Fedora skal signeres av Microsoft

Fedora 18 vil støtte UEFIs Secure Boot-funksjon ved å bruke Microsofts sysdev-signeringstjeneste for å signere sin opprinnelige startlaster.

Planen og begrunnelsen bak Fedoras neste utgivelse, ble detaljert beskrevet i et blogginnlegg av Red Hat's Matthew Garrett. Garrett har gitt en løpende dialog om problemene som Fedora og Red Hat står overfor, for å operere med den kommende maskinvaren UEFI Secure Boot-aktivert.

Garret sa at fremtidige utgivelser av Fedora vil ha en bootloader som er signert ved hjelp av Microsofts signeringsnøkkel, fordi det er veldig stor sannsynlighet for at Microsofts nøkkel vil være samlet vil all maskinvare, for å være Secure Boot-kompatibel. Siden dette alternativet er tilgjengelig for all Linux-distribusjon, forhindrer det at Fedora er i en bedre posisjon enn mindre distribusjoner, på grunn av sin støtte og mindshare.

Den signerte bootloader vil ikke gjøre noe mer enn å laste inn en versjon av Grand Unified Bootloader (GRUB), standard Linux bootloader, som er signert med en Fedora signeringsnøkkel. Denne versjonen av GRUB blir forhindret i å laste inn og kjøre vilkårlig kode ved modulkjøring, to funksjoner som for tiden er ubegrenset.

I etterkant av dette vil Fedora-kjernen nå også bli signert og ha sin kommandolinje sanert, for å unngå funksjonalitet som gjør at et angrep kan føre til at en signert kjerne lanserer vilkårlig kode.

Fedora vil signere alle modulene og driverne som det sendes, og begrense tilgangen til PCI, noe som vil bety at grafikkort vil trenge kjernedrivere; også brukermodusinnstilling vil bli fjernet.

"Sikker oppstart bygger på ideen om at all kode som kan berøre maskinvaren direkte, er klarert, og enhver ikke-klarert kode må gå gjennom den pålitelige koden. Dette kan omgås hvis brukere kan utføre vilkårlig kode i kjernen. Så vi ' Jeg går over til å kreve signerte kjernemoduler og låse visse aspekter av kjernefunksjonaliteten. " skrev Garrett.

"Hvis vi produserer signert kode som kan brukes til å angripe andre operativsystemer, er de andre operativsystemene berettiget i å svarteliste oss. Det virker ikke som et godt resultat."

Brukere kan fjerne disse begrensningene ved å deaktivere Secure Boot.

Før Fedora kom til denne beslutningen, undersøkte Fedora muligheten for å opprette en Fedora-nøkkel og la leverandører inkludere den nøkkelen i maskinvaren, og ble avvist av to grunner; det ville ikke være mulig å få nøkkelen inn i hver leverandørs maskinvare, og at det ville ha satt Fedora i en privilegert posisjon.

"Som en av de større distribusjonene har vi større mulighet til å snakke med maskinvareprodusenter enn de fleste distribusjoner gjør. Systemer med Fedora-nøkkel vil starte Fedora fint, men vil de starte opp Mandriva? Arch? Mint? Mepis? Vedta en distribusjonsspesifikk nøkkel og å oppfordre maskinvareselskaper til å ta i bruk det, ville vært fiendtlig overfor andre distribusjoner. Vi vil konkurrere på meritt, ikke fordi vi har bedre koblinger til OEM-er, "sa Garrett.

Et annet alternativ var å lage en generisk signeringsnøkkel for Linux, men dette ble sett på som uoverkommelig dyrt å vedlikeholde, og ingen organisasjoner gikk frem for å håndtere den.

Garrett hadde store problemer med å understreke at selv om han er Red Hat-ansatt, er dette bare planene for Fedora, ikke Red Hat.

Fedora har ingen planer om å støtte ARM-enheter som kjører Windows 8 som har ekstra spesifikasjoner, for eksempel manglende evne til å deaktivere Secure Boot, eller la brukeren administrere sine egne nøkler.

© Copyright 2021 | pepebotifarra.com