アカウント名:
パスワード:
セキュアブートは骨抜きになるということでおk?
セキュアブートはその名の通りブートプロセスを保護するためのものですので、ブートローダーが署名必須なら別に何も変わりません。ブートローダーによって起動されるOSイメージが悪意あるものに乗っ取られていたら、ってのはそもそもセキュアブートの目的範疇外です。
つまり今回骨抜きになったのではなく最初から無意味だと
?
まさか「ブートセクタに感染するウイルス」や「ブートセクタを改竄するウイルス」の存在を知らない方ですか?
WindowsOSなど、OSカーネルなどまでセキュアブート対応のOSでは仮に今回のブートローダーを使って中間に悪意あるプログラムが挟まってからWindowsのブートプロセスが呼ばれても簡単にそれを検出できます。この点で大きな効果は残ります。カーネルなどまで対応する手間をかけたOSは今後もより安全です。
そこで、「その辺の安全性を犠牲にしてでもブートローダーだけの対応で片づけよう」というOSは、それはそれでいいと思いますよ。そういう整理なだけですし、それが都合のいい利用者が使えばいいだけです。
「ブートローダーだけの対応で片付けよう」というのは、今回のUbuntuというか、Canonicalのことを指しているのでしょうか?ご教授お願いします。
別に難しく考える必要はないですよ。
ブートプロセスを保護し、さらにそこから先OSが望む限りまで信頼のチェーンを結べるようにするのがセキュアブートです。ですので、ブートプロセスだけでチェーンを切ってしまうこともできれば、ブートプロセス以降のOSカーネルやドライバ、場合によってはOS全体チェーンをつなぐこともできます。そんだけです。
Ver3で対応しているMicrosoftを見習っているだけでは?
LinuxやBSDでブートパラメタやカーネルが平文のまま保存されている事がセキュリティホールになったと言う話は聞いたことがないのでWindowsがバイナリの設定ファイルで駆動する妙なブートローダを止めればいいと思う。というかブートストラップに干渉できる状態ならそれ以上の不正行為ができてしまう
>Windowsがバイナリの設定ファイルで駆動する妙なブートローダを止めればいいと思う。>というかブートストラップに干渉できる状態ならそれ以上の不正行為ができてしまう
なんか勘違いしているように見えますが、今回のCDブートのために
>Microsoft により署名されたブートローダーから efilinux をチェーンロードして起動する。
について出てくるefilinuxはセキュアブート対応で署名されたバイナリである必要があります。なので、
>Ubuntu 独自の署名サービスは提供せず、ファームウェアに追加する公開鍵のみ提供する予定だという。
と続きます。あなたが>というかブートストラップに干渉できる状態ならそれ以上の不正行為ができてしまうと懸念していることは、「正式に署名までされてるブートローダーバイナリでわざわざ不正行為をする」くらい敷居が高いことで、たとえば「Win-x64の署名済みドライバとして悪意あるバイナリをわざわざ作る」くらい一般的ではありません。※ 後述UFEIセキュアブートでわざわざ悪事を働くモチベーションが低い理由と同じ要素を持ちます。
その先として、いざそういう悪意あるバイナリが出てきた場合、UFEIファームウェアにはセキュアブートに関する鍵管理機能がありますので、悪意あるバイナリが署名に使っている鍵を無効化すればそのバイナリは無力化されます。これもまたセキュアブートのメリットのひとつで、たとえばOSベンダーやメーカーからOS上で動作するUFEIファームウェアの鍵管理部分だけを更新するツールを定期的に取得し、自動化された鍵管理を行うことも可能です(実際やるかどうかは別として)。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
日本発のオープンソースソフトウェアは42件 -- ある官僚
つまり (スコア:2)
セキュアブートは骨抜きになるということでおk?
Re: (スコア:2, 参考になる)
セキュアブートはその名の通り
ブートプロセスを保護するためのものですので、
ブートローダーが署名必須なら別に何も変わりません。
ブートローダーによって起動されるOSイメージが
悪意あるものに乗っ取られていたら、ってのは
そもそもセキュアブートの目的範疇外です。
Re: (スコア:0)
つまり今回骨抜きになったのではなく最初から無意味だと
Re:つまり (スコア:2, 興味深い)
?
まさか
「ブートセクタに感染するウイルス」や
「ブートセクタを改竄するウイルス」の存在を知らない方ですか?
WindowsOSなど、OSカーネルなどまでセキュアブート対応のOSでは
仮に今回のブートローダーを使って
中間に悪意あるプログラムが挟まってからWindowsのブートプロセスが呼ばれても
簡単にそれを検出できます。
この点で大きな効果は残ります。
カーネルなどまで対応する手間をかけたOSは今後もより安全です。
そこで、
「その辺の安全性を犠牲にしてでもブートローダーだけの対応で片づけよう」
というOSは、それはそれでいいと思いますよ。
そういう整理なだけですし、
それが都合のいい利用者が使えばいいだけです。
Re:つまり (スコア:1)
「ブートローダーだけの対応で片付けよう」というのは、今回のUbuntuというか、Canonicalのことを指しているのでしょうか?
ご教授お願いします。
Re: (スコア:0)
別に難しく考える必要はないですよ。
ブートプロセスを保護し、さらにそこから先OSが望む限りまで
信頼のチェーンを結べるようにするのがセキュアブートです。
ですので、ブートプロセスだけでチェーンを切ってしまうこともできれば、
ブートプロセス以降のOSカーネルやドライバ、
場合によってはOS全体チェーンをつなぐこともできます。
そんだけです。
Re: (スコア:0)
Ver3で対応しているMicrosoftを見習っているだけでは?
Re: (スコア:0)
LinuxやBSDでブートパラメタやカーネルが平文のまま保存されている事がセキュリティホールになったと言う話は聞いたことがないので
Windowsがバイナリの設定ファイルで駆動する妙なブートローダを止めればいいと思う。
というかブートストラップに干渉できる状態ならそれ以上の不正行為ができてしまう
Re:つまり (スコア:2, 興味深い)
>Windowsがバイナリの設定ファイルで駆動する妙なブートローダを止めればいいと思う。
>というかブートストラップに干渉できる状態ならそれ以上の不正行為ができてしまう
なんか勘違いしているように見えますが、
今回のCDブートのために
>Microsoft により署名されたブートローダーから efilinux をチェーンロードして起動する。
について出てくるefilinuxは
セキュアブート対応で署名されたバイナリである必要があります。
なので、
>Ubuntu 独自の署名サービスは提供せず、ファームウェアに追加する公開鍵のみ提供する予定だという。
と続きます。
あなたが
>というかブートストラップに干渉できる状態ならそれ以上の不正行為ができてしまう
と懸念していることは、
「正式に署名までされてるブートローダーバイナリでわざわざ不正行為をする」
くらい敷居が高いことで、
たとえば「Win-x64の署名済みドライバとして悪意あるバイナリをわざわざ作る」くらい
一般的ではありません。
※ 後述UFEIセキュアブートでわざわざ悪事を働くモチベーションが低い理由と同じ要素を持ちます。
その先として、いざそういう悪意あるバイナリが出てきた場合、
UFEIファームウェアにはセキュアブートに関する鍵管理機能がありますので、
悪意あるバイナリが署名に使っている鍵を無効化すればそのバイナリは無力化されます。
これもまたセキュアブートのメリットのひとつで、
たとえばOSベンダーやメーカーからOS上で動作する
UFEIファームウェアの鍵管理部分だけを更新するツールを定期的に取得し、
自動化された鍵管理を行うことも可能です(実際やるかどうかは別として)。