सुरक्षित UEFI बूट

सुरक्षित UEFI बूट

यूईएफआई विकिपीडिया के अनुसार - यूनिफाइड एक्स्टेंसिबल फर्मवेयर इंटरफेस (ईएफआई) - ऑपरेटिंग सिस्टम और फर्मवेयर के बीच का इंटरफ़ेस जो उपकरणों के निम्न-स्तर के कार्यों को नियंत्रित करता है, इसका मुख्य उद्देश्य उपकरण को चालू करना है जब सिस्टम चालू होता है और ऑपरेटिंग सिस्टम के बूटलोडर को नियंत्रण हस्तांतरित करता है। ईएफआई को BIOS को बदलने के लिए डिज़ाइन किया गया है, जो कि सभी आईबीएम पीसी-संगत व्यक्तिगत कंप्यूटरों द्वारा पारंपरिक रूप से उपयोग किया जाने वाला इंटरफ़ेस है

उच्च संभावना के साथ, कई जल्द ही इस विषय पर सवाल करेंगे:

UEFI सिक्योर बूट प्रोटोकॉल नवीनतम UEFI रिलीज के लिए विनिर्देश का हिस्सा है। यह आपको सिस्टम फर्मवेयर में एक या अधिक हस्ताक्षरित कुंजियों को स्थापित करने की अनुमति देता है। एक बार सक्षम होने के बाद, यूईएफआई "सुरक्षित बूट" निष्पादन योग्य फ़ाइलों या ड्राइवरों के डाउनलोड को रोकता है, यदि वे पहले से इंस्टॉल किए गए कुंजी में से एक के साथ हस्ताक्षरित नहीं हैं। कुंजियों का एक और सेट (Pkek) आपको OS और फर्मवेयर के बीच संचार बनाए रखने की अनुमति देता है। OS, Pkek मिलान कुंजी के एक सेट के साथ, जो फर्मवेयर में स्थापित कुंजी के साथ संचार को व्यवस्थित करता है, फर्मवेयर में तथाकथित "सफेद सूची" में अतिरिक्त कुंजी जोड़ सकता है। स्वाभाविक रूप से, इसके अलावा, वह "ब्लैक लिस्ट" में कुंजी जोड़ सकती है। कुंजियों की ब्लैकलिस्ट में चिह्नित बायनेरिज़ स्वाभाविक रूप से बूट पर काम नहीं करेंगे।

वर्तमान में कोई केंद्रीकृत UEFI कुंजी हस्ताक्षर तंत्र नहीं है। यदि निर्माता की प्रणाली में एक कुंजी है, तो इस कुंजी द्वारा हस्ताक्षरित कोड प्राप्त करने का एकमात्र तरीका निर्माता से इस पर हस्ताक्षर करने के लिए संपर्क करना है। सिस्टम में कई चाबियां एम्बेड की जा सकती हैं, लेकिन यदि आप उनमें से किसी को भी अपने बायनेरिज़ पर हस्ताक्षर करने के लिए उपयोग नहीं कर सकते हैं, तो वे इंस्टॉल करने योग्य नहीं होंगे।

यह निश्चित रूप से सॉफ्टवेयर और हार्डवेयर निर्माताओं दोनों को प्रभावित करता है। ओएस निर्माता सिस्टम में अपने सॉफ़्टवेयर को तब तक डाउनलोड नहीं कर पाएंगे, जब तक कि यह एक कुंजी के साथ हस्ताक्षर नहीं किया जाता है जो फर्मवेयर सिस्टम में शामिल है। उपकरण निर्माता ईएफआई वातावरण के अंदर अपने हार्डवेयर को चलाने में सक्षम नहीं होगा, जब तक कि उसके ड्राइवर सिस्टम फर्मवेयर में पाए गए समान कुंजियों के साथ हस्ताक्षरित न हों। उदाहरण के लिए, जब आप एक नया वीडियो कार्ड स्थापित करते हैं, जिसमें बिना ड्राइवर वाले ड्राइवर होते हैं जो स्वाभाविक रूप से आपके सिस्टम फर्मवेयर में नहीं पाए जाते हैं, तो आप इसे इस वातावरण में काम नहीं कर सकते।

Microsoft की आवश्यकता है कि Windows-8 के क्लाइंट संस्करण वाले Windows- संगत सिस्टम और सिस्टम को सिक्योर बूट सक्षम के साथ शिप किया जाए। दो वैकल्पिक तरीके प्रस्तावित हैं। पहली - विंडोज की प्रत्येक प्रति को एक Microsoft कुंजी के साथ हस्ताक्षरित किया जाना चाहिए, और इसके सार्वजनिक भाग को सभी प्रणालियों में एम्बेड किया गया है, या, एक विकल्प के रूप में, प्रत्येक OEM-निर्माता के लिए दूसरा तरीका प्रदान करता है कि वे अपनी कुंजी को सिस्टम में रखें और उन्हें Windows की पूर्व-स्थापित प्रति के साथ हस्ताक्षर करें। दूसरा तरीका विंडोज-संगत सिस्टम पर विंडोज की एक बॉक्सिंग कॉपी को चलाना असंभव बना देगा, विंडोज के नए संस्करणों को स्थापित करना भी असंभव होगा जब तक कि आपके ओईएम ने एक नया संस्करण पर हस्ताक्षर नहीं किया है। पहला विकल्प अधिक संभावना है।

एक प्रणाली जो केवल ओईएम कुंजी और माइक्रोसॉफ्ट के साथ जहाज करती है वह लिनक्स की प्रतियां डाउनलोड नहीं कर पाएगी।

अब, सबसे अधिक संभावना है, हम लिनक्स के हस्ताक्षरित संस्करण प्रदान कर सकते हैं। लेकिन यह इतना सरल नहीं है और कई समस्याएं दिखाई देंगी। सबसे पहले, आपको एक गैर-जीपीएल बूटलोडर की आवश्यकता है। ग्रब 2 को जीपीएलवी 3 के तहत जारी किया गया है, जिसमें स्पष्ट रूप से कहा गया है कि हम हस्ताक्षर कुंजी प्रदान करते हैं। ग्रब, जिसे GPLv2 के तहत जारी किया गया है, जिसमें एक स्पष्ट कुंजी की कमी है, लेकिन संकलन को नियंत्रित करने के लिए उपयोग की जाने वाली स्क्रिप्ट के लिए एक अनुरोध हो सकता है जिसमें यह आवश्यकता हो सकती है। यह एक "ग्रे क्षेत्र" है, और कारनामों का उपयोग पार्टियों की बेईमानी को अच्छी तरह से दिखाएगा। दूसरे, डिजाइन द्वारा निकट भविष्य में, कर्नेल बूटलोडर का हिस्सा बन जाएगा। इसका मतलब है कि कर्नेल पर भी हस्ताक्षर करना होगा। जो उपयोगकर्ताओं या डेवलपर्स के लिए अपनी खुद की गुठली बनाना (इकट्ठा करना) लगभग असंभव बना देगा। अंत में, यदि हम स्वयं के लिए हस्ताक्षर प्रदान करते हैं, तब भी यह आवश्यक है कि हमारी कुंजियाँ OEM सूची में शामिल हों।

सिद्धांत रूप में, इस बात के कोई संकेत नहीं हैं कि Microsoft हार्डवेयर विक्रेताओं को इस तरह के फर्मवेयर के लिए "ON / OFF" फ़ंक्शन प्रदान करने की अनुमति नहीं देगा ताकि उपयोगकर्ता अभी भी अहस्ताक्षरित कोड चला सके। हालांकि, अनुभव से पता चलता है कि कई सॉफ्टवेयर निर्माता और ओईएम अपने बाजार के लिए आवश्यक न्यूनतम फर्मवेयर कार्यक्षमता प्रदान करने में रुचि रखते हैं। यह लगभग निश्चित है कि कुछ सिस्टम इस सुविधा को अक्षम करने की क्षमता के साथ आएंगे, लेकिन दूसरी ओर, कुछ समझौतों के परिणामस्वरूप, यह पता चल सकता है कि अधिकांश निर्माता उपयोगकर्ताओं की पसंद का अधिकार नहीं छोड़ेंगे।

इस लेख से आपको घबराना नहीं चाहिए, यह विचार करने योग्य है ...

पीएस मैं अपने दम पर जोड़ना चाहता हूं कि भविष्य में निर्माता से दो लाइनें प्रकट हो सकती हैं, हस्ताक्षर सत्यापन को अक्षम करने के लिए समर्थन के साथ अधिक महंगा, और सस्ता, अर्थात्। सीमित कार्यक्षमता के साथ, यह मुझे विशेष रूप से मोबाइल कंप्यूटर (लैपटॉप, नेटबुक, आदि) में परिलक्षित होता है।
मूल लेख यहां पाया जा सकता है: मूल

एक दोस्त के साथ मिलकर पीपीएस अनुवाद, KoPBuH धन्यवाद, दुर्भाग्य से यह अभी तक एक केंद्र नहीं है, लेकिन मुझे उम्मीद है कि यह जल्द ही दिखाई देगा।