Secure Boot está completamente roto en más de 200 modelos de 5 grandes fabricantes de dispositivos (ENG)

Investigadores de la empresa de seguridad Binarly revelaron que Secure Boot está completamente comprometido en más de 200 modelos de dispositivos vendidos por Acer, Dell, Gigabyte, Intel y Supermicro. La causa: una clave criptográfica en la que se basa Secure Boot en esos modelos que se vio comprometida en 2022. En un repositorio público de GitHub comprometido en diciembre de ese año, alguien que trabajaba para varios fabricantes de dispositivos con sede en EE.UU. publicó lo que se conoce como clave de plataforma.

[#1 WcPC]

Quien podría decir, que un software diseñado para joder cualquier desarrollo no "oficial" terminaría siendo más un lastre que otra cosa.
Anonadado me encuentro....

[#3 chemado_chema]

#1 ano-nadado

[#6 flixter]

#1 lo que tendrías que estar, mas que anonadado, es avergonzado por hablar de manera tan vehemente sin tener (obviamente) mucha idea del tema.

[#7 WcPC]

#6 La de problemas que he tendido cuando implementaron esa mierda en placas para instalar Linux...
En algunas placas era fácil de desactivar, en otras no, sobre todo al principio.
Pero si, no sé demasiado.
Dejé de trabajar profesionalmente en el tema hace más de una década.

[#10 frg]

#7 Endonces ni siquiera has mirado como se dificulta la carga de kernels y módulos no firmados gracias a Secure Boot en los Linux actuales, o como te puede proteger de la instalación de ciertas utilidades por parte de terceros ...

[#9 WcPC]

#8 Si, claro.
Pero la razón de la rápida introducción fue ese, entorpecer el despliegue de sistemas operativos alternativos a Windows y la dificultad de que puedas tener multiboot...
A ver, que no te pueden vender una cadena para atarte a Windows como eso, tienen que darte algo más y justificarlo.
Edito: #10 La última línea la he escrito mientras tu escribías y creo que vale como respuesta.

[#11 frg]

#9 Creo que tienes que leer un poco para ver como están las cosas ahora. Puedes empezar por:

https://wiki.debian.org/SecureBoot

https://wiki.archlinux.org/title/Unified_Extensible_Firmware_Interface/Secure_Boot

https://fedoraproject.org/wiki/Secureboot

[#12 flixter]

#7 Hombre, pues empieza por ahi. Me atrevo a decir que en las placas actuales se desactiva de manera simple (en las que me he encontrado yo, almenos), y el objetivo no es joder desarrollos "no oficiales" sino asegurar que lo que cargas durante el proceso de arranque no ha sido manipulado. Si que es cierto que durante los primeros dias los kernels de linux no venian firmados (de hecho, es aún el caso en bastantes distribuciones) pero en la mayoría de distribuciones grandes eso ya no es así. Ademas, hay la posibilidad de usar Machine Owner Keys, que son certificados adicionales que el propietario de la maquina puede generar, de manera que puede firmar kernels, loaders, etc., con las correspondientes claves privadas (lo que te sirve para firmarte tu los kernels, imagenes de kernel universales, etc.).

Por supuesto que tiene sus problemas (como todo) pero, en general.... yo lo llevo usando desde hace años, como parte de mi sistema de cifrado de disco completo con arranque medido (de manera que si secure boot no está activado y el sistema está en un estado conocido, el TPM no va a soltar la clave de cifrado) y.... cero problemas.

[#13 Mustela]

#6 Hay otras formas de dificultar que se arranque con otro sistema operativo "no oficial" sin tocar las narices. Linus Torvalds no está (o al menos no estaba) a favor de ese modelo y es totalmente comprensible.

Luego: https://www.muycomputer.com/2022/07/08/thinkpad-z13-z16-no-linux-secure-boot/

Por mucho que Microsoft "colabore" con el software libre o incluso haya integrado el WSL desde W10 no significa que se haya hecho amigo, esto huele a estrategia. No olvidemos que, tras esto, algunas búsquedas sobre GNU/Linux que solicitamos acaban por esta razón en Microsoft (con un modelo de negocio a las antípodas de GNU) y en posiciones bien altas.

#7 Entrando en las UEFI se puede desactivar sin problema (en principio), no recuerdo tocar alguna máquina que no incluya ese parámetro. Afea en máquinas de empresa, por si quisieras arrancar otra cosa aún con el permiso de esta.

El problema podría estar en que si por algún motivo te cargas el Secure Boot y luego lo reactivas no puedas arrancar la máquina aunque esto lo intenté una vez y pude volver a arrancarlo en una máquina. Ahora bien, no sé de dónde saqué que haciendo eso podrías dejar de arrancar el Windows porque la clave maestra podría cambiar (creo que hay una opción para ello) y tampoco era momento para "pruebas". Y como Windows hace tanto que me da aspereza para probar nada...

No obstante tu comentario en #1 se interpreta correctamente, no te preocupes.

[#8 frg]

#1 Tiene alguna que otra utilidad más, "alguna que otra"

[#2 Magankie]

Era cuestión de tiempo. Éste tipo de claves termina siempre saliendo.

[#4 soberao]

#2 Lo que pasa cuando echas al programador senior de la empresa porque tienes que cumplir con la cuota de despido y les tocó a los mas viejos de la empresa.

[#5 Magankie]

#4 me he tenido que comer trabajo de senior cuando era junior por ese mismo motivo. Todo lo malo que les pase a las compañías pornese tipo de decisiones me parece poco.