Microsoft lover at Windows 8 skal starte opp raskere enn dagens og tidligere utgaver av Windows. Dette gjelder ikke minst på nyere pc-er som er utstyrt med UEFI (Unified Extensible Firmware Interface) i stedet for den snart 40 år gamle BIOS-løsningen. Hvordan dette fungerer, er delvis beskrevet i dette blogginnlegget.
Nyere utgaver av UEFI-spesifikasjonen inkluderer også noe som kalles for «UEFI secure boot protocol», som er beskrevet i dette dokumentet. Dette er en løsning som skal kunne redusere faren for at pc-en blir utsatt for blant annet bootkits og rootkits, altså skadevare som er virksom allerede før operativsystemet lastes. I seg selv er dette utvilsomt en positiv ting.
Matthew Garrett, en utvikler hos Red Hat, skriver i et blogginnlegg at UEFI secure boot protocol tillater at én eller flere nøkler for signering installeres i fastvaren til systemet.
– Så snart det er aktivert, vil secure boot hindre at kjørbar kode eller drivere lastes, med mindre de er signert med én av disse nøklene. Et annet sett med nøkler (Pkek) åpner for kommunikasjon mellom et operativsystemet og fastvaren. Et operativsystem med Pkek som matcher den som er installert i fastvaren kan legge til ytterligere nøkler til hvitelisten. Alternativt kan det legge nøkler til en svarteliste. Binærkode signert med en svartelistet nøkkel vil ikke laste, skriver Garrett.
På side 11 i denne presentasjonen, ble presentert av Microsofts Arie van der Hoeven under Build-konferansen nylig (med video her), går det fram at denne formen for sikker oppstart er noe som kreves av Windows 8.
Her mener nok van der Hoeven nye systemer med Windows 8, eller kanskje helst systemer som er med Microsofts Windows 8 logo-program. Garrett virker temmelig sikker på at dette er tilfellet, noe som trolig også bekreftes av denne plansjen:
Garrett drøfter i blogginnlegget mulige løsninger for hvordan nøklene blir distribuert og brukt, men mener at det mest sannsynlige er at Windows 8 vil signeres med en Microsoft-nøkkel, mens den offentlige delen av den nøkkelen vil følge med alle systemene.
Det er ifølge Garrett ikke umulig å tilby signerte versjoner av Linux, men da må også pc- og hovedkortleverandørene tilby de offentlige nøklene for hver av disse utgavene. Samtidig vil en slik løsning være et brudd på i alle fall GPLv3 (GNU General Public Licence).
Garrett skriver at utviklingen av Linux-kjernen går mot at Linux-kjernen selv er en del av bootloaderen, noe som vil innebære at også kjernen vil måtte signeres. Det vil hindre at brukere selv kan kompilere sin egen versjon av kjernen.
Nå er det ikke bare Linux eventuelt berøres av dette. Heller ikke eldre Windows-versjoner, som Windows 7, vil kunne installeres direkte på systemer som krever signerte operativsystemer eller oppstartsprogramvare.
Garrett mener at det ikke er noe som tyder på at Microsoft vil hindre leverandører av pc-er og andre enheter å gjøre det mulig å deaktivere «secure boot»-delen og dermed kjøre ikke-signert kode. Samtidig er det en kjent sak at mange systemleverandører tilbyr pc-er og andre enheter som gir brukerne få muligheter til å gjøre egne justeringer i fastvaren.
– Det er sannsynligvis ingen grunn til å få panikk ennå. Menn det er grunn til å være bekymret, avslutter Garrett.
Ifølge ZDNet vil Microsoft foreløpig ikke si noe mer om dette enn det som har kommet fram i presentasjonen.
Les også:
- [16.01.2012] Microsoft låser Linux ute
- [28.10.2011] – «Secure Boot» kan skjule statlig avlytting
- [23.09.2011] – Secure Boot låser ikke Linux ute
