liệu kỹ thuật. Tài liệu
của Canonical/Red Hat đề nghị các OEM cho phép nói chung
Khởi động An ninh được vô hiệu hóa, nhưng chỉ thông
qua sự truy cập vật lý tới hệ thống, và đi tiếp
trong những triển khai UEFI của họ để cũng bổ sung được
một cơ chế tiêu chuẩn hóa cho việc thiết lập cấu
hình các khóa trong phần dẻo.
To
address worries about the possibility of Microsoft using UEFI's
Secure Boot functionality to lock out Linux and other open source
operating systems, the Linux
Foundation has published a report which examines UEFI and offers
OEMs a blueprint on how to implement UEFI. In Making
UEFI Secure Boot Work With Open Platforms – by James Bottomley,
Foundation Technical Advisory Board Chair and CTO of Parallels, and
Jonathan Corbet, board member and editor of LWN.net – the paper
explores the functionality of the "bit dense" 2169 page
UEFI specification and concludes that although Secure Boot is a
useful mechanism, work will need to be done with OEMs to ensure that
customers can install their own keys. A similar conclusion is reached
in a paper co-authored by Bottomley, Red Hat Developer Matthew
Garrett and Canonical Technical Architect Jeremy Kerr: "Secure
Boot Impact on Linux".
Last
month when Matthew Garrett raised the issue it was feared that
Microsoft's requirements for Windows 8 would see OEMs shipping
firmware which only had Microsoft's platform key (PK) installed and
which would only be able to securely boot Windows 8. Microsoft
responded
to the concerns saying they weren't attempting to lock out any other
operating systems, but it was pointed out that, intentional or not,
this would be the effect of their current plans. The Free Software
Foundation then launched
a call for OEMs to implement an open and fair version of UEFI Secure
Boot, but did not offer any technical suggestions on how that would
be achieved.
The
Linux Foundation paper calls Microsoft's
plans "counter to the UEFI recommendation that the platform
owner be the PK controller" and says that it is "a
legitimate choice for an informed user to make voluntarily".
Both papers suggest that all platforms which enable Secure Boot
should ship in "setup mode" which would give the system
owner control of the Secure Boot system. Initial startup of an
operating system should then detect that setup mode and install a KEK
(key-exchange-key) and PK to enable Secure Boot. The system would
then securely boot that operating system. When a user needed to take
control of their system's secure boot, a "reset" option for
UEFI's keys would allow those keys to be cleared and a different
operating system installed. Microsoft's Windows 8 could also be
pre-installed in the same way; the UEFI reset would then unlock the
machine for other operating systems.
The
Linux Foundation paper also explores the more complex possibilities
of creating a trust model for UEFI, support for dual booting and how
booting could be done from external media. Implementation of the full
recommendations would need industry-wide cooperation, an issue beyond
the scope of a technical paper. The Canonical/Red Hat paper asks for
OEMs to generally allow Secure Boot to be disabled, but only through
physical access to the system, and go further in their UEFI
implementations to also add a standardised mechanism for configuring
keys in firmware.
(djwm)
Dịch tài liệu: Lê
Trung Nghĩa
Không có nhận xét nào:
Đăng nhận xét
Lưu ý: Chỉ thành viên của blog này mới được đăng nhận xét.