Linux 重量级企业制定安全启动策略

于 2011 年 11 月 3 日

Canonical 和 Red Hat 发布了一份关于微软计划将 UEFI 安全启动作为 Windows 8 要求的联合声明。与此同时，Linux 基金会也发布了一份类似声明。

Red Hat 和 Canonical 的联合声明以对形势的评估开篇

UEFI 安全启动规范没有定义谁控制 UEFI 平台上的启动限制，而是让平台实施者控制确切的安全模型。不幸的是，微软推荐的安全启动实施方案剥夺了硬件所有者对系统的控制权，并可能阻止开源操作系统正常运行。Windows 8 对安全启动的要求将迫使 OEM 厂商以这种方式实施安全启动。

我们认为，阻止用户完全控制其硬件的限制不符合这些用户的最佳利益，并且与开源软件的普遍精神背道而驰。

这是对形势的公正评估。值得注意的是，这两份文件中使用的语言都是合理的，并没有刻意诋毁微软。这两份文件都概述了拟议措施将对 Linux 的普及造成的困难。它们还强调了 EUFI 和安全启动的一些好处，我得到的印象是，所有这三个组织都已接受安全启动在某种形式上是不可避免的发展趋势。

Canonical/Red Hat 文件以三项提议作为结尾

“我们建议所有 OEM 厂商允许通过固件配置界面轻松禁用和启用安全启动”

作者提出的一个观点是，由于 Windows 8 将要求安全启动才能启动，这给双启动场景带来了问题。用户可能必须进入设置界面，并在每次重启之间手动切换该功能。

还有一种可能性是，一些供应商根本不会提供禁用安全启动的菜单选项。

“我们建议 OEM 厂商（在 BIOS 供应商的协助下）提供一种标准化的机制，用于在系统固件中配置密钥”

正如文件中指出的那样，这种方法的<0xE4><0xB8><0xAA>题在于，向固件添加额外密钥的功能绝不能容易受到恶意软件的攻击。同样，这听起来像是很多额外的麻烦，尤其是对于非技术用户而言。

“我们建议硬件以设置模式出厂，由操作系统负责初始密钥安装”

作者建议的是，操作系统能够在首次启动时将其安全密钥添加到全新的系统中。

这意味着可以在从未启动过的全新机器上切换到备用操作系统。这可能会吸引销售完整机器的公司。如果该提议得到遵守，全新的主板也将以此状态出厂。显然，微软必须同意支持该系统，但他们可能不会。

Linux 基金会的文件包含类似的建议。它呼应了新机器可以以准备好接收新密钥的状态出厂的建议，但补充说，用户应该能够将机器重置为初始状态。它承认了双启动的潜在问题。它补充指出，需要为从可移动介质启动做出某种规定。它还建议应成立一个中立组织，负责向硬件和软件供应商授予密钥。

这两份文件的语气都给人一种印象，即各方都已接受安全启动的不可避免性。我们可能很快就会开始怀念过去可以随意安装 Linux 的日子了。