Linux基金会今天向PC制造商发布了关于如何在不锁定Linux或其他自由软件的情况下实现安全UEFI的技术指南。微软(Microsoft)的史蒂文•辛诺夫斯基(Steven Sinofsky)暗示，个人电脑用户不愿干扰自己对硬件的控制，并乐于向操作系统制造商和硬件制造商承认这一点。
更新:与此同时，竞争对手红帽和Canonical也在今天发布了一份联合撰写的白皮书，强烈谴责微软的UEFI计划，并普遍认为UEFI是安全的。(链接,PDF)
嘿,为什么自由软件基金会做出了最后的决定，它的反安全启动请求?
背景:新一代的引导规范可能会永远锁定Windows 8 pc上的Linux
Red Hat/Canonical的论文还警告说，停止安全启动程序的时间已经不多了。该报告的第一句话是，“鉴于微软的Windows 8将要求默认启用安全启动，预计大多数个人电脑设备将在2012年第一季度上市时启用安全启动。”
文章接着重申了安全引导可能会永远锁定Windows 8 pc的Linux系统的担忧。不幸的是，微软推荐的安全引导实现删除了硬件所有者对系统的控制，并可能阻止开源操作系统运行。Windows 8对安全引导的要求将迫使oem厂商以这种方式实现安全引导。”
微软已经公开否认了这一点——我马上就会讲到——Linux基金会正试图通过向PC制造商展示UEFI是如何按照微软的指令安全执行的，同时仍然让PC用户控制他们的设备来遏制愤怒的浪潮。
总结一下:下一代引导规范称为统一可扩展固件接口。微软要求Windows 8电脑制造商使用UEFI的安全启动协议，才有资格参加微软的Windows 8徽标程序。安全UEFI的目的是通过在允许可执行文件或驱动程序加载到设备上之前使用关键基础设施来阻止rootkit感染。问题是，这些密钥还可以用来防止个人电脑的所有者清除当前的操作系统并安装其他选项，比如Linux。它还可以阻止他们加载自己的设备驱动程序。
Red Hat/Canonical的论文指出，这可能会阻碍第三方硬件制造商，就像它会阻碍开源操作系统一样。
对于oem来说，实现安全的UEFI是可能的，用户可以简单地禁用它。Sinofsky是微软Windows部门的总裁，他在上个月的一篇博客文章中指出了这一点。他还指出，赠送给与会者的三星Windows 8开发平板电脑可能会禁用安全引导。但微软并没有强制禁用选项。Matthew Garrett，一个为红帽工作的开发人员，参与了UEFI规范的过程，他说红帽知道一些Windows 8电脑不允许用户禁用。
更多的影响:一些W8 pc不会关闭安全启动，红帽警告
如果PC所有者不想禁用安全的UEFI，但仍然希望能够加载Linux或双引导窗口和Linux，那么这个问题就变得更加棘手。在这种情况下，他们需要访问主平台密钥。只有平台密钥的所有者才能授权要加载到设备上的新固件或操作系统。然后，他们需要一种方法来管理验证固件、驱动程序和操作系统的签名数据库。
许多自由软件提倡者担心微软正在推行一种方法，在这种方法中，钥匙最终不会落到设备所有者手中。
“Steven Sinofsky在他的博客中暗示……一般的平台所有者可能希望放弃PK[平台密钥]的控制权(以及签名数据库的控制权)给微软和该平台的OEM供应商。”这种操作模式违背了UEFI的建议，即平台所有者应该是PK控制器，”Linux基金会的作者在他们题为《使UEFI安全引导在开放平台上工作。这篇文章是由Parallels公司的首席技术官James Bottomley和LWN.net的编辑Jonathan Corbet撰写的，他们都是Linux基金会技术顾问委员会的成员。
摘要承认一些个人电脑用户可能不希望管理PK基础设施来使用他们的电脑,就只会给微软,即使这意味着他们将无法加载驱动程序或操作系统,除非微软首次批准。
但是Red Hat/Canonical的论文并不是那么温和，并且提供了一个接一个的理由来说明为什么secure UEFI是一个坏主意。这篇论文,UEFI安全引导对Linux的影响，由James Bottomley、Canonical的技术架构师Jeremy Kerr和Red Hat的高级软件工程师Matthew Garrett共同撰写。
虽然安全引导对终端用户有一些好处，但也有一些可能的后果
受益于专有软件供应商，而不是用户，”作者争辩道。作者说，这些好处可能包括强迫硬件过时，以及强迫用户只能从预先批准的指定“应用商店”购买。
本文还指出了安全引导对硬件制造商的危害。如果组件供应商签署了他们自己的驱动程序，那么他们必须确保他们的密钥安装在他们希望支持的所有硬件上。这种方法会阻止新的硬件供应商进入市场，直到他们把他们的密钥分发给一系列oem，并且每个平台都有很大的开销，”作者写道。
但是对于那些想要控制和想要UEFI提供的额外安全保障的人，Linux基金会的论文提出了几个指导方针——而且还采用了我们可以所有人一起玩得很好的论调。
Linux基金会希望:
1)所有能让UEFI安全启动的平台在“设置模式”下发货，PC拥有者可以是平台密钥的最初控制人。业主可以选择一个由微软控制的当时。设备所有者也应该能够返回到设置模式并改变选择。这一点在所有者出售机器时尤为重要。
2)一个操作系统，检测电脑何时处于安装模式，并适当安装密钥，然后激活安全引导模式。
3)基于固件的机制，允许平台所有者在安全模式下添加验证软件的新密钥，从而可以建立双启动系统。
4)基于固件的机制，便于启动可移动媒体。
5)基金会还希望在未来建立一个与操作系统和供应商中立的证书颁发机构，为第三方硬件和软件供应商颁发密钥。然而，该论文指出，虽然这将使安全的UEFI更容易使用，但新的CA不是必须的。
作者强调，安全的UEFI并不一定是一种在微软和自由软件之间驱动利害关系的技术。
他们写道:“一些观察人士担心，安全引导可能被用于将开放系统排除在市场之外，但是，正如我们所展示的，没有必要这样做。”“如果供应商以安装模式发布他们的系统，并提供一种方法来添加新的固件[密钥]，这些系统将完全支持开放的操作系统，同时保持符合Windows 8的标识要求。”
不过，Windows 8的普通消费者想要承担多少管理安全UEFI的负担呢?典型的企业想要做多少?个人电脑制造商能找到平衡吗?
像这样的吗?这里有更多的:
开源:你知道，为孩子们!