9Aug
Moderne pc's worden geleverd met een functie genaamd "Secure Boot" ingeschakeld. Dit is een platformfunctie in UEFI, die het traditionele pc-BIOS vervangt. Als een pc-fabrikant een "Windows 10" of "Windows 8" -logosticker op zijn pc wil plaatsen, moet Microsoft Secure Boot inschakelen en enkele richtlijnen volgen.
Helaas, het voorkomt ook dat je sommige Linux-distributies installeert, wat behoorlijk lastig kan zijn.
Hoe Secure Boot het opstartproces van uw pc beveiligt
Secure Boot is niet alleen ontworpen om het draaien van Linux moeilijker te maken. Er zijn echte beveiligingsvoordelen als Secure Boot is ingeschakeld en zelfs Linux-gebruikers kunnen hiervan profiteren.
Een traditioneel BIOS zal alle software opstarten. Wanneer u uw pc opstart, worden de hardwareapparaten gecontroleerd op basis van de opstartvolgorde die u hebt geconfigureerd en probeert u ze op te starten. Typische pc's zullen normaal de opstartlader van Windows vinden en opstarten, waarna het volledige Windows-besturingssysteem wordt opgestart. Als je Linux gebruikt, zal de BIOS de GRUB-bootloader vinden en booten, die de meeste Linux-distributies gebruiken.
Het is echter mogelijk dat malware, zoals een rootkit, je bootloader vervangt. De rootkit kan uw normale besturingssysteem laden zonder enige indicatie dat er iets mis is, volledig onzichtbaar en niet detecteerbaar op uw systeem. Het BIOS kent het verschil niet tussen malware en een vertrouwde bootloader - het boot alleen wat het vindt.
Secure Boot is ontworpen om dit te stoppen. Windows 8 en 10 pc's worden geleverd met Microsoft-certificaat dat is opgeslagen in UEFI.UEFI controleert de bootloader voordat deze wordt gestart en zorgt ervoor dat deze door Microsoft is ondertekend. Als een rootkit of een ander stukje malware je opstartlader vervangt of ermee knoeit, staat UEFI het niet toe om op te starten. Dit voorkomt dat malware uw opstartproces kaping en zich verbergen van uw besturingssysteem.
Hoe Microsoft Linux-distributies toestaat op te starten met Secure Boot
Deze functie is in theorie alleen bedoeld om te beschermen tegen malware. Dus Microsoft biedt een manier om Linux-distributies toch op te starten. Daarom zullen sommige moderne Linux-distributies, zoals Ubuntu en Fedora, "gewoon werken" op moderne pc's, zelfs als Secure Boot is ingeschakeld. Linux-distributies kunnen een eenmalige vergoeding van $ 99 betalen om toegang te krijgen tot de Microsoft Sysdev-portal, waar ze kunnen aanvragen om hun bootloaders te laten ondertekenen.
Linux-distributies hebben over het algemeen een "shim" ondertekend. De shim is een kleine bootloader die eenvoudig de Linux GRUB-bootloader opstart. De door Microsoft ondertekende shim controleert of het een bootloader start die is ondertekend door de Linux-distributie en vervolgens start de Linux-distributie normaal op.
Ubuntu, Fedora, Red Hat Enterprise Linux en openSUSE ondersteunen momenteel Secure Boot en zullen werken zonder enige tweaks op moderne hardware. Er kunnen anderen zijn, maar dit zijn degenen waarvan we ons bewust zijn. Sommige Linux-distributies staan filosofisch tegenover het aanvragen om door Microsoft te worden ondertekend.
Hoe u Secure Boot kunt uitschakelen of bedienen
Als dat alles was wat Secure Boot deed, zou u geen door Microsoft goedgekeurd besturingssysteem op uw pc kunnen uitvoeren. Maar u kunt waarschijnlijk Secure Boot besturen via de UEFI-firmware van uw pc, wat vergelijkbaar is met het BIOS op oudere pc's.
Er zijn twee manieren om Secure Boot te besturen. De eenvoudigste methode is om naar de UEFI-firmware te gaan en deze volledig uit te schakelen. De UEFI-firmware controleert niet of u een bootloader met een handtekening gebruikt en alles start op. Je kunt elke Linux-distributie opstarten of zelfs Windows 7 installeren, die Secure Boot niet ondersteunt. Windows 8 en 10 werken prima, je verliest gewoon de beveiligingsvoordelen van het hebben van Secure Boot om je opstartproces te beschermen.
U kunt Secure Boot ook verder aanpassen. U kunt bepalen welke ondertekeningscertificaten Secure Boot biedt. U bent vrij om zowel nieuwe certificaten te installeren als bestaande certificaten te verwijderen. Een organisatie die Linux op pc's draaide, kon er bijvoorbeeld voor kiezen om Microsoft-certificaten te verwijderen en het eigen certificaat van de organisatie op zijn plaats te installeren. Die pc's booten dan alleen bootloaders die zijn goedgekeurd en ondertekend door die specifieke organisatie.
Een persoon zou dit ook kunnen doen - je zou je eigen Linux bootloader kunnen ondertekenen en ervoor zorgen dat je pc alleen bootloaders kan booten die je persoonlijk hebt samengesteld en ondertekend. Dat is het soort controle en kracht dat Secure Boot biedt.
Wat Microsoft vereist van pc-fabrikanten
Microsoft vereist niet alleen dat pc-leveranciers Secure Boot inschakelen als ze die leuke "Windows 10" - of "Windows 8" -certificeringssticker op hun pc willen hebben. Microsoft vereist dat pc-fabrikanten het op een specifieke manier implementeren.
Voor Windows 8 pc's moesten fabrikanten u een manier geven om Secure Boot uit te schakelen. Microsoft vereiste pc-fabrikanten om een Secure Boot-dodemansschakelaar in handen van de gebruiker te plaatsen.
Voor Windows 10 pc's is dit niet langer verplicht. Pc-fabrikanten kunnen ervoor kiezen Secure Boot in te schakelen en gebruikers geen manier geven om het uit te schakelen. We zijn echter niet echt op de hoogte van pc-fabrikanten die dit doen.
Evenzo, terwijl pc-fabrikanten Microsoft's belangrijkste "Microsoft Windows Production PCA" -sleutel moeten opnemen zodat Windows kan opstarten, hoeven ze niet de sleutel "Microsoft Corporation UEFI CA" te bevatten. Deze tweede sleutel wordt alleen aanbevolen. Het is de tweede, optionele sleutel die Microsoft gebruikt om Linux-bootladers te ondertekenen. Ubuntu's documentatie legt dit uit.
Met andere woorden, niet alle pc's zullen noodzakelijkerwijs ondertekende Linux-distributies starten als Secure Boot is ingeschakeld. Nogmaals, in de praktijk hebben we geen pc's gezien die dit hebben gedaan. Misschien wil geen pc-fabrikant de enige reeks laptops maken waarop je Linux niet kunt installeren.
Op dit moment zouden tenminste de standaard Windows-pc's u moeten toestaan om Secure Boot uit te schakelen als u dat wilt, en zij zouden Linux-distributies moeten opstarten die door Microsoft zijn ondertekend, zelfs als u Secure Boot niet uitschakelt.
Secure Boot kan niet worden uitgeschakeld op Windows RT, maar Windows RT is Dead
Al het bovenstaande geldt voor standaard Windows 8 en 10 besturingssystemen op de standaard Intel x86-hardware. Het is anders voor ARM.
Op Windows RT - de versie van Windows 8 voor ARM-hardware, die werd geleverd op Surface RT en Surface 2 van Microsoft, naast andere apparaten: Secure Boot kon niet worden uitgeschakeld. Vandaag de dag kan Secure Boot nog steeds niet worden uitgeschakeld op Windows 10 Mobile-hardware, met andere woorden, telefoons met Windows 10.
Dat komt omdat Microsoft wilde dat je op ARM-gebaseerde Windows RT-systemen dacht als "apparaten", niet als pc's. Zoals Microsoft aan Mozilla heeft verteld, is Windows RT "geen Windows meer."
Windows RT is nu echter dood. Er is geen versie van het Windows 10-desktopbesturingssysteem voor ARM-hardware, dus dit is niet iets waarover u zich geen zorgen meer hoeft te maken. Maar als Microsoft Windows RT 10 hardware terugbrengt, kunt u Secure Boot waarschijnlijk niet uitschakelen.
-beeldbank: Ambassador Base, John Bristowe