Линук: Шта је безбедно подизање система?

На свом почетку рачунар покреће одређени програм за откривање и иницијализацију својих хардверских компоненти. Традиционално, ИБМ компатибилни рачунари користе Основни улазни излазни систем (БИОС). Супротно томе, Мац рачунари користе ОпенФирмваре, Андроид има само покретачки програм, а Распберри Пи покреће се од фирмвера који се налази у систему на чипу (СоЦ). Овај почетни корак укључује проверу хардвера, као и тражење доступних оперативних система на медијима за складиштење који су део рачунара попут тврдог диска, ЦДРОМ / ДВД-а или СД картице или су на њега повезани мрежом (мрежни систем датотека (НФС) , ПКСЕ покретање).

Стварни редослед претраживања зависи од БИОС поставки рачунара. На слици 2 приказана је листа доступних уређаја са којих се може покренути систем.

На крају се приказује листа доступних оперативних система са одређеним параметрима (назване „доступне опције покретања“) у менију из којег бирате жељени оперативни систем за покретање.

Од 2012. се користи Сецуре Боот. Овај чланак ће објаснити шта је то, која је намера иза тога и како то функционише. Даље, одговорићемо на питање да ли је безбедно покретање потребно за машине засноване само на Линуку и како Линук дистрибуције поступају у овом случају.

Шта је безбедно подизање система?

Сецуре Боот односи се на поверење. Општа идеја која стоји иза тога је покретање машине на безбедан начин како би се спречило да рачунар ради са малвером од самог почетка. Генерално, чист почетак са поузданим системом је приступ који треба снажно подржати.

Сигурно покретање је део Обједињеног проширивог интерфејса за фирмвер (УЕФИ) - централног интерфејса између фирмвера, појединачних компоненти рачунара и оперативног система [3]. Током периода од око пет година развили су га Интел и Мицрософт као замену за БИОС. У 2012. години, верзија 2.3.1 УЕФИ је представљен са Мицрософт Виндовс 8. Мицрософт је за произвођаче рачунара обавезно применио УЕФИ ако желе да добију Виндовс 8 сертификат за своје новоизграђене машине [15].

Али зашто се Сецуре Боот назива Сецуре Боот? Због чега је сигурна опција покретања? Сигурно покретање омогућава покретање само са претходно додељених покретачких програма и стога је намењено спречавању покретања малвера или других нежељених програма. Традиционални БИОС би покренуо било који софтвер. Чак би дозволио злонамерном софтверу, као што је рооткит, да замени ваш покретачки програм. Тада би рооткит могао да учита ваш оперативни систем и остане потпуно невидљив и неоткривен на вашем систему. Док код сигурног покретања системски софтвер прво проверава да ли је системски покретачки програм потписан криптографским кључем. Криптографски кључ је кључ који је одобрио база података садржана у фирмверу. Само ако је кључ препознат, систем ће моћи да се покрене. Такав ваљани потпис мора следити спецификацију Мицрософт УЕФИ тела за издавање сертификата (ЦА).

Различите перспективе

На први поглед ово звучи сасвим добро, али увијек постоје двије стране медаље. Као и обично, предности и недостаци коегзистирају. Рецензије у штампи или хвале или демонизују Сецуре Боот у зависности од тога ко пише рецензију.

Прво, имајте на уму да је власт над криптографским кључевима у рукама једног глобалног играча - Мицрософта. Давање снаге милионима машина једној компанији никада није добра идеја. На тај начин Мицрософт обезбеђује себи потпуну контролу над вашом машином. Једном одлуком Мицрософт је у стању да једним потезом блокира цело тржиште и забрани конкуренцију и вас као купца. Е.г. ако желите да инсталирате хардвер другог произвођача у каснијој фази, мораћете да осигурате да је кључ нове компоненте ускладиштен у систему базе података. Оставља вам ограничену флексибилност и изборе - посебно ако сте програмер.

Друго, не само да су ограничени ваши хардверски избори већ је и избор вашег оперативног система ограничен због УЕФИ технологије коју је увео Виндовс. То значи да отежава живот Линук заједници. Пре његове употребе на хардверу заснованом на УЕФИ, Линук покретачки програми попут ГРУБ-а прво треба да буду сертификовани и због тога успорава прилично брз развој јер је Опен Соурце заједница позната. Нико не зна шта се дешава ако централни валидатор погреши током валидације или блокира издавање ажурираног софтвера.

Треће, шта данас значи термин малвер данас и сутра? Да ли укључује оперативне системе конкурената [5] или су искључени? Процес потврде тече иза завеса и нико то не може доказати.

Четврто, постоје резерве у погледу безбедности. Према тренутном развоју догађаја, дужина криптографских кључева је релативно кратка. Сигурно покретање омогућава само Кс509 сертификате и РСА кључеве фиксне дужине од 2048 бита [16]. У блиској будућности, коришћењем масовне паралелизације и даљих рачунарских снага заснованих на виртуелизацији, очекује се да ће овај ниво безбедности бити сломљен. Данас се препоручују криптографски кључеви дужине 4096 битова.

Пето, изгледа као да је софтвер који нуди велики добављач и који је цертифициран сигуран и без грешака. Као што историја показује да сви знамо да то није истина, софтвер увек садржи грешке. Сертификација вас само уљуљкује у лажни осећај сигурности.

Решења за отворени извор

Али тамо где постоји проблем, постоји и решење. Мицрософт великодушно нуди прилику дистрибутерима Линука да приступе свом порталу Мицрософт Сисдев како би потписали своје покретачке програме [17]. Ова услуга ипак долази са ценом.

Линук дистрибуције имају само „схим“ [11] потписан на Мицрософтовом порталу. Схим је мали покретачки програм који покреће главни дистрибутивни систем ГРУБ за покретање Линук дистрибуција. Мицрософт само проверава потписани подметач и након тога се ваша Линук дистрибуција нормално покреће. Ово помаже у одржавању система Линук као и обично.

Као што се извештава из различитих извора, (У) ЕФИ добро функционише са Федора / РедХат, Убунту, Арцх Линук и Линук Минт. За Дебиан ГНУ / Линук не постоји званична подршка у вези са сигурним подизањем система [9]. У сваком случају, постоји занимљив пост на блогу о томе како то поставити [18], као и опис у Дебиан Вики [14].

Алтернативе УЕФИ

УЕФИ није једини наследник ПЦ БИОС-а - постоје алтернативе. Можда ћете детаљније погледати ОпенБИОС [4], либребоот [7], Опен Фирмваре [8,9] и цоребоот [10]. У овом чланку их нисмо тестирали, али корисно је знати да постоје алтернативне примене и да раде несметано.

Закључак

Као што је раније поменуто, кључно питање је поверење. Што се тиче рачунара, запитајте се у које делове система верујете - хардверске компоненте (фирмваре, чипови, ТПМ) и / или софтверске компоненте (покретачки програм, оперативни систем, софтвер који се користи). Не можете отклонити грешке у целом систему. Можда ће вам бити корисно знати да ваш оперативни систем не ради против ваших интереса и да ћете ствари за које сте купили систем обавити на сигуран начин, а да вас монополист не контролише.

Везе и референце

• [1] Кристиан Киßлинг: Дебиан 9 Стретцх охне Сецуре Боот, Линук-Магазин
• [2] УЕФИ Нацхбеарбеитунг
• [3] ЕФИ и Линук: будућност је овде и ужасна - Маттхев Гарретт
• [4] ОпенБИОС, хттпс: // опенбиос.инфо / Велцоме_то_ОпенБИОС
• [5] Хендрик Сцхвартке, Ралф Спеннеберг: Еинлаßконтролле. УЕФИ-Сецуре-Боот и алтернативни Бетриебссистеме, АДМИН-Магзин 03/2014
• [6] Боотворганг је Аппле Мац
• [7] Либребоот, хттпс: // либребоот.орг /
• [8] Отворени фирмвер (Википедиа)
• [9] Отворите фирмвер, хттпс: // гитхуб.цом / опенбиос
• [10] Цоребоот, хттпс: // ввв.цоребоот.орг / Велцоме_то_цоребоот
• [11] СХИМ (Гитхуб), хттпс: // гитхуб.цом / рхбоот / схим
• [12] Тхорстен Леемхуис: УЕФИ Сецуре Боот и Линук, честа питања
• [13] Бом Цромвелл: Како се Линук покреће? 3. део: УЕФИ да се усмери на следећу карику у ланцу
• [14] СецуреБоот на Дебиану, хттпс: // вики.дебиан.орг / СецуреБоот
• [15] Цхрис Хоффман: Како безбедно покретање ради на Виндовс 8 и 10 и шта то значи за Линук
• [16] Јамес Боттомлеи: Значење свих УЕФИ кључева
• [17] Мицрософт Хардваре Девелопер Центер, УЕФИ Фирмваре Сигнинг
• [18] Сигурно покретање помоћу Дебиан тестирања

Захвалнице

Франк Хофманн и Манди Неумеиер су коаутори чланка.  Аутори би желели да се захвале Јустину Келлију на помоћи и критичким коментарима током писања овог чланка.