UEFI et W8 empêcheront Linux de booter !

Le 28 Sep 2011 08:04:04 GMT,
Kevin Denis <kevin@nowhere.invalid> écrivait :

Le 28-09-2011, PP <000pipantal@free.fr000> a écrit :

Qui a dit qu'un bootloader doit être GPL? Ton BIOS ne l'est pas,
secureboot surement pas non plus, alors qu'un bootloader non GPL
me permette de chausser un kernel dans la RAM serait sans doute
un moindre mal.

C'est tout simplement inacceptable !
Que le lanceur ne soit pas libre n'est pas LE problème.
Si les nouvelles contraintes

Nouvelles? Je bootais un linux sur un mac PPC il y a bien cinq ans
via un firmware qui n'était pas libre du tout.

Sauf qu'à ma connaissance, il n'y a jamais eu dans les Mac de
système empêchant le boot d'un autre OS.

de BIOS/UEFI nous limite dans la
possibilité de faire simplement ce qu'on veut,

Eh bien non, ça ne te limite pas, puisqu'avec un étage en plus (un
bootloader) tu peux faire ce que tu veux. Je pense que le "ce que tu
veux" se résume à démarrer un système linux (ou BSD, ne soyons pas
sectaire :) ).

Il y a juste un truc qui t'échappe. Si le secteur de boot est signé
d'une manière ou d'une autre, le matériel peut parfaitement empêcher
le boot d'un autre OS. Le seul moyen de s'en tirer serait de
réutiliser une rustine du type loadlin.exe.

JKB

--
Si votre demande me parvient sur carte perforée, je titiouaillerai très
volontiers une réponse...
=> http://grincheux.de-charybde-en-scylla.fr

Le 28/09/2011 10:29, JKB a écrit :

Le 28 Sep 2011 08:04:04 GMT,
Kevin Denis<kevin@nowhere.invalid> écrivait :

Le 28-09-2011, PP<000pipantal@free.fr000> a écrit :

Qui a dit qu'un bootloader doit être GPL? Ton BIOS ne l'est pas,
secureboot surement pas non plus, alors qu'un bootloader non GPL
me permette de chausser un kernel dans la RAM serait sans doute
un moindre mal.

C'est tout simplement inacceptable !
Que le lanceur ne soit pas libre n'est pas LE problème.
Si les nouvelles contraintes

Nouvelles? Je bootais un linux sur un mac PPC il y a bien cinq ans
via un firmware qui n'était pas libre du tout.

Sauf qu'à ma connaissance, il n'y a jamais eu dans les Mac de
système empêchant le boot d'un autre OS.

de BIOS/UEFI nous limite dans la
possibilité de faire simplement ce qu'on veut,

Eh bien non, ça ne te limite pas, puisqu'avec un étage en plus (un
bootloader) tu peux faire ce que tu veux. Je pense que le "ce que tu
veux" se résume à démarrer un système linux (ou BSD, ne soyons pas
sectaire :) ).

Il y a juste un truc qui t'échappe. Si le secteur de boot est signé
d'une manière ou d'une autre, le matériel peut parfaitement empêcher
le boot d'un autre OS. Le seul moyen de s'en tirer serait de
réutiliser une rustine du type loadlin.exe.

JKB

Le 28/09/2011 10:29, JKB a écrit :

de BIOS/UEFI nous limite dans la
possibilité de faire simplement ce qu'on veut,

Eh bien non, ça ne te limite pas, puisqu'avec un étage en plus (un
bootloader) tu peux faire ce que tu veux. Je pense que le "ce que tu
veux" se résume à démarrer un système linux (ou BSD, ne soyons pas
sectaire :) ).

Il y a juste un truc qui t'échappe. Si le secteur de boot est signé
d'une manière ou d'une autre, le matériel peut parfaitement empêcher
le boot d'un autre OS. Le seul moyen de s'en tirer serait de
réutiliser une rustine du type loadlin.exe.

Ce qu'il ne comprend pas, c'est pourquoi il faudrait avoir une
contrainte pour simplement faire tourner un logiciel sur une machine ...

Le 28-09-2011, PP <000pipantal@free.fr000> a écrit :

de BIOS/UEFI nous limite dans la
possibilité de faire simplement ce qu'on veut,

Eh bien non, ça ne te limite pas, puisqu'avec un étage en plus (un
bootloader) tu peux faire ce que tu veux. Je pense que le "ce que tu
veux" se résume à démarrer un système linux (ou BSD, ne soyons pas
sectaire :) ).

Il y a juste un truc qui t'échappe. Si le secteur de boot est signé
d'une manière ou d'une autre, le matériel peut parfaitement empêcher
le boot d'un autre OS. Le seul moyen de s'en tirer serait de
réutiliser une rustine du type loadlin.exe.

Il y a juste un truc qui t'échappe, c'est qu'on en a précisément parlé
deux messages plus tôt.

Ce qu'il ne comprend pas, c'est pourquoi il faudrait avoir une
contrainte pour simplement faire tourner un logiciel sur une machine ...

Quelle contrainte? Secureboot _est_ la contrainte (et encore, je rappelle
qu'on en cause, mais qu'on en a toujours pas vu la spec), et
secureboot pourra se contourner:
-soit se désactiver
-soit avec un bootloader signé, nonGPL, il n'y a pas d'enjeu.
-soit en se faisant casser, (cf PS3, jailbreaks smartphone, BluRay, etc..)
si tant est que secureboot empêche de booter un linux, ce
qui n'a jamais été montré (et je veux bien une réf sérieuse là-dessus).
--
Kevin

Le 28/09/2011 11:10, Kevin Denis a écrit :

Quelle contrainte? Secureboot _est_ la contrainte (et encore, je rappelle
qu'on en cause, mais qu'on en a toujours pas vu la spec), et
secureboot pourra se contourner:
-soit se désactiver
-soit avec un bootloader signé, nonGPL, il n'y a pas d'enjeu.
-soit en se faisant casser, (cf PS3, jailbreaks smartphone, BluRay, etc..)
si tant est que secureboot empêche de booter un linux, ce
qui n'a jamais été montré (et je veux bien une réf sérieuse là-dessus).

D'accord avec toi, il n'empèche qu'il existe une contrainte, c'est
vraiment pour nuire.
Et dans l'avenir, lorsqu'on on aura bien installer les contraintes sur
tout, qu'est-ce qui empêcherai de les renforcer ...
Pourquoi faire simple !?...

Le 28-09-2011, Kevin Denis <kevin@nowhere.invalid> a écrit :

Le 28-09-2011, PP <000pipantal@free.fr000> a écrit :

Qui a dit qu'un bootloader doit être GPL? Ton BIOS ne l'est pas,
secureboot surement pas non plus, alors qu'un bootloader non GPL
me permette de chausser un kernel dans la RAM serait sans doute
un moindre mal.

C'est tout simplement inacceptable !
Que le lanceur ne soit pas libre n'est pas LE problème.
Si les nouvelles contraintes

Nouvelles? Je bootais un linux sur un mac PPC il y a bien cinq ans
via un firmware qui n'était pas libre du tout.

de BIOS/UEFI nous limite dans la
possibilité de faire simplement ce qu'on veut,

Eh bien non, ça ne te limite pas, puisqu'avec un étage en plus (un
bootloader) tu peux faire ce que tu veux. Je pense que le "ce que tu
veux" se résume à démarrer un système linux (ou BSD, ne soyons pas
sectaire :) ).

Oh non, le "secure boot" UEFI ne se limite pas qu'à ça. Faudra pas venir
chialer le jour où ta nouvelle carte vidéo Atividia GTX8935 Turbo
Dual-SLI 16Go ne sera tout simplement pas reconnue pour cause de
mauvaise clef de signature. Faudra pas non plus venir chialer si ta
carte son RME Hammerfall n'est pas reconnue faute de clefs. Et faudra
*surtout* pas venir chialer si tu te rends compte que l'UEFI de ton PC
ne te permet pas de désactiver cette option à la con.
Le problème est bien plus *profond* qu'un problème de bootloader. Le
problème, c'est qu'une bonne partie de la population se retrouvera dans
l'incapacité d'installer autre chose que son OS OEM, et sera dans
l'incapacité de rajouter de nouveaux périphériques non-"Windows 8
approved".
Ça me tue de le dire, mais c'est une belle manœuvre de Redmond pour
verrouiller *constructeurs* ET *utilisateurs* autour de *ses* produits.
Et le pire, c'est que les windows fanboys prennent ça pour de
l'innovation, alors qu'ils se feront tout autant enfiler que les autres.
C'est quand même dingue d'être aveugle à ce point.

Le 28-09-2011, leeed <leeed@nospam.org> a écrit :

Oh non, le "secure boot" UEFI ne se limite pas qu'à ça.

Liens? Docs?

Le problème est bien plus *profond* qu'un problème de bootloader. Le
problème, c'est qu'une bonne partie de la population se retrouvera dans
l'incapacité d'installer autre chose que son OS OEM, et sera dans
l'incapacité de rajouter de nouveaux périphériques non-"Windows 8
approved".

Tu remplaces ça par un smartphone ou une PS3, et tu te rends compte que
ça sera cassé tôt ou tard.
--
Kevin

Le 29 Sep 2011 09:04:46 GMT,
Kevin Denis <kevin@nowhere.invalid> écrivait :

Le 28-09-2011, leeed <leeed@nospam.org> a écrit :

Oh non, le "secure boot" UEFI ne se limite pas qu'à ça.

Liens? Docs?

Le problème est bien plus *profond* qu'un problème de bootloader. Le
problème, c'est qu'une bonne partie de la population se retrouvera dans
l'incapacité d'installer autre chose que son OS OEM, et sera dans
l'incapacité de rajouter de nouveaux périphériques non-"Windows 8
approved".

Tu remplaces ça par un smartphone ou une PS3, et tu te rends compte que
ça sera cassé tôt ou tard.

Oui ? Si ton bootloader attend un secteur de boot associé à un
bootloader bien spécifique et capable de booter un seul OS (au
hasard W8), je te souhaite bien du plaisir. Tôt ou tard,
effectivement, cela risque d'être craqué, mais si c'est tard, les
dégats seront énormes pour la concurrence.

Quant à la rustine 'temporaire', elle risque fort de ressembler à un
bootX ou un HaRET qui pourraient parfaitement être bloqués par un OS
digne de ce nom.

Et les cartes d'extension, dans tout ça ? Si elles ne sont pas
reconnues par le BIOS/OpenPROM/EFI/Whatever, on risque fort de se
retrouver dans une situation marrante assez rapidement (conflits
d'interruptions, de plage mémoire, ou plus drôle, des cartes non
fonctionnelles parce que non unitialisées ou non supportées
officiellement). Et là, à part réécrire from scratch un EFI
spécifique à ta carte-mère, je ne vois pas trop comment s'en
sortir.

D'ailleurs, pour reprendre ton exemple, les smartphones et les PS3
n'ont pas été conçus dans le but d'empêcher le client de coller un
autre OS dessus. Ce n'était pas une priorité. En revanche, l'enjeu
sur les nouveaux PC est autrement plus important et je te fiche mon
billet que les types qui sont en train de travailler sur ce problème
auront des solutions beaucoup plus intelligentes.

JKB

--
Si votre demande me parvient sur carte perforée, je titiouaillerai très
volontiers une réponse...
=> http://grincheux.de-charybde-en-scylla.fr

Le 29-09-2011, Kevin Denis <kevin@nowhere.invalid> a écrit :

Le 28-09-2011, leeed <leeed@nospam.org> a écrit :

Oh non, le "secure boot" UEFI ne se limite pas qu'à ça.

Liens? Docs?

http://www.osnews.com/story/25180/Windows_8_Requires_Secure_Boot_May_Hinder_Other_Software

"A hardware vendor cannot run their hardware inside the EFI environment
unless their drivers are signed with a key that's included in the system
firmware. If you install a new graphics card that either has unsigned
drivers, or drivers that are signed with a key that's not in your system
firmware, you'll get no graphics support in the firmware."

Et hop! J'ajouterai même que si le firmware de la carte n'est pas signé,
tu peux faire une croix dessus. Un peu comme les cartes graphiques sur
Mac, qui n'utilisent pas le même firmware que leurs homologues
"standard" (ça a peut être évolué depuis, mais c'était le cas il y a
plusieurs années (4/5) et c'était la croix et la bannière pour trouver
une carte 3D pour mac)

Le problème est bien plus *profond* qu'un problème de bootloader. Le
problème, c'est qu'une bonne partie de la population se retrouvera dans
l'incapacité d'installer autre chose que son OS OEM, et sera dans
l'incapacité de rajouter de nouveaux périphériques non-"Windows 8
approved".

Tu remplaces ça par un smartphone ou une PS3, et tu te rends compte que
ça sera cassé tôt ou tard.

Non. Même Mme Michu peut avoir besoin de changer de carte graphique,
d'utiliser une carte provenant de son ancien PC, etc. On utilise une
console ou un smartphone dans un but précis, on achète un PC, dans la
plupart des cas, avec l'intention d'avoir une machine un minimum
évolutive et compatible avec ses anciens périphériques. Microsoft se
contrefiche des rootkits ou autres, c'est surtout une bonne excuse pour
pouvoir en profiter pour pourrir la concurrence, et mettre au pas les
constructeurs.

Le 29-09-2011, leeed <leeed@nospam.org> a écrit :

Oh non, le "secure boot" UEFI ne se limite pas qu'à ça.

Liens? Docs?

http://www.osnews.com/story/25180/Windows_8_Requires_Secure_Boot_May_Hinder_Other_Software

Ah bah, osnews, ça c'est de la ref :/

On a un lien vers un powerpoint, ceci dit. On va dire que c'est la source
officielle, faute de mieux.
http://video.ch9.ms/build/2011/slides/HW-457T_van_der_Hoeven.pptx

Au début, ça parle de l'"user experience". Le boot d'une machine est
lente, c'est un vieux truc qui date des années 80, etc c'est en texte moche.
On parle ensuite sécurité (pourquoi pas, mais je ne suis pas d'accord
avec deux trois-points).
On a une slide 12 assez cryptique qui parle du boot.
Ca cause ensuite de bitlocker (s'il y a du TPM).
Slide 17, on lit au milieu "Secure firmware update process" sans
plus de précisions.
Ensuite, un peu de blabla récapitulatif.

Et ce qui est énorme, c'est que l'article arrive à en déduire:

"A hardware vendor cannot run their hardware inside the EFI environment
unless their drivers are signed with a key that's included in the system
firmware. If you install a new graphics card that either has unsigned
drivers, or drivers that are signed with a key that's not in your system
firmware, you'll get no graphics support in the firmware."

Le gars devrait donc : soit écrire de la science fiction, il a de
l'imagination à revendre, soit fournir ses sources.

Et hop!

mais encore?

J'ajouterai même que si le firmware de la carte n'est pas signé,
tu peux faire une croix dessus.

Tu as lu les slides ppt et tu en déduis ça? ou tu as d'autres sources?
--
Kevin