Windows 8の「Secure Boot」を批判するLinux陣営

http://techtarget.itmedia.co.jp/tt/news/1202/17/news04.html

　米Microsoftは「Windows 8」β版の公式リリースに向けた準備を進めているが、Windows 8で対応するハードウェアの仕様から
Linuxが除外されるという情報をめぐり、非難の矢面に立たされている。

　「Secure Boot」は、OSの最もベーシックな要素が立ち上がるよりも早く、最初に読み込まれるマルウェアを食い止めるための
機能だ（関連記事：IT管理者が知っておくべきWindows 8のブート、仮想化、管理機能）。これは、OSから身を隠してしまうため
検出や削除が最も難しい種類のマルウェアであるrootkit対策で特に役立つだろう。

　米Red Hatと米Canonicalは2011年10月、Windows 8向けのハードウェアスペックに対して懸念を表明するホワイトペーパーを
まとめた。Linuxコミュニティーはこの要件を問題にし続けており、Microsoftが競争相手を締め出す狙いで再びかつての不当な
やり口に出たと主張する。

　Microsoftはコメントを避けている。UEFIファームウェアの開発を率いる米Intelも同様だった。仕様を策定した業界団体のUEFI
Forumにもコメントを求めたが返答はなかった。

>>242
OSの再インストールや
光学メディアからのブートに何が関係あるんだ？
どこからブートするとか関係ない。
Secure BootはOSのバイナリの署名が正しいかのチェックだろ。


多分知らんだろうから説明するが、署名がある＝改ざんされてないことを保証する技術。
単に名前が書いてあるだけじゃないよｗ 改ざんすれば署名も壊れる。
Secure Bootには署名を登録しておけば、改ざんされたOSを入れることができなくなる。

ルートキットはOS起動後に攻撃する、OSが防げるが、
OS起動前の攻撃、すなわち改ざんされたOSをHDD・DVD等へ書き込む攻撃は防げない。
Secure Bootがあれば改ざんされたOSの起動を防げる。
OSの再インストールメディアが改ざんされていても防げる。

>>243
> Secure BootはOSのバイナリの署名が正しいかのチェックだろ。
> 単に名前が書いてあるだけじゃないよｗ 改ざんすれば署名も壊れる。
えーっと、これは具体的には、どのバイナリの署名をチェックするんでしょう。システムパーティションのMD5でも取るんですか？
私はてっきり、署名鍵はブートローダーと1対1で対応するものだと思っていたのですが……

> OS起動前の攻撃、すなわち改ざんされたOSをHDD・DVD等へ書き込む攻撃は防げない。
この行は仰っている意味がよくわかりませんでした。

> OSの再インストールメディアが改ざんされていても防げる。
うーnOSの再インストールメディアにも署名鍵が必要なんですね？

age

うむ、まあ、どうせLinuxの動くパソコンとWindowsしか動かせないパソコン
の両方をメーカーは用意するだろう。
そうなれば、MSの営業損益はどうなるかみものだわなｗ

結局は閉め出し通せんぼして関所手形料を取るのが目的なんだろ。
こんなもんに乗っかったディストリは逆にこっちから閉め出してやるよ。

>>224はなかったことにしてください。

> Secure BootはOSのバイナリの署名が正しいかのチェックだろ。
あらま大変空気脳
> 単に名前が書いてあるだけじゃないよｗ 改ざんすれば署名も壊れる。
ハードウェア側がOSのバイナリをチェックするんですね。わかりました＞＜

とうとう、MSにもヒビが入りかけてきたかｗ
iphoneとかipadとかアップル勢が伸びてるからな。
いまさら、タッチパッドのできるOS積んだPCなんか特に魅力は感じられん。

エロゲで全てが変わる

エロゲのような漫画のどこに魅力があるんだ？
やはり実写だよ、実写。

ソレ言うなら実物だろｗ

http://ja.wikipedia.org/wiki/UEFI#.E3.83.96.E3.83.BC.E3.83.88.E3.83.9E.E3.83.8D.E3.83.BC.E3.82.B8.E3.83.A3.E3.83.BC

>>ID:SarPzhsO
Win8スレに隔離されてろよ。VZ爺だろ？

んまぁ
生身に興味がないってのならアレだが

生身の女より、精巧にできたロボットが良い時代がくる。
20年後には量産され一大産業になる。

>>244
> えーっと、これは具体的には、どのバイナリの署名をチェックするんでしょう。システムパーティションのMD5でも取るんですか？
プログラムの署名の話なのに、それ以外のデータが一致するか見てどうするんだよｗ
署名ってのはファイル単位だぞ。ディスク単位じゃないぞ。

ブートローダーのバイナリ（プログラム）の署名をチェックするんだよ。
MSであれば、MSのブートローダー。
その後のチェックはOSの仕事。まともなセキュアブートを実装しているのなら、ブートローダーは
その後に読み込むプログラムをチェックするだろうし、さらにその後に読み込むプログラムや
ドライバなんかも検証する。最終的にOSを構成しているプログラムすべてが検証される。

> うーnOSの再インストールメディアにも署名鍵が必要なんですね？
意味がわからん。再インストールメディアを作ったとしよう。
その中に入っているプログラムは改ざんされてないのなら署名されてるだろ。
署名済みなので署名鍵は必要ない。検証鍵はセキュアブートに登録されてる。（されてなければスレばいい）
署名鍵と検証鍵は別物だからね。

だから、何？

>>257
間違ってないと思ったならそれでいいよｗ

[Phoronix] Linux Foundation Comes Up With SecureBoot Plan
ttp://www.phoronix.com/scan.php?page=news_item&px=MTIwNDM

とっくに突破してるんじゃね

それ暗号突破みたいな表現に感じた。

Windows8 プリインストールPCにデュアルブートで7も8もVHDにインストールできない
BIOSでSecureオフにしてるのに、コマンドプロンプトからブートローダ内の情報のコピーすらできん
これもSecure Bootのせいなのか？

BIOSでSecureオフしてるのなら
関係ねーだろｗ

BIOSを廃止するって話しも知らない時点で何を説明していいんだか、
「そんなわけねーよ」て、子供みたいに263が火病するのに１票。

BIOSという話はしってる。
だから>>264が言ってることに
何の根拠もなくなった。

BIOS廃止したらどうやってブートすんの？

BIOSに代わるなにか

UEFIだろ
BIOS互換モードもある

UEFIはBIOSじゃないの？

別物
今から買うならWin8のfast bootに対応したマザーにしとけ

ttp://www.asusjp.com/mb/sp/win8/

おしえてくらはい

１．Win8プレインストPCって、全部SecureBoot対応なの？

それだと
２．他のOSは入れられないってことなの？

そうだとすれば
３．Win7マシン（SecureBoot非対応）ならダイジョブ！ってことなの？

おながいしまふ

質問を読み替えると8プレインスコされたメーカーPCで
SecureBootをdisableできるかどうかって話だな？
欲しいマシンの型番を添えてそのメーカーに問い合わせろとしか
今のところ自作界隈でdisableできないマザーはないんじゃねーかと

>>272
ありがとー ﾉｼ！！

このスレの上の方によると、
ARM版Windows 8のハードのみNGで、86系なら大丈夫だったような

>>271
全てのマシンで確認したわけではないが、

1. バラバラ。対応しているものもあるし、していないものもある。

2. 今まで対応しているモノを試した限りでは、全てBIOS(UEFI)のメニュー内で
無効化できた。無効化してしまえば、従来のPCと同じようにインストール可能。
Linuxからの見た目では、単なるMBRのライトプロテクト。

3. Windows 7マシンでもSecure Bootに対応しているものがある。少数だったけど。

有益な情報、ｔｈｘ

しかし、そう簡単に無効化できるなら、secure ていう意味は殆ど無いんじゃ
ないかと。

>>276
Secure Bootってマルウェア対策が目的だから、単なるライトプロテクトでも十分だよ。

ただ大半のWindowsユーザにとってみると、BIOS(UEFI)の設定画面なんて開くような
ものではないし、サポートの指示などで開いてライトプロテクトを無効化しても、
無用なトラブルを避ける意味で、再度有効化するようなことは永遠にしない
(なので、かえってウイルスなどに感染してしまう可能性を残すことになる)だろう。

そういう意味で、「正規のWindowsブートローダは書き込めるけど、それ以外のものは
書き込めない」設定が必要になったのだろう。これは特に、大量のWindowsユーザを
抱えるサポート部隊にとって朗報だったのではないかな。

競合閉め出し以上の意味があるわけがない。

だからさ、マルウェア自体が、書き換えプログラムを内包すれば
対策できないわけじゃん。それをsecureって言うのかってこと。
LINUXを閉めだすっていう意図はあんまないんじゃないかな。
相手にしてないっていうか。今後はさらに強化するんだろうな、って気がする

>>279
マルウェアがデジタル署名付きのコードを書こうとするのであればできるが、
デジタル署名がなければ書けないぞ。

コードの書き換えをデジタル署名で防止できるなら、およそマルウエア自体が
成立しないような気もするが…、違うのかな？ｗ

いろいろ間違ってるなｗ

コードの書き換えをデジタル署名で防止するんじゃなくて
コードの実行をデジタル署名で防止するんだよ。

OSが起動してマルウェア保護が有効になった後は
システムはOSの管理下になるわけだけど

OSが起動する前にマルウェアがいたら
逆にOSがマルウェアの管理下にされてしまう。
そしたら何も守れない。

だからOSが起動する前の間を守る機能がSecure Bootだろ。
その名前の通り、Boot時をSecureにするもの。

BIOSが信頼出来る発行元のデジタル署名がついたプログラムしか
実行しないのであれば、OSがブートするまでの間セキュアになる。

>不正なデジタル署名の問題の影響と対策
>http://blogs.technet.com/b/jpsecurity/archive/2011/09/20/3454331.aspx

デジタル著名は自動である時点で元がハッキングされ不正な証明書が
作られてしまえばどうにもならない仕組みでしょ。
不正なデジタル著名が現実に存在し問題が表面化されている以上
デジタル著名は万能ではない。

>不正なデジタル証明書により、なりすましが行われる
>http://support.microsoft.com/kb/2718704/ja

>>283
このように万能なものはない。

だから万能じゃないというのは、
何の否定にもなってない。意味が無いことを言うな。

効果がどれくらいあるかで考えろ。
十分効果があるのだから意味はある。

×このように万能なものはない。
○この世に万能なものはない。

バカは何でも0/1で考えるから

署名じゃなくてユーザーが自分で登録する形にすればいいのに

>>287
何を登録すると言いたいんだ？ まさかプログラムじゃないよな。

プログラムが「改ざんされている」のを防ぐって話なんだが、
プログラムを登録するという方法では、ユーザーが自分で登録したプログラムが
実は改ざんされていたという問題は防げない。

プログラムには開発元が署名する。（そのプログラムを改ざんすると署名は壊れる）
BIOSには起動を許可する署名をユーザーが登録できる。
（デフォルトで一部は登録されている）
http://www.rodsbooks.com/efi-bootloaders/secureboot.html

お前が言いたい「登録」は実はこっちだよな。
ちゃんとユーザーが自分で登録する形になってるよ。

UEFIの無効化の可否は、やはりメーカーに問い合わせるしかないの？

そりゃMSが決めることじゃないんだから
ハードメーカーに聞くしか無いだろうな。

気をつけなければいけないメーカーって東芝、レノボ、サムスンだっけ

>>291
それらは「とりあえず判明してる分」だな。

>>290-291
買う前に電話してみるわ。
まぁ、少なくともサムスンを買うことは無いな。HDDレコーダーの故障原因がサムスンのHDDだった経験があるし。所詮パクりダンピング企業だね。
あとTOSHIBAとか日本メーカーのも、窓でさえ邪魔なのに余計なの付けて値上がりしてるから買わないかも。

あげ

そういえば、↓の話ってどうなったんだろ？
Microsoft Surface の Windows RT搭載モデルって
Linuxインストールできないのかな？

Microsoft、ARMシステムでUEFIセキュアブートの設定変更を禁止
http://hardware.slashdot.jp/story/12/01/15/0245212/

>>295
Surface自体、絶望的に売れてないからあまり影響がないような。

だれもwin8プリインストールされたPC買ってないのか

>>297
UEFI以外はバラバラになるだろ、どうせ。

>>299
linuxがarmプラットフォームをサポートする際にUEFIが重要だって話だろ

Linuxニューススレから転載

スペインのLinuxユーザー団体、マイクロソフトの反トラスト行為をECに提訴
ttp://www.computerworld.jp/topics/634/206816

age

米国の司法省にこれが独占禁止法(反トラスト法)違反だと訴えよう。

また正義のために行動を起こしたか。
宗教家ってすごいな。

Windowsはどんどん正義を剥奪されていく、可哀想なくらいにw
何が正義かはその時の社会の気分次第
戦争だって正義なんだぜ

つまり剥奪されないのは問題無いということでいいのか？

「正義という言葉の定義は曖昧で、はっきりしない」からと言って
じゃあ何が正しいのか考えなくてもいいのかというとそんなことはない。

正義という答えは人によって違うと
わかっている問題であっても
考えることは、脳を刺激し、ボケ防止につながる。

(☝ ՞ਊ ՞)＝☞)՞ਊ ՞)

結論：Linuxは世間一般から見るとマルウェアである


こういう話になっちゃうのかな？

だいたいマルウェアを避けたいならファイルシステムをデフォルトで暗号化すればいだけじゃん。
Linuxとか将来Androidがx８６にきた場合とかに対策したいだけじゃん。

暗号化に使う鍵はファイルシステムの中に入れておくんですか？

age

流れをぶったぎる素人
UEFIセキュアブートが搭載されていないPCをもっておき、メモリーが8GBまで搭載できれば、
Windows 10以降やLinuxを同時にブートできて糞Microsoftに従わなくてもいいわけね。
こういう理解でいいわけだな。
8GBのメモリーで使用できるLinuxはこれからも存在し続けるから
新しいハードを購入しなければ、PCを制作する企業にも、Microsoftにも圧力になるから
それが現実的な対応だと思う。

>>314
セキュアブートはオフにできるから、
セキュアブートのせいでLinuxが動かないなんてことは
ありえないんだよ。

>>315 ありがとう!! 「セキュアブートのせいでLinuxが動かないなんてことは
ありえないんだよ。 」には一安心。だけど
素人にとっては、セキュアブートはオフにできるからと言われてもなかなか......
という感じだと思われる。
結局はオンにして糞Microsoft Windowsを使うか、オフにしてLinuxを使うの選択になるのが
どちらも一緒に動かしたい、動かさなければならないという大部分の層には
セキュアブートは、単に使えない規格ということになるから、セキュアブートなしの機材を
大事に使うほうがWindows + Linuxを両方使えていいというのが結論だ。
>>315には感謝。

>>316
セキュアブートはOS関係ない
だから当然セキュアブートに対応しているLinuxもある。

https://wiki.ubuntulinux.jp/UbuntuTips/Install/UEFI
> Secure bootに対応しているUbuntuのバージョン
>
> サポートが終了している物は掲載していません。(公式派生は期間の違う物があるので注意)
> 12.04 Precise Pangolin (12.04.5へのアップデートと、lts-trusty パッケージを導入している物)
> 12.04.5 Precise Pangolin (12.04のポイントリリースで標準カーネルは3.13)
> 14.04 Trusty Tahr (ポイントリリースを含む)

http://wiki.centos.org/HowTos/UEFI
> CentOS 7 (any media) OK
> RHEL 7 Beta and RC can be booted with Secure Boot enabled.

再度流れをぶったぎる素人
HDDに十分な容量があるとき、Gparted Live CD等で区画をつくってから
セキュアブートをオンにして糞Windowsをインストールして、次に
セキュアブートをオフにしてLinuxをインストールして、起動時に
セキュアブートをオンにしたりオフにしたりしてWindowsかLinuxを起動する形
というのはできるの? できないのなら上に書いたようにセキュアブートが入っていない機材を
大事に使う方が便利だし、というのが一般の感想だけど。

>>318
だからWindows関係ない。

セキュアブートに対応しているLinuxを
セキュアブートをONにした状態で
インストールできる。

もちろん、セキュアブートONにした状態で
Linuxの起動もできる。

それが、UbuntuとCentOS（RHEL7）の
セキュアブート対応の意味

>>315 = >>317 ありがとう。セキュアブートに対応するLinuxがあればうれしいな。
でもセキュアブートは独禁法に完全に違反するね。ECでの出方と
アメリカ合衆国の上院議員への英語での独禁法違反の告発が効果的だね。

> 独禁法に完全に違反するね

違反しない。もししていたら訴えられてたはず。
そもそも、セキュアブートはUEFIの標準規格なので
マイクロソフトは厳密に言えば関係ない。
マイクロソフトはマザーボードを独占してないので
独禁法にはあたり用がない。

>>315 = >>317 = >>319 = >>320 ありがとう!!! よくわかった。
UbuntuとCentOS（RHEL7)をつかえば、糞 Microsoft Windowsと一緒に
セキュアブートがオンにした状態でインストールできて
なおかつその状態で起動もできるということだね。

他のLinuxでセキュアブートに対応していないものを遣いたいときは、
やはりこれまでの機材がベストの選択と言うこともわかりました(これ正しいよね?)。
ありがとう。

詳しい説明は上の人達の通りだがあんた向けに三行でいうと
UEFIと名前を変えてるがあんたの知ってるBIOSと設定方法等は基本的に同じ
その中でセキュアブートのオンオフがあってオフにすると
あんたのいう「セキュアブートに対応していないこれまでの機材」と「同じもの」になる
これでどうだ

>>323
> やはりこれまでの機材がベストの選択と言うこともわかりました(これ正しいよね?)。

いいえ間違いです。あんた、必死だねｗ

ま、何が目的かはよーくわかるよ（・∀・）ﾆﾔﾆﾔ

セキュアブートは必要だよ。
オフにできる選択肢も無い方が良い。

>>326
やめてくれ、今使っているディストリが使えなくなる

>>327
原理的に必要なものだよ。
ごく一部の我儘のために全体が危険にさらされるのは良くない。

Linux業界はマルウェア対策されると困る事情でもあるのかね？

セキュアブートに対応できないディストリが、その他のさまざまな問題に対応できるわけないし。

セキュリティに真剣に取り組んでいるディストリのみインストールできるというのは、
Linuxユーザーにとっても良いことだと思う。
少なくとも、Windowsがセキュリティに真剣に取り組むことを妨害してはいけない。
Linux業界にその権利はないだろう。

どうしてもセキュアブートが嫌ならLinux専用ハードウェアを作ればいい話。
まあ誰もそんなもの買わないだろうし、Windowsで良いやってなるだろうけど。

>>325 「ま、何が目的かはよーくわかるよ（・∀・）ﾆﾔﾆﾔ 」エスパー現る!!!
325はIQ=100ぐらいで頭良さそうなので、「やはりこれまでの機材がベストの選択と言うこともわかりました(これ正しいよね?)。 」は
どういうことかを120字以内で説明せよ。
という現代文の問題に エスパー >>325 は是非とも答えてください。
web上の言説として生徒たちにも見せるので。昼休みの書き込み。

そんなことはどうでもいいけど
結論としてはセキュアブートあってもLinuxになんら
影響を及ぼさないってことか。なら普通に最新のマザーボード買うか。

Linux使いはアップルで妥協か

UEFIにBIOS機能が無いんだが、どうすればいいの？

UEFIにセキュアブート機能が搭載されているのなら
セキュアブート機能を無効にする機能は必ず付いている。

もし設定画面がないのであれば、それはセキュアブートを
搭載されていないということ。

まあわからないなら機種言ってみてよ。

無効にする機能が穴になるんだよな。
こういうのは厳格に運用しないとダメだ。

>>335
あなたが書いているとおりだけど、
厳格に運用すればいいだけでは？

>>336
そのとおり。
無効に出来ないようにしなければならない。

それはここじゃなくハードウェアメーカーに言わないと。

>>337
運用の話だったよね？

ハードはどうでもよく運用を
気をつければいいって話なんだけど？

>>339
それは「Linuxだから安全です！」というノーガードスタイルだろ？
んなもん今どき通用するかいな。

セキュアブートをオフにする機会がほしいということは、Linuxコミュニティは
穴をあけてほしいということなんだよ。
これはつまり、ソフトウェアを売って儲けることができないので、マルウェアで
儲けたいということだろう。

これは危険やでえ。

335=337=Microsoftの工作員 乙 !!!
>>325 「ま、何が目的かはよーくわかるよ（・∀・）ﾆﾔﾆﾔ 」エスパー現る!!!
325はIQ=100ぐらいで頭良さそうなので、「やはりこれまでの機材がベストの選択と言うこともわかりました(これ正しいよね?)。 」は
どういうことかを120字以内で説明せよ。
という現代文の問題に エスパー >>325 は是非とも答えてください。
web上の言説として生徒たちにも見せるので。昼休みの書き込み。
> ID:d+erWsXq よ、早く返答せよ!! キチガイ君orさん !!

>>341が引っ過ぎて笑い涙が出たｗ