Windows 8 ו- UEFI. הרקע המסוכן של Windows 11 ו- TPM

סדרת מאמרים זו משרתת שתי מטרות. הראשון הוא הוכיחו כי Windows 11 היא הזדמנות מצוינת להרחיב את שוק לינוקס. השני, להזהיר זאת אם לינוקס לא תנצל את ההזדמנות הזו, נוכל לחזור 30 שנה אחורה לימים האפלים של הפללת מחשבים.

ב מאמר קודם נתתי את דעתי כי מיקרוסופט, הלומדת מהטעויות של IBM, מנסה לאשר מחדש את עליונותה על פני משתמשים, לדרוש מהם איזו חומרה לקנות, ועל יצרני חומרה, לקבוע אילו מהם יכולים להריץ או לא.

עכשיו אני רוצה להזכיר לך את התקדמות. מדרישה של מיקרוסופט ש- Linux לא ידעה או יכולה להתמודד איתה.

Windows 8 ו- UEFI. מודול הדיסקורד

באוקטובר 2012 הכריזה מיקרוסופט על השקת Windows 8. הוא גם אמר שמחשבים שהתכוונו להביא אותו מותקן מראש צריכים להשתמש ב- UEFI במקום ב- BIOS.

מהו UEFI?

UEFI הוא ראשי התיבות באנגלית עבור ממשק קושחה Unified Extensible Firmware או Unified Extensible Firmware Interface. תפקידו להפעיל את כל החומרה המחוברת למחשב ולהפעיל את מערכת ההפעלה. למעשה, אנו יכולים לראות בה מערכת הפעלה מופחתת האחראית על אתחול לוח האם של המחשב ורכיבי חומרה קשורים. במילים אחרות, ממשק זה אחראי לטעינת מטען אתחול ספציפי בזיכרון הראשי. זה יהיה זה שיזם את פעולות ההפעלה השגרתיות. בסיום נראה את מסך הכניסה שיאפשר לנו להשתמש במערכת ההפעלה.

כמו במקרה של TPM, לא רק כל מחשב היה תואם ל- UEFI. יש צורך בקושחה מיוחדת בלוח האם. קושחה זו משתמשת בממשק UEFI כשכבה או שכבה תפעולית הפועלת כמתווך בין הקושחה עצמה לבין מערכת ההפעלה. הקושחה נמצאת על שבב זיכרון שבו היא נשמרת. גם כאשר יש הפסקת חשמל.

• ממשק משופץ וקל להבנה.
• טעינת מערכת מהירה יותר.
• תמיכה במערכת קבצים GPT.
• נצל את מלוא האפשרויות של מעבדי 64 סיביות.
• תכנות קל (שימוש בשפת C).
• התחלה ועדכון מרחוק.
• ניתן לשחרר מנהלי התקנים לפני מערכת ההפעלה.

בינתיים הכל טוב. אבל לנחש שמאחורי התפוח היו שני שמות: אתחול מאובטח

מהו אתחול מאובטח?

אתחול מאובטח הוא תכונה שהוצגה לראשונה עם Windows 8, ונכללה כחלק מ- Windows 10. מיקרוסופט דרשה בתחילה מהיצרנים להתקין מראש את מערכת ההפעלה שלהם כך שלמשתמשים תהיה אפשרות להשבית אותה, אפילו עם Windows. דרישה זו נעלמה

זה עזר כביכול למנוע הפעלה של תוכנות זדוניות בעת הפעלת מחשב. בפועל זה הקשה על אתחול הפצות לינוקס במצב Live.

כאשר המחשב מופעל, אתחול מאובטח מאמת את החתימה של כל תוכנת אתחול, כולל מנהלי התקני UEFI, יישומי EFI ומערכת ההפעלה. אם החתימות תקפות, המחשב האישי והקושחה מוותרים על השליטה למערכת ההפעלה.

על היצרן לאחסן את מאגרי הנתונים החתימים המאומתים בזיכרון RAM בלתי נדיף.קושחה il. זה כולל את מסד הנתונים של החתימה (db), את מסד הנתונים של החתימה המבוטלת (dbx) ואת מסד הנתונים של מפתח ההרשמה (KEK).

מסד הנתונים של החתימות (db) ומאגר הנתונים של החתימה המבוטלת (dbx) מפרט את החותמים או מקבצי התמונות של יישומי UEFI, מעמיסי מערכות הפעלה (כגון מטעין מערכת ההפעלה של Microsoft או מנהל קבצים). אתחול) ומנהלי התקן UEFI הניתנים לטעון על התקן. הרשימה המבוטלת מכילה פריטים שאינם מהימנים עוד ואינם ניתנים לטעון.

מסד הנתונים של מפתח ההרשמה (KEK) הוא מסד נתונים מפתח חתימה נפרד שניתן להשתמש בו לעדכון מסד הנתונים של החתימה ומאגר החתימות המבוטל.. מיקרוסופט דורשת לכלול מפתח ספציפי במסד הנתונים של KEK כך שבעתיד מיקרוסופט עשויה להוסיף מערכות הפעלה חדשות למסד הנתונים של החתימות או להוסיף תמונות רעות ידועות למאגר החתימות המבוטל.

קרא שוב את הפסקה האחרונה. ואתם תבינו למה אני מתכוון בסיכון של כלי דם טכנולוגיים.

במאמר הבא נראה כיצד הפצות לינוקס פתרו את הבעיה.