SUSE Linux skisserer sine planer for Windows 8 Secure Boot

Vel, Secure Boot-sagaen fortsetter å fortsette da Linux-distribusjoner langt og bredt bestemmer hvordan de skal arbeide for Windows 8s planlagte begrensninger, og denne uken hørte vi fra enda et annet prosjekt.

Det var SUSE Linux å snakke ut denne gangen, og hva det har foreslått, belyser på mange måter en hybrid tilnærming mellom det vi allerede har sett fra Ubuntu og Fedora.

"UEFI Secure Boot er en nyttig teknologi som gjør det vanskeligere for angriperne for å skjule en rootkit i oppstartskjeden, "begynte Olaf Kirch, direktør for SUSE Linux Enterprise-avdelingen i SUSE Engineering, i et blogginnlegg på onsdag. "Samtidig, allerede grunnleggende om operasjonen - etablering av en enkelt rot av tillit - strider mot prinsippene for åpen kildekodeutvikling, som må være uavhengig og distribuert til arbeid."

[Videre lesing: 4 Linux prosjekter for nybegynnere og mellombrukere]

'Det er en smart løsning'

For de som savnet det, vil Windows 8s Unified Extensible Firmware Interface (UEFI) fastsette at bare operativsystemer med en passende digital signatur kan starte opp. Både Free Software Foundation og Linux Foundation har veiet inn med sine egne synspunkter i saken.

Men det er to måter å jobbe rundt disse restriksjonene, forklarte Kirch.

"Man skal jobbe med maskinvareleverandører for å ha De støtter en SUSE-nøkkel som vi deretter logger opplasteren med, forklarte han. "Den andre måten er å gå gjennom Microsofts Windows Logo-sertifiseringsprogram for å få oppstartslaster sertifisert og ha Microsoft gjenkjenne vår signeringsnøkkel."

SUSE Linuxs sikker oppstartsplan.SUSE planlegger å bruke shim loader opprinnelig utviklet av Fedora, Kirch sa: "Det er en smart løsning som unngår flere ekkel juridiske problemer, og forenkler sertifiserings- / signeringstrinnet betydelig," forklarte han.

Denne shim loader vil laste GRUB 2 oppstartslaster, verifisere den, og last deretter inn kjerner signert av en SUSE-nøkkel.

To nøkler mulig

På torsdag tilbød Vojtěch Pavlík, direktør for SUSE Labs, nærmere detaljer.

"Vi starter med et shim, basert på Fedora shim, signert av enten en sertifikat signert av SUSE KEK [Key Exchange Key] eller et Microsoft-utstedt sertifikat, basert på hvilke KEKs er tilgjengelige i UEFI-nøkkeldatabasen på systemet, "forklarer Pavlík.

Med andre ord to separate versjoner av shim vil være mulig: en signert med SUSE egen nøkkel, I likhet med Ubuntus tilnærming, og en signert med en nøkkel levert av Microsoft, mye som i Fedoras strategi.

Uansett vil shim verifisere at GRUB 2 oppstartslaster er klarert ved å bruke som standard et uavhengig SUSE-sertifikat innebygd i kroppen . I tillegg vil shim også tillate "Machine Owner Keys" (MOK) for å overstyre standard SUSE-nøkkel, forklarer Pavlík.

En fantastisk elegant løsning

Så, "GRUB 2, en gang lastet og verifisert av shim, vil ringe tilbake til shim når den vil verifisere kjernen-for å unngå duplisering av bekreftelseskoden, "la han til. "Shim vil bruke samme liste over MOKs for dette og fortelle GRUB 2 om den kan laste kjernen."

Fordi MOKs utgjør en liste og ikke bare en enkelt nøkkel, kan du gjøre shim-tillitstastene fra flere forskjellige leverandører, som tillater dual- og multi-boot fra GRUB 2 boot loader, "konkluderte Pavlík.

Implementering kan selvfølgelig vise seg mer komplisert, la han til. Allikevel er det av avgjørende betydning at "du kan fritt endre GRUB2 og kjernen din som eier av en maskin", samt at "maskinen ikke ble tivoized", bemerket han.

Red Hat-utvikleren Matthew Garrett - som opprinnelig var oppmerksom på alt dette igjen i september - har kalt SUSEs tilnærming "en fantastisk elegant løsning." Faktisk, "Jeg mistenker at vi også vedtar denne tilnærmingen i Fedora," sa han i et blogginnlegg på fredag.

Jeg er sikker på at dette ikke er den siste oppdateringen, og det gjenstår å se hvilken rute openSUSE vil ta. Når flere blir annonsert, holder jeg deg oppdatert.