Dell en HP willen secure boot niet opleggen aan gebruiker

Dell en HP willen in nieuwe pc's de mogelijkheid bieden om secure boot, dat onder andere met Windows 8 kan worden gebruikt, in de uefi uit te schakelen. Daarmee zou het alsnog mogelijk worden om andere besturingssystemen te booten.

In de laatste weken is in de opensourcewereld onrust ontstaan over de mogelijkheid dat computerfabrikanten de secure boot-optie gaan afdwingen. Gevreesd werd dat er geen mogelijkheid zou komen om deze uit te schakelen in de 'bios-vervanger' uefi. Microsoft zou de secure boot-optie in Windows 8 willen benutten om het besturingssysteem minder kwetsbaar te maken voor malware-aanvallen, maar vooral Linux-gebruikers vrezen dat zij door deze optie niet langer een ander besturingssysteem kunnen draaien. Onder andere de FSF en de Linux Foundation kwamen in opstand.

Dell noch HP zou echter plannen hebben om secure boot af te dwingen bij computergebruikers, zo meldt ZDnet. Een woordvoerder van HP stelde dat het bedrijf de keuzevrijheid van zijn klanten respecteert en dat het daarom een optie in de uefi zal aanbieden om secure boot uit te schakelen. Ook Dell zal een dergelijke optie aanbieden.

Naast HP en Dell zou ook bios-fabrikant AMI hebben laten weten dat het zijn klanten zal adviseren om in de uefi een optie te bieden om secure boot uit te schakelen. Hierdoor is de kans toegenomen dat alle grote pc-fabrikanten de lijn van Dell en HP zullen volgen en het potentiële secure boot-probleem niet zal optreden. Er zijn echter nog geen initiatieven bekend die de mogelijkheid bieden om secure boot ook met andere besturingssystemen te gebruiken.

Reacties (94)

Wat ik niet snap is de relatie Windows met een Laptop....De een is een software product en de ander een hardware product. Dat Windows op een laptop kan, is leuk, maar er zijn genoeg mensen die Linux e.d gebruiken. Dan krijg je straks dus taferelen van een windows laptop serie en een niet-windows laptop serie. Of we krijgen straks allemaal Apple achtige praktijken.

Gelukkig zal het tot nu zo ver niet komen gezien dit goede nieuwsbericht .

Secure boot is gewoon een logische koppeling van software met hardware, en zorgt ervoor dat je zeker weet wat je boot. Dit dwingt dus een bepaalde zekerheid af en is in de automatisering vrij normaal.

Wat ik niet snap is waarom een linux-installatie niet via secure-boot kan starten? Is dat omdat het generen van een certificaat te duur is?

Ah, het probleem:

“There is no centralised signing authority for these UEFI keys,” Garrett explained. “If a vendor key is installed on a machine, the only way to get code signed with that key is to get the vendor to perform the signing. A machine may have several keys installed, but if you are unable to get any of them to sign your binary then it won't be installable.”

Microsoft has said it will require that Windows 8 logo machines ship with secure boot enabled. Most likely, Windows on such systems will be signed with a Microsoft key, Garrett predicted.

Other operating systems, such as Linux, won't include any such signatures in their current state, of course. So, unless deliberate measures are taken to make them available, “a system that ships with only OEM and Microsoft keys will not boot a generic copy of Linux,” Garrett explained.

Options for Linux include providing signed versions of the operating system, but there are several problems associated with that approach, Garrett pointed out.

First, a non-GPL bootloader would be required. Grub 2 and Grub are released under the GPLv3 and GPLv2, respectively, he noted.

Second, “in the near future the design of the kernel will mean that the kernel itself is part of the bootloader,” Garrett added. “This means that kernels will also have to be signed. Making it impossible for users or developers to build their own kernels is not practical.”

Finally, if Linux distributions sign for themselves, the required keys would have to be included by every OEM, he said.

Dus het ligt aan het feit dat Linux geen platform-keys krijgt en Microsoft wel, waardoor zowel bootloader (Grub) als kernel geen hardware-authorisatie krijgen.

[Reactie gewijzigd door Garyu op 3 november 2011 14:22]

Secure boot is gewoon een logische koppeling van software met hardware, en zorgt ervoor dat je zeker weet wat je boot. Dit dwingt dus een bepaalde zekerheid af en is in de automatisering vrij normaal.

Niet alleen je, maar ook Microsoft.
Ik ben er erg sterk van overtuigt dat dit hele mechanisme pure DRM is.
Er zijn zoveel andere mogelijkheden om een OS rootkit vrij te maken. Je kunt er een virtualisatie laag tussen voegen die er voor zorgt dat geen rootkit geïnstalleerd kan worden. Dit is was Microsoft met de XBox 360 en Sony met de PS3 doen.

Ik benieuwd hoe de mensen regeren die hier blaten dat Linux zo'n klein percentage gebruikers heeft en zich druk maakt over niets dadelijk de gene zijn die geen illegale versie van Windows meer kan installeren.

Aan de ene kant zou ik het niet eens zo erg vinden als secure boot niet uit te zetten zou zijn. Linux gebruikers weten er altijd wel een weg omheen te vinden in vorm van bijvoorbeeld Coreboot. Dan zijn we als Linux gebruikers ook direct van EFI het DRM BIOS af.

[...]
Niet alleen je, maar ook Microsoft.
Ik ben er erg sterk van overtuigt dat dit hele mechanisme pure DRM is.
Er zijn zoveel andere mogelijkheden om een OS rootkit vrij te maken. Je kunt er een virtualisatie laag tussen voegen die er voor zorgt dat geen rootkit geïnstalleerd kan worden. Dit is was Microsoft met de XBox 360 en Sony met de PS3 doen.

Volgens mij gaat secure boot om de volgende dingen:
- linux en andere niet-windows os-en dwars zitten
- opstapje naar DRM, inderdaad
- volgende versie Windows Genuine Advantage
- afdwingen gelicenseerde software: als je een gecertificeerde Windows kunt afdwingen, kun je vast, in de nabije toekomst, ook wel gelicenseerde Adobe, Photoshop enz. afdwingen.
- die lastige, slecht te traceren gebruiker, via een geregistreerde aanschaf met naam en adres traceren, via een (uniek?) certificaat variant. En aanspreken en "beboeten" als ie niet gecertificeerde en gelicenseerde software installeert. Waarom anders ACTA met al zijn netwerk monitoring en gebruikers zonder de rechter "boetes" willen opleggen?

Ja, ik ben wantrouwig. En al sinds ongeveer 1998 zonder virussen enz., tot nu toe, op mijn pc. dus ik denk daadwerkelijk zonder secure boot te kunnen.

Er zijn zoveel andere mogelijkheden om een OS rootkit vrij te maken. Je kunt er een virtualisatie laag tussen voegen die er voor zorgt dat geen rootkit geïnstalleerd kan worden

Of een rootkit killer in de uefi

De grap is dat het vroegah altijd zo was. Software (OS) werd voor een specifiek apparaat geschreven. Apple ontwikkelde zijn eigen systemen, Amiga deed dat, Commodore liep destijds ook nog goed en IBM ontwikkelde zijn eerste computers. Deze laatste had er echter geen goed OS voor en benaderde een klein bedrijfje genaamd "Microsoft" die Windows schreef voor IBM.

De rest is geschiedenis, Windows werd populair, IBM was een aantal patentjes vergeten waardoor er kloon pc's op de markt kwamen, bekend als "IBM compatible". Feitelijk bestaat deze situatie nog steeds en is elke pc/zelfbouw bak een IBM kloon. En omdat daar van oudsher Windows op heeft gedraaid zijn we het normaal gaan vinden dat Windows op alle pc's draait.

Iets soortgelijks zie je bij mobiele telefonie. Eerste smartphones kwamen met verschillende OS'en voor verschillende toestellen. Inmiddels is een groot deel van de markt voor Google Android dat op meerdere systemen draait. Op dit moment zijn er knutselaars bezig met dual boot telefoon, WM op een Android foon etc maar feit blijft dat de fabrikant er een standaard OS bij levert. Dus wat hier het grote probleem is weet ik niet, het is een situatie die al dertig jaar bestaat.

Euhm ... Windows is door MS nooit onwtikkeld voor IBM. MS heeft wel met MS DOS de basis gelegd voor de IBM compatible en heeft daarna met IBM onder meer aan OS/2 gewerkt. Windows was een losstaand product en Win NT is er uiteindelijk gekomen nadat er een breuk was ontstaan tussen MS en IBM.

En wat hier het probleem is? Wat dacht je van een beperking van de keuzevrijheid? Op een Apple kan je perfect Windows of Linux installeren, op elk systeem kan je kiezen welk compatibel OS je er op wenst, maar met Secure Boot heeft MS eindelijk een mogelijkheid in handen om de grootste concurent op het PC platform buiten spel te zetten. Het zal de eerst komende jaren nog niet gebeuren, maar voor het decenium over is zullen we moeten kiezen tussen systemen met en zonder Secure Boot. Ofwel Windows only en no-windows.

Ik vrees ook dat overijverige security officers binnen grote bedrijven zullen verbieden om secure boot uit te schakelen. En dan ben je nergens meer als ICT-er die graag linux erbij heeft.

ach ja secureboot sterft een stille dood niemand wil dit hebben het is belangerijker om mensen eens wat te leren ipv ze onewtend te houden geef een cursus van 50 euro voor de pc bij de pc ofzo als mensen weten wat veiliger is hebben we al die onzin ook niet nodig.

Ik denk dat secure boot op de meeste PC's aan blijft staan en dus de bescherming tegen rootkits wel degelijk omhoog gaat.
Waarom zou een gebruiker in de BIOS duiken als zijn installatie gewoon werkt? De geschatte 95% van de gebruikers wil helemaal geen dual boot, ze willen gewoon dat Windows werkt. Dat soort mensen wil ook helemaal geen cursis, ze willen gewoon een werkende PC.

Daarnaast heb je nog een keer de zakelijke markt waar ik zelf in zit. Onze systeembeheerders zien die Uefi graag komen! Dan kunnen ze ook gaten voor rootkits dichttimeren. Alle standaard productie en kantoor machines waar alleen Windows op draait, daar komt secure boot op met een BIOS passwoord.

Mensen die wel een dual boot of ander OS nodig hebben kunnen het aanvragen, no problem. Beschermt het mooi 95% van onze gebruikers en die anderen weten inderdaad vaak wat wel en niet slim is.

Kun jij je de rel voorstellen als mensen verplicht een cursus zouden moeten volgen? En over welk os zou het moeten gaan?
Er zijn nu ook genoeg tutorials over hoe je booten van cd of usb aan zet, straks komt daar gewoon een stukje bij over uitzetten van beveiliging.

(of misschien verdwijnt een deel van de weerstand tegen signen van gpl code en worden er een aantal standaard kernels gesigned)

heb ik het woord verplicht gezegd komop we weten allemaal dat ouderen en jongeren en velen ertussenin niet weten dat een virus scan enzovort nutteloos is als je zelf zooi gaat instaleren.
ik denk dat ouderen het zelfs graag doen die worden verplicht ites onbekends te gebruiken voor bankieren en ga zo maar door maar ze hebben het nooit geleerd.

kinderen zouden het ook meer op school moeten krijgen aangezien het in de toekomst alleen maar erger word.
velen ouderen worden nu gewoon oplicht door bedrijven als symantec die ze jaarcontractjes aansmeren di vervelgens niet echt veel doen maar ouderen willen nou eenmaal dat veilige gevoel al is het schijn.
leer je ze dat met een goedkope cursus die bij de pc inbetaald word hebben ze al minder snel behoefte aan dure software en laten ze zich niet tillen door de miljoenenbedrijven.

velen ouderen worden nu gewoon oplicht door bedrijven als symantec die ze jaarcontractjes aansmeren di vervelgens niet echt veel doen maar ouderen willen nou eenmaal dat veilige gevoel al is het schijn.
leer je ze dat met een goedkope cursus die bij de pc inbetaald word hebben ze al minder snel behoefte aan dure software en laten ze zich niet tillen door de miljoenenbedrijven.

Scanners zoals Symantec hebben zeker wel een meerwaarde, niet echt veel doen? volgens weet jij niet dat een virus scanner ook nut heeft en wel zeker 90% van de troep op een computer tegen houd. Als je je eigen verhaal hier boven nog even na leest, valt het je zelf niet op hoe onrealitisch jij bent? (naast de lading schrijf fouten)

Daarnaast kunnen root kits/virus'en overal bij mee komen, wie weet zijn ze gebind aan een dood normale office installer die je buurman of jij zelf hebt liggen, een virus scanner bied in zo'n geval het voordeel, op het blote oog zijn gebinde virus'en bijna nooit zichtbaar.
Deze brengen ook niet zo even veranderingen aan maar installeren zich veilig in je systeem en blijven onder de rader, beveiliging zoals secure boot voorkomt in iedergeval installatie in de uefi.

Nou dat hoeft helemaal niet hoor.

Kijk iemand die prima met Windows kan en wil werken, en niet de behoefte heeft om een ander OS via dual boot te gebruiken, heeft er toch mooi een extra beveiligingsfeature bij.

Als de ontwikkelaars bij Microsoft hun werk blijven verbeteren en coding een beetje verder dichtgetimmerd krijgt dan wordt het geheel toch veiliger dan nu het geval is.
Zeker in het bedrijfsleven een zeer goede marketing feature.

De vraag blijft werkt het en is het inderdaad veiliger.

_{Edit: typo's, zinsopbouw}

[Reactie gewijzigd door HANC op 3 november 2011 15:21]

Toch vraag ik mij af waarom ze het niet andersom doen. Dus standaard uit, maar bijvoorbeeld in Windows 1 malig een melding bij een nieuwe start met het advies deze aan te zetten indien men geen ander OS dan Windows wenst.

Omdat Microsoft heeft gezegd dat je het standaard aan moet zetten, wil je het logo "Windows Compatible" (oid) kunnen voeren In tegenstelling tot wat de grote hype lijkt te beweren, heeft MS echter niks gezegd over of het ook permanent aan moet staan of dat gebruikers het uit mogen zetten.

[Reactie gewijzigd door Egrimm op 3 november 2011 13:56]

Dit is wel aangegeven door Microsoft. De optie moet aanwezig zijn en standaard ingeschakeld zijn. De mogelijkheid om het uit te zetten mag daarbij. Dit is al heel vaak aangegeven.

Yeps, en daarom was de hele tamtam die de linux foundation en anderen (ook mensen hier) mee bezig waren, ook geheel ongegrond.
Ze hadden beter eerst kunnen informeren of fabrikanten van plan waren om de optie om secureboot uit te zetten, wilden verwijderen uit de uefi/bios om daarna te gaan gillen als ze dat van plan waren geweest.

Helemaal niet ongegrond.
Als niemand had lopen gillen, dan had Microsoft zijn gewicht in de schaal gelegd bij de vendors. En die hadden dan gewoon gedaan wat MS wilde. En dat is secure boot, zonder optie om het uit te zetten.

De vendors hebben nog altijd de mogelijkheid om hun PRODUCT als een geheel te verkopen, lees: hardware die door een specifiek OS wordt bestuurd (net zoals bij Apple, GSM's, microgolven en auto's). Aangezien er geen enkele hardwarebouwer een monopolie heeft, zouden ze dit perfect wettelijk kunnen doen.

Nogmaals... Microsoft heeft in de voorwaarden aangegeven dat je het WEL uit mag zetten. Nergens is aangegeven dat de optie niet mocht.

De fabrikanten zelf vonden de optie om het uit te zetten niet interesant.

Omdat gebruikers nooit de default zullen veranderen. Het maakt niet uit of je 1 of 100 waarschuwingen en goed bedoelde adviezen op het scherm zet of hoe vaak die verschijnen. Als het werkt zal een gebruiker de default niet aanpassen.

Als secure boot ooit zin gaat hebben moet het dus default aan staan. Je kan het wel optioneel uitschakelbaar maken, zoals Dell en HP hier aangeven, Mensen die Linux draaien zoeken dat knopje wel en zetten het om.

Omdat beginnende/onervaren/niet-zo-slimme gebruikers dit toch niet gaan doen, terwijl dit net degene zijn waar je het net wil hebben aanstaan.

Omdat de gemiddelde gebruiker zich dan waarschijnlijk een hoedje schrikt als er bij de voordelen van secure boot staat dat het veiliger is. Men zal dat dan al snel als een ingebouwde onveiligheid zien. Het andere scenario is dat het genegeerd wordt, waardoor het gehele nut van secure boot onderuit gehaald wordt. De gemiddelde gebruiker zit niet vaak in zijn bios/uefi.

Hoewel dit wellicht niet direct ideaal is voor de marktpenetratie van Linuxdistro's die zich op direct op de thuisgebruiker richten, is het wel nog altijd zo dat het merendeel van de Linuxdistro's in ieder geval geïnstalleerd wordt door een handig neefje of handige buurjongen (om maar even in het ietwat genderspecifieke cliché te blijven hangen). Dan is secure boot uitschakelen in uefi een fluitje van een cent.

Omdat de gemiddelde gebruiker dat dan niet doet.

Het zijn de powerusers die het uit zouden willen hebben, daarvan kun je wel verwachten dat ze wat aanpassen.

Zo wordt SecureBoot een Microsoft Windows-only feature.
Ik wil zelf de mogelijkheid hebben om keys toe te voegen, zodat ik zelf kan kiezen welke softwarebouwer ik wil vertrouwen.

Die mogelijkheid is er ook. 't Is alleen de vraag of Linux-distributies er gebruik van gaan maken

Hoe dan? Volgens mij zal je iedere moederbord/bios fabrikant moeten overtuigen.
Dan nog zal het onmogelijk zijn om alle keys voor ieder mogelijk OS op te nemen. Dat zou ook een beetje voorbij gaan aan het punt van SecureBoot.
Ik wil dus zelf kunnen bepalen welke keys er op mijn computer komen te staan.

Nee, die mogelijkheid is er niet voor jou als user als ik het verhaal begrijp. Die keys zitten ingebakken in je UEFI flash image. Dan zou je zelf een image moeten kunnen bouwen, maar zonder sources gaat dat niet lukken lijkt me.

Goed, zolang ik hem mag eisen voor mijn PC. Ik ga geen een kopen als het geen secure-boot heeft. Suces met jullie Linux dual-boot. Veiligheid is voor mij belangrijker. Als ik Linux wil, draai ik hem in HyperV in Windows 8. Storm in een glaasje water zeg.

Dat is jouw goed recht, jij moet daar natuurlijk voor kunnen kiezen, net als dat ik ervoor moet kunnen kiezen om een PC te kopen waar ik een alternatief besturingssysteem op te draaien zonder 30 à 80 euro te betalen voor Windows. Dat is nu ook nauwelijks te doen, maar laten we er voor waken dat het niet nog moeilijker gemaakt gaat worden om te kunnen kiezen...

En dat is veilig? Meeste virussen/rootkits e.d zijn er voor MS Windows. Zal vast wat te maken hebben met marktaandeel ja maar ook een deel door de verschillen in systeemontwerp.

En iets virtualiseren werkt nooit zo goed als het "echt" draaien. Fuck it, ik koop vanaf nu alleen maar System76 machines.

Veiligheid en Windows, laat me niet lachen..

edit
Eigelijk is je reactie gewoon bekrompen. Omdat JIJ (schijn)veiligheid wilt moet de rest van ons er maar onder lijden? The needs of the many outweigh the needs of the few. Secure boot, niks mis mee maar dan moet 't wel uit te schakelen zijn.
Niet iedereen (tenminste mensen die weten wat ze doen met een PC ) hoeven te lijden onder de acties van niet zo kundige mensen

[Reactie gewijzigd door sfranken op 3 november 2011 14:55]

Dat Dell en HP dit doen verbaast mij niks, ze zijn zelf betrokken bij het Linux project. Het zelfde antwoord zal van IBM ook wel komen.

IBM maakt volgens mij geen laptops/desktops meer. Dat hebben ze aan lenovo verkocht.

Natuurlijk juich ik dit toe. Ik draag Linux een warm hart toe.

Ik denk echter dat het ook een hoop problemen verkomt. Als Secure Boot aan staat en niet kan worden aangepast krijg je veel mensen aan de lijn die gaan klagen dat ze een bepaald OS niet kunnen installeren wat uiteindelijk weer tot klachten, escalaties en ontevreden mensen uitloopt. Het doet de naam van een bedrijf geen sier aan. Aangezien Microsoft het ook niet eist zullen veel van de kant-en-klaar leveranciers (hopelijk) kiezen voor een systeem zonder Secure Boot actief.

Dat de mogelijkheid om secure boot uit te schakelen er zou komen was niet veel twijfel over, lijkt me. Waar je je (afhankelijk van hoeveel waarde je er aan hecht) wel zorgen om kan maken is hoe moeilijk het wordt straks voor een leek om een ander OS te installeren.

Eventjes een live-CD booten kan dan niet meer zonder te weten met welke magische toetscombinatie je in het BIOS/UEFI setup scherm terecht komt en welke optie je dan moet gaan togglen.

Misschien dat het onrealistisch is om te verwachten dat het installeren van een ander OS ooit zo makkelijk wordt dat een leek dat gewoon even gaat doen, maar met deze oplossing zal dat dus sowieso nooit makkelijk worden. Ik kan me voorstellen dat de FSF en Linux Foundation zich er zorgen om maken.

[Reactie gewijzigd door Aphax op 3 november 2011 14:00]

[...] Waar je je (afhankelijk van hoeveel waarde je er aan hecht) wel zorgen om kan maken is hoe moeilijk het wordt straks voor een leek om een ander OS te installeren.

Eventjes een live-CD booten kan dan niet meer zonder te weten met welke magische toetscombinatie je in het BIOS/UEFI setup scherm terecht komt en welke optie je dan moet gaan togglen.
[...]

Dat is dan erg gemakkelijk een paar tientjes verdienen, als tweaker, even het UEFI bios in, secure boot uit, linux of windows vanaf gekocht dvd-tje installeren ...

Denk niet dat er veel gaat veranderen... die magische toets wordt waarschijnlijk nog gewoon in het opstartscherm getoond (press Fx for boot options) en in het bios/uefi kom je er ook wel uit (dat kunnen mensen nu ook, dus mag je er vanuit gaan dat ze het straks ook kunnen).
Dus als de linux foundation zich daar al zorgen om maakt, raad ik ze aan om nu gelijk aktie te ondernemen voor de huidige generatie pc's of zich af te vragen of ze gebruikers die dat nu ook niet kunnen, uberhaupt een setup willen laten uitvoeren.

een live cd begint toch niet te rommelen in je bootloader?
ik dacht dat secure boot verhindert dat je bootloader overschreven wordt

of heb ik het mis? iemand uitleg?

Zover ik het begrijp moet alles wat geboot wordt geverifieerd worden aan de hand van een (public) key die die in je firmware ingebakken zit, of dat nou van een USB stick, HDD of CD/DVD is zou niet uit moeten maken

Klopt je kan nog rustig je hardeschijf kunen benaderen voor rescue doeleinde.. Alleen je bootloader/bootsector kun je niet benaderen...

Kan me nog herrinneren dat je Vroegah ook die optie had in de bios om bootsector Virus aan te zetten of uit te schakelen

Dat hebben de biossen nu al, dat heet (vaak) "master boot record protection". Secureboot gaat forceren dat alleen geboot wordt als de software is gesigned door partij x.

Secureboot werpt inderdaad een barriere op voor live-cd's. Momenteel kun je de grootste leek een CD geven en ze kunnen booten.

Of zelfs kiezen voor de optie om te installeren, het installatieprocess kan de gebruiker vervolgens door ales heen loodsen, dus ook informatie geven over de eventuele master boot record beveiliging en hoe je die uit kunt schakelen voor jouw specifieke bios.

Een live-cd start met secureboot geheel niet op, je kunt de gebruiker dus ook niet eenvoudig informeren. Dus moet je een boekwerkje mee gaan leveren, of verwijzen naar een website waar de gebruiker zelf moet opzoeken hoe hij voor zijn bios de secureboot uit moeten zetten.

Eventjes een live-CD booten kan dan niet meer zonder te weten met welke magische toetscombinatie je in het BIOS/UEFI setup scherm terecht komt en welke optie je dan moet gaan togglen.

Lijkt me een mooie taak voor Tweakers.net en soortgelijke sites: Howto disable secure boot

Tuurlijk is en blijft dit een mogelijkheid. Denk je nou echt dat pc makers dat zouden verbieden?

Goed nieuws! Nu is het mogelijk om de boel dicht te timmeren als je dat wil (en voor 80% van de thuis gebruikers geld natuurlijk hoe minder mogelijkheden tot malware hoe beter) maar voor de overige 20% blijft Linux een mooie optie. Mocht op termijn Linux meer markt aandeel verkrijgen dan is er iig geen kunstmatige barriere gecreeerd