Red Hat и Canonical опубликовали рекомендации по реализации режима безопасной загрузки в UEFI
28 октября 2011 года
Компании Red Hat и Canonical совместно подготовили документ (PDF) с рекомендациями для производителей оборудования, в котором подробно описали особенности технологии безопасной загрузки в UEFI и обозначили возможные проблемы, которые могут затруднить использование альтернативных операционных систем на новых платформах. В документе представлено несколько рекомендаций, которые помогут обеспечить производителям совместимость с установкой Linux-дистрибутивов, без нарушения требований сертификации совместимости с Windows 8, которая требует обязательного включения по умолчанию данного режима, но не настаивает на возможности его отключения.
Из возможностей, которые Red Hat и Canonical предлагают реализовать производителям оборудования называется реализация опции, предоставляющей пользователю выбор включать или нет режим безопасной загрузки. Отдельно отмечается, что такая опция должна быть легкодоступна и проста в использовании, чтобы ей мог воспользоваться любой непосвящённый пользователь. Также должны быть сведены на нет все усложнения с организацией загрузки с внешних накопителей, таких как USB Flash или CD/DVD.
Для обеспечения работы сторонних ОС одновременно с Windows 8 предлагается добавить поддержку переконфигурирования и добавления своих ключей в прошивку, т.е. возможность использования не только ключей Microsoft и OEM-производителей, но и собственных ключей, поставляемых со сторонними ОС или сгенерированными пользователем. При этом механизм управления ключами должны быть стандартизирован, един для всех платформ и предоставлять простой метод загрузки собственных систем, включая загрузку с внешних накопителей. При подключении внешнего накопителя предлагается автоматически проверять наличие на нём соответствующих ключей и выводить предложение по их установке, или предусмотреть специальный режим настройки, позволяющий управлять установленными ключами.
Также должны быть разработаны средства для автоматизации установки ключей на большое число машин, что важно для организаций, поддерживающих большой парк рабочих станций. Предлагается изначально поставлять компьютеры в "режиме настройки", при котором установка начальных ключей и определение политики использования режима безопасной загрузки ложится на плечи операционной системы или пользователя. Ключи для предустановленной ОС предлагается не жёстко прошивать, а устанавливать на этапе первой загрузки операционной системы, которая должна иметь средства для опознавания активации на компьютере "режима настройки", что позволит избежать ситуаций, когда желания пользователя расходятся с ограничениями, продиктованными изначально установленными ключами. Кроме того, пользователь должен иметь возможность в любой момент перевести ПК в "режим настройки" и инициировать установку новых ключей.
Дополнительно рекомендуется проработать вопросы отзыва скомпрометированных ключей и поддержания базы отозванных ключей, которые пока слабо отражены в спецификации и требуют уточнения многих моментов (например, упоминается возможность помещения ключей конкурентов в чёрный список, так как явно критерии его формирования не определены). В будущем предлагается создать независимый орган сертификации, который не будет связан с какими-то определёнными производителями операционных систем или оборудования. Данный орган должен отвечать за координацию выделения ключей и цифровых подписей для нового оборудования и операционных систем, а также для принятия решений по отзыву скомпрометированных ключей.
Среди достоинств технологии безопасной загрузки называется:
- Защита от активации вредоносного ПО и модификации важных компонентов системы на начальной стадии загрузки. В случае нарушения целостности защищённых компонентов, загрузка будет остановлена и система выдаст предупреждение, предложив восстановить компоненты, целостность которых была нарушена.
- Возможность более жёсткого обеспечения локальной политики безопасности - можно разрешить загрузку только допущенных к использованию систем;
- Выгода для производителей проприетарного ПО, выражающаяся в привязке пользователей к своим продуктам и более полному контролю. Например, производитель может привязать систему к определённому оборудованию и потребовать покупки более новой версии системы для работы на более новых машинах. Или производитель, в ситуации когда проверяются цифровые подписи для всех приложений, может принудить пользователя к установке программ только из специальных каталогов-магазинов, получая при этом отчисления от проданных там приложений.
Недостатки режима безопасной загрузки:
- Проблемы с выбором оборудования. Не только загрузчик, но и все компоненты и драйверы, работающие на уровне прошивки должны иметь цифровую подпись. Если компоненты ноутбуков обычно унифицированы и уже подписаны ключом OEM-производителя, то установка дополнительных плат в ПК может привести к проблемам - устройство не будет работать, если связанный с ним драйвер прошивки не имеет цифровой подписи или используемый ключ поставщика не включен в список поддерживаемых ключей. Для производителей оборудования возникают проблемы с предварительным распространением своих ключей среди OEM-производителей и с обеспечением работы новых устройств на уже выпущенной технике, на которой не предустановлены нужные ключи.
Если OEM-производитель будет использовать только свой закрытый ключ для формирования цифровых подписей, то производителям устройств придётся тратить дополнительное время и средства для формирования запросов на генерацию цифровых подписей для всех своих продуктов. Подход, подразумевающий построения цепочки доверия с размещением в прошивке корневого проверочного ключа и предоставлением связанных с ним отдельных ключей для каждого производителя устройств, связан с потерей гибкости в определении допустимости использования тех или иных аппаратных компонентов.
- При включенной опции безопасной загрузки можно использовать только операционные системы загрузчик которых имеет валидную цифровую подпись. Так как не существует централизованного органа формирования подобных подписей, производителям операционных систем следует самим заботиться о включении открытого ключа в системные прошивки, контактируя с OEM-производителями или использовать механизмы добавления новых ключей в текущую прошивку. Даже если OEM-производители предусмотрят возможность отключения режима безопасной загрузки, изначально поставляемые с Windows 8 системы будут представлять заметный барьер для установки Linux, так как будет требоваться ручное изменение настроек по умолчанию. Реализация возможности установки собственных ключей может свести на нет защиту от вредоносного ПО, так как тогда и вредоносные программы смогут легко установить собственные ключи. Но отсутствие возможности установки своих ключей в сочетании с подходом "свой ключ для каждой ОС" потребует дополнительных издержек, которые были описаны в предыдущем пункте.
- Проблемы с юзабилити при использовании альтернативных систем. Для загрузки ОС, отличной от предустановленной по умолчанию, пользователю придется перенастраивать параметры прошивки, что по плечу только продвинутым пользователям с соответствующими техническими навыками. В конфигурациях с двумя операционными системами, пользователю придется каждый раз отключать или включать режим безопасной загрузки при переходе от основной ОС к альтернативной и наоборот;
- Проблемы с установкой обновлений операционной системы. Если обновление затрагивает компоненты, участвующие в загрузке, то они обязательно должны иметь цифровые подписи, которые не могут быть сгенерированы динамически для заданного оборудования. Обновления должны быть созданы и подписаны до предоставления пользователю, что не вписывается в текущую архитектуру загрузчика GRUB2, который генерирует специфичный для системы образ загрузчика во время установки.
- В случае утечки закрытого ключа, он с успехом может быть использован для формирования валидных цифровых подписей для вредоносного ПО. В этом случае украденный ключ должен быть заблокирован и отозван, что автоматически приведёт к неработоспособности всех драйверов и ОС, подписанных этим ключом. Т.е. связанные с данным ключом операционные системы и оборудование, после блокировки ключа, также перестанут работать.
- Необходимость формирования большой и сложной сопровождающей инфраструктуры, включая процесс поддержки ключей, авторизации ключей, формирования подписей для загрузочных образов. Поддержание подобной инфраструктуры будет не по плечу небольшим Linux-дистрибутивам.
- Появление дополнительного стимула не уведомлять разработчиков операционных систем о наличии уязвимостей, так как эти уязвимости могут быть использованы для обхода защиты и установки альтернативных редакций или модифицированных версий системы. Подобную ситуацию можно воочию наблюдать на примере распространения альтернативных прошивок для Apple iOS и Sony Playstation 3, которые базируются на эксплуатации уязвимостей, которыми не спешат делиться с производителем.
Дополнение: Организация Linux Foundation опубликовала(недоступная ссылка) от своего лица похожий набор рекомендаций.
Источники[править]
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.
Комментарии[править]
Если вы хотите сообщить о проблеме в статье (например, фактическая ошибка и т. д.), пожалуйста, используйте обычную страницу обсуждения.
Комментарии на этой странице могут не соответствовать политике нейтральной точки зрения, однако, пожалуйста, придерживайтесь темы и попытайтесь избежать брани, оскорбительных или подстрекательных комментариев. Попробуйте написать такие комментарии, которые заставят задуматься, будут проницательными или спорными. Цивилизованная дискуссия и вежливый спор делают страницу комментариев дружелюбным местом. Пожалуйста, подумайте об этом.
Несколько советов по оформлению реплик:
- Новые темы начинайте, пожалуйста, снизу.
- Используйте символ звёздочки «*» в начале строки для начала новой темы. Далее пишите свой текст.
- Для ответа в начале строки укажите на одну звёздочку больше, чем в предыдущей реплике.
- Пожалуйста, подписывайте все свои сообщения, используя четыре тильды (~~~~). При предварительном просмотре и сохранении они будут автоматически заменены на ваше имя и дату.
Обращаем ваше внимание, что комментарии не предназначены для размещения ссылок на внешние ресурсы не по теме статьи, которые могут быть удалены или скрыты любым участником. Тем не менее, на странице комментариев вы можете сообщить о статьях в СМИ, которые ссылаются на эту заметку, а также о её обсуждении на сторонних ресурсах.
