UEFI और सिक्योर बूट के बारे में थोड़ा सा

UEFI

यूईएफआई (यूनिफाइड एक्स्टेंसिबल फर्मवेयर इंटरफेस) - एक पुरानी BIOS की जगह। इस विनिर्देशन का आविष्कार इंटेल फॉर इटेनियम द्वारा किया गया था, तब इसे EFI (एक्सटेंसिबल फ़र्मवेयर इंटरफ़ेस) भी कहा जाता था, और फिर इसे x86, x64 और ARM पर पोर्ट किया गया था। यह बूट प्रक्रिया में और ओएस के साथ बातचीत करने के तरीकों में BIOS से बहुत अलग है। यदि आपने 2010 और बाद में एक कंप्यूटर खरीदा है, तो सबसे अधिक संभावना है कि आपके पास यूईएफआई है।

UEFI और BIOS के बीच मुख्य अंतर:

• GPT (GUID विभाजन तालिका) समर्थन

GPT - एमबीआर की जगह, मार्कअप का एक नया तरीका। MBR के विपरीत, GPT 2TB से बड़े डिस्क और विभाजन की असीमित संख्या का समर्थन करता है, जबकि MBR ​​बैसाखी से केवल 4 का समर्थन करता है। डिफ़ॉल्ट रूप से UEFI GPT विभाजन के साथ FAT32 का समर्थन करता है। UEFI स्वयं MBR का समर्थन नहीं करता है, MBR के साथ समर्थन और डाउनलोड करना CSM (संगतता समर्थन मॉड्यूल) विस्तार द्वारा किया जाता है।

• सेवा का समर्थन

यूईएफआई में दो प्रकार की सेवाएं हैं: बूट सेवाएं और रनटाइम सेवाएं। ओएस लोड करने से पहले केवल पूर्व का काम और ग्राफिक और टेक्स्ट टर्मिनलों, बसों, ब्लॉक उपकरणों, आदि के साथ बातचीत प्रदान करना और रनटाइम सेवाएं ओएस का उपयोग कर सकती हैं। रनटाइम सेवाओं का एक उदाहरण एक परिवर्तनीय सेवा है जो एनवीआरएएम में मूल्यों को संग्रहीत करता है। लिनक्स क्रैश डंप को संग्रहीत करने के लिए एक चर सेवा का उपयोग करता है जिसे कंप्यूटर रिबूट के बाद बाहर निकाला जा सकता है।

• मॉड्यूलर वास्तुकला

आप UEFI में अपने एप्लिकेशन का उपयोग कर सकते हैं। आप अपने ड्राइवरों को यूईएफआई में अपलोड कर सकते हैं। सच में नहीं! यूईएफआई शेल जैसी एक चीज है। कुछ निर्माताओं ने इसे अपने यूईएफआई में शामिल किया है, लेकिन यह मेरे लैपटॉप (लेनोवो थिंकपैड X220) पर नहीं है। लेकिन आप इसे केवल इंटरनेट से डाउनलोड कर सकते हैं और इसे यूएसबी फ्लैश ड्राइव या हार्ड ड्राइव पर रख सकते हैं। ReiserFS के लिए ड्राइवर भी हैं, ext2 / 3/4, और शायद कुछ और, मैं बहुत गहरा नहीं गया। आप उन्हें यूईएफआई शेल से डाउनलोड कर सकते हैं और यूईएफआई से सीधे अपने फाइल सिस्टम के विस्तार के आसपास चल सकते हैं।
यूईएफआई भी नेटवर्क का समर्थन करता है, इसलिए यदि आप अपने नेटवर्क कार्ड के लिए यूईएफआई ड्राइवर पाते हैं, या यदि यह मदरबोर्ड निर्माता द्वारा सक्षम है, तो आप शेल से 8.8.8.8 पिंग कर सकते हैं।
सामान्य तौर पर, यूईएफआई विनिर्देश ओएस से यूईएफआई चालक बातचीत के लिए प्रदान करता है, अर्थात। यदि आपके पास ओएस में नेटवर्क कार्ड के लिए ड्राइवर नहीं है, और यह यूईएफआई में लोड है, तो ओएस यूईएफआई के माध्यम से नेटवर्क कार्ड का उपयोग करने में सक्षम होगा, हालांकि, मैंने ऐसा कार्यान्वयन नहीं देखा है।

• अंतर्निहित डाउनलोड प्रबंधक

यदि आप मल्टीबूट चाहते हैं, तो सामान्य तौर पर, यूईएफआई को बूटलोडर की आवश्यकता नहीं होती है। आप अपने खुद के मेनू आइटम जोड़ सकते हैं, और वे डिस्क और फ्लैश ड्राइव के ठीक सामने यूईएफआई बूट मेनू में दिखाई देंगे। यह बहुत सुविधाजनक है और आपको लिनक्स को बिना बूटलोडर के लोड करने की अनुमति देता है, और तुरंत कर्नेल। इस प्रकार, आप तृतीय-पक्ष बूट लोडर के बिना विंडोज और लिनक्स स्थापित कर सकते हैं।

UEFI में लोडिंग कैसे होती है?

पहचानकर्ता EF00 और FAT32 फ़ाइल सिस्टम के साथ GPT विभाजन से, फ़ाइल \ efi \ बूट \ आर्किटेक्चर नाम] .efi को डिफ़ॉल्ट रूप से लोड और लॉन्च किया जाता है, उदाहरण के लिए \ efi \ boot \ bootx64.efi।
यानी उदाहरण के लिए, विंडोज के साथ बूट करने योग्य USB फ्लैश ड्राइव बनाने के लिए, बस GPT में USB फ्लैश ड्राइव को चिह्नित करें, उस पर एक FAT32 विभाजन बनाएं और आईएसओ छवि से बस सभी फाइलों को कॉपी करें। अधिक बूट सेक्टर नहीं हैं, उनके बारे में भूल जाएं।
यूईएफआई के लिए डाउनलोड करना बहुत तेज है, उदाहरण के लिए, आर्केलिनक्स से मेरे लैपटॉप को पावर बटन को पूरी तरह से चालू करने के लिए डाउनलोड करना केवल 30 सेकंड है। जहां तक ​​मुझे पता है, विंडोज 8 में भी यूईएफआई मोड में बहुत अच्छी डाउनलोड गति अनुकूलन है।

सुरक्षित बूट

मैंने इंटरनेट पर बहुत सारे प्रश्न देखे, जैसे:

"मैंने सुना है कि माइक्रोसॉफ्ट विंडोज 8 पर सिक्योर बूट लागू करता है। यह तकनीक अनधिकृत कोड को निष्पादित करने की अनुमति नहीं देती है, उदाहरण के लिए, बूटलोडर्स द्वारा उपयोगकर्ता को मैलवेयर से बचाने के लिए। और नि: शुल्क सॉफ्टवेयर फाउंडेशन से सुरक्षित बूट के खिलाफ एक अभियान है, और कई लोग इसके खिलाफ थे। अगर मैं विंडोज 8 वाला कंप्यूटर खरीदता हूं, तो क्या मैं लिनक्स या कोई अन्य ओएस स्थापित कर सकता हूं? या यह तकनीक केवल विंडोज चला सकती है? ”

शुरुआत करने के लिए, इस तकनीक का आविष्कार Microsoft द्वारा नहीं किया गया था, लेकिन यह UEFI 2.2 विनिर्देश का हिस्सा है। सुरक्षित बूट को सक्षम करने का मतलब यह नहीं है कि आप विंडोज के अलावा एक ओएस शुरू नहीं कर सकते। वास्तव में, विंडोज 8 को चलाने के लिए प्रमाणित कंप्यूटर और लैपटॉप को सिक्योर बूट और कुंजियों को प्रबंधित करने की क्षमता को अक्षम करने की आवश्यकता होती है , इसलिए चिंता करने की कोई बात नहीं है। नॉन-डिस्कनेक्टेबल सिक्योर बूट केवल विंडोज के साथ एआरएम टैबलेट पर उपलब्ध है !

सिक्योर बूट क्या देता है? यह न केवल बूट चरण में, बल्कि ओएस निष्पादन चरण में भी अहस्ताक्षरित कोड के निष्पादन से बचाता है, उदाहरण के लिए, विंडोज और लिनक्स दोनों कर्नेल ड्राइवरों / मॉड्यूल के हस्ताक्षर को सत्यापित करते हैं, ताकि दुर्भावनापूर्ण कोड को कर्नेल मोड में निष्पादित नहीं किया जा सके। लेकिन यह केवल सच है अगर कंप्यूटर तक कोई भौतिक पहुंच नहीं है , क्योंकि, ज्यादातर मामलों में, भौतिक पहुंच के साथ, चाबियाँ आपके स्वयं के द्वारा प्रतिस्थापित की जा सकती हैं।

सुरक्षित बूट में 2 मोड हैं: सेटअप और उपयोगकर्ता। पहले मोड का उपयोग कॉन्फ़िगरेशन के लिए किया जाता है, इसमें से आप PK (प्लेटफ़ॉर्म की, डिफ़ॉल्ट रूप से OEM से बदल सकते हैं), KEK (कुंजी एक्सचेंज कुंजी), db (अनुमत कुंजी का डेटाबेस) और dbx (निरस्त कुंजी का डेटाबेस) बदल सकते हैं। KEK नहीं हो सकता है, और सब कुछ पीके द्वारा हस्ताक्षरित किया जा सकता है, लेकिन कोई भी ऐसा नहीं करता है। PK मुख्य कुंजी है जिसके साथ KEK हस्ताक्षरित है; बदले में, db और dbx को KEK से कुंजियों के साथ हस्ताक्षरित किया गया है (उनमें से कई हो सकते हैं)। उपयोगकर्ता मोड के तहत कुछ हस्ताक्षरित .efi फ़ाइल को चलाने के लिए, इसे एक कुंजी के साथ हस्ताक्षरित होना चाहिए जो db में है, और dbx में नहीं।

लिनक्स के लिए, 2 प्रीलोडर्स हैं जो सिक्योर बूट का समर्थन करते हैं: शिम और PRELoader। वे समान हैं, लेकिन छोटी बारीकियां हैं।
शिम में 3 प्रकार की कुंजियाँ हैं: सिक्योर बूट कीज़ (जो यूईएफआई में हैं), शिम कीज़ (जो आप खुद बना सकते हैं और संकलन पर निर्दिष्ट कर सकते हैं), और एमओके (मशीन मालिक कुंजी, एनवीआरएएम में संग्रहीत)। शिम यूईएफआई के माध्यम से बूट तंत्र का उपयोग नहीं करता है, इसलिए एक बूटलोडर जो शिम का समर्थन नहीं करता है और जानता है कि एमओके के बारे में कुछ भी कोड निष्पादित नहीं कर पाएगा (इस प्रकार, गमिबूट बूटलोडर काम नहीं करेगा)। PRELoader, इसके विपरीत, UEFI में अपने प्रमाणीकरण तंत्र को एम्बेड करता है, और कोई समस्या नहीं है।
शिम एमओके पर निर्भर है, अर्थात उनके निष्पादित होने से पहले बायनेरिज़ को संशोधित (हस्ताक्षरित) किया जाना चाहिए। दूसरी ओर, PRELoader, सही बायनेरिज़ को "याद" करता है, आप यह बताते हैं कि आप उन पर भरोसा करते हैं या नहीं।
दोनों प्री-लोडर को Microsoft से वैध हस्ताक्षर के साथ संकलित किया जाता है, इसलिए UEFI कुंजियों को बदलना आवश्यक नहीं है।

सिक्योर बूट को इब्ली मेड जैसे हमलों से बूटकिट्स से बचाने के लिए डिज़ाइन किया गया है, और, मेरी राय में, यह प्रभावी रूप से करता है।
आपका ध्यान के लिए धन्यवाद!