关于secure boot

《关于secure boot》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、关于secureboot反SecureBoot垄断：兼谈如何在Windows8电脑上安装Linux一、自由软件基金会的呼吁上周，2012年将近结束的时候，自由软件基金会（FSF）发出呼吁，要求人们继续支持反SecureBoot垄断，希望签名者能达到5万人（目前是4万）。我觉得，这个呼吁很重要。如果我们不支持，未来就无法自由地使用硬件、安装自己想要的软件。这绝非危言耸听。而且，由于这个事件直接与Windows8操作系统有关，因此意味着一切已经迫在眉睫了。下面，我根据自己的理解，谈谈这到底怎么回事。

2、如果你是一个Linux爱好者，或者喜欢自己安装操作系统，下面的内容与你直接相关。二、BIOS和UEFI所有电脑启动的时候，都会运行BIOS程序，用于初始化硬件。自从个人电脑诞生后，就一直如此。过去30年我们都在使用类似上图的画面，设置硬件参数。不用说，BIOS已经变得日益不适用了。1998年，Intel牵头，联合AMD、AMI、Apple、Dell、HP、IBM、Lenovo、Microsoft和Phoenix等业界主要厂商，开始制定新一代BIOS。这个项目叫做"统一的可扩展固定接口"（Unif

3、iedExtensibleFirmwareInterface），简称UEFI。2005年推出1.1版，目前是2.3版。将来一开机，电脑运行的将不是BIOS，而是UEFIBIOS。等它运行结束，再载入操作系统。三、微软的态度UEFI是一个很先进的、面向未来的规格。但是很长时间内无法推广，原因就是微软公司不积极。Windows操作系统是桌面市场的主流系统，如果它不推广UEFI，就没有硬件厂商会跟进。所以，普通消费者对这个新规格所知甚少。意想不到的变化，出现在2011年9月，微软毫无预兆地突然宣布，W

4、indows8将启用UEFI。这本来是一件好事。但是，问题是微软感兴趣的不是整个UEFI，而是UEFI的一个子规格SecureBoot。它要强行部署SecureBoot。四、SecureBootSecureBoot只是UEFI的一个部分。两者的关系是局部与整体的关系。SecureBoot的目的，是防止恶意软件侵入。它的做法就是采用密钥。UEFI规定，主板出厂的时候，可以内置一些可靠的公钥。然后，任何想要在这块主板上加载的操作系统或者硬件驱动程序，都必须通过这些公钥的认证。也就是说，这些软件必须用

5、对应的私钥签署过，否则主板拒绝加载。由于恶意软件不可能通过认证，因此就没有办法感染Boot。这个设想是好的。但是，UEFI没规定哪些公钥是可靠的，也没规定谁负责颁发这些公钥，都留给硬件厂商自己决定。现在，微软就是要求，主板厂商内置Windows8的公钥。五、Windows8首先明确，在不打开SecureBoot的情况下，Windows8可以安装。这与安装以前版本的Windows没有差别。但是，微软规定，所有预装Windows8的厂商（即OEM厂商）都必须打开SecureBoot。因此，消费者购买

6、一台预装Windows8的台式机或笔记本，想要在上面再安装其他操作系统（包括以前版本的Windows）是不可能的，除非关闭SecureBoot，或者其他操作系统能够通过Windows8公钥的认证。如果选择关闭SecureRoot，那么预装的Windows8将无法使用，需要重新安装。六、实例：微星主板ITwire的记者SamVarghese，做了一个实验，想了解在打开SecureBoot的主板上，如何安装操作系统。实验对象是微星公司Z77A-G41主板。它带有SecureBoot功能，默认是关闭的

7、。第一步，开机后按Delete键，进入BIOS，选择Windows8Configuration选项。第二步，选择最后一个SecureBoot选项。第三步，打开（Enabled）SecureBoot功能，然后选择最后一个KeyManagement（密钥管理）选项。第四步，输入厂商提供的公钥，也就是Windows8的公钥（目前，任何其他操作系统都没有这类公钥。）第五类，安装Windows8之后，在命令行界面输入confirm-securebootuefi命令，结果为true，表示secureboot

8、功能打开。根据SamVarghese测试，打开SecureBoot之后，再安装其他操作系统（包括以前版本的Windows），全部被主板拒绝。七、对Linux的影响SecureBoot规格的本意是，让操作系统厂商自行选择公钥，通过认证。但是实际上，只有微软公司才有能力，让主板厂商内置它的公钥，其他公司都不具备这种能力。因此，如果要在打开SecureBoot的主板上安装Linux系统，这个系统就必须通过Windows8的认证。目前，微软公司把Windows8的数字签名外包给了Verisign。操作系