Secure boot

Due parole sul Secure Boot.

Il Secure Boot non è un modo per impedire che Linux possa essere installato sui comuni PC. Era stata detta la stessa cosa dei TPM con una campagna guidata da gente che non sa distinguere un boot da uno stivale.

Il Secure Boot è un’evoluzione del TPM. Con il TPM il controllo delle misurazioni viene fatto a posteriori e quindi è possibile effettuare attacchi conosciuti come quello della diabolica signora delle pulizie (nel settore si chiama così, non è uno scherzo). Per prevenirlo, in assenza di Secure Boot è necessario armarsi di chiavetta USB con tutti i disagi del caso.

Praticamente:

TPM : BitLocker = SecureBoot : Anti-Evil-Maid

Punto due: molti ignorano che il boot loader firmato di Windows può lanciare altri sistemi/boot loader. Nel caso di boot certificato però questi boot-loader paralleli non saranno però in grado di caricare Windows.

Come il TPM è stato scritto che “chissà se sarà disabilitabile, chissà se sarà resettabile”: ad oggi non conosco nessun sistema con TPM che abbia il TPM attivo. E anche se fosse forzatamente attivo deve essere necessariamente resettabile altrimenti così com’è non servirebbe ad un tubo (basterebbe modificare una voce del BIOS ed il sistema operativo non sarebbe più avviabile, cosa che non è vera).

Come il TPM chi se ne avvantaggerà saranno le aziende che gestiscono la proprietà dei PC assegnati ai propri dipendenti. L’unica differenza è che stavolta per avere il bollino della certificazione sarà necessario supportare (leggi: ben diverso da abilitare) il secure boot. Io penso che sia una scelta buona perché se oggi compro un laptop certificato potrei non essere in grado di attivare bitlocker come piace a me in quanto il TPM non ha mai fatto parte dei requirement di certificazione.

Ultima osservazione: ma non se ne è accorto nessuno che questa polemica sterile è partita dall’osservazione da qualcuno in Red Hat? Bastava sapere un po’ di più come funziona Windows per evitare di mettere al mondo un’altra sterile polemica.

-quack