アカウント名:
パスワード:
セキュアブートは骨抜きになるということでおｋ?
セキュアブートはその名の通りブートプロセスを保護するためのものですので、ブートローダーが署名必須なら別に何も変わりません。ブートローダーによって起動されるOSイメージが悪意あるものに乗っ取られていたら、ってのはそもそもセキュアブートの目的範疇外です。
つまり今回骨抜きになったのではなく最初から無意味だと
？
まさか「ブートセクタに感染するウイルス」や「ブートセクタを改竄するウイルス」の存在を知らない方ですか？
WindowsOSなど、OSカーネルなどまでセキュアブート対応のOSでは仮に今回のブートローダーを使って中間に悪意あるプログラムが挟まってからWindowsのブートプロセスが呼ばれても簡単にそれを検出できます。この点で大きな効果は残ります。カーネルなどまで対応する手間をかけたOSは今後もより安全です。
そこで、「その辺の安全性を犠牲にしてでもブートローダーだけの対応で片づけよう」というOSは、それはそれでいいと思いますよ。そういう整理なだけですし、それが都合のいい利用者が使えばいいだけです。
「ブートローダーだけの対応で片付けよう」というのは、今回のUbuntuというか、Canonicalのことを指しているのでしょうか？ご教授お願いします。
別に難しく考える必要はないですよ。
ブートプロセスを保護し、さらにそこから先OSが望む限りまで信頼のチェーンを結べるようにするのがセキュアブートです。ですので、ブートプロセスだけでチェーンを切ってしまうこともできれば、ブートプロセス以降のOSカーネルやドライバ、場合によってはOS全体チェーンをつなぐこともできます。そんだけです。
Ver３で対応しているMicrosoftを見習っているだけでは？
LinuxやBSDでブートパラメタやカーネルが平文のまま保存されている事がセキュリティホールになったと言う話は聞いたことがないのでWindowsがバイナリの設定ファイルで駆動する妙なブートローダを止めればいいと思う。というかブートストラップに干渉できる状態ならそれ以上の不正行為ができてしまう
>Windowsがバイナリの設定ファイルで駆動する妙なブートローダを止めればいいと思う。>というかブートストラップに干渉できる状態ならそれ以上の不正行為ができてしまう
なんか勘違いしているように見えますが、今回のCDブートのために
>Microsoft により署名されたブートローダーから efilinux をチェーンロードして起動する。
について出てくるefilinuxはセキュアブート対応で署名されたバイナリである必要があります。なので、
>Ubuntu 独自の署名サービスは提供せず、ファームウェアに追加する公開鍵のみ提供する予定だという。
と続きます。あなたが>というかブートストラップに干渉できる状態ならそれ以上の不正行為ができてしまうと懸念していることは、「正式に署名までされてるブートローダーバイナリでわざわざ不正行為をする」くらい敷居が高いことで、たとえば「Win-x64の署名済みドライバとして悪意あるバイナリをわざわざ作る」くらい一般的ではありません。※ 後述UFEIセキュアブートでわざわざ悪事を働くモチベーションが低い理由と同じ要素を持ちます。
その先として、いざそういう悪意あるバイナリが出てきた場合、UFEIファームウェアにはセキュアブートに関する鍵管理機能がありますので、悪意あるバイナリが署名に使っている鍵を無効化すればそのバイナリは無力化されます。これもまたセキュアブートのメリットのひとつで、たとえばOSベンダーやメーカーからOS上で動作するUFEIファームウェアの鍵管理部分だけを更新するツールを定期的に取得し、自動化された鍵管理を行うことも可能です(実際やるかどうかは別として)。
BIOSにはMBRの変更を検出する機能があるんだから署名つきEFIブートなんてMSが競合OSを排除する目的しかないroot権限がないとgrubだってBOOTMGRだって操作できないし、rootで何でもできるから無意味
>BIOSにはMBRの変更を検出する機能があるんだから>署名つきEFIブートなんてMSが競合OSを排除する目的しかない
ブートプロセスはMBRだけで済むものではなく、(512バイト程度のプログラマブル容量を持つ)MBRからさらにもう少し大きなブートローダーが起動、必要ならさらにそこから次のブートローダーを、などと繰り返して最終的にOSを起動させていることはご存知ありませんか？
MBRに介入されなくても、上記「2つ目のブートローダー、3つ目の・・・」に介入されるとOSのブートプロセスそのものが乗っ取られます。たとえばMBRはそのままに、そこから本来呼ばれるはずのNTLOADERを乗っ取ればあなたのおっしゃるガードを完全にすり抜けてブートローダーに介入できるんですよ。
>root権限がないとgrubだってBOOTMGRだって操作できないし、>rootで何でもできるから無意味
その「rootでなんでもできる」を防止するのがセキュアブートです。あなたの論調は順番が逆です。
勉強してください。
MicrosoftがCanonicalのブートローダをマルウェアとしてブロックしたら楽しいんだけど。FSFの寄付呼びかけページをギャンブルサイトとしてブロックしたのよりは名目が成り立つだろう。
皮肉のおつもりかもしれませんが、現実に可能性があると思いますよ。率直に言って、Canonicalの今回の対応はセキュアブートの趣旨に外れています。
現実にCanonicalのブートローダを利用したマルウェアが出現すれば、Canonical一社のためにセキュアブートの仕組みを台無しにすることはできませんから、当然証明書をrevokeすることになるでしょう。
セキュアブートのような仕組みは、自分のPCを隅々までコントロールできた古き良き時代の感覚からすると違和感がありますが、これからの時代には必要になってくるのでしょう。Ubuntuがその流れに乗れなければ、排除されるのもやむなしだと思います。
Ubuntuの対応が狂ってるだけでしょ。Windows ならOSもドライバーも署名されたバイナリ以外はじくし、Fedoraもそっちの方向でがんばるって言ってる。
まあ最上位のキーをユーザーがインストールできる時点で、セキュアブートは激しく駄目仕様な気はしますけどおらが買った機械をおらが自由に使えないのは許せん！ってひとが五月蝿いからしょうがないんでしょうね。メーカーがユーザーの意思に反してキーロガーやら何やらを、こっそり仕込んだり絶対にしないと仮定するならばメーカーによる一元管理も悪くない、というかある意味ベストな選択だとは思います。実際、Appleはやってるし。
M＄ とか G@@gle が同じようなことをやろうとすると、とたんに反発されるのが不思議ですね。まあ実際に政府とかの片棒を担いでいろいろやってるケースもあるとか噂されてるんで仕方ないのでしょうけど。
クローズドなH/Wを公開しない事とオープンなH/Wに縛りを入れる事を混ぜないでください。
最近は一周してアンチMSよりMS信者の痛さがまた目立つようになっているようですね。
上のACとは別人ですが、正直あなたがなぜ勝ち誇っているのかぜんぜんわからない。そもそもセキュアブートの技術的意義が理解できていないのでは？
勝ち誇っているとか、技術的意義が理解できないとか判断する根拠がしりたいです。単にそうあって欲しいという願いを書いているだけに見えます。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
アレゲは一日にしてならず -- アレゲ研究家
つまり (スコア:2)
セキュアブートは骨抜きになるということでおｋ?
Re:つまり (スコア:2, 参考になる)
セキュアブートはその名の通り
ブートプロセスを保護するためのものですので、
ブートローダーが署名必須なら別に何も変わりません。
ブートローダーによって起動されるOSイメージが
悪意あるものに乗っ取られていたら、ってのは
そもそもセキュアブートの目的範疇外です。
Re: (スコア:0)
つまり今回骨抜きになったのではなく最初から無意味だと
Re:つまり (スコア:2, 興味深い)
？
まさか
「ブートセクタに感染するウイルス」や
「ブートセクタを改竄するウイルス」の存在を知らない方ですか？
WindowsOSなど、OSカーネルなどまでセキュアブート対応のOSでは
仮に今回のブートローダーを使って
中間に悪意あるプログラムが挟まってからWindowsのブートプロセスが呼ばれても
簡単にそれを検出できます。
この点で大きな効果は残ります。
カーネルなどまで対応する手間をかけたOSは今後もより安全です。
そこで、
「その辺の安全性を犠牲にしてでもブートローダーだけの対応で片づけよう」
というOSは、それはそれでいいと思いますよ。
そういう整理なだけですし、
それが都合のいい利用者が使えばいいだけです。
Re:つまり (スコア:1)
「ブートローダーだけの対応で片付けよう」というのは、今回のUbuntuというか、Canonicalのことを指しているのでしょうか？
ご教授お願いします。
Re: (スコア:0)
別に難しく考える必要はないですよ。
ブートプロセスを保護し、さらにそこから先OSが望む限りまで
信頼のチェーンを結べるようにするのがセキュアブートです。
ですので、ブートプロセスだけでチェーンを切ってしまうこともできれば、
ブートプロセス以降のOSカーネルやドライバ、
場合によってはOS全体チェーンをつなぐこともできます。
そんだけです。
Re: (スコア:0)
Ver３で対応しているMicrosoftを見習っているだけでは？
Re: (スコア:0)
LinuxやBSDでブートパラメタやカーネルが平文のまま保存されている事がセキュリティホールになったと言う話は聞いたことがないので
Windowsがバイナリの設定ファイルで駆動する妙なブートローダを止めればいいと思う。
というかブートストラップに干渉できる状態ならそれ以上の不正行為ができてしまう
Re:つまり (スコア:2, 興味深い)
>Windowsがバイナリの設定ファイルで駆動する妙なブートローダを止めればいいと思う。
>というかブートストラップに干渉できる状態ならそれ以上の不正行為ができてしまう
なんか勘違いしているように見えますが、
今回のCDブートのために
>Microsoft により署名されたブートローダーから efilinux をチェーンロードして起動する。
について出てくるefilinuxは
セキュアブート対応で署名されたバイナリである必要があります。
なので、
>Ubuntu 独自の署名サービスは提供せず、ファームウェアに追加する公開鍵のみ提供する予定だという。
と続きます。
あなたが
>というかブートストラップに干渉できる状態ならそれ以上の不正行為ができてしまう
と懸念していることは、
「正式に署名までされてるブートローダーバイナリでわざわざ不正行為をする」
くらい敷居が高いことで、
たとえば「Win-x64の署名済みドライバとして悪意あるバイナリをわざわざ作る」くらい
一般的ではありません。
※ 後述UFEIセキュアブートでわざわざ悪事を働くモチベーションが低い理由と同じ要素を持ちます。
その先として、いざそういう悪意あるバイナリが出てきた場合、
UFEIファームウェアにはセキュアブートに関する鍵管理機能がありますので、
悪意あるバイナリが署名に使っている鍵を無効化すればそのバイナリは無力化されます。
これもまたセキュアブートのメリットのひとつで、
たとえばOSベンダーやメーカーからOS上で動作する
UFEIファームウェアの鍵管理部分だけを更新するツールを定期的に取得し、
自動化された鍵管理を行うことも可能です(実際やるかどうかは別として)。
Re: (スコア:0)
BIOSにはMBRの変更を検出する機能があるんだから署名つきEFIブートなんてMSが競合OSを排除する目的しかない
root権限がないとgrubだってBOOTMGRだって操作できないし、rootで何でもできるから無意味
Re:つまり (スコア:4, 参考になる)
>BIOSにはMBRの変更を検出する機能があるんだから
>署名つきEFIブートなんてMSが競合OSを排除する目的しかない
ブートプロセスはMBRだけで済むものではなく、
(512バイト程度のプログラマブル容量を持つ)MBRから
さらにもう少し大きなブートローダーが起動、必要ならさらにそこから次のブートローダーを、
などと繰り返して最終的にOSを起動させていることはご存知ありませんか？
MBRに介入されなくても、上記「2つ目のブートローダー、3つ目の・・・」に介入されると
OSのブートプロセスそのものが乗っ取られます。
たとえばMBRはそのままに、そこから本来呼ばれるはずのNTLOADERを乗っ取れば
あなたのおっしゃるガードを完全にすり抜けてブートローダーに介入できるんですよ。
>root権限がないとgrubだってBOOTMGRだって操作できないし、
>rootで何でもできるから無意味
その「rootでなんでもできる」を防止するのがセキュアブートです。
あなたの論調は順番が逆です。
勉強してください。
Re:つまり (スコア:1)
MicrosoftがCanonicalのブートローダをマルウェアとしてブロックしたら楽しいんだけど。
FSFの寄付呼びかけページをギャンブルサイトとしてブロックしたのよりは名目が成り立つだろう。
Re: (スコア:0)
皮肉のおつもりかもしれませんが、現実に可能性があると思いますよ。
率直に言って、Canonicalの今回の対応はセキュアブートの趣旨に外れています。
現実にCanonicalのブートローダを利用したマルウェアが出現すれば、
Canonical一社のためにセキュアブートの仕組みを台無しにすることはできませんから、
当然証明書をrevokeすることになるでしょう。
セキュアブートのような仕組みは、自分のPCを隅々までコントロールできた古き良き時代の感覚からすると違和感がありますが、
これからの時代には必要になってくるのでしょう。
Ubuntuがその流れに乗れなければ、排除されるのもやむなしだと思います。
なんで？ (スコア:0)
Ubuntuの対応が狂ってるだけでしょ。
Windows ならOSもドライバーも署名されたバイナリ以外はじくし、Fedoraもそっちの方向でがんばるって言ってる。
まあ最上位のキーをユーザーがインストールできる時点で、セキュアブートは激しく駄目仕様な気はしますけど
おらが買った機械をおらが自由に使えないのは許せん！ってひとが五月蝿いからしょうがないんでしょうね。
メーカーがユーザーの意思に反してキーロガーやら何やらを、こっそり仕込んだり絶対にしないと仮定するならば
メーカーによる一元管理も悪くない、というかある意味ベストな選択だとは思います。実際、Appleはやってるし。
M＄ とか G@@gle が同じようなことをやろうとすると、とたんに反発されるのが不思議ですね。
まあ実際に政府とかの片棒を担いでいろいろやってるケースもあるとか噂されてるんで仕方ないのでしょうけど。
私の期待していた対応です(Re:なんで？) (スコア:0)
クローズドなH/Wを公開しない事とオープンなH/Wに縛りを入れる事を混ぜないでください。
最近は一周してアンチMSよりMS信者の痛さがまた目立つようになっているようですね。
Re: (スコア:0)
上のACとは別人ですが、正直あなたがなぜ勝ち誇っているのかぜんぜんわからない。
そもそもセキュアブートの技術的意義が理解できていないのでは？
Re: (スコア:0)
勝ち誇っているとか、技術的意義が理解できないとか判断する根拠がしりたいです。
単にそうあって欲しいという願いを書いているだけに見えます。