Hoe Secure Boot werkt op Windows 8 en 10, en wat het betekent voor Linux
Moderne pc's worden geleverd met een functie genaamd "Secure Boot" ingeschakeld. Dit is een platformfunctie in UEFI, die het traditionele pc-BIOS vervangt. Als een pc-fabrikant een sticker met het logo "Windows 10" of "Windows 8" op zijn pc wil plaatsen, moet Microsoft Secure Boot inschakelen en enkele richtlijnen volgen..
Helaas voorkomt het ook dat je sommige Linux-distributies installeert, wat behoorlijk lastig kan zijn.
Hoe Secure Boot het opstartproces van uw pc beveiligt
Secure Boot is niet alleen ontworpen om het draaien van Linux moeilijker te maken. Er zijn echte beveiligingsvoordelen als Secure Boot is ingeschakeld en zelfs Linux-gebruikers kunnen hiervan profiteren.
Een traditioneel BIOS zal alle software opstarten. Wanneer u uw pc opstart, worden de hardwareapparaten gecontroleerd op basis van de opstartvolgorde die u hebt geconfigureerd en probeert u ze op te starten. Typische pc's zullen normaal de opstartlader van Windows vinden en opstarten, waarna het volledige Windows-besturingssysteem wordt opgestart. Als je Linux gebruikt, zal de BIOS de GRUB-bootloader vinden en booten, die de meeste Linux-distributies gebruiken.
Het is echter mogelijk dat malware, zoals een rootkit, uw bootloader vervangt. De rootkit kan je normale besturingssysteem laden zonder enige indicatie dat er iets mis is, volledig onzichtbaar en niet detecteerbaar op je systeem. Het BIOS kent het verschil niet tussen malware en een vertrouwde bootloader - het boot alleen wat het vindt.
Secure Boot is ontworpen om dit te stoppen. Windows 8 en 10 pc's worden geleverd met Microsoft-certificaat opgeslagen in UEFI. UEFI controleert de bootloader voordat deze wordt gestart en zorgt ervoor dat deze door Microsoft is ondertekend. Als een rootkit of een ander stukje malware je opstartlader vervangt of ermee knoeit, staat UEFI het niet toe om op te starten. Hiermee wordt voorkomen dat malware uw opstartproces kaping en zichzelf verbergen van uw besturingssysteem.
Hoe Microsoft Linux-distributies toestaat op te starten met Secure Boot
Deze functie is in theorie alleen bedoeld om te beschermen tegen malware. Dus Microsoft biedt een manier om Linux-distributies toch op te starten. Daarom zullen sommige moderne Linux-distributies, zoals Ubuntu en Fedora, "gewoon werken" op moderne pc's, zelfs als Secure Boot is ingeschakeld. Linux-distributies kunnen een eenmalige vergoeding van $ 99 betalen om toegang te krijgen tot de Microsoft Sysdev-portal, waar ze kunnen aanvragen om hun bootloaders te laten ondertekenen.
Linux-distributies hebben over het algemeen een "shim" ondertekend. De shim is een kleine bootloader die eenvoudig de Linux GRUB-bootloader met hoofddirectory's opstart. De door Microsoft ondertekende shim controleert of het een bootloader start die is ondertekend door de Linux-distributie en vervolgens wordt de Linux-distributie normaal opgestart.
Ubuntu, Fedora, Red Hat Enterprise Linux en openSUSE ondersteunen momenteel Secure Boot en zullen werken zonder aanpassingen aan moderne hardware. Er kunnen anderen zijn, maar dit zijn degenen waarvan we ons bewust zijn. Sommige Linux-distributies staan filosofisch tegenover het aanvragen om door Microsoft te worden ondertekend.
Hoe u Secure Boot kunt uitschakelen of bedienen
Als dat alles was wat Secure Boot deed, zou u geen door Microsoft goedgekeurd besturingssysteem op uw pc kunnen gebruiken. Maar u kunt waarschijnlijk Secure Boot besturen via de UEFI-firmware van uw pc, wat vergelijkbaar is met het BIOS op oudere pc's.
Er zijn twee manieren om Secure Boot te besturen. De eenvoudigste methode is om naar de UEFI-firmware te gaan en deze volledig uit te schakelen. De UEFI-firmware controleert niet of je een bootloader met een handtekening gebruikt en alles start op. Je kunt elke Linux-distributie starten of zelfs Windows 7 installeren, die Secure Boot niet ondersteunt. Windows 8 en 10 werken prima, je verliest gewoon de beveiligingsvoordelen van het hebben van Secure Boot om je opstartproces te beschermen.
U kunt Secure Boat ook verder aanpassen. U kunt bepalen welke ondertekeningscertificaten Secure Boot biedt. U bent vrij om zowel nieuwe certificaten te installeren als bestaande certificaten te verwijderen. Een organisatie die Linux op pc's draaide, kon er bijvoorbeeld voor kiezen om Microsoft-certificaten te verwijderen en het eigen certificaat van de organisatie op zijn plaats te installeren. Die pc's booten dan alleen bootloaders die zijn goedgekeurd en ondertekend door die specifieke organisatie.
Een individu zou dit ook kunnen doen - je zou je eigen Linux bootloader kunnen ondertekenen en ervoor zorgen dat je pc alleen bootloaders kan booten die je persoonlijk hebt samengesteld en ondertekend. Dat is het soort controle en kracht dat Secure Boot biedt.
Wat Microsoft vereist van pc-fabrikanten
Microsoft vereist niet alleen dat pc-leveranciers Secure Boot inschakelen als ze die leuke "Windows 10" - of "Windows 8" -certificeringssticker op hun pc willen hebben. Microsoft vereist dat pc-fabrikanten het op een specifieke manier implementeren.
Voor Windows 8-pc's moesten fabrikanten je een manier geven om Secure Boot uit te schakelen. Microsoft vereiste pc-fabrikanten om een Secure Boot-kill-schakelaar in handen van de gebruiker te plaatsen.
Voor Windows 10-pc's is dit niet langer verplicht. Pc-fabrikanten kunnen ervoor kiezen Secure Boot in te schakelen en gebruikers geen manier geven om het uit te schakelen. We zijn echter niet echt op de hoogte van pc-fabrikanten die dit doen.
Evenzo, terwijl pc-fabrikanten Microsoft's belangrijkste "Microsoft Windows Production PCA" -sleutel moeten opnemen zodat Windows kan opstarten, hoeven ze niet de sleutel "Microsoft Corporation UEFI CA" te bevatten. Deze tweede sleutel wordt alleen aanbevolen. Het is de tweede, optionele sleutel die Microsoft gebruikt om Linux-bootladers te ondertekenen. Ubuntu's documentatie legt dit uit.
Met andere woorden, niet alle pc's zullen noodzakelijkerwijs ondertekende Linux-distributies starten als Secure Boot is ingeschakeld. Nogmaals, in de praktijk hebben we geen pc's gezien die dit hebben gedaan. Misschien wil geen pc-fabrikant de enige reeks laptops maken waarop je Linux niet kunt installeren.
Voorlopig zouden tenminste mainstream Windows-pc's je in staat moeten stellen om Secure Boot desgewenst uit te schakelen, en ze zouden Linux-distributies moeten opstarten die door Microsoft zijn ondertekend, zelfs als je Secure Boot niet uitschakelt.
Secure Boot kon niet worden uitgeschakeld op Windows RT, maar Windows RT is Dead
Dit is allemaal het geval voor standaard Windows 8 en 10 besturingssystemen op de standaard Intel x86-hardware. Het is anders voor ARM.
Op Windows RT - de versie van Windows 8 voor ARM-hardware, die werd verzonden op Surface RT en Surface 2 van Microsoft, naast andere apparaten: Secure Boot kon niet worden uitgeschakeld. Vandaag de dag kan Secure Boot nog steeds niet worden uitgeschakeld op Windows 10 Mobile-hardware, met andere woorden, telefoons met Windows 10.
Dat komt omdat Microsoft wilde dat je op ARM-gebaseerde Windows RT-systemen dacht als "apparaten", niet als pc's. Zoals Microsoft aan Mozilla heeft verteld, is Windows RT "geen Windows meer".
Windows RT is nu echter dood. Er is geen versie van het Windows 10-desktopbesturingssysteem voor ARM-hardware, dus dit is niet iets waarover u zich geen zorgen meer hoeft te maken. Maar als Microsoft Windows RT 10 hardware terugbrengt, kunt u Secure Boot waarschijnlijk niet uitschakelen.
Image Credit: Ambassador Base, John Bristowe
