UEFI et TPM...Quand Microsoft veut empêcher les OS alternatifs

tshirtman · Le 21/10/2011, à 11:25

Il commence par faire un résumé de la situation, mais j'ai déjà dit des choses équivalentes sur ce fil, mais la partie intéressante est là

There's a pretty simple one. If the problem centres around installing signing keys, why not have a standardised way of installing signing keys?

What we've proposed for this is an extension of the current UEFI standard for booting off removable media. There's a standardised location for putting the bootloader for USB sticks or optical media. For 32-bit PCs, it's EFI/BOOT/BOOTIA32.EFI. For 64-bit, it's EFI/BOOT/BOOTX64.EFI. Our proposal is to specify a path for key storage on the media. If the user attempts to boot off an item of removable media and finds a key file, we would like the firmware to prompt the user to install the key. Once the key is installed, the firmware will attempt to boot the bootloader on the removable media.

ici, il propose une solution, qui serait de mettre les clées sur le média d'installation, et que les UEFI accèptent d'installer des clées (avec confirmation de l'utilisateur), si elles sont à un endroit précis sur une clée usb ou un CD dans l'ordinateur au démarrage. C'est bien plus difficile pour un virus de convaincre un virus de faire une telle manipulation que juste se poser sur le disque, et ça ne change pratiquement rien pour les distributions. Donc red hat va tenter de convaincre ceux qui décident des détails et implémentent l'UEFI de mettre en place cette solution, qui permet à tout le monde, y compris le bricoleur du dimanche, de faire sa propre distribution, en ajoutant sa propre clé, et ne diminue pas le niveau de sécurité apporté par l'UEFI (qui est une bonne chose).

TiBi · Le 21/10/2011, à 17:57

Pour ceux qui seraient intéressés à signer la pétition de la FSF :
http://www.fsf.org/campaigns/secure-boo … /statement

Traduction imparfaite du texte de la pétition :

Nous, sous-signés, demandons à tous les fabricants d'ordinateurs implémentant l'UEFI communément appelé "démarrage sécurisé" de le faire de manière à permettre l'installation de systèmes d'exploitations libres. Pour respecter la liberté des utilisateurs et réellement protéger la sécurité des utilisateurs, les fabriquants doivent soit permettre au propriétaires d'ordinateur de désactiver les restrictions de démarrage, soit fournir un moyen sûr pour installer et faire tourner un système d'exploitation libre de leur choix. Nous nous engageons à ne pas acheter ni recommander les ordinateurs qui priveront les utilisateurs de cette liberté essentielle et nous inviteront activement les gens de nos communautés à éviter de tels systèmes emprisonnés.

Et le texte sous "Email" :

Après avoir envoyé ce formulaire, vous recevrez un email de notre part vous demandant de confirmer votre signature avant de l'ajouter à la pétition. S'il vous plaît noter que la signature ne vous met pas sur la liste de diffusion générale de la FSF, nous ne ferons avec vous que le suivi sur cette question particulière.

Il y a un environ 12500 signataires.

Dernière modification par TiBi (Le 21/10/2011, à 17:58)

sam7 · Le 23/10/2011, à 22:13

a signé ... bien évidemment

connaissez-vous LIBRABOOT http://www.libraboot.org/ ?
(c'est une toute nouvelle association qui oeuvre pour :
- le Libre CHOIX d'une informatique sans verrous
- que soit écrit dans la loi que tous les ordinateurs soient d'office
en multiboot avec obligatoirement au moins un système libre

+ de détails & de précisions dans leur forum :
ils ont besoin de nous ...
http://www.libraboot.org/forum/viewtopic.php?f=37&t=28
voici les différences avec "non aux racketitiels" :
http://www.libraboot.org/forum/viewtopic.php?f=25&t=24

++ http://www.libraboot.org/forum/viewtopic.php?f=20&t=20

La liberté des UNS s'arrête à celles des AUTRES, SI ET SEULEMENT SI celles des AUTRES s'arrête à celle des UNS. SI donc LibraBoot est initié par des Libristes, les objectifs sont eux de mettre des freins a ceux qui enfreignent les lois de la libre concurrence mais qu'ils soient présent, et de faire en sorte que soit facilité le Libre Choix par les utilisateurs informatique EUX MÊMES.

Dernière modification par sam7 (Le 23/10/2011, à 22:16)

kamui57 · Le 26/10/2011, à 12:44

Ça a déjà l'air en place chez HP, quelqu'un rapporte en anglais ne pas avoir pu installer grub sur un pc hp.
http://benjaminkerensa.com/2011/10/23/u … gin-linux/

Hibou57 · Le 26/10/2011, à 13:36

sam7 a écrit :

a signé ... bien évidemment
connaissez-vous LIBRABOOT http://www.libraboot.org/ ?

Je l’aurais bien signé, mais le titre de la pétition, “Stand up for your freedom to install free software”, me semble réducteur. S’il existe une pétition équivalente, défendant la liberté d’installer ce que l’on veut, et pas seulement des logiciels et systèmes FSF, ça m’intéresse par contre.

Pourquoi avoir restreint cette pétition de cette manière ?

Dernière modification par Hibou57 (Le 26/10/2011, à 13:36)

patrick L · Le 26/10/2011, à 15:39

bof en changeant de carte mère on pourrait éviter de mettre ce bios à la noix.

je pense que le probleme serait pour le public qui va en hyper acheter son matos, mais les assembleurs pourraient en faire leur affaire aussi.

et combien dans le public décident de mettre autre chose que leur windows ? ce sont surtout les techniciens qui mettent autre chose et ca devient pas tres compliqué l'installer une carte mere atx... ce ne sont plus que des connecteurs à enficher.

redo_fr · Le 26/10/2011, à 15:47

et quand toutes les cartes mères seront avec UEFI et TPM?

Les constructeurs ne vont pas "s'embêter" à avoir une gamme embarquée avec TPM et des CM nues sans TPM ...

Dernière modification par redo_fr (Le 26/10/2011, à 15:48)

Hibou57 · Le 26/10/2011, à 16:14

Windows 8 : Microsoft répond aux inquiétudes sur le Secure Boot

Le lien ci-dessus a écrit :

Il reste enfin la possibilité que Linux dispose de ses propres clés. Le Secure Boot s’appuie sur une infrastructure à clé publique pour valider la signature du firmware avant de lui donner la permission de s’exécuter et de passer la main au bootloader qui doit lui aussi être signé. Or, Matthew Garrett avait indiqué justement que signer les gestionnaires de démarrage et/ou le noyau Linux serait particulièrement complexe pour plusieurs raisons, dont la GPL elle-même.

Pourquoi ?

Haleth · Le 26/10/2011, à 16:15

Parcque GPL = modifier le code = modifier le hash

tshirtman · Le 26/10/2011, à 16:18

patrick L a écrit :

bof en changeant de carte mère on pourrait éviter de mettre ce bios à la noix.
je pense que le probleme serait pour le public qui va en hyper acheter son matos, mais les assembleurs pourraient en faire leur affaire aussi.

et combien dans le public décident de mettre autre chose que leur windows ? ce sont surtout les techniciens qui mettent autre chose et ca devient pas tres compliqué l'installer une carte mere atx... ce ne sont plus que des connecteurs à enficher.

avec des raisonnements pareils, linux ne risque pas de s'imposer dans le grand public!

Hibou57 a écrit :

Windows 8 : Microsoft répond aux inquiétudes sur le Secure Boot
Le lien ci-dessus a écrit :
Il reste enfin la possibilité que Linux dispose de ses propres clés. Le Secure Boot s’appuie sur une infrastructure à clé publique pour valider la signature du firmware avant de lui donner la permission de s’exécuter et de passer la main au bootloader qui doit lui aussi être signé. Or, Matthew Garrett avait indiqué justement que signer les gestionnaires de démarrage et/ou le noyau Linux serait particulièrement complexe pour plusieurs raisons, dont la GPL elle-même.
Pourquoi ?

Par ce que grub génère le bootloader sur la machine ou il s'installe, pour le signer, la clé (privée) doit donc être sur l'ordi ou on installe, si des clées privées acceptées par les UEFI se baladent dans la nature, tout le monde peut alors signer des virus avec, et tout l'intérêt du secure boot disparait!

Hibou57 · Le 26/10/2011, à 17:14

tshirtman a écrit :

Par ce que grub génère le bootloader sur la machine ou il s'installe, pour le signer, la clé (privée) doit donc être sur l'ordi ou on installe […]

Je ne savais pas. Je vais essayer d’en savoir plus sur ce point à l’occasion.

Merci pour cette info que je ne soupçonnais pas.

torpedolos · Le 26/10/2011, à 17:38

patrick L a écrit :

bof en changeant de carte mère on pourrait éviter de mettre ce bios à la noix.

T'as déjà essayé de changer la carte mère d'un portable ?

Dernière modification par torpedolos (Le 26/10/2011, à 17:39)

patrick L · Le 26/10/2011, à 21:37

ce que dis c'est que beaucoup de gens vont prendre leur Windows 8 sans se préoccuper de pouvoir installer un autre systeme.

ceux qui ont besoin d'avoir un multi boot sont des techniciens qui trouveront bien un truc pour échapper au probleme.

Haleth · Le 26/10/2011, à 21:40

Y'a pas que des "techniciens" qui utilise linux / bsd
Y'a pas aussi des gens qui sont pas des pigeons

Hibou57 · Le 26/10/2011, à 22:03

Il y a, il y a, … faudrait-il encore clairement quantifier ce « il y a » pour qu’il puisse être interprétable.

Il y a des météorites qui tombent sur des maisons… mais ça n’arrive pas tous les jours, et ça change tout.

As-tu une idée de la population qu’ils représentent ? Sinon, Patrick L me semble donner une meilleure image de la réalité. Franchement, en dehors des forums spécialisés, comme celui-ci ici, quand tu dis Ubuntu sur un forum généraliste, tu as toute les chances que personne ne sache ce que c’est, voir confonde ça avec un traitement de texte comme Christine Albanel croit que OpenOffice est un par-feu, ou alors il y en a qui connaissent, et te prennent pour un extra-terrestre.

Des gens qui prennent Ubuntu ou je ne sais quoi pour dire « Je ne suis pas un pigeon », il doit pas y en avoir beaucoup quand‑même. Tu calque ta propre vision des choses sur des gens qui ne la partagent pas… doux rêveur que tu es

Dernière modification par Hibou57 (Le 26/10/2011, à 22:07)

tshirtman · Le 27/10/2011, à 00:24

il ne faut pas inverser les statistiques!

si "95%" de la population sont des utilisateurs basiques et se moquent de linux" est vraie.
"95% des utilisateurs de linux sont des informaticiens ou techniciens" est totalement faux.

Beaucoup d'utilisateurs de linux sont de simples utilisateurs de nos jours, et spécialement sous ubuntu, des gens capables de changer leur cartes mère, y'en a pleins dans les utilisateurs windows, et pleins dans les utilisateurs linux, mais ça n'en fait pas une compétence "de base" dans aucune de ces populations!

Perso, je me considère comme un bon connaisseur, et je monte mes machines, mais si j'ai pas besoin de changer mon bios, je préfère, j'ai autre chose à faire de mes journées! Et je connais pleins de gens qui sont tout à fait capables d'utiliser linux, et pas de faire ça.

Haleth · Le 27/10/2011, à 09:14

Hibou57, il suffit de voir le post du gus de 65 ans qui es sous Ubuntu

Nasman · Le 27/10/2011, à 09:27

Je n'ai jamais ouvert un PC portable, je n'ai jamais changé de carte mère sur un PC ni assemblé mon PC (je ne saurais pas quel matériel choisir) - et pourtant j'ai installé plusieurs dual boot sur portables et fixes ou installé des Linux en monoboot.

Je ne pense pas qu'un linuxien typique doive s'y connaitre au niveau "hard" pour utiliser des OS alternatifs - surtout que dans le cas où il ne souhaiterait pas de dual boot, l'installation à la mode Windows (suivant, suivant...) fonctionne aussi. C'est cette possibilité qui devrait à tout prix être maintenue.

sorrodje · Le 27/10/2011, à 09:42

+1 .. jamais touché au hardware de mes ordis et je ne suis plus tout à fait noob sur OS GNU/Linux

patrick L · Le 27/10/2011, à 14:15

moi je vois dans mon environnement. les gens sont tous sous Windows et le seul qui m'a parlé de linux c'est un technicien informatique qui fait des dépannages. dans ma famille qui ont tous des ordis... y en a deux qui ont installé linux quelque part.

sur le probleme des clefs privées. je pense qu'au pire, on aurait des ordis microsoft + des marques de cartes meres avec le blocage uefi (qui pour avoir lu a l'air au contraire tres bien). et ensuite d'autres constructeurs qui feraient du standard. au début d'internet public on avait aol et son abonnement et son logiciel pour aller sur internet. on connait la suite. si microsoft bloque l'accès à des systemes concurrents et bien il fera comme aol, à savoir rentrer dans le rang.

tout ce qui est fermé et non compatible ca fait que les gens se détournent rapidement de ces produits pour aller voir ailleurs.

si des commerciaux, veulent voir uefi par le petit bout de la lorgnette, pendant un temps les gens acheteront leur ordi windows, qui fonctionnera, mais les consommateurs verront ailleurs et là ca serait pas bon du tout de chercher à les bloquer.

Dernière modification par patrick L (Le 27/10/2011, à 14:24)

Haleth · Le 27/10/2011, à 14:17

patrick L a écrit :

tout ce qui est fermé et non compatible ca fait que les gens se détournent rapidement de ces produits pour aller voir ailleurs.

Ca fait 20 ans et m$ existe encore, je ne pense pas que "rapidement" soit le terme adapté..

tshirtman · Le 27/10/2011, à 16:02

@Patrick L: excuse moi, mais tu n'a pas conscience des réalités je pense!

* beaucoup de non techniciens utilisent linux, et c'est une bonne chose, et il faut que ça continue
* le sécure boot est une bonne chose, dans l'absolue, il ne faut pas se battre contre (on gagnerait pas de toutes façons) mais trouver une solution pour que linux en profite aussi, au lieu de le subir (et il y a des solutions, dont celle que matthew garrett expose dans le billet donc j'ai donné le lien en page précédente).
* les commerciaux se moquent bien que linux tourne sur les machines qu'ils vendent, 95% du marché concerne des utilisateurs ne se posant pas de questions, et utilisant windows.
* si Linux devient plus difficile à installer (enfin, c'est très simple de nos jours, mais les gens ont peur d'essayer et n'ont pas connaissance de l'existence de la chose) ce sera encore moins répendu, et les commerciaux s'en moqueront encore plus, et on aura encore moins de choix de machines.

NooP · Le 27/10/2011, à 20:10

Le vrai problème du boot sécurisé :

Imaginons que nous soyons déjà demain. Microsoft vient de terminer le support de Windows 8. Plus de mises à jour, et l'os après quelques semaines/mois redeviens une vraie passoire et finit par devenir complètement inutilisable, car pourri de virus et autres joyeusetés à chaque connexion au net ...
Et la, vous vous rendez compte que vous n'avez que deux solutions à votre disposition :

1) Jeter votre ancien PC à la poubelle et passer à la caisse pour acheter un nouveau PC équipé de Windows 10, puisque vous ne pourrez pas réutiliser votre matériel avec un autre OS.
2) Passer à la caisse et vous payer la nouvelle version de Windows, tout en sachant presque pertinemment que celui ci ramera sur votre ancienne machine (Ce qui du coups, vous ramène au point 1)

Moralité, dans tous les cas, vous devrez passer à la caisse. Et en étant un peu plus parano : Quel solution vous reste-t-il si Microsoft, une fois le sécure boot implémenté sur la majorité des PC, décide de ne plus supporter ses versions grand public plus de 6 mois. Pas de bol, vous serez alors bons pour passer à la caisse tous les 6 mois.

L'autre point dont personne ne parle, c'est que Microsoft, par ce tour de passe passe, se débarrasse de la notion de vente liée ! Comment argumenter qu'il y a vente liée alors que vous ne pourrez plus utiliser votre matériel avec quoi que ce soit d'autre qu'un produit Microsoft. Car c'est aussi ici le soucis ! Aujourd'hui, on peut parler de vente liée, en argumentant qu'on ne veut pas de l'OS fourni, car on souhaite utiliser un autre OS. Mais demain, quand cet autre OS ne sera pas utilisable, que vous restera-t-il comme argument ?

Dernière modification par NooP (Le 27/10/2011, à 20:13)

tshirtman · Le 27/10/2011, à 21:00

1) Jeter votre ancien PC à la poubelle et passer à la caisse pour acheter un nouveau PC équipé de Windows 10, puisque vous ne pourrez pas réutiliser votre matériel avec un autre OS.

Si, on peut utiliser tout OS signé avec la meme clé, faut juste pas que microsoft change de clé tous les 4 matins, mais bon, en général vu le temps entre deux release de windows, et les augmentations de consomations de ressources, il faut changer de toutes façons. Et si on avait une clé pour un OS libre, on peut continuer à installer les versions suivantes de cet OS libre...

2) Passer à la caisse et vous payer la nouvelle version de Windows, tout en sachant presque pertinemment que celui ci ramera sur votre ancienne machine (Ce qui du coups, vous ramène au point 1)

Ben non pareil, du moment qu'une clé d'OS libre est accepté, tout va bien. C'est ça le soucis du sécure boot, avoir la possibilité de faire confiance à quelqu'un d'autre que Microsoft.

Pourquoi vous vous focalisez sur le problème, et non pas les solutions? Si le sécure boot est compatible avec les OS libres, ce sera une bonne chose pour tout le monde, car notre niveau de sécurité augmentera aussi!

Haleth · Le 27/10/2011, à 21:07

La seule solution valable que j'ai cru lire, c'est : "pouvoir desactivé le secure boot".
Hawi, y'a aussi : "pouvoir ajouter des clés manuellements, facilement".

Intégrer une clé OS libre = tout le monde peut signer ce qu'il veut = useless

Ubuntu-fr

Navigation

Liens de recherche

Annonce

#101 Le 21/10/2011, à 11:25

Re : UEFI et TPM...Quand Microsoft veut empêcher les OS alternatifs

#102 Le 21/10/2011, à 17:57

Re : UEFI et TPM...Quand Microsoft veut empêcher les OS alternatifs

#103 Le 23/10/2011, à 22:13

Re : UEFI et TPM...Quand Microsoft veut empêcher les OS alternatifs

#104 Le 26/10/2011, à 12:44

Re : UEFI et TPM...Quand Microsoft veut empêcher les OS alternatifs

#105 Le 26/10/2011, à 13:36

Re : UEFI et TPM...Quand Microsoft veut empêcher les OS alternatifs

#106 Le 26/10/2011, à 15:39

Re : UEFI et TPM...Quand Microsoft veut empêcher les OS alternatifs

#107 Le 26/10/2011, à 15:47

Re : UEFI et TPM...Quand Microsoft veut empêcher les OS alternatifs

#108 Le 26/10/2011, à 16:14

Re : UEFI et TPM...Quand Microsoft veut empêcher les OS alternatifs

#109 Le 26/10/2011, à 16:15

Re : UEFI et TPM...Quand Microsoft veut empêcher les OS alternatifs

#110 Le 26/10/2011, à 16:18

Re : UEFI et TPM...Quand Microsoft veut empêcher les OS alternatifs

#111 Le 26/10/2011, à 17:14

Re : UEFI et TPM...Quand Microsoft veut empêcher les OS alternatifs

#112 Le 26/10/2011, à 17:38

Re : UEFI et TPM...Quand Microsoft veut empêcher les OS alternatifs

#113 Le 26/10/2011, à 21:37

Re : UEFI et TPM...Quand Microsoft veut empêcher les OS alternatifs

#114 Le 26/10/2011, à 21:40

Re : UEFI et TPM...Quand Microsoft veut empêcher les OS alternatifs

#115 Le 26/10/2011, à 22:03

Re : UEFI et TPM...Quand Microsoft veut empêcher les OS alternatifs

#116 Le 27/10/2011, à 00:24

Re : UEFI et TPM...Quand Microsoft veut empêcher les OS alternatifs

#117 Le 27/10/2011, à 09:14

Re : UEFI et TPM...Quand Microsoft veut empêcher les OS alternatifs

#118 Le 27/10/2011, à 09:27

Re : UEFI et TPM...Quand Microsoft veut empêcher les OS alternatifs

#119 Le 27/10/2011, à 09:42

Re : UEFI et TPM...Quand Microsoft veut empêcher les OS alternatifs

#120 Le 27/10/2011, à 14:15

Re : UEFI et TPM...Quand Microsoft veut empêcher les OS alternatifs

#121 Le 27/10/2011, à 14:17

Re : UEFI et TPM...Quand Microsoft veut empêcher les OS alternatifs

#122 Le 27/10/2011, à 16:02

Re : UEFI et TPM...Quand Microsoft veut empêcher les OS alternatifs

#123 Le 27/10/2011, à 20:10

Re : UEFI et TPM...Quand Microsoft veut empêcher les OS alternatifs

#124 Le 27/10/2011, à 21:00

Re : UEFI et TPM...Quand Microsoft veut empêcher les OS alternatifs

#125 Le 27/10/2011, à 21:07

Re : UEFI et TPM...Quand Microsoft veut empêcher les OS alternatifs

Pied de page des forums