Secure-Boot può portare solo vantaggi

[wintricks.staff]

Si è molto discusso della funzione Secure Boot di Windows 8 e dell'accoppiamento ai sistemi UEFI (Unified Extensible Firmware Interface), ma forse non lo si è fatto nei termini giusti, generando soltanto dibattiti tra linuxiani e windowsiani, senza vedere la questione da un punto di vista esterno ed oggettivo.



L'UEFI è la naturale evoluzione del vecchio BIOS, che ormai è incapace di gestire le capacità hardware degli ultimi PC (già con l'avvento dei 64-bit il BIOS ha mostrato numerosi limiti di operabilità) e, senza dubbio, abbandonare il BIOS per la sua evoluzione offre più vantaggi che svantaggi, dunque è auspicabile il passaggio di consegne.



Ciò che ha fatto molto discutere, è la possibilità, prevista dall'UEFI, di legare l'OS al firmware tramite un certificato di riconoscimento, che rende più sicuro l'avvio del sistema e previene che un malware agisca in fase di boot.



L'UEFI prevede un sistema di certificazione a doppia chiave, dove una chiave pubblica (PK) è progettata per essere gestita da chi controlla la piattaforma hardware, mentre la chiave privata, detta key-exchange key (KEK), è fornita da chi ha progettato l'hardware o da rivenditori OEM. Da questa tecnologia, sia Windows che Linux hanno di che guadagnarci, ma le linee guida di Secure-Boot, descritte da Microsoft, possono permettere che un sistema UEFI+Windows 8 impedisca l'avvio di altri OS installati sul disco.



Per evitare questa limitazione, occorre innanzitutto che la Linux Foundation produca distribuzioni certificate per l'utilizzo con l'UEFI, inoltre è necessario rivedere le linee guida proposte da Microsoft in modo che il firmware possa interagire con sistemi open-source.



Red Hat, Canonical (Ubuntu) ed altri membri della Linux Foundation hanno, perciò, stilato un documento indirizzato ai produttori di hardware, nel quale sono contenute alcune linee guida che permettano la corretta implementazione della tecnologia UEFI-Secure-Boot, in modo da non creare situazioni disagevoli per l'utente:

• Tutte le piattaforme UEFI dovrebbero essere fornite all'utente in "modalità setup" in modo tale da permettere di controllare quale PK è istallata, inoltre la piattaforma deve poter essere rimandata in setup-mode anche in un momento futuro, dopo l'installazione dell'OS.
• Il bootstrap iniziale di un OS dovrebbe rilevare un hardware in setup-mode, installare la propria KEK e rilevare la chiave hardware in modo da abilitare la funzione Secure-Boot.
• Un sistema firmware-based deve consentire all'utente di aggiungere nuove KEK, che consentirebbero configurazioni dual-boot.
• Il sistema deve essere flessibile e consentire boot anche da dischi e supporti rimovibili.
• In futuro un'autorità di certificazione, esterna sia a chi produce OS, che ai produttori hardware, deve essere istituita per fornire certificati sicuri e imparziali.

Red Hat e Canonical ritengono anche che la tecnologia Secure-Boot deve poter essere disabilitata, su comando dell'utente, tramite l'interfaccia firmware, inoltre è auspicabile, secondo le due società, che tutti gli OEM forniscano un meccanismo standard per la configurazione di chiavi nell'hardware.



In conclusione, la Linux Foundation non ritiene che sia il caso di preoccuparsi dell'avvento di Secure-Boot, ma piuttosto che si debba sfruttare questa tecnologia rendendola universale, affinchè sia l'utente Windows, che Linux ne possano beneficiare.