Archive

Articles taggués ‘uefi’

Les positions de Canonical, Red Hat et de la Linux Foundation sur le Secure Boot

06/11/2011 Aucun commentaire

Récemment ces 3 acteurs majeurs du monde du Logiciel Libre et de l’OpenSource, ont communiqué sur l’éventuelle mise en place d’une procédure de boot sécurisée par les constructeurs. Ceci afin d’être compatible avec les prérequis de Microsoft pour la commercialisation de son futur Windows 8.
Si vous avez lu les 2 précédents billets sur le sujet vous êtes désormais familier avec ce qui nous attend.

Red Hat et Canonical ont écrit un livre blanc commun sur le sujet. Ce livre peut se résumer à un ensemble de recommandations que les 2 sociétés adressent aux constructeurs. Dans le même temps la Linux Foundation a édité le même genre de document avec le même but.

Les 2 documents ont une approche beaucoup plus constructive que ce que l’on pourrait penser de prime abord. Plutôt que de stigmatiser l’UEFI et son mode de boot sécurisé, les 3 entreprises prennent en quelque sorte le parti de Microsoft dans sa quête de plus de sécurité sur le poste de l’utilisateur.
Il est juste de reconnaître de bonnes intentions à Microsoft, dans leur volonté de renforcer la sécurité du processus de lancement des systèmes d’exploitation. En revanche et je cite Canonical et Red Hat :

« Les spécifications de l’UEFI pour un boot sécurisé ne définit pas qui contrôle les restrictions lors du boot sur les plateformes UEFI, laissant la décision au constructeur de la plateforme, du schéma de sécurité à utiliser.Malheureusement,les recommandations d’implémentation de Microsoft en matière de boot sécurisé ôtent du propriétaire du matériel ( NDLR : nous en l’occurrence ) tout contrôle sur le système, et pourraient empêcher les systèmes d’exploitation open source de fonctionner. Les prérequis de Windows 8 pour le boot sécurisé vont forcer les OEMs à implémenter le boot sécurisé de cette manière. »

En résumé ils déplorent le fait que le choix ne sera pas laissé à l’utilisateur final d’activer ou non cette fonctionnalité. C’est pour cela que plutôt que de dénoncer le système dans son intégralité, la Linux Foundation et Red Hat/Canonical, proposent aux constructeurs de donner la possibilité à l’utilisateur final, d’établir lui même sur son propre système, une liste des systèmes d’exploitation qui seront autorisés à démarrer sur sa machine. Ils demandent également que l’activation du boot sécurisé soit laissé à l’appréciation de l’utilisateur.
Pour cela ils s’appuient sur le fait que les spécifications de l’UEFI ne déterminent pas qui doit être en charge de l’implémentation des clés ( OEMs, utilisateurs finaux …. ). Seul Microsoft décide derechef que cette tâche doit incomber exclusivement aux constructeurs.

Je vous propose donc de lire les documents de la Linux Foundation et de Red Hat/Canonical qui vous donneront de manière exhaustive tous les détails sur l’implémentation du boot sécurisé et comment les utilisateurs de GNU/Linux ou autre ( BSD … ) peuvent en tirer avantage. Ceci bien entendu partir du moment où leurs recommandations sont prises en compte …

Je profite également de ce billet pour vous annoncer la naissance d’un mouvement destiné à lutter contre ce nouvel abus de position dominante de Microsoft : Libraboot.
Nous sommes en pleine constitution d’une association afin de faire valoir nos droits. Un forum existe également ainsi qu’un channel irc : #libraboot sur Freenode. Nous vous attendons nombreux.

Tags: , , , ,

Boot securisé et UEFI, les explications de Matthew Garrett

27/09/2011 Aucun commentaire

Je vous livre ici la traduction que je viens de terminer, d’un article paru sur le blog de Matthew Garrett développeur chez Red Hat, et qui nous livre quelques explications sur le futur mode de boot des PCs dits « Windows8 Certified ». Cet article est la 2e partie d’un dossier qu’il a rédigé sur l’UEFI et dont vous trouverez la première partie ici.

Microsoft a répondu aux interrogations qui suggèrent que Windows 8 rendra difficile le boot de systèmes d'exploitation alternatifs. Ce qui est intéressant, c'est qu'à aucun moment ils ne contredisent quoi que ce soit que j'ai dit. Telles que sont les choses, les systèmes certifiés Windows 8 rendront difficiles voire impossibles l'installation de systèmes d'exploitation alternatifs. Mais regardons cela de plus près.

Nous avons pris conscience de ce problème au début Août, chez Red Hat, nous avons mené des discussions avec d’autres fournisseurs de Linux, de matériel, et de BIOS. Nous voulions être sûrs que nous comprenions bien les tenants et les aboutissants de cette politique, dans le but d’éviter de déclarer des choses qui ne seraient pas appuyées par des faits. Voici ces faits :

  • La certification Windows 8 nécessite que le matériel soit livré avec le mode de boot sécurisé de l’UEFI activé.
  • La certification Windows 8 ne nécessite pas que l’utilisateur ait pas la possibilité de désactiver cette option de l’UEFI, et nous avons déjà été informés par les fournisseurs de matériel, que certains systèmes n’auront pas cette possibilité.
  • La certification Windows 8 ne nécessite pas que le système embarque d’autres clés que celles de Microsoft.
  • Un système qui serait livré avec le mode de boot sécurisé de l’UEFI activé, et qui n’embarquerait que les clés de signature de Microsoft ne pourra charger de manière sécurisée que les systèmes de Microsoft.

Microsoft bénéficie d’une position dominante sur le marché des systèmes d’exploitation dits de « bureau ». Malgré l’énorme retour d’Apple au cours de la dernière décennie, leurs parts de marché ne dépasse pas les 5 %. Linux est bien en dessous de ça. Microsoft détient facilement plus de 90 % du marché. La concurrence dans ce secteur est rude, et les fournisseurs saisiront la moindre opportunité. Cela inclut le logo du programme Windows, programme au travers duquel Microsoft distribue des « récompenses » aux constructeurs qui vendent du matériel répondant aux critères de leur certification. Les constructeurs qui choisissent de ne pas suivre ces prérequis de certification, seront désavantagés sur le marché. Donc c’est bien aux constructeurs de choisir de suivre ou non les critères de certification, mais la position dominante de Microsoft signifierait une baisse des ventes en disant non.

Pourquoi est-ce un problème ? Parce qu’il n’existe pas d’autorité centrale de certification pour les clés UEFI. Microsoft peut exiger que les constructeurs de matériel incluent leurs clés. Leurs concurrents eux ne peuvent pas. Un système livré avec les clés de signature de Microsoft et aucune autre sera incapable de mener à bien un boot sécurisé d’autres systèmes d’exploitation que ceux de Microsoft. Aucun autre fournisseur a le même pouvoir sur les constructeurs de matériel. Red Hat est incapable de s’assurer que chaque vendeur OEM n’inclut leur propre clé. Ni Canonical. Ni Nvidia, ou AMD ou n’importe quel autre fabricant de composants pour PC. L’influence de Microsoft dans ce secteur est même supérieure à celle d’Intel.

Qu’est-ce que ça signifie pour l’utilisateur final ? Microsoft proclame que que le client a les pleins pouvoirs sur son PC. Cela est vrai, si par « client » ils veulent parler des « constructeurs de matériel ». L’utilisateur final n’a pas l’assurance de disposer de la possibilité d’installer de nouvelles clés de signature dans le but de lancer, de manière sécurisée, le système d’exploitation de son choix. L’utilisateur final n’a pas l’assurance de désactiver cette fonctionnalité. L’utilisateur final n’a pas l’assurance que son système embarquera les clés qui seront nécessaires pour changer sa carte graphique en passant d’un constructeur à un autre, ou remplacer sa carte réseau en ayant toujours la possibilité de booter depuis le réseau, ou installer un nouveau contrôleur SATA qui reconnaitra son disque dur dans le firmware. L’utilisateur final n’a plus le contrôle total de son PC.

Si Microsoft voulait sérieusement donner l’entier contrôle à l’utilisateur final, ils feraient en sorte que les systèmes soient livrés sans clés installées. L’utilisateur aurait alors la possibilité de prendre sciemment la décision de limiter la flexibilité de son système et d’installer les clés. L’utilisateur serait alors informé de ce qu’il gagne et de ce qu’il abandonne.

L’ironie finale ? Si l’utilisateur n’a pas de contrôle sur les clés installées, l’utilisateur n’a aucun moyen d’indiquer qu’ils ne font pas confiance aux produits Microsoft. Ils peuvent faire en sorte d’empêcher leur système de lancer des logiciels malveillants. Ils peuvent faire en sorte d’empêcher leur système de lancer Red Hat, Ubuntu, FreeBSD, OS X ou n’importe quel autre système d’exploitation. Mais ils ne peuvent pas faire en sorte d’empêcher leur système de faire tourner Windows 8.

Les réfutations de Microsoft s'appuient entièrement sur des faits. Mais elles sont également trompeuses. La vérité est que les agissements de Microsoft enlève le contrôle de l'utilisateur final pour le placer dans les mains de Microsoft et des constructeurs de matériel. La vérité est que cela rend bien plus difficile la possibilité de faire tourner quoi que ce soit d'autre que Windows.
la vérité est que le boot sécurisé de l'UEFI est une fonctionnalité précieuse et plus qu'intéressante dont Microsoft détourne l'usage pour asseoir un peu plus son emprise sur le marché. Et la vérité est que Microsoft n'a même pas tenté d'apporter des contre-arguments.

Voila en lisant ce texte vous comprendrez bien le degré d’urgence à intervenir. Je ne saurais trop vous enjoindre à vous inscrire sur la liste de Philippe Scoffoni afin que nous puissions discuter tous ensemble des actions à mener pour contrer cette absurdité.

Tags: , , ,
Categories: Linux et Open-Source