パスワードを忘れた? アカウント作成
15727444 story
Linux

Pluton搭載Thinkpad Z13、デフォルトのファームウェア設定ではLinuxを起動できない 51

ストーリー by nagazou
罠 部門より
headless 曰く、

Microsoft Pluton セキュリティプロセッサーを搭載する Lenovo の Thinkpad Z13 では、デフォルトのファームウェア設定で Linux が起動できないそうだ (Matthew Garrett 氏のDreamwidth 投稿Phoronix の記事Neowin の記事)。

これはファームウェアのデフォルトが Microsoft 3rd Party UEFI CA キーで署名されたブートローダーやドライバーを信頼しない設定になっているためだ。Thunderbolt 接続したサードパーティ製の外付機器からブートすることもできないとのこと。発見した Aurora Innovationのセキュリティ開発者 Matthew Garrett 氏はセキュリティ上のメリットがないと Lenovo を批判したが、MicrosoftがSecured-Core PCの要件として 2022 年から「Allow Microsoft 3rd Party UEFI CA」オプションのデフォルトオフを義務付けている (PDF) ためだという。

そのため、Lenovo の Mark Pearson 氏 (らしき Dreamwidth ユーザー) は Linux プリインストールマシンならオンにしておく必要があるが、Windows プリインストールマシンではオフだと説明する。一方、Dell の Rick Martinez 氏はすべての構成で 3rd Party UEFI CA のデフォルトオンを強く支持すると述べている。どちらが正解だろうか。

  • by Anonymous Coward on 2022年07月11日 17時28分 (#4287613)

    「Allow Microsoft 3rd Party UEFI CA」をオンに出来ないならひでぇ話だが、出来るなら好きにしたら良いんじゃね?

    [PDF] Enabling Secure Boot for Linux on Lenovo Secured-core PC's
    https://download.lenovo.com/pccbbs/mobiles_pdf/Enable_Secure_Boot_for_... [lenovo.com]

    ここに返信
    • by Anonymous Coward

      よりによってタイトルを正反対の意味でtypoした……
      誤:無効化できる
      正:有効化できる

    • by Anonymous Coward

      設定画面に入るためのキーは実質か実際かはともかくほぼ表示されないだろうけどね。
      高速起動の名目で表示しない事を推奨してそう。

      こうやってサードパーティに地味な嫌がらせするのが今のマイクロソフトのトレンド。
      関連付けもちまちまふっとばすしそういう方針なんだろうな。

      これで署名貰うのに有料審査とかだと呆れる他ないけどどうなんだろう?

  • by Anonymous Coward on 2022年07月11日 17時30分 (#4287616)

    UEFIで設定すればいいなら大した問題じゃないだろう。設定すればいい。
    そもそも起動順設定は必要なんだし誤差じゃない?

    ただ「セキュリティ」「性能」がユーザーの自由を制限する口実として使われる昨今としては危ういね。
    スマホとか大抵はOSの自力インストールすらできないし、iOSだとアプリすら入れられないし、電池も自力分解しないと交換できない。
    PCの世界はラップトップでも現状程度の自由は維持して欲しい。
    と言ってもメモリ交換できない機種は今や珍しくないし、ストレージすら拡張できないゴミまである。
    せめてデスクトップPCだけは…。

    ここに返信
    • by Anonymous Coward on 2022年07月11日 18時09分 (#4287645)

      UEFIで設定すればいいなら大した問題じゃないだろう。設定すればいい。

      Proなんで1台の個人利用想定ではなく事業所レベルでの導入ケースで考えたほうがいいかな
      ・Intel vProみたいにAMD Management Consoleがどこまで使えるのか
      ・一括でUEFI CA キーの設定を遠隔更新可能なのか
      は明確になってないんじゃないかな
      これが上手くできないとWindows以外での一括導入は非対応ってのと同義かと

      # AMD Management Consoleの実用事例ってまだそれほどでてないしなぁ

      • by Anonymous Coward on 2022年07月11日 19時31分 (#4287695)

        Linuxプリインストールモデルを買え

        • by Anonymous Coward

          技適が気になります!

          • by Anonymous Coward

            無線LANドライバーは真面目に要注意よね。
            COUNTRY=US
            とかでUS仕様にできちゃうと普通にアウトだから。

            • by Anonymous Coward

              無線LANドライバーは真面目に要注意よね。
              COUNTRY=US
              とかでUS仕様にできちゃうと普通にアウトだから。

              今どきならWi-FiやLTE経由の位置情報得られるんだから
              ドライバ側で各国仕様の範囲内に自動制限する義務を強いてもいいんじゃないかな
              言語設定見ちゃって違法電波バグとか出されてもあれだし
              ドライバさえ署名あり使ってればカスタムROMもOKにしちゃえるし

              # 技適系は初回ハードウェア分とドライバ署名のソフトウェア分でOKにならんもんかね

              • by Anonymous Coward

                ハードウェアで固定される事を必須(ハックでもなんでもして出力変えられたら意味がねぇ)
                って訳だから、多分無理

                それこそPlutonにドライバのハック防止してもらう?(Linuxでは無線が使えませんとか(爆笑))

              • by Anonymous Coward

                日本のためだけにそんな面倒なことするくらいならおま国でしょうな…
                ACアダプタにも日本にだけ添付しないとかあったような…

              • by Anonymous Coward on 2022年07月12日 9時08分 (#4287921)

                技適を目の敵にする人って「各国仕様」というのが読めないのかね。

              • by Anonymous Coward on 2022年07月12日 14時20分 (#4288134)

                > 技適を目の敵にする人って
                 
                そんな人はいない。技適をコーランみたいに扱ってる人がうざいだけ。

              • by Anonymous Coward

                FCCを取ってない製品をアメリカで使えない
                CEを取ってない製品はEU圏で使えない
                技適を取ってない製品は日本で使えない
                というように、決まっているわけですが?
                (アメリカでFCC取ってない製品でも使って大丈夫、というのであれば、その具体的な根拠を示してもらえれば

      • by Anonymous Coward

        事業所レベルといってもセットアップの完全自動化はできないんだし(Windowsだとしても手動は入るでしょ)、現実的には大した話でもない気がする。

    • by Anonymous Coward

      スマホレベルまで行くと真のゴミだもんなぁ…

      #メモリスロット一個のThinkpadにはもう用はない

    • by Anonymous Coward

      今はONにできるかもしれないけど、将来はわかりません。
      OFF固定や、何か特殊な非公開のコマンドや操作をしないとONにするメニューにたどり着けないとかを強制してくる可能性もある。
      それを防ぐためにも今から声を上げることは重要です。

      • by Anonymous Coward

        もう遅い。スマホというガチガチなのが既にオッケーなってるから。
        スマホに反対唱えてた人ならその主張してもいいと思うけど「コレにだけ」なら権利ないと思うよ。

        • by Anonymous Coward

          ガラケーはもっと酷かったじゃん。
          だから?、ガラケー持ってなかった。

      • by Anonymous Coward

        こういう彼らが最初共産主義者を攻撃したとき [wikipedia.org]メソッドは現実には筋が悪い論法のひとつ。
        実害がないのに何でもかんでも予防的に声を上げてたら「また原理主義者が何か言ってる…」と白い目で見られるだけなので。
        そうすると実際に強制されたときに味方になってくれる人がいなくなる。
        それに向こうはそれなりに意味があると思ってやっていることなので、それを上回る反論材料がないと誰かを動かすことはできない。

  • by Anonymous Coward on 2022年07月11日 17時23分 (#4287605)

    L社はM社が「こう!」って言ったら逆らえないからなぁ。
    I社の頃からだけど。

    ここに返信
  • by Anonymous Coward on 2022年07月11日 17時50分 (#4287631)

    Windows PEを素通しするならセキュリティ上の意味がないLinuxいじめだが、Windows PEもまとめてブロックするのであれば公平だしセキュリティ上のメリットもあるんじゃないのか

    ここに返信
    • by Anonymous Coward

      たとえば、BitlockerのキーがUEFIレベルで保管されてるとして、
      Linuxからだと読み放題だけど、PEだったら既設のポリシに準拠する…とかなら、
      PEとLinuxの扱いに違いがあっても、おかしくないと言える。

  • by Anonymous Coward on 2022年07月11日 18時48分 (#4287662)

    「やりたい奴は自分でオンにすれば良い」というような意見はよく見るが
    手間が増える時点でその分「ちょっと試してみよう」と言う層を排除することができる
    Linuxにしようとするユーザを徹底的に排除しようとすれば間違いなく大きな批判が出るが
    こういった微妙な手段であれば批判を抑えつつLinuxユーザを増やさない様にすると言う方法をとることができる
    セキュリティ強化という建前もあるしほぼ完璧なやり方

    ここに返信
    • by Anonymous Coward on 2022年07月11日 18時58分 (#4287670)

      「ちょっと試してみよう」なユーザがLinuxをインストールしたところで、
      早々にも飽きて「いらないから消そう」になることは目に見えて明らかなので、
      そういう人々は黙ってWindowsだけ使っとけ、でいいかと思います。

      無償利用が可能なLinuxであれば、厄介ユーザが下手に入ってこられて
      メーリングリストとかSNSとかで喚き散らされても困りますしね。

      # 敢えて誰とは言わない

      • by Anonymous Coward on 2022年07月11日 19時09分 (#4287681)

        「ちょっと試してみよう」なユーザがLinuxをインストールしたところで、

        近年だとその需要はVMで足りちゃいますからねぇ
        昔じゃCPUやストレージが足りててもメモリ量で使い物になりませんでしたし

        # CLIでも年々メモリ喰う量増えてるが

        • by Anonymous Coward

          よほどのことがなければベアメタルではなくVMで導入したほうが楽なんだけどねえ。
          デュアルブートは後始末が非常に面倒なのでおすすめしない(近年のブートローダーでは多少楽になったが)

          • by Anonymous Coward

            アレゲのパソコンじゃPCの電源をオンにするときどうするOSはXenとかハイパーブイを動かすためだけに存在するって本当?

            • by Anonymous Coward on 2022年07月12日 9時35分 (#4287941)

              「オンにするとき、どうするOS」って何?

              としばらく考えてしまったじゃないか

            • by Anonymous Coward

              アレゲの家にはオンプレ仮想サーバがいます。Xenは少なすぎるんじゃないかな。
              自宅ラックサーバ勢は稀にいるようだがこのご時世電気代は考えているのかは知らん。

            • by Anonymous Coward

              Xenは見たことないけどESXi/Hyper-Vはそれなりに居たかと。
              一昔前のNUC手乗り仮想マシンサーバーでしょ?

    • by Anonymous Coward on 2022年07月11日 22時51分 (#4287775)

      というか、ちょっと試すんならWSLで充分じゃないの?

    • WSLとか仮想マシン上でLinuxを動かせばそれで済むこと多くないか?

      • by Anonymous Coward

        ここで文句言ってる人は、ブートプロセスなど基幹部分からMicrosoftの製品を排除する事も重要なので、linux等を直接ブートする必要があるのです。

  • by Anonymous Coward on 2022年07月12日 7時25分 (#4287864)

    HDDなどのトラブルで、代わりの媒体から起動することはよくあること
    特に、Windowsのインストールディスクに比べると
    Linux系OSのインストールディスクは
    診断するためのツールが充実している場合もあり

    状況を的確に判断することができる。

    たとえばWindowsのインストールディスクで起動できても
    SMART情報を参照する手段があるのか、私は知らない。
    聞いたことがないから、たぶんできないんじゃないだろうか?

    熟練者なら対処のしようはあるとしても
    素人が、見様見真似でやろうと思っても
    「動画と違う」という体験を与えるのがこのPCだ。

    データサルベージができずHDDの交換ができず
    HDDの死亡確認もできず
    メーカー修理にも出せず、手詰まりになってしまうこともあるだろう…

    そもそも、保証期間が切れたらメーカー修理は割高すぎるし
    付属OSのおしまいで買い替えに追い込まれるなんてまっぴらごめんだ!

    UEFI自体が、Linux系OS導入の難易度を確実に跳ね上げているのに
    さらに一段登ろうなんて暴挙は、客離れを引き起こす。

    ThinkPadの支持層には、パソコンに詳しい人と目され影響力が強い人も多い
    そういった人自体は買っても、他人に勧めなくなっていけば
    確実に顧客層は狭まっていく。

    ここに返信
    • by Anonymous Coward

      レスキュー系やパーティション系のツールの場合、OSのシステムが入ってる部分を弄るという目的上、別のOS(linux系が多い)を自前で用意して立ち上げる物が多いので、そういうのは確かに使えなくなる。
      しかし、このPCの想定顧客は、恐らく起動不能レベルのトラブルになったら、メーカー修理に出すか素直に買い換えでしょう。

    • by Anonymous Coward

      HDDなどのトラブルで、代わりの媒体から起動することはよくあることではない(そんなにしょっちゅうOS領域が壊れてたまるか!)
      Secured-Core PCの要件になっているのだから、遠からずデフォルトオフのPCが増えて、それが当たり前になるだけだぞ
      大仰に騒いでみせたところで設定変更で使えるんだからどれもこれも大した問題ではないな

  • by Anonymous Coward on 2022年07月12日 7時38分 (#4287871)

    があるし

    ここに返信
  • by Anonymous Coward on 2022年07月12日 9時49分 (#4287955)

    ThinkPad Zシリーズ [lenovo.com]を今まで聞いたことなかったので調べたところ、

    【笠原一輝のユビキタス情報局】Z世代向けデザインの「ThinkPad Z13 Gen 1」、AMD採用で高性能を実現 - PC Watch [impress.co.jp]

     つまり、Z世代などの若年ユーザーで、プレミアムセグメントのノートPCを選んでいるユーザー――筆者が勝手に具体例を選ぶとすればAppleのMacBook Proのような製品を選んでいるようなユーザー層――を意識した製品が、このThinkPad Z13なのだ。

     若者向けというと、学生向けの廉価版製品ということが最初に想定されると思うが、この製品がターゲットにしているのは、予算に余裕があり、Apple製品を購入しているスタートアップの経営者とかZ世代でも比較的PCに予算を割く余裕のあるユーザー層を意識した製品と考えるといいだろう。

    という感じの(復刻?)シリーズらしい。

    Lenovoが得意とするビジネス向けのPCでPlutonを搭載してセキュリティをガチガチに固めるのなら理解できるが、こういった個人向けモバイルノートでSecured-Core PCにする必要があるのかってのはやや疑問。

    ここに返信
    • by Anonymous Coward

      つまり、叩くべきはMicrosoftではなくLenovoと言いたいのかな?
      あるいは、海賊版対策とか。

      #この頃米中関係も色々荒れてるし

typodupeerror

私は悩みをリストアップし始めたが、そのあまりの長さにいやけがさし、何も考えないことにした。-- Robert C. Pike

読み込み中...