Secure boot

Due parole sul Secure Bootsecureboot.

Il Secure Boot non è un modo per impedire che Linux possa essere installato sui comuni PC. Era stata detta la stessa cosa dei TPM con una campagna guidata da gente che non sa distinguere un boot da uno stivale.

Il Secure Boot è un’evoluzione del TPM. Con il TPM il controllo delle misurazioni viene fatto a posteriori e quindi è possibile effettuare attacchi conosciuti come quello della diabolica signora delle pulizie (nel settore si chiama così, non è uno scherzo). Per prevenirlo, in assenza di Secure Boot è necessario armarsi di chiavetta USB con tutti i disagi del caso.

Praticamente:

TPM : BitLocker = SecureBoot : Anti-Evil-Maid

Punto due: molti ignorano che il boot loader firmato di Windows può lanciare altri sistemi/boot loader. Nel caso di boot certificato però questi boot-loader paralleli non saranno però in grado di caricare Windows.

Come il TPM è stato scritto che “chissà se sarà disabilitabile, chissà se sarà resettabile”: ad oggi non conosco nessun sistema con TPM che abbia il TPM attivo. E anche se fosse forzatamente attivo deve essere necessariamente resettabile altrimenti così com’è non servirebbe ad un tubo (basterebbe modificare una voce del BIOS ed il sistema operativo non sarebbe più avviabile, cosa che non è vera).

Come il TPM chi se ne avvantaggerà saranno le aziende che gestiscono la proprietà dei PC assegnati ai propri dipendenti. L’unica differenza è che stavolta per avere il bollino della certificazione sarà necessario supportare (leggi: ben diverso da abilitare) il secure boot. Io penso che sia una scelta buona perché se oggi compro un laptop certificato potrei non essere in grado di attivare bitlocker come piace a me in quanto il TPM non ha mai fatto parte dei requirement di certificazione.

Ultima osservazione: ma non se ne è accorto nessuno che questa polemica sterile è partita dall’osservazione da qualcuno in Red Hat? Bastava sapere un po’ di più come funziona Windows per evitare di mettere al mondo un’altra sterile polemica.

-quack

Potrebbero interessarti anche:
Commenti (38): [ Pagina 1 di 2  - più vecchi ]
9. Gabriele
lunedì 10 ottobre 2011 alle 12:33 AM - firefox 7.0.1 Linux
   

E un bel RTFM non ce lo mettiamo?

Infatti da me tanti soldini per il supporto non li ha mai presi nessuno...

   
10. il nonno
lunedì 10 ottobre 2011 alle 2:02 AM - IE 9.0 Windows 7
   

Comunque spero anche io che nessun oem limiti le mie libertà

Di solito quelli che si riempiono tanto la bocca con il termine liberta' sono i primi a non volerla concedere agli altri... tipo la liberta' di un OEM di non dover star dietro a quattro esagitati starnazzanti.

   
11. Gabriele
lunedì 10 ottobre 2011 alle 2:28 AM - chrome 15.0.865.0 Ubuntu 11.04
   

@il nonno:

Di solito quelli che si riempiono tanto la bocca con il termine liberta' sono i primi a non volerla concedere agli altri... tipo la liberta' di un OEM di non dover star dietro a quattro esagitati starnazzanti.

Esagitati addirittura ... e cattocomunisti anarcoinsurrezionalisti no?

Lol è bello come la tiri sempre in caciara quando sei a corto di argomenti sensati.

   
12. il nonno
lunedì 10 ottobre 2011 alle 8:31 AM - IE 9.0 Windows 7
   

è bello come la tiri sempre in caciara quando sei a corto di argomenti sensati

E che senso avrebbe rispondere alle tue argomentazioni "religiose"? Sei un fanatico, fattene una ragione.

   
13. Gabriele
lunedì 10 ottobre 2011 alle 5:42 PM - chrome 16.0.899.0 Linux
   

@il nonno:

E che senso avrebbe rispondere alle tue argomentazioni "religiose"? Sei un fanatico, fattene una ragione.

Fanatico è chi offende senza portare argomenti.

Non chi ha idee diverse dalle tue.

Dai quando sarai in grado di sostenere una conversazione senza offendere l'interlocutore potrai dare lezioni di fanatismo. Prima di allora no.

   
14. il nonno
lunedì 10 ottobre 2011 alle 6:20 PM - IE 9.0 Windows 7
   

Fanatico è chi offende senza portare argomenti.

Non sai neppure l'italiano.

 

   
15. Gabriele
lunedì 10 ottobre 2011 alle 8:58 PM - firefox 8.0 Linux
   

Nonno sei uno spasso, stai facendo ridere tutti!

www.dizionario-italiano.org/Portare

Leggi bene, poi vedi te se non sia il caso per te di ritornare in topic ...

   
16. il nonno
lunedì 10 ottobre 2011 alle 10:45 PM - IE 9.0 Windows 7
   

stai facendo ridere tutti

e sei pure delusional... le hai proprio tutte! 

   
17. Blackstorm
mercoledì 12 ottobre 2011 alle 8:47 PM - firefox 7.0.1 Windows 7
   

@Gabriele: non capisco esattamente cosa stai dicendo. Supportare nell'ambito del discorso attuale significa dare la possibilità di installare altri boot loader o os. Se tu la vuoi interpretare come un servizio telefonico, allora sei fazioso. Ciò detto, non capisco la tua obiezione: nel momento in cui una piattaforma di secure boot supporta boot loader che permettono di caricare altri os, quale è il problema? In che modo tu non sei libero di installarli?

 

PS: absit iniura verbis, ma: http://www.dizionario-italiano.org/Fanatismo

 

   
18. bondocks
sabato 14 gennaio 2012 alle 11:06 AM - IE 9.0 Windows 7
   
   
19. Paperino
domenica 15 gennaio 2012 alle 6:30 PM - chrome 16.0.912.75 Windows 7
   

quello che va bene per Android e iOS deve essere in qualche modo proibito se il prodotto si chiama Windows.

Sono sorpreso che ci sia gente che abbia il tempo per scriverle certe cazzate.

   
20. Gabriele
lunedì 16 gennaio 2012 alle 7:02 PM - firefox 9.0.1 Linux
   

quello che va bene per Android e iOS deve essere in qualche modo proibito se il prodotto si chiama Windows.

Cosa ti impedisce di installare una ROM custom su Android?

Non mi pare che Google imponga, se vuoi avere Android, di non sbloccare il boot.

Non sono sicuro di quello che dice l'articolo e se sia vero (e non ho il tempo di verificare), ma il paragone con Android non calza.

Su Apple sono d'accordo con te

   
21. Paperino
lunedì 16 gennaio 2012 alle 7:21 PM - chrome 16.0.912.75 Windows 8
   

Non mi pare che Google imponga, se vuoi avere Android, di non sbloccare il boot.

Ma questo solo perche' la definizione di Android oggi e' molto sfuggente. Per esempio se vuoi accedere all'AppStore ufficiale il boot deve essere bloccato.

Apple: ma perche' una caciara simile non e' stata sollevata?

   
22. floo
lunedì 16 gennaio 2012 alle 8:18 PM - chrome 16.0.912.75 OS X 10.7.2
   

Credo che per Apple sia stato considerato il fatto che essa fa sia lo smartphone che il sistema operativo, dunque l'aficionado di Linux non andrà mai a legarsi con una azienda che fa entrambe le cose e dunque ha il pieno controllo. Peraltro, il secure boot di Apple non dev'essere tra i più efficaci, almeno tra i device meno recenti, dato che è possibile far girare Android con un bel po' di smanettamenti.

Microsoft, invece, ha fatto notizia perché nelle linee guida ha espressamente dichiarato che il Secure Boot su ARM non può essere disabilitato. Di fatto, è come se un politico dichiarasse nel programma elettorale di voler fare una tassa quando salirà al potere: presta il fianco a stampa e avversari. Microsoft dal punto di vista mediatico se l'è cercata: era meglio che la condizione del Secure Boot abilitato obbligatoriamente su ARM fosse solo nei fatti e lasciata passare come una scelta degli OEM, non scritta e imposta esplicitamente come hanno fatto. Dal punto di vista tecnico, invece, se altrove magari pensassero a darsi da fare nel rendere le distro compatibili col Secure Boot invece di lamentarsi della sua presenza, la cui utilità in termini di sicurezza è stata riconosciuta anche all'interno della stessa comunità Linux, il problema non si porrebbe. Hanno stimato che con una settimana o poco più di lavoro una distro Linux di quelle più famose, dunque con un buon team dietro, può essere resa perfettamente compatibile col Secure Boot.

   
23. AntonioErre
lunedì 16 gennaio 2012 alle 11:24 PM - IE 9.0 Windows 7
   

Mi sembra che il mondo IT dia completamente i numeri già da diverso tempo. Non si può installare Linux su un tablet? E chissene!
Tanto i linari diranno peste e corna comunque di tutto ciò che è closed source, che Microsoft è un colabrodo, che qui che la, quindi non vedo perché perdere tempo a preoccuparsi di queste balle...

   
24. Gabriele
martedì 17 gennaio 2012 alle 12:26 PM - chrome 18.0.1003.1 Linux
   

@Paperino

Per esempio se vuoi accedere all'AppStore ufficiale il boot deve essere bloccato.

Non mi risulta che se hai Cyanogen ad esempio tu non possa accedere al Market. Fonti?

Apple: ma perche' una caciara simile non e' stata sollevata?

Le persone coerenti lo hanno fatto.
http://www.fsf.org/news/ibad_launch

Prenditela con i media. 

@floo

Dal punto di vista tecnico, invece, se altrove magari pensassero a darsi da fare nel rendere le distro compatibili col Secure Boot invece di lamentarsi della sua presenza, la cui utilità in termini di sicurezza è stata riconosciuta anche all'interno della stessa comunità Linux, il problema non si porrebbe.

Sì e poi come fai a installarla se non hai la chiave principale?

@AntonioErre

 Non si può installare Linux su un tablet? E chissene!

Giustissimo. Se non interessa a te non interessa nessuno.

Tanto i linari diranno peste e corna comunque di tutto ciò che è closed source, che Microsoft è un colabrodo, che qui che la, quindi non vedo perché perdere tempo a preoccuparsi di queste balle...

Mi pare un argomentazione debolina. Anche perché nessuno qui ha contestato il closed source (che ovviamente non c'entra nulla con il trusted boot ma forse è il caso di dirlo per chi non ha capito...), nè contro MS in quanto tale.

Scendi nel merito se hai argomentazioni valide.

   
25. Gabriele
martedì 17 gennaio 2012 alle 12:29 PM - chrome 18.0.1003.1 Linux
   

@Paperino

Ma questo solo perche' la definizione di Android oggi e' molto sfuggente.

Hmm o forse perché il codice sorgente è disponibile con licenza aperta?

   
26. floo
martedì 17 gennaio 2012 alle 12:34 PM - chrome 16.0.912.75 OS X 10.7.2
   

@Gabriele:

Se riescono a rootare i dispositivi Android col bootloader bloccato, figuriamoci se non ci riusciranno con quelli per Windows 8. La chiave privata diventa pubblica in un mese di reverse engineering e hacking. Sottovaluti troppo le capacità che ci sono nelle community come XDA.

   
27. il nonno
martedì 17 gennaio 2012 alle 3:20 PM - IE 9.0 Windows 7
   

io trovo scandaloso che sul Google Nexus non posso installare Amiga OS... e'  una vergogna...

   
28. Dovellonslky
martedì 17 gennaio 2012 alle 5:32 PM - chrome 16.0.912.75 Windows XP
   

Si ricomincia

   
29. il nonno
martedì 17 gennaio 2012 alle 5:57 PM - IE 9.0 Windows 7
   

sempre le solite comiche... a quando le lamentele che sui TV Samsung non si puo' installare il firmware Sony?

o che sulla lavatrice Bosh non posso metterci il software della Miele?

ma il senso del ridicolo certa gente non ce l'ha proprio?

i tablet sono elettrodomestici, chi li produce ci mette quello che vuole, che qualcuno abbia pure da ridire e' parossistico, se uno vuole metterci Android che se lo comperi con Android no?

davvero certa gente ha i neuroni in cortocircuito...

   
30. Daniele
martedì 17 gennaio 2012 alle 6:04 PM - firefox 9.0 Windows 7
   

E ovviamente tomshw fa da grancassa

   
31. Paperino
martedì 17 gennaio 2012 alle 6:38 PM - chrome 16.0.912.75 Windows 8
   

Non mi risulta che se hai Cyanogen ad esempio tu non possa accedere al Market. 

Yes, qualcosa del genere. Perche' installare una build parallela darebbe la possibilita' di piratare grazie all'accesso incondizionato al file system (o magari questo livello di pirateria e' ufficialmente tollerabile su Android).

Prenditela con i media. 

Non parlavo delle campagne della FSF, quelle scusa la sincerita' dopo la debacle di Vista non se le ca*a piu' nessuno. Parlavo del fatto che tutto e' partito da una denuncia di Red Hat. Sulla rete ci si chiede perche', invece di questo can-can, Red Hat non stia pubblicamente lavorando con gli OEM per il supporto di TrustedGrub. Risposta: fare FUD e' facile e gratuito, lavorare con gli OEM richiede $$$, energia e tempo per supportare qualcosa che nello specifico non interessa a nessuno. Come fanno notare i pragmatici, non e' che oggi sia difficile comprare un tablet con Android.

 

   
32. Paperino
martedì 17 gennaio 2012 alle 6:40 PM - chrome 16.0.912.75 Windows 8
   

Hmm o forse perché il codice sorgente è disponibile con licenza aperta?

No, come faceva notare qualcuno Android e' piu' qualcosa come "Android compatibile" data anche la grandissima frammentazione. Comprare due diversi dispositivi Android puo' portare ad esperienze completamente diverse.

   
33. Gabriele
mercoledì 18 gennaio 2012 alle 10:24 AM - chrome 18.0.1003.1 Linux
   

@Paperino

Sulla rete ci si chiede perche', invece di questo can-can, Red Hat non stia pubblicamente lavorando con gli OEM per il supporto di TrustedGrub.

Qualche risposta qui.

http://mjg59.dreamwidth.org/9844.html

   
34. Paperino
mercoledì 18 gennaio 2012 alle 5:33 PM - chrome 16.0.912.75 Windows 7
   

Gabriele, il link che proponi è catastrofista. Mi son perso qualche passaggio o sono io che non vedo la relazione tra quello che sta succedendo e questo:

Hobbyist Linux distributions will be a thing of the past.

Cioe' il destino delle distro hobbistiche e' legato a Windows su ARM che oggi ancora non esiste? Si da per scontato che x86 scomparira' insieme ad Android e che gli unici dispositivi acquistabili saranno solo dispositivi Windows?

Ma va la', va la', va la'

   
35. floo
mercoledì 18 gennaio 2012 alle 5:39 PM - chrome 16.0.912.75 OS X 10.7.2
   

Direi che le distro Linux hobbistiche se lo segnano da sole, senza l'aiuto di Microsoft. Pochi elementi dietro, spesso uno solo, alla fine l'autore si chiede che lo fa a fare e piuttosto si personalizza Ubuntu o Fedora per le sue esigenze. Una distro chiede tanta cura e tanto tempo che alla fine il Secure Boot non è il loro nemico, quanto proprio il valore di tutti gli sforzi.

Se stessimo ad ascoltare i soliti complottisti, oggi dovremmo essere a usare Windows XP con IE6, ad avere la gigantografia di Gates e Ballmer come sfondo perché obbligatorio e se mettessimo un qualsiasi file audio che non sia stato acquistato e non sia WMA arriverebbero i servizi segreti ad arrestarci.

   
36. il nonno
mercoledì 18 gennaio 2012 alle 7:13 PM - IE 9.0 Windows 7
   

Cioe' il destino delle distro hobbistiche e' legato a Windows su ARM che oggi ancora non esiste?

che scarsa immaginazione che hai Paperino, per essere un personaggio dei fumetti dovresti saper fare di meglio!

grazie a Gabriele per foraggiare il blog con materiale di assoluta eccellenza... comica!

   
37. il nonno
mercoledì 18 gennaio 2012 alle 7:16 PM - IE 9.0 Windows 7
   

arstechnica.com/.../windows-8s-locked-bootloade...

The iPad is not unique in this regard, either; the ill-fated BlackBerry PlayBook shipped with a locked bootloader. So did most Samsung Galaxy Tab 10.1s. Asus' Eee Pad Transformer Prime also has a locked bootloader, though Asus says it will relent and provide a tool to unlock the bootloader soon. Barnes and Noble's NOOK Tablet is also locked.

ops!

   
38. Snake
mercoledì 18 gennaio 2012 alle 8:41 PM - IE 9.0 Windows 7
   

@il nonno:

arstechnica.com/.../windows-8s-locked-bootloade...

[inserisci qui la tua replica]

The iPad is not unique in this regard, either; the ill-fated BlackBerry PlayBook shipped with a locked bootloader. So did most Samsung Galaxy Tab 10.1s. Asus' Eee Pad Transformer Prime also has a locked bootloader, though Asus says it will relent and provide a tool to unlock the bootloader soon. Barnes and Noble's NOOK Tablet is also locked.

Il top lo ha raggiunto Motorola con l'eFuse nei Droid X, chip che praticamente "brickava" il device fino al ripristino del firmware originale.

Chip che fortunatamente nel caso di Motorola faceva solo un brick software, dato che eFuse può operare, come il nome suggerisce, anche da "fusibile" hardware triggerabile su richiesta (se tale modalità viene prevista in fase progettuale), cosa che rende il dispositivo inutilizzabile (salvo inviarlo in assistenza).

 

   
[ Pagina 1 di 2  - più vecchi ]
Lascia un commento:
Commento: (clicca su questo link per gli smiley supportati; regole di ingaggio per i commenti)
(opzionale, per il Gravatar)