Quỹ Linux đưa ra thiết kế cho Khởi động An ninh UEFI

LinuxFoundation releases blueprint for UEFI Secure Boot

28 October 2011, 14:48

Theo:http://www.h-online.com/security/news/item/Linux-Foundation-releases-blueprint-for-UEFI-Secure-Boot-1368401.html

Bài được đưa lênInternet ngày: 28/10/2011

Lờingười dịch: Chức năng khởi động an ninh UEFI dự kiếnsẽ có trong hệ điều hành Windows 8 từng là một chủ đềgây tranh cãi khi nhiều người cho rằng nó sẽ khóa khôngcho các hệ điều hành khác, như GNU/Linux, khởi độngtrên cùng một máy tính có Windows 8. Quỹ Linux vừa đưara tài liệu phân tích kỹ thuật, trong đó đề nghị cácnhà sản xuất thiết bị gốc OEM sử dụng một thiết kếcách triển khai UEFI sao cho người sử dụng có khả năngcài đặt từng hệ điều hành mà họ muốn sử dụng màkhông gây ảnh hưởng và loại bỏ hệ điều hành kia,một khi họ muốn chuyển sang.

Để giải quyết cáclo lắng về khả năng Microsoft sử dụng chức năng khởiđộng an ninh UEFI để khóa loại trừ Linux và các hệđiều hành nguồn mở khác, Quỹ Linux đã xuất bản mộtbáo cáo xem xét UEFI và đưa ra cho các nhà sản xuất thiếtbị gốc OEM một thiết kế về cách triển khai UEFI. Làmcho khởi động an ninh UEFI làm việc được với các nềntảng mở - của James Bottomley, Chủ tịch hội đồng cốvấn kỹ thuật của Quỹ và CTO của Parallels, và JonathanCorbet, thành viên bản lãnh đạo và biên tập viên củaLWN.net - tài liệu khai thác chức năng của đặc tả kỹthuật UEFI 2169 trang “dày đặc các bit” và kết luậnrằng mặc dù Khởi động An ninh là một cơ chế hữudụng, thì công việc sẽ cần phải được thực hiệnvới các OEM để đảm bảo rằng các khách hàng có thểcài đặt được các khóa của riêng họ. Một kết luậntương tự đạt được trong một tài liệu đồng tác giảcủa Bottomley, Lập trình viên của Red Hat Matthew Garrett vàKiến trúc sư Kỹ thuật của Canonical Jeremy Kerr: “Ảnhhưởng của Khởi động An ninh lên Linux”.

Tháng trước khiMatthew Garrett đã dấy lên vấn đề này thì nó đã sợrằng những yêu cầu của Microsoft cho Windows 8 có thểthấy các OEM xuất các phần nhão chỉ với khóa nền tảngPK (Platform Key) của Microsoft được cài đặt và điều đóchỉ có thể có khả năng khởi động an ninh cho Windows 8.Microsoft đã trả lời đối với những quan ngại này vànói rằng họ không có ý định khóa loại trừ bất kỳhệ điều hành nào khác, nhưng đã chỉ ra rằng, muốnhay không, thì điều này sẽ có tác động tới các kếhoạch hiện hành của họ. Quỹ Phần mềm Tự do sau đóđã đưa ra một lời kêu gọi các OEM triển khai mộtphiên bản mở và công bằng của Khởi động An ninh UEFI,nhưng đã không đưa ra bất kỳ gợi ý nào về cách màđiều đó có thể đạt được.

Tài liệu của QuỹLinux gọi các kế hoạch của Microsoft là “tính tớikhuyến cáo UEFI rằng người chủ nền tảng sẽ là ngườikiểm soát PK” và nói rằng đây là “một sự lựa chọnhợp pháp đối với một người sử dụng được thôngbáo để thực hiện một cách tự nguyện”. Cả 2 tàiliệu đều gợi ý rằng tất cả các nền tảng mà chophép Khởi động An ninh nên xuất ra ở “chế độ càiđặt” mà có thể trao cho người chủ hệ thống sựkiểm soát hệ thống Khởi động An ninh đó. Khởi độngban đầu của một hệ điều hành nên sau đó dò tìm rachế độ cài đặt và cài đặt một khóa trao đổi khóaKEK (key - exchange - key) và PK để cho phép Khởi động Anninh. Hệ thống này có thể sau đó khởi động một cáchan ninh hệ điều hành đó. Khi một người sử dụng cầnkiểm soát khởi động an ninh hệ thống của họ, thì mộtlựa chọn “thiết lập lại” cho các khóa UEFI có thểcho phép những khóa đó được xóa và một hệ điềuhành khác được cài đặt. Windows 8 của Microsoft có thểcũng được cài đặt sẵn theo cách y hệt: sự thiết lậplại UEFI có thể sau đó mở khóa cho máy cho các hệ điềuhành khác.

Tài liệu của QuỹLinux cũng khai thác nhiều khả năng phức tạp hơn nữacủa việc tạo ra một mô hình tin cậy cho UEFI, hỗ trợcho chế độ khởi động kép và cách mà việc khởi độngcó thể được thực hiện từ phương tiện bên ngoài.Triển khai các khuyến cáo đầy đủ có thể cần sựcộng tác rộng rãi của nền công nghiệp, một vấn đềnằm ngoài phạm vi của tài liệu kỹ thuật. Tài liệucủa Canonical/Red Hat đề nghị các OEM cho phép nói chungKhởi động An ninh được vô hiệu hóa, nhưng chỉ thôngqua sự truy cập vật lý tới hệ thống, và đi tiếptrong những triển khai UEFI của họ để cũng bổ sung đượcmột cơ chế tiêu chuẩn hóa cho việc thiết lập cấuhình các khóa trong phần dẻo.

Toaddress worries about the possibility of Microsoft using UEFI'sSecure Boot functionality to lock out Linux and other open sourceoperating systems, the LinuxFoundation has published a report which examines UEFI and offersOEMs a blueprint on how to implement UEFI. In MakingUEFI Secure Boot Work With Open Platforms – by James Bottomley,Foundation Technical Advisory Board Chair and CTO of Parallels, andJonathan Corbet, board member and editor of LWN.net – the paperexplores the functionality of the "bit dense" 2169 pageUEFI specification and concludes that although Secure Boot is auseful mechanism, work will need to be done with OEMs to ensure thatcustomers can install their own keys. A similar conclusion is reachedin a paper co-authored by Bottomley, Red Hat Developer MatthewGarrett and Canonical Technical Architect Jeremy Kerr: "SecureBoot Impact on Linux".

Lastmonth when Matthew Garrett raised the issue it was feared thatMicrosoft's requirements for Windows 8 would see OEMs shippingfirmware which only had Microsoft's platform key (PK) installed andwhich would only be able to securely boot Windows 8. Microsoftrespondedto the concerns saying they weren't attempting to lock out any otheroperating systems, but it was pointed out that, intentional or not,this would be the effect of their current plans. The Free SoftwareFoundation then launcheda call for OEMs to implement an open and fair version of UEFI SecureBoot, but did not offer any technical suggestions on how that wouldbe achieved.

TheLinux Foundation paper calls Microsoft'splans "counter to the UEFI recommendation that the platformowner be the PK controller" and says that it is "alegitimate choice for an informed user to make voluntarily".Both papers suggest that all platforms which enable Secure Bootshould ship in "setup mode" which would give the systemowner control of the Secure Boot system. Initial startup of anoperating system should then detect that setup mode and install a KEK(key-exchange-key) and PK to enable Secure Boot. The system wouldthen securely boot that operating system. When a user needed to takecontrol of their system's secure boot, a "reset" option forUEFI's keys would allow those keys to be cleared and a differentoperating system installed. Microsoft's Windows 8 could also bepre-installed in the same way; the UEFI reset would then unlock themachine for other operating systems.

TheLinux Foundation paper also explores the more complex possibilitiesof creating a trust model for UEFI, support for dual booting and howbooting could be done f-rom external media. Implementation of the fullrecommendations would need industry-wide cooperation, an issue beyondthe scope of a technical paper. The Canonical/Red Hat paper asks forOEMs to generally allow Secure Boot to be disabled, but only throughphysical access to the system, and go further in their UEFIimplementations to also add a standardised mechanism for configuringkeys in firmware.

(djwm)

Dịch tài liệu: LêTrung Nghĩa

letrungnghia.foss@gmail.com