Red Hat wil Fedora via Verisign signen voor secure boot

Red Hat heeft aangekondigd dat het Fedora 18 via een Verisign-dienst van een digitale handtekening wil voorzien. Zo moet de Linux-distributie ook kunnen draaien op Windows 8-systemen die in de uefi gebruik zullen maken van secure boot.

Microsoft wil met Windows 8 het secure boot-mechanisme gaan gebruiken. Secure boot is beschikbaar in moderne pc's en laptops met de 'bios-opvolger' uefi. Via het beveiligingsmechanisme zou er niet langer gerommeld kunnen worden met bootloaders en drivers. Microsoft stelt dat Windows 8 op die manier beter is te beveiligen tegen malware omdat met secure boot alleen signed code kan worden gedraaid. Vanuit de Linux-gemeenschap kwam er echter direct de kritiek dat dit beveiligingssysteem andere besturingssystemen dreigt buiten te sluiten omdat zij niet de benodigde sleutels hebben.

Red Hat heeft naar eigen zeggen inmiddels een manier gevonden om Fedora 18, die naar verwachting in november zal uitkomen, toch op uefi-systemen met secure boot te kunnen starten. Daarvoor betaalt Red Hat eenmalig 99 dollar aan de certificate authority VeriSign om zo via Microsofts SysDev-portal code te kunnen signen met de vereiste handtekening.

Allereerst zal Red Hat in Fedora 18 een first stage-bootloader introduceren die van de benodigde sleutels is voorzien. Deze bootloader zal niets anders doen dan Grub2, de normale bootloader, controleren of deze de juiste handtekening heeft en deze vervolgens opstarten. Volgens Red Hat hoeft de first stage-bootloader slechts af en toe te worden bijgewerkt, maar Grub2 zal beperkingen krijgen. Zo wordt het onmogelijk om losse modules in te laden en kunnen alleen signed kernels opgestart worden.

Red Hat belooft verder dat het alle Fedora 18-binaries van de juiste handtekening zal gaan voorzien, al laat het bedrijf tevens weten dat het drivers van derde partijen niet kan ondersteunen met het signing-proces. Een goede oplossing voor dit probleem is er nog niet, zo stelt Red Hat.

Volgens Red Hat is de gekozen methode om secure boot te ondersteunen weliswaar verre van optimaal, maar wel de minst problematische. Zo zou het opzetten van een organisatie die een generieke Linux-sleutel zou beheren te kostbaar en tijdrovend zijn. Ook het starten van een eigen Red Hat-autoriteit stuit op diverse bezwaren en zou in strijd zijn met het opensource-karakter van Linux.

Red Hat stelt verder dat alle bovengenoemde beperkingen van secure boot vervallen als de gebruiker de mogelijkheid heeft om het beveiligingsmechanisme in de uefi handmatig uit te schakelen. Dit zal op x86-systemen het geval zijn, zo belooft Microsoft, maar op ARM-hardware zoals Windows 8-tablets, zal secure boot juist niet uitgeschakeld kunnen worden.