Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

UEFI et TPM...Quand Microsoft veut empêcher les OS alternatifs

redo_fr

Peu importe le support, c'est le binaire qui doit être signé par la clef de chiffrement pour pouvoir être lancé par l'UEFI 🙂

D'où un second problème: Impossible de recompiler un nouveau noyau sans les clefs (secrètes)

Tomzz

Tiens, je pense a un truc.
Microsoft, qui a toujours une longueur d'avance sur tout le monde, va proposer un truc révolutionnaire.
En effet, il sera possible de booter un Windows 8 depuis une clef USB.
Oui, oui, vous avez bien lu, grâce à M$ il sera possible de démarrer un OS complet installé sur une clef USB.

Magnifique non?
C'est frafa qui va être stupéfait 😉

Mais comme cela représente une innovante nouvelle nouveauté révolutionnaire de haute technologie de la mort qui tue ça va être réservé aux entreprises.

Donc, et cas de crash sur un PC qui ne sait booter qu'avec un Windows signé il faudra faire appel à une gentille entreprise possédant la clef USB révolutionnaire pour récupérer ses données :rolleyes:

Bon, dans les fait on doit pouvoir coller le hd dans un autre PC mais l'argument commercial de spécialiste windows grand sorcier de la clef magique est là

tshirtman

oui, peut importe le support, c'est la signature qui compte…

bientot on aura une démo scène sur pc, comme sur les consoles, avec du reverse engineering, des recherches de failles pour pouvoir faire tourner de l'homebrew… on va faire un bon en arrière de 20 ans…

sam7

quand on lit ceci http://www.dailynux.fr/2011/09/21/microsoft-serait-en-train-dexplorer-une-piste-pour-bloquer-linstallation-dos-alternatifs/
il y a de quoi être horrifié par ce qui se prépare ... il faut réagir !
que font les associations de défense des consommateurs (comme par exemple http://non.aux.racketiciels.info/ ) ?
n'y a t'il pas des lois empêchant ce type de monopole de la part de MicroSoft !
c'est REVOLTANT qu'ils prennent le soit-disant prétexte de la sécurité pour faire passer leur ******* !

Zoulou.4556

steph138 a écritJe pense que nous pouvons agir d'une manière simple. Je m'explique :

Mais nous avons tous des amis, familles, connaissances qui ont vu nos micros tourner avec linux, mais qui ne veulent pas s'y mettre, réponse type d'une madame MIchu "bah, pourquoi, ca marche bien comme ca".

Mais ce sont ces mêmes Michu qui viennent nous appeler lorsque leur PC plante où lorsqu'il pensent avoir un virus. Pour eux, nous sommes de véritables techniciens de l'informatiques.

ça me rappel quelque chose ...., justement avec les arguments de microsoft Mme truc ce fera un plaisir d'acheter win8, personnellement je ne vois pas se qui garanti dans l'avenir une sécuriter total de l'os sachant que tout évolue rapidement ainsi que les malwares ou autres virus, se qui me rappel un article a se sujet de Disque dur vendu avec des malwares pré-installer par le constructeur, en résumé l'acheteur se fera flouser et sera le dindon de la farce!

jilucorg

redo_fr a écrit2*/ Que la puce TPM refuse de booter un système "non autorisé" (clef de chiffrement)
3*/ Que pour booter autre chose (au hasard Linux), il faut désactiver la puce TPM (réglage de l'UEFI)

C'est sans doute plus subtil :

Article de Numerama : http://www.numerama.com/magazine/19927-windows-8-ne-genera-pas-le-demarrage-de-linux-selon-microsoft.html

Numerama a écritPour recevoir le label "compatible avec Windows 8", les fabricants devront répondre aux exigences de Microsoft en matière de sécurité. Ils seront donc poussés à intégrer le démarrage sécurisé afin de recevoir l'autocollant qui reste, aux yeux du grand public, un gage d'assurance certain. Pour des raisons commerciales, les constructeurs seront naturellement incités à suivre les recommandations de Microsoft.

"La nouvelle procédure de démarrage demande que les 'clés de signature' soient installées dans le firmware de l'ordinateur. Le démarrage sécurisé empêche les exécutables d'être lancés s'ils ne sont pas signés par l'une des clés" a expliqué Matthew Garrett. Or si Microsoft n'aura aucune difficulté à franchir ces étapes avec sa signature, ce n'est pas le cas des autres O.S.

Microsoft aura les clés. Mais les autres ?

Microsoft, qui demeure l'O.S. le plus utilisé dans le monde, sera forcément pris en compte par défaut. Mais les autres ? Plusieurs cas de figure peuvent se poser. Pour les distributions Linux de premier plan, on peut imaginer que les clés de déchiffrement seront obtenues, du fait de la visibilité de certains éditeurs. Ensuite, encore faut-il que celles-ci soient prises en compte par les constructeurs, puisque ce sont eux qui, au final, intégreront ces clés dans le matériel.

À supposer que les fabricants ne soient pas adeptes du minimum syndical, on peut penser que des distributions importantes auront tissé des accords de manière à intégrer leurs clés. Dans le cas des distributions Linux de moindre importance, la situation se corse. Il n'est déjà pas certain qu'elles puissent obtenir les clés, pour des raisons techniques, légales ou financières, et même si c'est le cas il n'est pas sûr que les fabricants souhaitent se fouler pour des distributions mineures.

Rappelons au passage que l'UEFI est né au sein d'un consortium réunissant des entreprises telles que AMD, Apple, Delle, Hewlett Packard, IBM, Intel, Lenovo ou encore Microsoft. C'est au sein de ce groupe d'industriels que le principe du démarrage sécurisé a vu le jour. Et Microsoft, dans un billet de blog, est sorti de son silence pour rappeler que c'est aux fabricants de prendre leurs responsabilités.

La balle est dans le camp des constructeurs

Dans un message publié jeudi, Microsoft explique qu'une option destinée à désactiver le démarrage sécurisé au sein de l'UEFI est toujours possible. Il suffit de se rendre dans le paramétrage et de changer le paramètre. Or, encore faut-il que celui-ci existe. Rien n'indique en effet que cette option soit en effet prévue dans chaque matériel certifié Windows 8.

Microsoft n'exige pas que le démarrage sécurisé soit systématiquement présent. Autrement dit, c'est aux constructeurs de prendre les mesures nécessaires afin de laisser le choix aux utilisateurs. "Nous travaillons avec notre écosystème OEM pour fournir cette flexibilité aux consommateurs" explique l'entreprise. Et d'ajouter que Microsoft ne contrôle par les réglages sur le firmware d'un PC sur d'autres O.S. que Windows.

tshirtman

Rien n'indique en effet que cette option soit en effet prévue dans chaque matériel certifié Windows 8.

Pire matthew garrett indique que des constructeurs ont déjà confirmés que pour eux, ce ne serait pas le cas…

sam7

:mad: 🙁 super ! 🙁 :mad:
comment fera-t'on dans les années à venir lorsque tous les constructueurs de matériels se seront rangés du coté de Bill Gates !?
serat-il encore possible d'assembler (soi-même ... ou pas) un ordinateur pour y installer une (ou plusieurs) distribution GNU/Linux !?
(malgré ce qui est écrit ici : http://www.numerama.com/magazine/19927-windows-8-ne-genera-pas-le-demarrage-de-linux-selon-microsoft.html )

tshirtman

Le besoin en matos libre va se faire de plus en plus pressant… mais il me semble qu'on est bien loin derrière en terme de perfs…

Tomzz

Bonjour,
Question candide...
Ce pourrait'il que ce UEFI apporte une certaine standardisation et de fait rende plus facile le développement UEFI alternatifs libres.
Du moins plus facile et fonctionnel que les BIOS libres.

Haleth

C'est dla daube.
A la vue d'une vidéo (j'sais plus où, en rapport avec l'incroyable démarrage de win8, le meme que win7 soit dit en passant), y'a vraiment aucun interet à l'U/EFI : c'est pas plus rapide qu'un bios (c'est meme plus long), et ca n'apporte que de la complexité (et comme dit l'autre rigolo, Linus : la complexité engendre l'erreur)

Bref, beaucoup de bruit pour rien.

redo_fr

Haleth a écrit [...]beaucoup de bruit pour rien[...]

Je pense que soit tu ne te rends pas compte de la gravité de la chose, soit tu cherches le troll...

Encore une (dernière) fois: Ce n'est pas l'UEFI, le problème, c'est l'UEFI combiné à la puce TPM

La puce TPM contient un ensemble de clefs secrètes et c'est elle qui autorise (ou pas, si le binaire n'est pas chiffré) l'UEFI à booter
Et pour booter un noyau Linux, il te faut une clef intégrée à la puce TPM. Et à chaque changement de noyau ( ou recompilation), il te faut une nouvelle clef...Bref, un enfer.

tshirtman

Non, il faut ressigner le noyau avec la clé à chaque fois, mais une clé suffit.

helly

Haleth a écritC'est dla daube.
A la vue d'une vidéo (j'sais plus où, en rapport avec l'incroyable démarrage de win8, le meme que win7 soit dit en passant), y'a vraiment aucun interet à l'U/EFI : c'est pas plus rapide qu'un bios (c'est meme plus long), et ca n'apporte que de la complexité (et comme dit l'autre rigolo, Linus : la complexité engendre l'erreur)

Bref, beaucoup de bruit pour rien.

Ça permet aussi beaucoup de merdes, comme ça par exemple.

Zakhar

Bon, s'ils osent faire ça, ce sera la course au gendarme et au voleur.

La planète libre va mettre son intelligence à craquer le machin, et je donne pas six mois pour qu'on ait de quoi "signer" n'importe quel O.S.

... un peu comme a été craquée la clé maître des Blu-Ray. 😛

tshirtman

Ben ce sera comme sur les consoles… recherches de failles dans le système pour faire tourner du homebrew… super…

Si c'est fait un tant soit peu correctement, ça va vraiment être hyper chiant, la crypto est très au point… il fait des millénaires pour casser une clé… et même si on le fait, la redistribution d'OS signés avec ça, sera au mieux, illégale dans de nombreux pays…

Zakhar

Casser une clé est effectivement "impossible" (pas strictement en réalité, mais comme même en y mettant la puissance de calcul de la terre, il faut effectivement des millénaires, c'est tout comme si c'était vraiment "impossible"). Mais il y aura forcément des endroits où seront détenus les programmes de scellement avec des personnes qui y ont accès... or l'être humain n'est ni incorruptible ni infaillible : le maillon faible !

Et une fois que tu as le programme qui permet de générer les clés, après c'est piece of cake de comprendre comment ça marche, même s'il n'est qu'en assembleur sans code source.

Comme le Blu Ray je vous dis... je doute qu'on ait vraiment cassé la crypto pour généré des clés... or comme la clé maître est tombée, je pense plutôt à l'autre "méthode" ! :cool:

Après ça ils peuvent toujours révoquer des clés... mais déjà comme elle seront "en dur" sur la TPM, ça va être délicat. Et de plus ça va être le tel bordel avec les Windows signés avec la clé révoquée qui cesseront de marcher, que comme tout DRM, je ne leur donne pas de chance de longue vie !.. Ou alors les clients comprendront vite qu'il faut absolument des machines où le truc est "débrayable", et ce sera donc juste un gadget inutile de plus pour les PC grand public vu que tout le monde le désactivera (pas forcément pour mettre Linux, mais pour mettre le premier concurrent de Windows : les versions pirate !).

... Par contre pour les PC d'entreprise, je pense que ça pourrait faire un tabac... enfin, on verra !..

Tomzz

On a déjà eu l’expérience des verrouillages Allakon avec les PC tatoues, on a vu ce que ça a donné: Emmerdement puis contournement et a la fin abandon de ce truc stupide.
Mais encore une fois il va falloir galérer avant que tout les constructeurs aient compris que c'est stupide.

Parce que que les utilisateurs "Unix familly" arrêtent d'acheter leurs produits passe encore, ça peut peut-être être compensé par les ristournes de M$, mais que tous les utilisateurs de Windows pirates boudent en plus ça risque de faire mal.

Le premier constructeur qui promet la TPM désactivable il fait un carton chez les "Unix familly", les adorateurs d'XP, les crakeurs en culottes courtes et tous ceux qui s'y connaissent un poil et qui choisissent leur matos en fonctions des possibilités d’évolutions... çà fait du monde.

redo_fr

Zakhar a écrit [...]Et une fois que tu as le programme qui permet de générer les clés, après c'est piece of cake de comprendre comment ça marche, même s'il n'est qu'en assembleur sans code source.[...]

Sauf que ce sera illégal (ça l'est déjà en France, avec la LCEN, si je ne me trompe pas...)
Quelle distribution osera proposer de s'installer avec des clefs illégales? Comment vont faire les distributions majeures (Ubuntu, Redhat, ...) pour continuer à fonctionner?

N'oublions pas que les grandes distributions fonctionnent grâce aux fonds privés des entreprises... Quelle entreprise irait financer (ou acheter des licences) à une distribution qui "s'assoit" publiquement sur la loi? Je suis d'accord que ces distributions, majeures "pourront" obtenir leurs propres clefs, mais que deviennent toutes les petites distributions qui font la richesse du monde du Libre? Comment recompiler un noyau "maison" si tu n'as pas accès aux clefs de signature?

finepix

Bonjour,

Le boot de Windows 8 ne bloquera pas Linux, selon Microsoft

La firme a réagi aux propos du développeur Matthew Garrett, qui se demandait cette semaine s'il serait possible d'installer Linux sur un PC certifié « Windows 8 ».

Mise à jour à 18 h 30

Microsoft a rapidement réagi au début de polémique suscité par le billet de Matthew Garrett. Toujours sur le blog Building Windows 8, Steven Sinofsky et Tony Mangefeste, de l’équipe « écosytème », ont apporté des éclaircissemnts sur la façon dont le prochain système d'exploitation gérerait la fonction de boot sécurisé de l’UEFI.

« Le boot sécurisé est un protocole de l'UEFI et non une fonction de Windows 8 », précisent-ils d’emblée, avant d'ajouter que « Windows 8 utilise Secure Boot pour s’assurer que l’environnement avant le chargement de l’OS est sécurisé ». Autrement dit : pour les besoins de son fonctionnement, pas pour empêcher un autre système de démarrer.

Pour qu'un PC soit certifié « Windows 8 », Mangefeste explique que Secure Boot doit être activé par défaut et que le firmware ne doit pas autoriser un contrôle automatisé de cette fonction. Cela afin d’empêcher un programme malveillant de modifier le paramètre.

Mais l’éditeur affirme surtout que c’est aux fabricants de PC d'adapter comme ils le souhaitaient leur firmware. Microsoft « ne contrôle pas les réglages sur le firmware d’un PC sur d’autres OS que Windows ». Pour prouver sa bonne foi, Mangefeste montre un écran de réglage de la tablette Samsung que la firme a fournie aux développeurs présents à la conférence Build, et qui permet effectivement de désactiver le boot sécurisé.

http://www.01net.com/editorial/541700/pourra-t-on-installer-linux-sur-les-pc-livres-avec-windows-8/

« Page précédente Page suivante »