Windows 8 та UEFI. Небезпечний фон Windows 11 і TPM

Ця серія статей має дві мети. Перший - це продемонструвати, що Windows 11 - це чудова можливість розширити ринок Linux. Друге - попередити про це якщо Linux не скористається цією можливістю, ми можемо повернутися на 30 років назад у темні часи комп'ютерного васалізму.

В попередня стаття Я висловив свою точку зору, що Microsoft, навчаючись на помилках IBM, намагається підтвердити свою перевагу над користувачами, вимагаючи від них, яке обладнання купувати, і від виробників обладнання, визначаючи, які з них можуть чи не можуть запускати Windows.

Тепер я хочу нагадати вам про попередній період. Від вимоги Microsoft, якої Linux не знав або міг би зіткнутися.

Windows 8 та UEFI. Модуль розладу

У жовтні 2012 року Microsoft оголосила про вихід Windows 8. Він також сказав, що комп’ютери, які мають намір встановити його попередньо встановленим, повинні використовувати UEFI замість BIOS.

Що таке UEFI?

UEFI - це абревіатура англійською мовою для Unified Extensible Firmware Interface або Unified Extensible Firmware Interface. Його функція - запустити все обладнання, підключене до комп’ютера, і запустити операційну систему. Фактично, ми можемо розглядати її як зменшену операційну систему, яка відповідає за завантаження материнської плати комп’ютера та відповідних апаратних компонентів. Іншими словами, цей інтерфейс відповідає за завантаження певного завантажувача в основну пам'ять. Це буде той, який ініціюватиме рутинні дії при запуску. Коли це буде завершено, ми побачимо екран входу, який дозволить нам використовувати операційну систему.

Як зараз у випадку з TPM, не будь -який комп’ютер був сумісний з UEFI. На материнській платі необхідно мати спеціальну прошивку. Ця прошивка використовує інтерфейс UEFI як операційний рівень або рівень, який виступає посередником між самою прошивкою та операційною системою. Прошивка знаходиться на чіпі пам'яті, де вона зберігається. навіть при відключенні електроенергії.

• Оновлений та зрозумілий інтерфейс.
• Швидше завантаження системи.
• Підтримка файлової системи GPT.
• Скористайтесь усіма можливостями 64-розрядних процесорів.
• Просте програмування (використання мови C).
• Віддалений запуск та оновлення.
• Драйвери можна випустити до операційної системи.

Все йде нормально. Але змія за яблуком мала дві назви: Secure Boot

Що таке безпечне завантаження?

Безпечне завантаження-це функція, вперше представлена ​​у Windows 8 і включена до складу Windows 10. Microsoft спочатку вимагала від виробників попередньо встановити свою операційну систему, щоб користувачі мали можливість її вимкнути, навіть у Windows. 10 ця вимога зникла

Це повинно було запобігти запуску шкідливого програмного забезпечення під час запуску комп’ютера. На практиці це ускладнювало завантаження дистрибутивів Linux у режимі Live.

Коли ПК запускається, Secure Boot перевіряє підпис кожного фрагмента завантажувального програмного забезпечення, включаючи драйвери прошивки UEFI, програми EFI та операційну систему. Якщо підписи дійсні, ПК завантажується, а прошивка відмовляється від управління операційною системою.

Виробник повинен зберігати перевірені бази даних підписів у енергонезалежній оперативній пам'яті.чи прошивка. Це включає базу даних підписів (db), базу даних анульованих підписів (dbx) та базу ключів реєстрації (KEK).

База даних підписів (db) та база даних відкликаних підписів (dbx) містять список підписувачів або хешів зображень програм UEFI, завантажувачів операційної системи (наприклад, завантажувача операційної системи Microsoft або файлового менеджера). Boot) та драйверів UEFI, які можна завантажити на пристрою. Відкликаний список містить елементи, яким більше не довіряють і які неможливо завантажити.

База даних ключів реєстрації (KEK) - це окрема база ключів підписів, яку можна використовувати для оновлення бази даних підписів та бази даних відкликаних підписів.. Корпорація Майкрософт вимагає включення певного ключа до бази даних KEK, щоб у майбутньому Корпорація Майкрософт може додавати до бази підписів нові операційні системи або додавати відомі погані зображення до бази даних відкликаних підписів.

Перечитайте останній абзац. І ви зрозумієте, що я маю на увазі під ризиком технологічного васалізму.

У наступній статті ми побачимо, як дистрибутиви Linux вирішили проблему.