Linux基金会今天向PC制造商发布了技术指导，指导他们如何在不锁定Linux或其他免费软件的情况下，在新的Windows 8机器上实现安全的UEFI。该指导包括了对微软的Steven Sinofsky的一个微妙的批评，因为他暗示个人电脑用户不希望在控制硬件的过程中出现混乱，并且愿意向操作系统制造商和硬件制造商让步。
更新:与此同时，竞争对手Red Hat和Canonical今天也发布了一份联合撰写的白皮书，对微软的UEFI计划提出了强烈的谴责，并全面推广了安全UEFI。(链接,PDF)
嘿,为什么自由软件基金会说了算反安全启动请愿书?
背景:下一代启动规范可能永远将Linux与Windows 8电脑隔离
Red Hat/Canonical的论文还警告说，停止安全启动列车的时间已经不多了。论文的第一句话是，“考虑到微软的Windows 8需要默认启用安全启动，预计大多数个人电脑设备将在2012年第一季度启用它。”
这篇文章接着重申了对安全启动可能永远将Windows 8电脑上的Linux锁住的担忧。不幸的是，微软推荐的安全启动方式将移除硬件所有者对系统的控制，并可能阻止开源操作系统的正常运行。Windows 8对安全启动的要求将迫使oem以这种方式实现安全启动。”
微软已经公开否认了这一点——我将在一分钟后谈到这一点——Linux基金会正试图通过向PC制造商展示UEFI是如何根据微软的指令实现安全的，同时仍然让PC用户控制他们的设备。
总结一下:下一代引导规范被称为统一可扩展固件接口。微软要求Windows 8 PC制造商使用UEFI的安全引导协议，以获得Windows 8标识程序的资格。Secure UEFI旨在阻止rootkit感染，在允许可执行文件或驱动程序加载到设备之前，使用一个关键的基础设施。问题是，这些密钥也可以用来防止电脑用户清除当前的操作系统，安装其他选项，如Linux。它还可以阻止他们加载自己的设备驱动程序。
Red Hat/Canonical的论文指出，这对第三方硬件制造商的阻碍不亚于对开源操作系统的阻碍。
oem可以实现安全UEFI，用户可以简单地禁用它。辛诺夫斯基是微软Windows部门的总裁，他在上个月的一篇博客文章中指出了这一点。他还指出，赠送给BUILD与会者的三星Windows 8开发平板电脑可能会禁用安全启动。但是微软并没有强制禁用这个选项。在Red Hat工作的开发人员Matthew Garrett参与了UEFI规范过程，他说Red Hat知道一些Windows 8 pc不允许用户禁用。
更多的影响:红帽警告说，一些W8电脑不会关闭安全启动
如果PC用户不想禁用安全的UEFI，但仍然希望能够加载Linux或双引导Windows和Linux，那么问题就会变得更加棘手。在这种情况下，它们需要访问主平台密钥。只有平台密钥的所有者才能授权将新的固件或操作系统加载到设备上。然后，他们将需要一种方法来管理验证固件、驱动程序和操作系统的特征数据库。
许多自由软件的拥护者担心，微软正在推行一种不会让密钥落入设备所有者手中的方法。
“Steven Sinofsky在他的博客文章中建议，一般的平台所有者可能会希望把PK(平台密钥)(以及签名库的控制)的控制权交给微软和平台的OEM供应商。这种操作模式违背了UEFI的建议，即平台所有者应该是PK控制器。”Linux基金会的作者在题为《让UEFI安全启动在开放平台上工作．这篇论文是由Parallels公司的首席技术官詹姆斯·波顿利(James Bottomley)和LWN.net的编辑乔纳森·科比特(Jonathan Corbet)撰写的，两人都是Linux基金会技术顾问委员会的成员。
摘要承认一些个人电脑用户可能不希望管理PK基础设施来使用他们的电脑,就只会给微软,即使这意味着他们将无法加载驱动程序或操作系统,除非微软首次批准。
但是Red Hat/Canonical的论文并不是那么温和，并提供了一个又一个关于为什么安全UEFI只是一个坏主意的理由。这篇论文,UEFI安全引导对Linux的影响，是由James Bottomley, Jeremy Kerr, Canonical的技术架构师和Red Hat的高级软件工程师Matthew Garrett写的，他已经警告世界关于安全启动的问题好几个月了。
“尽管安全引导对终端用户有一些好处，但也可能带来一些后果
受益于专有软件供应商，而不是用户，”作者认为。作者说，这些好处可能包括迫使硬件过时，以及迫使用户只能从指定的预先批准的“应用商店”购买。
本文还指出，安全启动可能会对硬件制造商造成损害。“如果组件供应商签署他们自己的驱动程序，那么他们必须确保他们的密钥安装在他们希望支持的所有硬件上。这种方法会阻止新的硬件供应商进入市场，直到他们将密钥分发给一系列oem，而且每个平台的开销很大，”作者写道。
但是对于那些想要控制和想要UEFI提供的额外安全的人来说，Linux基金会的论文提出了几个指导方针——也采取了“我们可以一起玩”的基调。
Linux基金会希望:
1)所有允许UEFI安全启动的平台都是“在设置模式下”运行的，在设置模式下，PC用户可以首先控制平台密钥。业主届时可选择由微软公司控制的一个。设备所有者也应该能够返回设置模式并更改选择。如果所有者出售机器，这一点尤其重要。
2)一个操作系统，当电脑处于安装模式，并适当安装键，然后激活安全启动模式。
3)一种基于固件的机制，允许平台所有者在安全模式下运行时添加新的密钥来验证软件，从而可以设置双启动系统。
4)一个基于固件的机制，便于启动离开可移动媒体。
5)在将来的某个时候，基金会还希望建立一个操作系统和厂商中立的证书颁发机构，为第三方硬件和软件厂商颁发密钥。然而，文章指出，虽然这将使安全UEFI的使用更容易，但新的CA不是强制性的。
作者强调，安全UEFI并不一定是微软和自由软件之间的利害关系。
他们写道:“一些观察人士担心，安全启动可能会被用来将开放系统排除在市场之外，但正如我们所证明的，没有必要这样做。”“如果厂商以设置模式发布他们的系统，并提供向固件添加新(键)的方法，这些系统将完全支持开放操作系统，同时保持符合Windows 8徽标要求。”
然而，Windows 8的普通消费者想要承担多少负担来管理安全的UEFI呢?典型的企业想要做多少?个人电脑制造商能找到平衡吗?
像这样的吗?这里有更多的:
开源:你知道，是给孩子的!