Portada
mis comunidades
otras secciones
#8:
#6 La polémica ya era polémica de por sí, porque aún incluyendo la opción, MS da una especie de ultimátum a los fabricantes: "Si quieres vender tu ordenador con W8, tienes que dar soporte a Secure Boot". Y los que lo hagan (que serán la mayoría), seguro que lo habilitan por defecto, lo que impediría a un altísimo porcentaje de los usuarios que no tienen ni idea de todo este lío, o de entrar en la BIOS y toquetear, instalar otro SO, por ejemplo, Linux. Incluso a algunos amigos pseudoinformáticos les da algo de miedo toquetearla.
Pero tienes razón, no leí bien el artículo. La polémica ahora es aún más polémica, pues tal y como me corriges, queda a manos del fabricante si permite la opción de deshabilitarlo o no.
Personalmente creo que prácticamente todos lo harán. El no hacerlo es quitarse a un porcentaje de posibles compradores, que por muy pequeño que sea, no es despreciable, cuando añadir esa opción a la BIOS no debe tener complejo ni conflictivo.
Pero tienes razón, no leí bien el artículo. La polémica ahora es aún más polémica, pues tal y como me corriges, queda a manos del fabricante si permite la opción de deshabilitarlo o no.
Personalmente creo que prácticamente todos lo harán. El no hacerlo es quitarse a un porcentaje de posibles compradores, que por muy pequeño que sea, no es despreciable, cuando añadir esa opción a la BIOS no debe tener complejo ni conflictivo.
#4:
La recogida de firmas para adherirse a la iniciativa está aquí:
http://www.fsf.org/campaigns/secure-boot-vs-restricted-boot/statement
http://www.fsf.org/campaigns/secure-boot-vs-restricted-boot/statement
#9:
#3 Depende de como lo mires, pues un uno por ciento son millones de usuarios.
Digo el uno por ciento porque decir que solo el 0,01% , que es 1 de cada 10.000 personas, no se preocupan de estas cosas es exagerado. Yo creo que, como mínimo, una de cada ciencuenta personas si se preocupan por estas cosas y además actuan en consecuencia, y ojalá que crezca ese número para el bien de la humanidad.
Digo el uno por ciento porque decir que solo el 0,01% , que es 1 de cada 10.000 personas, no se preocupan de estas cosas es exagerado. Yo creo que, como mínimo, una de cada ciencuenta personas si se preocupan por estas cosas y además actuan en consecuencia, y ojalá que crezca ese número para el bien de la humanidad.
#54:
#48, mierda, es que ese no era el comentario. Me he colao. Es que estaba mirando un par de paginas sobre el tema y he copiado otro enlace que esta bien pero no es el que yo decía.
Pero lo copio directamente. Viene de esta dirección, es el primer comentario:
http://www.genbeta.com/windows/microsoft-aclara-confusiones-acerca-del-secure-boot-de-windows-8
Quería haber escrito este comentario por la mañana cuando salio la noticia, pero resulta que me lo había dejado sin publicar (uops
)
Tengo ciertos conocimientos sobre arranque de SO, Windows y Linux por motivos laborales. Ayer me estuve leyendo la especificación de UEFI para ver si podía poner los puntos en claro, voy a intentar aclarar algunas cosas:
- Windows 8 necesita UEFI para arrancar? No, puede arrancar en sistemas BIOS (como hace la DP) sin ningun problema
- Windows 8 necesita Secure Boot? Tampoco, Windows 8 puede arrancar en un sistema UEFI sin Secure Boot. Lo que ha pedido Microsoft a los OEM es que si quieren participar en el programa Windows Logo (poner la pegatina de Windows en el ordenador), necesitan utilizar una placa UEFI con Secure Boot
- Significa esto que Secure Boot no se pueda desactivar? No, secure boot puede ser desactivado. Una placa base donde no pueda desactivarse secure boot sería muy poco practica. Entre otras cosas, implicaría que no se podría instalar Windows 7, y un OEM sabe que muchos equipos que vende acaban en empresas que instalan una versión específica de Windows. Tambíen Microsoft obliga a incluir una tecla de Windows y no por ello ha desaparecido la tecla de Ctrl - Cual es el objetivo de Secure Boot? Secure boot tiene dos objetivos principales, seguridad y antipiratería. Una copia de Windows (u otro software) no tiene forma de saber que no ha sido modificado (ya sea malware o el usuario para piratearla). Por definición, si han podido modificar algo de Windows, se puede modificar el código de validación para asegurar que todo esta bien. Sin embargo, en la practica este proceso puede volverse lo bastante complicado. Sin embargo, secure boot tiene otra ventaja, que proteje contra un ataque en Ring -1
- Que es un ataque Ring -1? Tradicionalmente en informatica, el mayor ataque que podías hacer era un ataque Ring 0 (Conseguir control total del sistema arrancado). Sin embargo, con las nuevas técnicas de virtualización, puede lograrse ir un punto más alla, que es hacer que el SO victima funcione en un entorno virtualizado. Este sistema tiene varias ventajas, entre ellas, que no es necesario modificar el OS cliente y es extremadamente dificil de detectar (aunque parece que no imposible). La idea es hacer que el sistema arranque nuestro software malicioso y este a su vez arranque el entorno virtualizado, convirtiendose en un hipervisor. Un hipervisor puede acceder a la información del OS cliente, pero no viceversa.
- Como consigue Secure Boot esto? Mediante el uso de criptografía de clave pública UEFI puede garantizar al OS que este no se esta ejecutando en un hipervisor, y que sí lo hace, es con concimiento del usuarip Para conseguir esto, el SO tiene un certificado almacenado el certificado publico correspondiente en una sección del Firmware UEFI (Como llega el certificado al almacen lo miraremos más adelante, pero una vez arrancado el sistema, no puede instalarse ahi, por lo que un atacante remoto no puede instalarlo) UEFI utiliza este certificado para comprobar que la firma digital de la imagen de arranque, así como los sucesivos drivers, no han sido modificados. Si se detecta una modificación, la firma falla y el sistema no arranca dicha imagen.
- Como llega el certificado al almacen de certificados del firmware? Hay varias formas, es posible (aunque no necesario) que algunos certificados vengan precargados por el fabricante, aunque hay otros modos. Se puede instalar automáticamente un certificado que viene firmado por un certificado de confianza. También hay un modo de gestión del almacen donde el usuario podría instalar un certificado manualmente. Por ultimo, un software que se instale puede dejar un certificado junto con la imagen que se va a arrancar. En el siguiente arranque, cuando el sistema detecte una imagen firmada con un certificado que no es de confianza, pero tampoco esta marcado como invalido, le da la opción al usuario de convertirlo en certificado de confianza
- Como instalo linux en mi máquina si el CD no va a venir firmado por una entidad de confianza? La especificación de UEFI menciona un modo Setup que el usuario puede marcar. Este modo esta pensado para la instalación/reparación del sistema y permitiría arrancar linux
- Como hago para arrancar linux con secure boot una vez instalado? El procedimiento sería que durante la instalación se generará un nuevo par de claves aleatoriamente para el usuario. La clave privada se utilizaría para firmar el bootloader (como grub). Tras la firma, el usuario debería sacar el certificado de la máquina y solo utilizarlo para firmar sucesivas versiones de grub (dejar el certificado en la máquina permitiría al usuario firmar su propio malware). En el primer reinicio tras la instalación de grub, el sistema nos indicaría que se ha instalado software nuevo. Tras mostrarnos el certificado y con nuestra aprobación, dicho certificado pasaría a ser de confianza para nuestra máquina
- Ha hecho Microsoft esta jugada con el fín de impedir la instalación de Linux? Aunque en la especificación no se hace referencia a linux, revisandola se ve claramente que esta diseñado para que cualquier OS pueda hacer uso de dicho sistema y creo que tenían esto en mente. Las menciones a Win que aparecen por las definiciones de estructuras a utilizar tienen ese nombre al ser heredadas de Authenticode, un sistema de firma de código desarrollado por Microsoft.
- Le interesa a Microsoft bloquear la instalación de linux en ordenadores personales? Definitivamente no. No hace tanto que se ha librado de la supervisión a la que estaba sometida por monopolio. Hacer esta jugada sería pedir a gritos una denuncía y que le obligaran a dar marcha atrás. Linux no ha modificado su cuota de mercado en 10 años, y honestamente, no parece que vaya a pasar repentinamente ahora.
- Y en otro tipo de ordenadores donde Linux si tiene presencia, como servidores? Aquí es que directamente no tiene la posibilidad de hacerlo. Los OEM hacen negocio con linux, muchisimo dinero. Por mucho que Microsoft los presionará para que no permitieran esto, hay muchisimos clientes que si el servidor solo arranca Windows, no lo compranrían y buscarían un servidor con Linux.
- A que viene tanto revuelo? Creo que Matthew Garrett es un tipo bastante razonable y que su objetivo con el post que publico no era tanto anunciar a bombo y platillo que Microsoft iba a impedir la instalación de linux sino que era más bien un aviso a la comunidad diciendo que hay que ponerse las pilas con esto porque dentro de un par de años habrá millones de ordenadores con esta opcion y tenemos que prepararnos para que linux funcione correctamente con el. Normalmente se acusa a Microsoft de lanzar FUDs, esta vez, diría que claramente ha sido victima de uno
Podeis descargar la especificación de UEFI de uefi.org. Son unas 2500 paginas, pero la sección de secure boot es manejable. Si os leeis la especificación es lo más neutro y cuidado que han hecho para securizar el arranque de los sistemas operativos, asegurando al usuario control sobre el almacen de claves, modo setup, autorización de nuevas imagenes...Viendo el documento queda clarísimo que no va a haber ningún problema instalando linux, pero se ve que la gente quiere sangre y polemica
He intentado explicar mi punto de vista sin entrar en excesivos detalles tecnicos. Se que es un tocho de cuidado, pero creo que merece la pena verlo
Pero lo copio directamente. Viene de esta dirección, es el primer comentario:
http://www.genbeta.com/windows/microsoft-aclara-confusiones-acerca-del-secure-boot-de-windows-8
Quería haber escrito este comentario por la mañana cuando salio la noticia, pero resulta que me lo había dejado sin publicar (uops
)Tengo ciertos conocimientos sobre arranque de SO, Windows y Linux por motivos laborales. Ayer me estuve leyendo la especificación de UEFI para ver si podía poner los puntos en claro, voy a intentar aclarar algunas cosas:
- Windows 8 necesita UEFI para arrancar? No, puede arrancar en sistemas BIOS (como hace la DP) sin ningun problema
- Windows 8 necesita Secure Boot? Tampoco, Windows 8 puede arrancar en un sistema UEFI sin Secure Boot. Lo que ha pedido Microsoft a los OEM es que si quieren participar en el programa Windows Logo (poner la pegatina de Windows en el ordenador), necesitan utilizar una placa UEFI con Secure Boot
- Significa esto que Secure Boot no se pueda desactivar? No, secure boot puede ser desactivado. Una placa base donde no pueda desactivarse secure boot sería muy poco practica. Entre otras cosas, implicaría que no se podría instalar Windows 7, y un OEM sabe que muchos equipos que vende acaban en empresas que instalan una versión específica de Windows. Tambíen Microsoft obliga a incluir una tecla de Windows y no por ello ha desaparecido la tecla de Ctrl - Cual es el objetivo de Secure Boot? Secure boot tiene dos objetivos principales, seguridad y antipiratería. Una copia de Windows (u otro software) no tiene forma de saber que no ha sido modificado (ya sea malware o el usuario para piratearla). Por definición, si han podido modificar algo de Windows, se puede modificar el código de validación para asegurar que todo esta bien. Sin embargo, en la practica este proceso puede volverse lo bastante complicado. Sin embargo, secure boot tiene otra ventaja, que proteje contra un ataque en Ring -1
- Que es un ataque Ring -1? Tradicionalmente en informatica, el mayor ataque que podías hacer era un ataque Ring 0 (Conseguir control total del sistema arrancado). Sin embargo, con las nuevas técnicas de virtualización, puede lograrse ir un punto más alla, que es hacer que el SO victima funcione en un entorno virtualizado. Este sistema tiene varias ventajas, entre ellas, que no es necesario modificar el OS cliente y es extremadamente dificil de detectar (aunque parece que no imposible). La idea es hacer que el sistema arranque nuestro software malicioso y este a su vez arranque el entorno virtualizado, convirtiendose en un hipervisor. Un hipervisor puede acceder a la información del OS cliente, pero no viceversa.
- Como consigue Secure Boot esto? Mediante el uso de criptografía de clave pública UEFI puede garantizar al OS que este no se esta ejecutando en un hipervisor, y que sí lo hace, es con concimiento del usuarip Para conseguir esto, el SO tiene un certificado almacenado el certificado publico correspondiente en una sección del Firmware UEFI (Como llega el certificado al almacen lo miraremos más adelante, pero una vez arrancado el sistema, no puede instalarse ahi, por lo que un atacante remoto no puede instalarlo) UEFI utiliza este certificado para comprobar que la firma digital de la imagen de arranque, así como los sucesivos drivers, no han sido modificados. Si se detecta una modificación, la firma falla y el sistema no arranca dicha imagen.
- Como llega el certificado al almacen de certificados del firmware? Hay varias formas, es posible (aunque no necesario) que algunos certificados vengan precargados por el fabricante, aunque hay otros modos. Se puede instalar automáticamente un certificado que viene firmado por un certificado de confianza. También hay un modo de gestión del almacen donde el usuario podría instalar un certificado manualmente. Por ultimo, un software que se instale puede dejar un certificado junto con la imagen que se va a arrancar. En el siguiente arranque, cuando el sistema detecte una imagen firmada con un certificado que no es de confianza, pero tampoco esta marcado como invalido, le da la opción al usuario de convertirlo en certificado de confianza
- Como instalo linux en mi máquina si el CD no va a venir firmado por una entidad de confianza? La especificación de UEFI menciona un modo Setup que el usuario puede marcar. Este modo esta pensado para la instalación/reparación del sistema y permitiría arrancar linux
- Como hago para arrancar linux con secure boot una vez instalado? El procedimiento sería que durante la instalación se generará un nuevo par de claves aleatoriamente para el usuario. La clave privada se utilizaría para firmar el bootloader (como grub). Tras la firma, el usuario debería sacar el certificado de la máquina y solo utilizarlo para firmar sucesivas versiones de grub (dejar el certificado en la máquina permitiría al usuario firmar su propio malware). En el primer reinicio tras la instalación de grub, el sistema nos indicaría que se ha instalado software nuevo. Tras mostrarnos el certificado y con nuestra aprobación, dicho certificado pasaría a ser de confianza para nuestra máquina
- Ha hecho Microsoft esta jugada con el fín de impedir la instalación de Linux? Aunque en la especificación no se hace referencia a linux, revisandola se ve claramente que esta diseñado para que cualquier OS pueda hacer uso de dicho sistema y creo que tenían esto en mente. Las menciones a Win que aparecen por las definiciones de estructuras a utilizar tienen ese nombre al ser heredadas de Authenticode, un sistema de firma de código desarrollado por Microsoft.
- Le interesa a Microsoft bloquear la instalación de linux en ordenadores personales? Definitivamente no. No hace tanto que se ha librado de la supervisión a la que estaba sometida por monopolio. Hacer esta jugada sería pedir a gritos una denuncía y que le obligaran a dar marcha atrás. Linux no ha modificado su cuota de mercado en 10 años, y honestamente, no parece que vaya a pasar repentinamente ahora.
- Y en otro tipo de ordenadores donde Linux si tiene presencia, como servidores? Aquí es que directamente no tiene la posibilidad de hacerlo. Los OEM hacen negocio con linux, muchisimo dinero. Por mucho que Microsoft los presionará para que no permitieran esto, hay muchisimos clientes que si el servidor solo arranca Windows, no lo compranrían y buscarían un servidor con Linux.
- A que viene tanto revuelo? Creo que Matthew Garrett es un tipo bastante razonable y que su objetivo con el post que publico no era tanto anunciar a bombo y platillo que Microsoft iba a impedir la instalación de linux sino que era más bien un aviso a la comunidad diciendo que hay que ponerse las pilas con esto porque dentro de un par de años habrá millones de ordenadores con esta opcion y tenemos que prepararnos para que linux funcione correctamente con el. Normalmente se acusa a Microsoft de lanzar FUDs, esta vez, diría que claramente ha sido victima de uno
Podeis descargar la especificación de UEFI de uefi.org. Son unas 2500 paginas, pero la sección de secure boot es manejable. Si os leeis la especificación es lo más neutro y cuidado que han hecho para securizar el arranque de los sistemas operativos, asegurando al usuario control sobre el almacen de claves, modo setup, autorización de nuevas imagenes...Viendo el documento queda clarísimo que no va a haber ningún problema instalando linux, pero se ve que la gente quiere sangre y polemica
He intentado explicar mi punto de vista sin entrar en excesivos detalles tecnicos. Se que es un tocho de cuidado, pero creo que merece la pena verlo
#5:
#1 No es lo mismo. Estamos hablando de la BIOS.
#2 No es exactamente tragártelo sí o sí. Puedes tener instalados simultáneamente Windows y GNU/Linux. El problema es que dejará de funcionar como hasta ahora (grub se instala en el sector de arranque y te pregunta qué sistema quieres iniciar). El problema es que cada vez que quieras pasar de un sistema operativo a otro y usar Secure Boot para Windows, tienes que pasar por la BIOS para habilitar/deshabilitar Secure Boot, que es el encargado de inhibir grub.
#2 No es exactamente tragártelo sí o sí. Puedes tener instalados simultáneamente Windows y GNU/Linux. El problema es que dejará de funcionar como hasta ahora (grub se instala en el sector de arranque y te pregunta qué sistema quieres iniciar). El problema es que cada vez que quieras pasar de un sistema operativo a otro y usar Secure Boot para Windows, tienes que pasar por la BIOS para habilitar/deshabilitar Secure Boot, que es el encargado de inhibir grub.
#15:
Vamos a ver, boicotear a Windows 8? No tendría más sentido no comprar aquellas placas base donde Secure Boot no pueda deshabilitarse (si es que hay alguna) o que no permita la instalación de nuevos certificados?
Por cierto, que Microsoft pide que este activado para que lleve la pegatina "Designed for Windws 8". Pero se pueden vender máquinas con Windows 8 sin Secure Boot siempre que no lleve la pegatina
Por cierto, que Microsoft pide que este activado para que lleve la pegatina "Designed for Windws 8". Pero se pueden vender máquinas con Windows 8 sin Secure Boot siempre que no lleve la pegatina
#7:
Pues yo creo que la culpa no es de Microsoft, sino mayoritariamente de un fallo de especificación de UEFI Secure Boot: no dice qué hay que hacer para que un certificado "entre" en UEFI.
Debería haber algún organismo que se encargara de recibir peticiones, generar los certificados y darle a los fabricantes de placas base un "paquetito" que tienen que copiar en sus BIOS UEFI.
Aquí más:
http://www.elpauer.org/?p=1056
Debería haber algún organismo que se encargara de recibir peticiones, generar los certificados y darle a los fabricantes de placas base un "paquetito" que tienen que copiar en sus BIOS UEFI.
Aquí más:
http://www.elpauer.org/?p=1056
#23:
No nos confundamos. El Secure Boot, si permite utilizar tus propios certificados y si permite activarlo/desactivarlo desde la configuración, es un invento genial para ciertos entornos.
Aquí MS lo único que hace es forzar a los fabricantes a implementar secure boot que acepte la firma de Windows 8, que es obivamente lo único que les interesa a ellos. Si los fabricantes deciden no implementar siquiera la posibilidad de deshabilitarlo, la culpa es de ellos, no de MS.
Por otro lado, no es cierto que haya que cambiar entre modo seguro y no seguro en la configuración para arrancar Windows 8 o Linux como dice #5, ya que Windows 8 puede instalarse sin la opción de arranque seguro activada.
Yo buscaré una placa que me ofrezca las funcionalidades que quiero, a mi que la mayoría de gente se compre ordenadores de mierda, con placas de mierda me la trae sin cuidado.
#22 No, hay quien lo usa porque se ve forzado por las circunstancias. Pero el resto si, son catetos.
Aquí MS lo único que hace es forzar a los fabricantes a implementar secure boot que acepte la firma de Windows 8, que es obivamente lo único que les interesa a ellos. Si los fabricantes deciden no implementar siquiera la posibilidad de deshabilitarlo, la culpa es de ellos, no de MS.
Por otro lado, no es cierto que haya que cambiar entre modo seguro y no seguro en la configuración para arrancar Windows 8 o Linux como dice #5, ya que Windows 8 puede instalarse sin la opción de arranque seguro activada.
Yo buscaré una placa que me ofrezca las funcionalidades que quiero, a mi que la mayoría de gente se compre ordenadores de mierda, con placas de mierda me la trae sin cuidado.
#22 No, hay quien lo usa porque se ve forzado por las circunstancias. Pero el resto si, son catetos.
#1:
a ver... ya estan tardando en intentar algo para dar pol'culo...
de todas formas, ya veremos cuanto tiempo se tarda en elimnar esta proteccion inquebrantable... como la del CD, la del DVD... la playstation, la XBox...
de todas formas, ya veremos cuanto tiempo se tarda en elimnar esta proteccion inquebrantable... como la del CD, la del DVD... la playstation, la XBox...
Comentarios
La recogida de firmas para adherirse a la iniciativa está aquí:
http://www.fsf.org/campaigns/secure-boot-vs-restricted-boot/statement
#6 La polémica ya era polémica de por sí, porque aún incluyendo la opción, MS da una especie de ultimátum a los fabricantes: "Si quieres vender tu ordenador con W8, tienes que dar soporte a Secure Boot". Y los que lo hagan (que serán la mayoría), seguro que lo habilitan por defecto, lo que impediría a un altísimo porcentaje de los usuarios que no tienen ni idea de todo este lío, o de entrar en la BIOS y toquetear, instalar otro SO, por ejemplo, Linux. Incluso a algunos amigos pseudoinformáticos les da algo de miedo toquetearla.
Pero tienes razón, no leí bien el artículo. La polémica ahora es aún más polémica, pues tal y como me corriges, queda a manos del fabricante si permite la opción de deshabilitarlo o no.
Personalmente creo que prácticamente todos lo harán. El no hacerlo es quitarse a un porcentaje de posibles compradores, que por muy pequeño que sea, no es despreciable, cuando añadir esa opción a la BIOS no debe tener complejo ni conflictivo.
#5 Según el articulo, no está del todo claro que los fabricantes se tomen la molestia de incluir la opción de deshabilitar Secure Boot, de ahí la polémica.
#3 Depende de como lo mires, pues un uno por ciento son millones de usuarios.
Digo el uno por ciento porque decir que solo el 0,01% , que es 1 de cada 10.000 personas, no se preocupan de estas cosas es exagerado. Yo creo que, como mínimo, una de cada ciencuenta personas si se preocupan por estas cosas y además actuan en consecuencia, y ojalá que crezca ese número para el bien de la humanidad.
#1 No es lo mismo. Estamos hablando de la BIOS.
#2 No es exactamente tragártelo sí o sí. Puedes tener instalados simultáneamente Windows y GNU/Linux. El problema es que dejará de funcionar como hasta ahora (grub se instala en el sector de arranque y te pregunta qué sistema quieres iniciar). El problema es que cada vez que quieras pasar de un sistema operativo a otro y usar Secure Boot para Windows, tienes que pasar por la BIOS para habilitar/deshabilitar Secure Boot, que es el encargado de inhibir grub.
Vamos a ver, boicotear a Windows 8? No tendría más sentido no comprar aquellas placas base donde Secure Boot no pueda deshabilitarse (si es que hay alguna) o que no permita la instalación de nuevos certificados?
Por cierto, que Microsoft pide que este activado para que lleve la pegatina "Designed for Windws 8". Pero se pueden vender máquinas con Windows 8 sin Secure Boot siempre que no lleve la pegatina
#48, mierda, es que ese no era el comentario. Me he colao. Es que estaba mirando un par de paginas sobre el tema y he copiado otro enlace que esta bien pero no es el que yo decía.
)
Pero lo copio directamente. Viene de esta dirección, es el primer comentario:
http://www.genbeta.com/windows/microsoft-aclara-confusiones-acerca-del-secure-boot-de-windows-8
Quería haber escrito este comentario por la mañana cuando salio la noticia, pero resulta que me lo había dejado sin publicar (uops
Tengo ciertos conocimientos sobre arranque de SO, Windows y Linux por motivos laborales. Ayer me estuve leyendo la especificación de UEFI para ver si podía poner los puntos en claro, voy a intentar aclarar algunas cosas:
- Windows 8 necesita UEFI para arrancar? No, puede arrancar en sistemas BIOS (como hace la DP) sin ningun problema
- Windows 8 necesita Secure Boot? Tampoco, Windows 8 puede arrancar en un sistema UEFI sin Secure Boot. Lo que ha pedido Microsoft a los OEM es que si quieren participar en el programa Windows Logo (poner la pegatina de Windows en el ordenador), necesitan utilizar una placa UEFI con Secure Boot
- Significa esto que Secure Boot no se pueda desactivar? No, secure boot puede ser desactivado. Una placa base donde no pueda desactivarse secure boot sería muy poco practica. Entre otras cosas, implicaría que no se podría instalar Windows 7, y un OEM sabe que muchos equipos que vende acaban en empresas que instalan una versión específica de Windows. Tambíen Microsoft obliga a incluir una tecla de Windows y no por ello ha desaparecido la tecla de Ctrl - Cual es el objetivo de Secure Boot? Secure boot tiene dos objetivos principales, seguridad y antipiratería. Una copia de Windows (u otro software) no tiene forma de saber que no ha sido modificado (ya sea malware o el usuario para piratearla). Por definición, si han podido modificar algo de Windows, se puede modificar el código de validación para asegurar que todo esta bien. Sin embargo, en la practica este proceso puede volverse lo bastante complicado. Sin embargo, secure boot tiene otra ventaja, que proteje contra un ataque en Ring -1
- Que es un ataque Ring -1? Tradicionalmente en informatica, el mayor ataque que podías hacer era un ataque Ring 0 (Conseguir control total del sistema arrancado). Sin embargo, con las nuevas técnicas de virtualización, puede lograrse ir un punto más alla, que es hacer que el SO victima funcione en un entorno virtualizado. Este sistema tiene varias ventajas, entre ellas, que no es necesario modificar el OS cliente y es extremadamente dificil de detectar (aunque parece que no imposible). La idea es hacer que el sistema arranque nuestro software malicioso y este a su vez arranque el entorno virtualizado, convirtiendose en un hipervisor. Un hipervisor puede acceder a la información del OS cliente, pero no viceversa.
- Como consigue Secure Boot esto? Mediante el uso de criptografía de clave pública UEFI puede garantizar al OS que este no se esta ejecutando en un hipervisor, y que sí lo hace, es con concimiento del usuarip Para conseguir esto, el SO tiene un certificado almacenado el certificado publico correspondiente en una sección del Firmware UEFI (Como llega el certificado al almacen lo miraremos más adelante, pero una vez arrancado el sistema, no puede instalarse ahi, por lo que un atacante remoto no puede instalarlo) UEFI utiliza este certificado para comprobar que la firma digital de la imagen de arranque, así como los sucesivos drivers, no han sido modificados. Si se detecta una modificación, la firma falla y el sistema no arranca dicha imagen.
- Como llega el certificado al almacen de certificados del firmware? Hay varias formas, es posible (aunque no necesario) que algunos certificados vengan precargados por el fabricante, aunque hay otros modos. Se puede instalar automáticamente un certificado que viene firmado por un certificado de confianza. También hay un modo de gestión del almacen donde el usuario podría instalar un certificado manualmente. Por ultimo, un software que se instale puede dejar un certificado junto con la imagen que se va a arrancar. En el siguiente arranque, cuando el sistema detecte una imagen firmada con un certificado que no es de confianza, pero tampoco esta marcado como invalido, le da la opción al usuario de convertirlo en certificado de confianza
- Como instalo linux en mi máquina si el CD no va a venir firmado por una entidad de confianza? La especificación de UEFI menciona un modo Setup que el usuario puede marcar. Este modo esta pensado para la instalación/reparación del sistema y permitiría arrancar linux
- Como hago para arrancar linux con secure boot una vez instalado? El procedimiento sería que durante la instalación se generará un nuevo par de claves aleatoriamente para el usuario. La clave privada se utilizaría para firmar el bootloader (como grub). Tras la firma, el usuario debería sacar el certificado de la máquina y solo utilizarlo para firmar sucesivas versiones de grub (dejar el certificado en la máquina permitiría al usuario firmar su propio malware). En el primer reinicio tras la instalación de grub, el sistema nos indicaría que se ha instalado software nuevo. Tras mostrarnos el certificado y con nuestra aprobación, dicho certificado pasaría a ser de confianza para nuestra máquina
- Ha hecho Microsoft esta jugada con el fín de impedir la instalación de Linux? Aunque en la especificación no se hace referencia a linux, revisandola se ve claramente que esta diseñado para que cualquier OS pueda hacer uso de dicho sistema y creo que tenían esto en mente. Las menciones a Win que aparecen por las definiciones de estructuras a utilizar tienen ese nombre al ser heredadas de Authenticode, un sistema de firma de código desarrollado por Microsoft.
- Le interesa a Microsoft bloquear la instalación de linux en ordenadores personales? Definitivamente no. No hace tanto que se ha librado de la supervisión a la que estaba sometida por monopolio. Hacer esta jugada sería pedir a gritos una denuncía y que le obligaran a dar marcha atrás. Linux no ha modificado su cuota de mercado en 10 años, y honestamente, no parece que vaya a pasar repentinamente ahora.
- Y en otro tipo de ordenadores donde Linux si tiene presencia, como servidores? Aquí es que directamente no tiene la posibilidad de hacerlo. Los OEM hacen negocio con linux, muchisimo dinero. Por mucho que Microsoft los presionará para que no permitieran esto, hay muchisimos clientes que si el servidor solo arranca Windows, no lo compranrían y buscarían un servidor con Linux.
- A que viene tanto revuelo? Creo que Matthew Garrett es un tipo bastante razonable y que su objetivo con el post que publico no era tanto anunciar a bombo y platillo que Microsoft iba a impedir la instalación de linux sino que era más bien un aviso a la comunidad diciendo que hay que ponerse las pilas con esto porque dentro de un par de años habrá millones de ordenadores con esta opcion y tenemos que prepararnos para que linux funcione correctamente con el. Normalmente se acusa a Microsoft de lanzar FUDs, esta vez, diría que claramente ha sido victima de uno
Podeis descargar la especificación de UEFI de uefi.org. Son unas 2500 paginas, pero la sección de secure boot es manejable. Si os leeis la especificación es lo más neutro y cuidado que han hecho para securizar el arranque de los sistemas operativos, asegurando al usuario control sobre el almacen de claves, modo setup, autorización de nuevas imagenes...Viendo el documento queda clarísimo que no va a haber ningún problema instalando linux, pero se ve que la gente quiere sangre y polemica
He intentado explicar mi punto de vista sin entrar en excesivos detalles tecnicos. Se que es un tocho de cuidado, pero creo que merece la pena verlo
Pues yo creo que la culpa no es de Microsoft, sino mayoritariamente de un fallo de especificación de UEFI Secure Boot: no dice qué hay que hacer para que un certificado "entre" en UEFI.
Debería haber algún organismo que se encargara de recibir peticiones, generar los certificados y darle a los fabricantes de placas base un "paquetito" que tienen que copiar en sus BIOS UEFI.
Aquí más:
http://www.elpauer.org/?p=1056
#4 dios mi primer voto con este móvil y voto negativo erróneo sorry please
#13 Ya te lo compenso yo
a ver... ya estan tardando en intentar algo para dar pol'culo...
de todas formas, ya veremos cuanto tiempo se tarda en elimnar esta proteccion inquebrantable... como la del CD, la del DVD... la playstation, la XBox...
Pues si, ya era bastante malo que te obligasen a pagar una licencia de windows con cada portátil, pero que te obliguen a tragártelo si o si, ya es puro abuso.
#1 Confiemos en que el ejercito de jailbreakers nos de una alegría en ese aspecto...
#26 bienvenido a Meneame, donde Linux cubre todas tus necesidades, Windows borra tus MP3 y nos alegramos de la muerte de quien no promueve el software libre.
#45 ¿Recuerdas como acaba el cuento?
No nos confundamos. El Secure Boot, si permite utilizar tus propios certificados y si permite activarlo/desactivarlo desde la configuración, es un invento genial para ciertos entornos.
Aquí MS lo único que hace es forzar a los fabricantes a implementar secure boot que acepte la firma de Windows 8, que es obivamente lo único que les interesa a ellos. Si los fabricantes deciden no implementar siquiera la posibilidad de deshabilitarlo, la culpa es de ellos, no de MS.
Por otro lado, no es cierto que haya que cambiar entre modo seguro y no seguro en la configuración para arrancar Windows 8 o Linux como dice #5, ya que Windows 8 puede instalarse sin la opción de arranque seguro activada.
Yo buscaré una placa que me ofrezca las funcionalidades que quiero, a mi que la mayoría de gente se compre ordenadores de mierda, con placas de mierda me la trae sin cuidado.
#22 No, hay quien lo usa porque se ve forzado por las circunstancias. Pero el resto si, son catetos.
No me extraña que se le hayan hinchado las albondigas al FSM con el rollo este del Secure Boot del Windows 8.
Es un fastidio que al comprar un nuevo ordenador acaben incluyéndote un sistema operativo. La relación estrecha entre los fabricantes de hardward y sofware es muy mala para la competencia. Los monopolios se apoyan en detrimento de los usuarios.
#15 El titular lleva un poco a error. La FSF no quiere boicotear directamente a Windows 8, sino a las máquinas que lo lleven, que más o menos es lo que tú pides.
El tema es que indirectamente también se boicotea a Windows 8 por obligar a los fabricantes a incluir Secure Boot, pues en principio (yo al menos no he leído lo contrario) se puede instalar perfectamente en un ordenador sin Secure Boot, pero MS no lo quiere permitir. Por lo que es un doble boicot y en mi opinión, más que justificado.
#68 Los usuarios suelen instalar los programas en windows haciendo siguiente, siguiente sin mirar la carpeta donde se guarda, que por defecto suele ser Archivos de Programa, carpeta que desde el Vista necesita permisos de administrador para modificar cualquier cosa.
En cuanto a la seguridad, depende de la cantidad de errores que son aprovechados mediante exploits y en ese sentido Windows se lleva la palma.
Windows Vista: ¡Que viene el lobo!
Windows 7: ¡Que viene el lobo!
Windows 8: ¡Que viene el lobo!
...
Windows n: ¡Que viene el lobo!
#17
Mira, a mi los sistema Unix / Unix-like me parecen muy buenos para servidores pero muchos profesionales de la informática (programadores, administradores de sistema,etc..) usamos sistemas Windows por propia eleccion (motivos hay muchos) y no por ello somos catetos. Y ademas no vamos insultando a los usuarios de Linux. Y esto sin entrar en temas como los programas estrella como Visual Studio o juegos..
Ademas, deberias refinar esa prepotencia porque nadie se merece que se use un termino asi para calificarle. Puede (no lo se) qeue tú lleves un coche y es probable (tampoco lo se) que no sepas mecanica. ¿Te gustaria que te fueran insultando por llevar un aparato del cual no conoces más que el funcionamiento de su interface - los mandos-?
¡Los comentarios como los tuyos me hacen hervir la sangre! Y ademas causan en parte que cogas adversion a Linux: yo sólo lo uso esporadicamente en el trabajo y por obligacion..
Yo no voy a hacer boicot. Simplemente no voy a comprarlo porque un ordenador con secure boot no me vale para nada.
#17 Claro los que usamos Windows somos catetos...
#111 La gente asume que Microsoft va a dañar su negocio para fastidiar a los usuarios. Porque creeme, obligar a todo el mundo a comprar ordenador nuevo con cada version, no es bueno de cara a vender licencias. Igual que tampoco te arriesgas a multas estratosfericas y rompes la compatibilidad con tus versiones anteriores de software para eliminar a un SO que tiene el 1% del mercado y cuyos usuarios no puedes considerar clientes potenciales.
E igualmente, un fabricante no va a dejar UEFI sin ser desactivable, porque le complicaria las ventas. Ya me estoy imaginando una empresa que compra 5000 ordenadores y cuando va a instalar la versión de Windows 7 corporativa le dicen que no puede porque no se puede desactivar secure boot
#66 Que una aplicación te pida privilegios de administrador cuando no los necesita no significa que el sistema esté mal, significa que la aplicación está mal hecha.
#72 Pues yo si quiero, quiero poder firmar mis kernels de linux con mi propia clave, que he instalado previamente en la bios y que tengo guardada en un usb a buen recaudo. Por eso cuando compre una placa madre me aseguraré que:
- Tenga secure boot
- Este se pueda desactivar
- Tenga acceso al modo admin de uefi para cargar mi certificado personal
#73 La gente toca las bios, para cambiar arranque y cosas así. Entre dual bios y restaurar valore por defecto, es muy dificil fastidiar un ordenador hoy en día tocando la BIOS
#76 Si, pero es que el usuario no debería tener que tocar algo en archivos de programa. Archivos de programa es para los binarios, la configuración se guarda por usuario. Igual que en linux no sueles tocar /usr/bin o /usr/lib, se almacena la configuración en tu $home.
Lo que mucha gente parece no darse cuenta es que para Microsoft que no se pueda desactivar el secure boot es problematico. Las empresas son lás que más compran ordenadores, y aunque venga con Win8, muchas de ellas le van a hacer downgrade para instalar la versión de windows que estén utilizando. Si no pueden desactivar secure boot, tampoco van a poder instalar Win 7 u otras versiones de Windows.
#83 Pues eso, como en Windows, o el programa es viejo, o está mal escrito
He meneado por lo interesante del asunto, pero me parece un pelín sensacionalista...
Yo no tengo nada claro que intenten boicotear Windows 8, o me estoy perdiendo algo importante.
Del link de #42:
"La amenaza no es la especificación UEFI sí mismo, sino en cómo los fabricantes de ordenadores optarán por aplicar las restricciones de arranque."
"Es esencial que los fabricantes implementen UEFI de la manera correcta. Para respetar la libertad del usuario y realmente proteger su seguridad, o bien debe permitir a los propietarios de ordenadores desactivar la restricción de arranque, o proporcionar una manera segura para que ellos puedan instalar y ejecutar un sistema operativo de Software Libre de su elección."
Es decir, hasta donde entiendo, no se pretende boicotear a Windows 8, ni a UEFI siquiera. Se hace un llamamiento para que no se compren equipos que implementen UEFI con Secure Boot si el usuario no puede desactivarlo o instalar otros sistemas operativos de su elección:
"Estaremos siguiendo de cerca la evolución en esta área, y realizando una activa campaña para asegurarnos de proteger esta importante libertad. Nuestro primer paso es demostrar que la gente valora esa libertad, y no comprar o recomendar los equipos que intentan restringirla."
Y creo que no está nada claro que los fabricantes vayan a imponer semejante restricción. Es más, del link de #56, o bien #54, más bien parece que vaya a ser todo lo contrario, por lógica.
Por si no bastaba la cara de y-a-mí-qué-me-cuentas que te ponen los dependientes cuando preguntas si tal en portátil funcionará todo bien con linux, ahora tendremos que ir mirando especificaciones de las placas base.
El 99,99% de la gente no se preocupa de estas cosas, compraran su portátil con w8 y lo utilizaran para el facebook, youtube, peliculas,juegos... así que este llamamiento poco utilidad va a tener.
Si una placa no tiene en su CMOS la opción de desactivar el secure boot yo no la compraré.
Y ya está.
Critican al w8 cuando hay que criticar a las placas madre ...
#17 Sip, y por fin va a ser el año de linux.
#23 Positivo para ti, y a lo que has dicho añado que los que calzan calcetines amarillos son unos analfaburros.
(Bueno, creo que no hace falta la etiqueta irónico )
#37 He buscado pero no encontré (salvo minerales) ¿qué es palladium?.
Un saludo.
Para #65. Desarrollo del comentario sobre la seguridad de Windows en #62 :
Confirmado, de risa. Tanto es asi que tienen que tirar de esto : La FSF llama al boicot a Windows 8 por el secure boot
La FSF llama al boicot a Windows 8 por el secure b...
genbeta.comNo estoy al día, pero me recuerda el tema del TCPA, y lo peligroso (no hackeable) del montaje. Si es así, y continúan siendo listos en su implantación progresiva auguro un futuro muy interesante:
A) Ordenadores confiables en el 'trabajo' donde todo proceso tendrá que ser 'autorizado'
B) Ordenadores no confiables domésticos, donde no se podrá ejecutar el 90% de las aplicaciones ni acceder a servicios online como bancos,compras,etc...
Como siempre, por nuestro propio bien/seguridad
#98 Me da que ahi #99 tiene razon, no es la compañia sino Bill Gates (aunque dentro de la compañia hay proyectos de donaciones y filantropia para los empleados (y no es la única).
Respecto a lo de software libre, definitivamente no. En todo caso, habría que considerar Open Source, y aun asi compañias como Red Hat o IBM estan por delante
#116 Por si quieres saber que pasaba en Vista:
http://blogs.technet.com/b/markrussinovich/archive/2007/08/27/1833290.aspx
No tenía nada que ver con DRM
#79 Cuando tengo que comparar Windows con un linux, lo comparo con una ubuntu reciente (o mint, debian, arch...) no con la Caldera Open Linux que había hace más de 15 años.
#87 Si te parece, aparte de cateto puedes llamarme terrorista
Os recomiendo este comentario sobre el Secure Boot:
http://goo.gl/4m8al
Lo he encontrado mientras buscaba información y me ha parecido muy interesante.
#56 ¿Sabes lo que ha pasado? Es que primero he puesto la que al final he copiado. Después no me ha molado lo de poner el enlace corto con el goo.gl, así que he vuelto a editar y he pegado la dirección entera que era cacho larga (el permalink con el comment) y se me ha cortado por la mitad sin saber porqué, así que he pasado de todo y he vuelto a editar para volver a pegar el enlace corto goo.gl, pero supongo que me habré equivocado y habré acortado la otra pestaña que tenía al lado. Y entre todo este jaleo tu habrás visto el primer o segundo enlace antes de que editara y la cagara.
Vamos, supongo que será eso.
Yo trabajo con linux y mi portátil es linux. Dispongo de diversas máquinas personales en linux y los servidores en los que trabajo son linux.
Mi empresa volvería a la edad de piedra con windows.
No puede ocurrir.
Si ocurre, no se venderán más windows.
Microsoft NUNCA ha podido influir en el diseño del hardware. Eso lo puede atestiguar mis dos teclas que tienen una banderita ondeando serigrafiada.
#59 Visual Studio es cojonudo, pero la API y seguridad de Windows es de risa .Deberían meter todas las capas de compatibilidad desde Win3.1 al vertedero y empezar de nuevo, con una base Unix sólida con la API Win32 encima, como hizo Apple con OSX .
#68 Mi libertad bajo la GPL2/3 es más importante que una falsa seguridad . Antes me compro un ordenador de Lemote con procesador Mips de 4 núcleos con Bios libre que un PC troyanizado por hardware .
#73 La GPL3 ya sirve, impide la tIvoización . Stallman fué un visionario .
#74 Tienes ports no oficiales de Android para X86, busca, que para algún netbook ya tienen aceleración 3D y todo .
#76 ¿Evaluar la seguridad de un sistema operativo por el número de exploits disponibles? Totalmente fiable, si.
#94 Si, uno cayó por un fallo en el Adobe Flash y otro por un bug en WebKit.
¿Cúantas veces ha habido bugs de escaladas de privilegios en Linux y/o errores por buffer overflow? Cienes. ¿Lo hace eso un sistema más inseguro? No.
Repito: la seguridad no es decir "jaja mira han hackeado a windows, menuda mierda". Es un proceso muy profundo y con muchas métricas.
#8 Es un aumento de costes. Por lo tanto, a mi como fabricante me sale mejor habilitarlo y no dejar deshabilitarlo, además como ventaja añadida, cuando quieran usar Windows 9, la clave que hay en mi BIOS no vale y tienen que comprar otro ordenador.
#26 Busca en Google "PALLADIUM Microsoft" y vas a ver como pincha y corta. Los artículos, ¡oh sorpresa!, son del 2003.
#38 conociendo milagros del Monstruo del Spagueti Volador como la creación del universo, creo que estará también en contra del hardware privativo
#54 Ese comentario me suena
#93 Estamos de acuerdo, puedes ejecutar como usuario, pero no puedes modificar archivos de programa sin ser admin.
La tercera opción no es posible, por lo menos desde el Vista en adelante.
#107 Si, ciertamente eso pasaba, pero por eso casi todas las bios ahora vienen con dual bios, para que el usuario no tenga que tirar del clear de CMOS. Y casi cualquier usuario sabe tocar lo basico de la Bios (tipo el orden de arranque de los discos). Desactivar cmos no va a ser lo mismo que ponerse a jugar con el multiplicador
1. Y si cierras los ojos también
2. "Más allá del que venga de serie" ... la gente es que se compra 3 o 4 licencias de Windows para cada equipo
3. Claro, con desactivarlo, eso en el caso de que se pueda
4. Por supuesto que les concierne, por eso precisamente es por el que respecto a ese tema no dicen nada.
5. Sí, está todo contestado.
Cuanto más cierren sus puertas a los demás, no se dan cuenta pero los que se quedan encerrados son ellos. Fuera está la libertad, y el usuario acabará por darse cuenta poco a poco. Cada vez Microsoft tiene menos que ofrecer, y cerrar esta nueva puerta no va a conseguir gran cosa.
#78 ¿Y que tal considerar que durante más de 10 años te obligaba a trabajar como administrador y compartía todo tu disco duro en red sin que hubiese forma de deshabilitarlo en ciertos entornos?
Para #80. Yo me he topado en un par de ocasiones con bios que permitian modificar la velocidad de la RAM y quedaban completamente colgados, muertos, al elegir determinadas opciones. La única solución era resetear la bios haciendo un puente entre un par de pines normalmente indicados de la placa base.
Lo dicho, manipular las bios sin tener claro lo que se hace puede provocar más de un quebradero de cabeza.
#82 Estaría bien el ejemplo si por similitud, hiciera tanto tiempo que Windows no usa la cuenta administrador por defecto o que no comparte el disco duro como cuando existía Caldera, pero por desgracia no es así, es más aún en las últimas versiones de Windows necesitas usar un Firewall porque hay ciertos servicios que no se pueden cerrar y para muchas cosas sigues necesitando ser Administrador. Vamos que no ha cambiado tanto la cosa como parece
#118 Ya lo discutimos otra vez y sigues repitiendo los mismos argumentos, Microsoft sólo impone el secure booting para los equipos OEM con Windows 8, es decir ellos ya venden la licencia y les importa una mierda lo demás, para el resto de equipos como clónicos, vas a poder seguir comprando la versión de Windows que quieras y a instalarla sin problema.
Lo de Windows 95 eran elocubraciones, estos son hechos
#121 Es blanco y en botella y tu sigues insistiendo en que es vino tinto
Si Microsoft impone que para tener la certificación de Windows 8 en sus equipos OEM tendrá que activar por defecto el secure booting, pues tendrá que hacerlo, eso es todo lo que le importa al fabricante, así de sencillo.
#122 Esto no se trata de evitar que instales el Windows pirata, o que no puedas instalar Linux, esto simplemente trata de poner las cosas un poquito más dificil en el mundo empresarial para otros sistemas que no sean Windows que es dónde generalmente se compran equipos OEM y es dónde realmente ganan dinero. Así de simple y así de sencillo
#125 Ni yo estoy negando que Windows 8 no se pueda instalar en sistemas sin secure booting, pero para equipos OEM certificados para Windows 8 hará más complicado que la gente use linux o un sistema dual booting si cada vez que quiere cambiar de sistema operativo tiene que entrar en la bios, eso sin contar con que no puedes asegurar que todos los fabricantes incluyan la opción de desactivarlo.
Y si una empresa quiere seguir con Windows 2000 seguirá con Windows 2000, ya me dirás para que van a comprar un pc certificado para Windows 8 con licencia Windows 8 para instalar un Windows 2000 ... ¿y tu dices que conoces el mundo empresarial?
#23 ¿Que ventajas tiene?
Si un pc no me deja instalar el SO que uso y necesito, obviamente no voy a comprar ese pc. Es de cajón.
Por cierto, que no se ofendan ni se den por aludidos los usuarios de windows, esta noticia no tiene nada que ver con ellos.
#62 ¿La seguridad de Windows 7 es de risa? Interesante pero, por favor, no te quedes ahí y desarróllalo más...
#65 Sí . Por que obliga a muchos juegos y programas a funcionar com Administrador, si no, no funcionan correctamente . Con Linux y Mac, en temas de aplicaciones y juegos , no necesitan permisos de root para acceder a todos sus recursos necesarios para su funcionamiento .
#67 El tipo de ataques que previene Secure Boot tambien se pueden realizar contra un linux (y solucionarse de la misma manera)
Respecto a #66, hace un monton de años que no veo software que necesite permisos de administrador para ejecutarse (sin tener un motivo evidente para necesitarlo)
#69 ¿Que el equipo compruebe que los archivos del sistema están firmados por una fuente de confianza antes de iniciarlo es "falsa seguridad"?
#71 No quiero firmas y corromper mi software con modificaciones propietarias, Además, ¿ que van a firmar si con una distro como Ubuntu tengo varios kernels optimizados como el de Liquorix o los de tiempo real ? ¿ Y Si me paso a Arch ? ¿ Y si recompilo el kernel con apt-src ?
#79 Y tenemos que usar los defectos del pasado para justificar los presentes, de un sistema operativo que tiene 10 años.
#88 No hace falta que me expliques que es un pentest, gracias. La seguridad informática tiene muchas métricas, y decir que un sistema operativo es inseguro porque tiene muchos exploits es una falacia. ¿Qué versión? ¿Bajo que contexto? ¿En qué condiciones? ¿Cuánto ha sido el tiempo de exposición?
#91 Somos poco menos que delincuentes segun el usuario... puff Es mejor no contestar a esas cosas porque te quedas..
#88 Hay programas que cargan los mods desde Archivos de programa y otros que lo cargan desde una carpeta de usuario. Pero es que si se almacenan en archivos de programa, tiene sentido que tenga que ser un admin el que instala el mod.
Hay muchos tipos de mods y plugin, muchos de ellos incluyen su propio codigo ejecutable. Si yo como usuario pudiese instalar un mod en la carpeta general del programa, podría incluir codigo malicioso en el mod que por ejemplo leyera información privada de otro usuario. Por lo tanto:
- Instalar mods en carpeta del usuario - Ok
- Instalar mods en la carpeta de archivos de programa siendo admin - Ok
- Instalar mods en la carpeta de archivos de programa no siendo admin - Fallo de seguridad
#98 No es MS quien más ha donado, sino Bill Gates. Y eso de que la que más contribuye al software libre, es mentira, y verificable.
Al final con Windows va a pasar lo mismo que con Internet Explorer, que cada vez la gente usa más otros exploradores porque es menos cateta. Lo saben y se están protegiendo el culo. Pero es un fenómeno imparable. Cuanto menos catetos haya, menos cuota de mercado tendrá Windows, por mucho que se empeñen en ponérnoslo difícil.
#30 En un entorno corporativo, tienes control total y absoluto del SO y los drivers que se instalan en las máquinas.
#51 La GPL no lo permite. Necesita que se distribuya el código y todo lo necesario para que el usuario pueda modificar y ejecutar de nuevo el software. Si todas las placas base permitiesen desactivar UEFI, podría hacerse, ya que el usuario podría ejecutar su propia versión de Linux. Pero si no se puede desactivar UEFI y el usuario no puede cargar sus propios certificados, sería necesario distribuir la clave privada con la que se ha firmado el software.
Por este motivo no se pueden distribuir aplicaciones GPL por la App Store de los iPhone, porque el binario que recibe el usuario esta firmado por Apple y el usuario no puede ni firmar la aplicacion con otro certificado ni acceso a la clave privada de Apple
con windows 8 SE VAN A COMER UNA MIERDA , o se adaptan , o por querer acaparar mercado van acabar autohundiendose ... aunque bueno visto desde otro punto de vista igual eso anima a alguna compañía interesarse mas por linux , lo cual sin duda seria una buenísima noticia
#23 Muchos nos tememos que esa libertad del fabricante que afirmas no sea tal ya que Microsoft no suele ahogar pero sí apretar.
Puede decir a los fabricantes que no fuerzen el Secure Boot en la BIOS que la licencia OEM es más cara y así los fabricantes elegirán "en total libertad" la opción que diga Microsoft. Se puede hacer incluso menos descarado.
#55 ¿Si te dejan subir certificados no es el sistema inseguro de por sí? Porque si yo modifico un Windows, lo consigo firmar con mi firma y luego la subo a la BIOS podría arrancar normalmente.
Si es por tener la seguridad de que no se altera el sistema operativo no tiene sentido que las BIOS éstas te dejen subir tus propios certificados a menos que tengan dos llaveros diferentes y alguna forma de identificar el S.O. instalado
#86 En realidad los fabricantes no quieren imponer ninguna restricción pero tampoco quieren ver cómo sus márgenes de beneficios disminuyen.
Ten en cuenta que para que el equipo lleve la certificación de Windows 8 (lo que todos los fabricantes quieren) Microsoft pide que soporte secure boot y que éste venga habilitado por defecto, por otra parte los fabricantes de placas base no son famosos precisamente por sus magníficas BIOS (recomiendo la lectura del enlace [1]) así que es probable que tiren a lo más barato, esto es dejarlo habilitado por defecto y no implementar opción de configuración alguna.
Obviamente habrá fabricantes que permitan configurarlo pero ahora habrá que estar muy atento a las opciones de la UEFI cuando vayamos a comprar un equipo, y esto no siempre es fácil.
Hace unos años yo buscaba un portátil con una buena tarjeta gráfica nVidia que tuviera la posibilidad de desactivar completamente la memoria compartida por BIOS, en la tienda (PC City, mi última compra allí) pregunté a varios dependientes si un equipo concreto (señalándolo) permitía desactivarlo y todos me dijeron que sí pero que no podían reiniciar el equipo para enseñármelo, cuando llegué a mi casa, ¡sorpresa!, no lo permitía; no devolví el equipo (pude desactivarlo tirando de opciones del kernel) y fue una experiencia que me recordó los poco que saben los dependientes de las tiendas de informática sobre los equipos que venden.
Me pregunto qué hubiera pasado si me quisiera comprar un equipo con secure boot configurable y al llegar viera que me han mentido, ¿podría devolver el equipo? ¿Cuántos equipos tendría que comprar y devolver para encontrar uno que tuviera lo que necesito? ¿Cuántos portátiles encontraremos que tengan secure boot configurable?
Ahora imaginad otra situación: dentro de dos años sale Windows 9 con la "funcionalidad" de que ahora el secure boot es obligatorio para arrancarlo, lo instalas en tu equipo de menos de dos años y cuando va a arrancar por primera vez se niega porque tu UEFI, que no es actual, no tiene la clave de firma de un sistema operativo nuevo, y no te diste cuenta de que no puedes cambiar las claves que vienen en la UEFI, por lo que en ese equipo jamás vas a poder instalarlo; el fabricante podría proporcionar una actualización de firmware que permita instalarlo, pero no tendría ninguna obligación de hacerlo.
Esto es una especulación, pero imaginad el panorama que se nos presentaría; cada versión de Windows podría obligarnos, por cojones, a comprar equipo nuevo queramos o no, porque además lo de cambiar las claves de la UEFI no está nada claro, tened en cuenta que:
a) Estarán almacenadas en algún chip EEPROM (como las BIOS) por lo que cambiar su contenido ni es fácil ni es seguro; habrá que usar programas del fabricante para hacerlo (los que te lo den) y si el equipo se queda sin corriente durante la operación la placa base se convierte en un ladrillo.
b) Que el usuario tenga la posibilidad de cambiar las claves de la UEFI supone un agujero de seguridad importante ya que entonces las supuestas ventajas del secure boot desaparecen de un plumazo (si el usuario puede cambiarlo, un virus puede llegar a conseguirlo).
c) Por supuesto, la situación en la que por cada versión de Windows hay que comprar equipo nuevo no les va a gustar nada de nada a los fabricantes de placas base, ¿verdad?
Pues he aquí la polémica por la que se queja la FSF, y en mi opinión tienen muchísima razón, esto me recuerda a la
treacheroustrusted computing que afortunadamente no llegó a proliferar pero que podía habernos quitado el control de nuestras computadoras.Además, ¿de qué nos quiere proteger Microsoft? ¿Cuántas noticias de virus que infectan el sector de arranque habéis oído en los últimos 10 años? Me parece la solución a un problema de seguridad inexistente, lo que me hace pensar que no es ese el problema que quieren "solucionar".
Caray, perdón por la parrafada ^_^.
[1] http://diegocg.blogspot.com/2011/05/el-tenebroso-mundo-del-firmware.html
#4 Una adhesión más, que no cuesta nada. Espero que sirva para algo.
#22 Supongo que se refiere a catetos en cuanto a conocimientos de informática se refiere.
SB no es "secure boot", es "slaving boot" (arranque esclavizante).
...Aunque habría que ver si la petición de la FSF acaba de ser efectiva o no...
En mi caso no quiero un Windows 8 con Secure Boot ni regalado.
Edit #11. Confundí a la FSF con el FSM.
Sorry.
#42 Deberías copiarlo y pegarlo aquí, la gente pasará de leerlo por la vagancia de clicar (y porque no les interesa (es un comentario razonado que tira al traste toda la mierda que se está soltando aquí)) y debería ser leído por aquellos que quieran enterarse de algo más allá de su propia nariz.
#44 ¿cuales, las que tienen otra con ctrl al lado?
#42 ¿no me jodas que has cambiado el enlace? o yo estoy flipando o tú has cambiado el enlace,
si es así, vaya rastrero.Edito: vale, #54 he debido de perderme algo por el camino, voy a mirar de qué eran las especias de la comida.El enlace original de 42 era este: http://www.genbeta.com/windows/microsoft-aclara-confusiones-acerca-del-secure-boot-de-windows-8#c364968
#51 El enlace de arriba te corrige
#53 Gracias por el curro pero era una ironía, es decir, se armó mucho revuelo con el Palladium pero ¿cuales fueron sus efectos reales? aquí tengo un artículo apocalíptico que si lo lees ahora da risa: http://lasindias.coop/articulos/palladium_noviembre.html
Para #68. Lo único cierto es que con Secure Boat se corre el riesgo de perder buena parte del control sobre nuestras máquinas de no incluirse la opción 'disable secure boat' en la bios por parte del fabricante; y aún incluyéndose esta opción convierte en algo engorroso, y no acto para principiantes en demasiados casos, arrancar el ordenador con otro sistema operativo. (En ocasiones manipular incorrectamene una bios puede colgar permanentemente un PC).
Para #69. Espero ansioso a la GPL4.
Para #75. Estaba bromeando! Si el sr. Stallman no saca una GPL4 es porque no es necesario modificar la GPL3 lo que significa que no hay nuevos problemas a la vista que pueda restringir nuestras libertades como usuarios de computadores y programas.
#78 Para evaluar se hacen test de penetración. Los errores son lo que aprovechan los exploits. Quizá para ti sea fácil parchear 100 errores antes que 4.
#80 He dicho la instalación por defecto del programa, no el usuario, pero para instalar un mod tienes que ser admin. Ocurre lo mismo en Linux si se instala desde repositorios, por eso suelo usar la home para instalar el programa entero y en windows lo hago en la raiz.
Por ejemplo: http://www.flightgear.org/forums/viewtopic.php?f=11&t=13791&p=140226&hilit=windows+program+files+windows+program+files+windows+admin#p140226
#89 Tampoco hará falta que te explique entonces que todos los SOs son inseguros, unos mas y otros menos.
Un ejemplo fue el concurso pwn2own, donde consiguieron hackear mac y windows porque ya tenían los errores de antemano y el portátil con Ubuntu sobrevivió por falta de tiempo.
http://www.zdnet.com/blog/security/pwn2own-what-os-really-won/995
Lo raro es que desde 2008 no han vuelto a incluir una distribución de Linux para PC.
#97 Que si, que depende de muchas variables, pero en ningún momento digo lo que insinúas, solo que es mas difícil defender la plaza si tienes 100 agujeros de 4.
Al final da igual porque el usuario siempre es el eslabón mas débil y la ingenieria social esta a la orden del día.
En cuanto a UEFI, el portátil de Google lleva un jumper para desactivar UEFI. Espero que sea así con todos o con una opción en el menú.
¿Y si presionamos a la comisión de competencia europea (la comisión antimonopolio) para que exija que cualquier equipo o placa base que se venda en Europa tenga que permitir desactivar el SecureBoot de la BIOS? De esa manera los fabricantes tendrán que añadirlo si quieren vender aquí.
#63 Seguramente ha sido eso, primero he visto que el enlace corto apuntaba a genbeta, después volví a mirar y el enlace apuntaba a juan291.wordpress que es a donde apunta ahora y me quedé desconcertado.
No importa, son cosas que pasan
#116 Elucubraciones y especulaciones que se llevan dando desde windows 95 y lo cierto es que aquí estamos.
A lo de vista ya te han respondido, a lo del Secure Booting creo que ya está suficientemente razonado más arriba. Desde posibles multas por monopolio al dificultar la instalación de otro SO hasta el hecho de que así la gente no podría instalar win7 o inferior o comprar sólo la licencia de win9 o superior.
#120 mientras sea blanco repetiré que es blanco ¿o tu quieres que diga negro?
Que a ellos les importa una mierda lo dices tú, supongo que también habrá que tener un poco de vistas de futuro ¿no crees? pero vale, no te lo repetiré... relee entonces. A quien sí le importará será a los fabricantes .
Venga, vah, ¿cuando sale win8? unos meses después ya te darás contra la pared, discutir ahora contigo no conduce a nada.
Hechos, dice, já.
P.d: a parte de que al comentario al que me refiero en #118 ni siquiera es mío
#123 Es que no estoy negando que Microsoft requiera que para tener la pegatina de "compatible con windows 8" el fabricante deba activar por defecto el secure booting. Lo que te estoy diciendo es que windows también correrá sin necesidad del secure booting, el secure booting por lógica tendrá que ser desactivable y será lógico que haya formas de poder firmar tu propio software, aquí ya se expusieron cuales pueden ser. Por tanto sí podrás instalar linux porque Microsoft no trata de impedir que se instale linux.
A los fabricantes le importa que habrá gente que quiera downgradear o instalar otro SO diferente a windows y si la gente no puede se quejará o comprará a otro fabricante, son unas pérdidas que no tienen por qué tener. A Microsoft le importará que habrá gente que quiera comprar win9 pero no un ordenador nuevo así que alguna forma habrá de hacerlo. A Microsoft le importan también las multas por monopolio al dificultar la ya muy marginal competencia.
Todo esto ya está dicho en los comentarios de encima pero parece que para ti hay que repetirlo otra vez.
#124 "un poco más difícil" dices y además hablas del mundo empresarial ¿es que acaso habrá que hacer una ingeniería para desactivar el secure booting?.
Tiene guasa que hables de empresas donde pueden comprar ordenadores nuevos porque los viejos se estropean pero es un entorno donde se tiran siglos sin cambiar el SO, incluso esperan semanas o meses antes de instalar la última actualización (¿cuantas empresas habrá con windows 2000?), ya sea por compatibilidad con sus programas o por lo que sea, ¿y ahora tú me dices que cuando salga win8 cada vez que compren un ordenador nuevo todas se van a actualizar a win8 en vez de downgradear instalando el mismo SO que llevan usando años?, porque con el Secure booting tanto linux como Win7 u otro estarán bajo las mismas condiciones, para bien o para mal. Dificultar la instalación de linux es dificultar la instalación de win7 y ¿se va a joder Microsoft a sí mismo? ¿se van a pillar las manos los fabricantes? lo dudo.
Y sigo con el mundo empresarial. El ordenador de una empresa no es el ordenador de casa, es un poquillo más complicado ¿sabes la de cosas que hay que cambiar si quieres migrar a linux? desde programas específicos hasta cientos de tablas de excel (con sus macros y tal que no, no van bien en openoffice). En una empresa migrar a otro SO es un tanto jodido así que, amijo, ten por seguro que el Secure Booting será el menor de sus problemas.
#126 Ah ¿primero hablamos de empresas y ahora de usuarios normales (gente)? parece que te arrimas al sol que mejor calienta.
NO tienen por qué entrar en la BIOS cada vez que quieran cambiar de Sistema Operativo porque para empezar Win8 FUNCINARÁ CON EL SECURE BOOTING DESACTIVADO así que LO DEJAS DESACTIVADO Y YA. Eso por no hablar de la posibilidad de firmar tú mismo linux. Y en cuanto a lo de incluir la opción de desactivarlo, para empezar, el incluirlo o no, sería elección del fabricante, no de Microsoft; para seguir, en los comentarios de arriba ya está sobradamente explicado el por qué incluso es recomendable que lo incluyan.
¿me estás diciendo que todavía siguen vendiendo ordenadores con licencias de win 2000?, porque yo te estoy diciendo que los ordenadores y más en concreto los portátiles se estropean; también, en la empresa el personal puede aumentar o puede que quieran poner hardware más potente, entonces habrá que comprar... no sé, ¿100 portátiles? dime ¿qué licencia llevarán esos portátiles?.
Lo que está claro es que si la licencia es de win8 (lo más probable) la empresa no migrará así de repente a win8 sino que seguirá con el SO que tengan y con el que llevan años funcionando sin problemas (es decir, downgradearán), por tanto, si es win2000 u otro windows, el secure booting les joderá tanto como si fuese linux así que ¿se joderá microsoft a sí mismo o lo del Secure booting no será para tanto? yo apuesto por lo segundo.
En el caso de que sigamos tu teoría y si están usando win2000 no van a comprar portátiles con licencia de win8 entonces el problema simplemente desaparece.
Sea como sea lo que está claro es que las empresas no van a migrar a win8 así de repente sino más bien después de unos cuantos años tras su lanzamiento (cuando vayamos por win10 más o menos). También, entre todas las cosas que hay que hacer para una migración créeme que el Secure Booting será el menor de sus problemas.
Para terminar ¿ann_pe es un clon tuyo o solo es un fan? porque anda que no se luce...
#128 ¿y por qué habría de obligar a poder desactivarlo? ¿quieres que también obliguen a instalar linux? quizás así te contentes. ¿quieres que te repita una vez más el por qué incluso es recomendable que permitan desactivarlo? porque ya estoy un poco quemado de tenerte que decir siempre lo mismo y tú me vengas una y otra vez con las mismas estupideces que ni siquiera siguen la conversación. Pareces un loro hablando.
En cuanto a lo de firmar tu linux, cito de #54:
" Tengo ciertos conocimientos sobre arranque de SO, Windows y Linux por motivos laborales. Ayer me estuve leyendo la especificación de UEFI para ver si podía poner los puntos en claro, voy a intentar aclarar algunas cosas:
[..]
- Como llega el certificado al almacen de certificados del firmware? Hay varias formas, es posible (aunque no necesario) que algunos certificados vengan precargados por el fabricante, aunque hay otros modos. Se puede instalar automáticamente un certificado que viene firmado por un certificado de confianza. También hay un modo de gestión del almacen donde el usuario podría instalar un certificado manualmente. Por ultimo, un software que se instale puede dejar un certificado junto con la imagen que se va a arrancar. En el siguiente arranque, cuando el sistema detecte una imagen firmada con un certificado que no es de confianza, pero tampoco esta marcado como invalido, le da la opción al usuario de convertirlo en certificado de confianza
- Como instalo linux en mi máquina si el CD no va a venir firmado por una entidad de confianza? La especificación de UEFI menciona un modo Setup que el usuario puede marcar. Este modo esta pensado para la instalación/reparación del sistema y permitiría arrancar linux
- Como hago para arrancar linux con secure boot una vez instalado? El procedimiento sería que durante la instalación se generará un nuevo par de claves aleatoriamente para el usuario. La clave privada se utilizaría para firmar el bootloader (como grub). Tras la firma, el usuario debería sacar el certificado de la máquina y solo utilizarlo para firmar sucesivas versiones de grub (dejar el certificado en la máquina permitiría al usuario firmar su propio malware). En el primer reinicio tras la instalación de grub, el sistema nos indicaría que se ha instalado software nuevo. Tras mostrarnos el certificado y con nuestra aprobación, dicho certificado pasaría a ser de confianza para nuestra máquina. "
Pero en el caso de que no puedas firmar linux ¿quieres que te vuelva a decir que basta con desactivar el secure booting y que windows seguirá funcionando igual de bien junto con linux?
"Te estoy diciendo que si vas a meterle win 2000"
y yo te estoy preguntando que cuando salga win 8 ¿cual demonios va a ser la licencia que traigan todos los portátiles más que win8? es más, vete a una tienda ¿qué licencia tienen ahora todos los portátiles más que win7? pues chico, yo si me compro un portátil aunque sea para win2000 tendré que comprarme uno con win7 ¿o acaso no sois los linuxeros los que siempre os quejáis de que es harto complicado comprar un ordenador sin windows y que siempre tenéis que pagar una licencia que no queréis? pues eso, esa licencia normalmente es del último windows.
Los problemas de comprarme un ordenador para win200 van a ser los mismos que comprarme uno para linux, exactamente los mismos, y si tú me dices, cito: "Obviamente si están usando win 2000 y van a seguir con el, no tendrán ningún problema" yo te digo que si lo compras para linux tampoco tendrás ningún problema.
"pero para la gente que migre a Windows 8 sí lo tendrá"
Primero recordarte que fuiste tú el que habló expresamente de empresas y yo te dije que una empresa no actualiza tan a la ligera. Ahora me saltas con "gente", pues vale... arrimándonos al sol que mejor calienta. De todas formas, problema ninguno, como ya dije y por lo que dije
De chiste son tus comentarios. Me alegro de que no sigas comentando.
#130 Menos mal que no ibas seguir discutiendo...
1. En dicho caso el problema simplemente desaparece
2. No tendrás tú claro si se implementan esas opciones tan bonitas que de no implementarse dañarían tanto a linux como a windows más allá del que venga de serie. En cualquier caso, el deber de implemenarlo es del fabricante. Aún cuando no se implementen, tendrás la opción de poder desactivar el secure booting porque, una vez más, ya se ha explicado el por qué es lógico que sí haya al menos esa opción. Entonces, el problema desaparece.
El firmar o no firmar es en caso de que quieras usar el Secure booting. Si no te quieres complicar la vida, el tema es tan sencillo como desactivar el secure booting. Si consideras que esa acción es difícil, entonces sí, complicarán la vida pero en realidad no es para nada difícil.
3. No, no me olvido del dual booting ¿por qué he de olvidarme de él si con desactivar el secure booting van a funcionar sin problemas tanto linux como windows.
4. Microsoft dijo que si quieren poner la pegatina deben de activar el secure booting porque es algo que les concierne, más allá no tienen ni deben meter las narices, es un tema que no les concierne. Hablaron de lo que les incumbe ¿cuál es el problema?
5. Simplemente te equivocas y repites lo mismo, por lo tanto ya está contestado.
Hace un buen día así que me voy, hasta mañana.