SONTAYA'P BLOGGER

IT Digital lifestyle

SUSE UEFI Secure Boot

bySONTAYA September 13, 2013 Linux

Free Software Foundation (FSF) ในฐานะผู้ดูแลสัญญาอนุญาต (license) ยอดนิยมหลายตัว
ได้ออกแถลงการณ์ให้ผู้ใช้คอมพิวเตอร์ตื่นตัวต่อฟีเจอร์ Secure Boot ที่ไมโครซอฟท์ต้องการให้ผู้ผลิตคอมพิวเตอร์ (OEM)
เปิดใช้ เพื่อให้ผู้ใช้สามารถติดตั้งและบูตเข้าสู่ Windows 8 ได้อย่างปลอดภัย
Secure Boot คือ UEFI ในฐานะตัวโหลดระบบปฏิบัติการ ซึ่งจะทำงานร่วมกับชิป Trusted Platform Module (TPM)
ในการตรวจสอบว่าระบบปฏิบัติการมีอะไรปนเปื้อน (เช่น มัลแวร์) หรือไม่ ผ่านการเช็คคีย์ (PKI) ของไฟล์อิมเมจระบบปฏิบัติการ
เพื่อป้องกันมัลแวร์หรือการโจมตีที่เข้ามาแก้ไฟล์ระบบปฏิบัติการ เพื่อปิดความสามารถด้านความปลอดภัยของระบบปฏิบัติการตั้งแต่ตอนบูตเครื่อง
เนื่องจาก Secure Boot อาจทำให้ผู้ใช้ไม่สามารถติดตั้งระบบปฏิบัติการอื่นได้

FSF ยื่นข้อเสนอว่า ผู้ผลิตคอมพิวเตอร์จะต้องยอมให้ผู้ใช้สามารถปิดฟีเจอร์ดังกล่าวหรือแนะนำการติดตั้งและรันระบบปฏิบัติการที่ผู้ใช้ต้องการได้
FSF ยังเปิดให้ลงชื่อร่วมกับแถลงการณ์ดังกล่าว ซึ่งระบุไว้ว่า FSF และผู้ลงชื่อจะไม่ซื้อหรือแนะนำคอมพิวเตอร์ที่จำกัดเสรีภาพของผู้ใช้
และพวกเขาจะกระตุ้นผู้คนอย่างสม่ำเสมอให้หลีกเลี่ยงการใช้ระบบเหล่านั้น ไมโครซอฟท์ได้แถลงไปก่อนหน้านี้ว่า Windows 8 จะรองรับทั้ง BIOS และ UEFI
และฟีเจอร์ Secure Boot นี้ไม่ได้ปิดกั้นการลงระบบปฏิบัติการอื่นๆ (เช่น ลินุกซ์) แต่อย่างใด ผู้ใช้ยังมีสิทธิควบคุมเครื่องของตัวเองเหมือนเดิม

เท่าที่ตามอ่าน blog เรื่องนี้มา ปัญหาของ secure boot ไม่ได้อยู่ที่ MS โดยตรงครับ แต่จะอยู่ที่ความไม่ใส่ใจของผู้ผลิตฮาร์ดแวร์
ลักษณะการทำงานของ secure boot คือจะใช้ public/private key ในการตรวจสอบความแท้ของซอฟต์แวร์
ซึ่งวิธีที่เป็นไปได้ที่สุดคือ ฮาร์ดแวร์จะฝัง public key ของ OS หรือไดรเวอร์ (on-board firmware ROM)
เอาไว้ แล้วผู้ผลิตซอฟต์แวร์ก็จะ sign OS หรือไดรเวอร์ด้วย private key ที่เข้ากันมา ถ้าฮาร์ดแวร์ verify signature นั้นไม่ผ่าน มันก็จะไม่ยอมรันโค้ด
ซึ่งวิธีนี้ช่วยป้องกัน malware ได้ คือพวกคนเขียน malware ที่ไม่มี private key ของ MS ก็จะเจาะระบบไม่สำเร็จ แต่ ปัญหามันอยู่ที่วิธี implement

MS ได้กำหนดเป็น requirement ว่าผู้ผลิต OEM ที่จะได้สติกเกอร์ Windows 8 ไปแปะ จะต้องรองรับ secure boot
ซึ่งถ้าผู้ผลิต OEM รายไหนทำตามนั้นโดยมี option ให้ disable secure boot ได้ ก็ไม่มีปัญหา
แต่ปัญหาจะเกิดขึ้นในกรณีที่ผู้ผลิต OEM ทำตาม requirement แบบ hard wire เพียงเพื่อให้ได้สติกเกอร์ Windows 8 มาแปะเท่านั้น
แบบว่า ขี้เกียจทำเมนูให้ผู้ใช้ disable เพราะลืมนึกถึง OS อื่น แบบนี้ก็จะทำให้ฮาร์ดแวร์นั้นสามารถรันได้เฉพาะ
OS และไดรเวอร์ที่มาจากผู้ผลิตเดียว คือ MS เท่านั้น และที่ FSF และผู้ผลิตลินุกซ์อื่นกังวลคือเรื่องนี้ ดังนั้น ที่ MS ออกมาชี้แจงจึงไม่ได้ตอบคำถามนี้
เพราะมันเป็นเรื่องของผู้ผลิตฮาร์ดแวร์ ไม่ใช่ MS โดยตรง และแคมเปญนี้ก็มุ่งไปที่ผู้ผลิตฮาร์ดแวร์เป็นหลัก
ถามว่าความกังวลนี้มากไปไหม? มันก็เป็นเรื่องเดียวกับกรณีอื่น ๆ ที่เคยเกิดมาแล้ว เช่น Winmodem
หรือเครื่องพิมพ์ที่ต้องอาศัยการทำงานฝั่ง Windows ที่ผู้ผลิตคิดถึงเฉพาะ Windows เท่านั้น ซึ่งกรณีเหล่านั้นยังพอจำลองโค้ดใน OS อื่นได้
แต่กับกรณี secure boot มันเท่ากับทำให้ OS อื่นมีค่าเทียบเท่า malware ไปทันที คือถ้าจะให้ทำงานได้จะต้องเจาะ private key ของ MS เท่านั้น

ปัญหาที่ Windows 8 จะเปลี่ยนจากไบออสมาเป็น UEFI ที่มี “ฟีเจอร์” รักษาความปลอดภัยอย่างเต็มรูปแบบนับแต่การบูตเครื่อง
ทำให้ไมโครซอฟท์ควบคุมว่าซอฟต์แวร์ใดบ้างจะสามารถบูตบนเครื่องที่ใช้ UEFI ได้ทั้งหมด
ทางฝั่งลินุกซ์เองพยายามเจรจากับไมโครซอฟท์ในเรื่องนี้มาตลอด ก่อนหน้านี้มีการเรียกร้องให้ผู้ใช้สามารถปิด UEFI ได้
แต่แผนใหม่ของทาง Linux Foundation อาจจะเป็นทางสายกลางของปัญหานี้

ภายใต้แผนการนี้ ทาง Linux Foundation จะสร้าง “pre-bootloader” ขึ้นมาหนึ่งตัว เพื่อขอรับการรับรองจากไมโครซอฟท์
ทำให้มันสามารถบูตบนเครื่องคอมพิวเตอร์ที่ใช้ UEFI โดยเตือนว่า bootloader ที่กำลังทำงานนี้จะไม่ได้รับการตรวจสอบความถูกต้อง
หากผู้ใช้ยืนยันที่จะใช้งานต่อไป ก็จะสามารถติดตั้งลินุกซ์ได้ สำหรับผู้ผลิตลินุกซ์ที่ไม่ต้องการให้มีคำเตือนใดๆ เลยในกระบวนการบูต
ต้องติดต่อไปยังไมโครซอฟท์เพื่อขอรับใบรับรองของตัวเอง แผ่นติดตั้งจึงจะสามารถติดตั้งและใช้งานได้เหมือนกับวินโดวส์
บริษัทที่เลือกไปทางสายนี้ เช่น RedHat แนวทางนี้จะทำให้เหมือนการใช้เว็บเข้ารหัสในทุกวันนี้
ที่แม้การเข้ารหัสจากใบรับรองที่ไม่น่าเชื่อถือก็ยังสามารถใช้งานได้ หากผู้ใช้ได้รับคำเตือนแล้วกดยืนยันที่จะเข้าใช้งานเว็บ

“ฟีเจอร์” รักษาความปลอดภัยอย่างเต็มรูป คือมีการตรวจสอบ OS ผ่านการ sign ด้วย private key ซึ่ง MS ได้ระบุว่า
ผู้ผลิตคอมพิวเตอร์ที่ต้องการให้เครื่องตัวเองผ่านการรับรองโดยไมโครซอฟท์จะต้องเปิดการใช้งานฟีเจอร์นี้ โดยใช้ key ของไมโครซอฟท์
เพราะฉะนั้นก็เลยเกิดปัญหาว่า ถ้า OS อื่นๆ นอกจากวินโดวส์ต้องการ sign ไฟล์ของตัวเองจะทำอย่างไร เพราะต้องใช้ private key ของไมโครซอฟท์

ที่มา – Blognone, SUSE UEFI Secure Boot Overview, SUSE UEFI Secure Boot Plan

TaggedUEFI

แอพ Bitcasa MediaPlayer สนับสนุนการทำสตรีมมิ่งบน Google Chromecast แล้ว

Transcend (ทรานเซ็นต์) RAM สำหรับเซิร์ฟเวอร์จาก Taiwan

Leave a Reply Cancel reply

You must be logged in to post a comment.

Tag Cloud

3G Android Backup Blognone Chromecast Cloud Comparison CUPS Dell DNS Facebook Firefox Firewall Google Guitar Hacked HP Joomla LGP500 LibreOffice Linux Mozilla Firefox OpenOffice.org Open Source OpenStack openSUSE openSUSE11.3 openSUSE12.1 Peplink Performance Postfix Printer Samsung Security Storage SUSE SUSE Enterprise Desktop SUSE Enterprise Server SUSE Linux Enterprise Switch Thin client Tips VMware WordPress WordPress/SMF

Comments

  • Narupon Pattapat on การ cleaning the imaging unit หรือ Drum (Imaging Unit)
  • 76Rusty on แอพ aVia Media Player Pro และ Pocket Casts 4 อนาคตอาจรองรับ Chromecast
  • JindaTheme on CloudFlare คืออะไร?
  • viva3388 on CloudFlare คืออะไร?
  • SONTAYA on Linux Foundation T-Shirt มาแล้ว

Categories

  • Android (7)
  • Joomla (9)
  • LibreOffice/OpenOffice.org (16)
  • Linux (159)
  • Music (16)
  • News (55)
  • Office (55)
  • Online Marketing (3)
  • Personal (232)
  • VMware (5)
  • WordPress/SMF (20)

Archives

  • May 2019
  • March 2019
  • January 2019
  • December 2018
  • September 2018
  • August 2018
  • July 2018
  • April 2018
  • March 2018
  • January 2018
  • December 2017
  • June 2017
  • December 2016
  • November 2016
  • April 2016
  • March 2016
  • February 2016
  • September 2015
  • August 2015
  • July 2015
  • June 2015
  • May 2015
  • April 2015
  • February 2015
  • January 2015
  • November 2014
  • October 2014
  • September 2014
  • August 2014
  • July 2014
  • June 2014
  • May 2014
  • April 2014
  • March 2014
  • February 2014
  • December 2013
  • November 2013
  • October 2013
  • September 2013
  • August 2013
  • July 2013
  • June 2013
  • May 2013
  • April 2013
  • March 2013
  • February 2013
  • January 2013
  • December 2012
  • November 2012
  • October 2012
  • September 2012
  • August 2012
  • June 2012
  • May 2012
  • April 2012
  • March 2012
  • February 2012
  • December 2011
  • November 2011
  • October 2011
  • September 2011
  • August 2011
  • July 2011
  • June 2011
  • May 2011
  • April 2011
  • March 2011
  • February 2011
  • January 2011
  • December 2010
  • November 2010
  • October 2010
  • September 2010
  • August 2010
  • July 2010
  • June 2010
  • May 2010
  • April 2010
  • March 2010
  • February 2010
  • January 2010
  • December 2009

Archives

  • May 2019 (1)
  • March 2019 (1)
  • January 2019 (1)
  • December 2018 (1)
  • September 2018 (1)
  • August 2018 (3)
  • July 2018 (1)
  • April 2018 (1)
  • March 2018 (1)
  • January 2018 (2)
  • December 2017 (1)
  • June 2017 (3)
  • December 2016 (1)
  • November 2016 (1)
  • April 2016 (1)
  • March 2016 (2)
  • February 2016 (1)
  • September 2015 (3)
  • August 2015 (2)
  • July 2015 (7)
  • June 2015 (5)
  • May 2015 (1)
  • April 2015 (1)
  • February 2015 (2)
  • January 2015 (1)
  • November 2014 (3)
  • October 2014 (2)
  • September 2014 (2)
  • August 2014 (1)
  • July 2014 (3)
  • June 2014 (3)
  • May 2014 (2)
  • April 2014 (5)
  • March 2014 (2)
  • February 2014 (5)
  • December 2013 (3)
  • November 2013 (15)
  • October 2013 (15)
  • September 2013 (11)
  • August 2013 (9)
  • July 2013 (26)
  • June 2013 (7)
  • May 2013 (15)
  • April 2013 (6)
  • March 2013 (5)
  • February 2013 (4)
  • January 2013 (2)
  • December 2012 (9)
  • November 2012 (2)
  • October 2012 (4)
  • September 2012 (2)
  • August 2012 (4)
  • June 2012 (3)
  • May 2012 (4)
  • April 2012 (6)
  • March 2012 (14)
  • February 2012 (9)
  • December 2011 (8)
  • November 2011 (6)
  • October 2011 (13)
  • September 2011 (7)
  • August 2011 (10)
  • July 2011 (4)
  • June 2011 (12)
  • May 2011 (26)
  • April 2011 (6)
  • March 2011 (3)
  • February 2011 (4)
  • January 2011 (10)
  • December 2010 (6)
  • November 2010 (4)
  • October 2010 (5)
  • September 2010 (10)
  • August 2010 (5)
  • July 2010 (8)
  • June 2010 (6)
  • May 2010 (4)
  • April 2010 (9)
  • March 2010 (10)
  • February 2010 (8)
  • January 2010 (21)
  • December 2009 (28)
Proudly powered by WordPress | Theme: Showme by NEThemes.