首页
Portal
业界资讯
社区
BBS
我的家园
Space
个人空间
导读
Guide
登录
/
注册
用户名
Email
自动登录
找回密码
密码
登录
注册
搜索
搜索
本版
帖子
用户
本版
帖子
用户
帖子
好友
道具
勋章
收藏
任务
淘帖
门户
导读
设置
我的收藏
退出
腾讯QQ
微信登录
首页
›
≡≡桌面技术≡≡
›
硬件相关
›
详解 Secure Boot 和 Winows 8 及 UEFI启动 的关系 ...
返回列表
详解 Secure Boot 和 Winows 8 及 UEFI启动 的关系
[ 复制链接 ]
灰儿
2014-9-16 22:32:02
很多同学都发现了,在安装Windows 8或是带UEFI启动的
电脑
时要更改BIOS里的Secure Boot值!
比如戴尔的INS
14R
-5420,INS
15R
-5520,INS14R-5421,INS660,V270,V5460等机型!
什么Secure Boot呢!它和Windows 8还有UEFI启动有什么关系呢!
BIOS和UEFI
所有电脑启动的时候,都会运行BIOS程序,用于初始化
硬件
。
BIOS是英文"Basic Input Output System"的缩略语,直译过来后中文名称就是"基本输入输出系统"。其实,它是一组固化到计算机内
主板
上一个ROM芯片上的程序,它保存着计算机最重要的基本输入输出的程序、系统
设置
信息、开机后自检程序和系统自启动程序。 其主要功能是为计算机提供最底层的、最直接的硬件设置和控制。
自从个人电脑诞生后,就一直如此。过去30年我们都在使用类似上图的画面,设置硬件参数。不用说,BIOS已经变得日益不适用了。
1998年,Intel牵头,联合AMD、AMI、Apple、Dell、HP、IBM、Lenovo、Microsoft和Phoenix等业界主要厂商,开始制定新一代BIOS。这个项目叫做"统一的可扩展固定接口"(Unified Extensible Firmware Interface),简称UEFI。2005年推出1.1版,目前是2.3版。
新型UEFI,全称“统一的可扩展固件接口”(Unified Extensible Firmware Interface), 是一种详细描述全新类型接口的标准。这种接口用于操作系统
自动
从预启动的操作环境,加载到一种操作系统上,从而使开机程序化繁为简,节省时间。
从2012年9月以来,电脑运行的已经不是BIOS,而是UEFI BIOS。等它运行结束,再载入操作系统。
-
微软的态度
UEFI是一个很先进的、面向未来的规格。但是很长时间内无法推广,原因就是微软公司不积极。
Windows操作系统是桌面市场的主流系统,如果它不推广UEFI,就没有硬件厂商会跟进。所以,普通消费者对这个新规格所知甚少。
意想不到的变化,出现在2011年9月,微软毫无预兆地突然宣布,Windows 8将启用UEFI。
这本来是一件好事。但是,问题是微软感兴趣的不是整个UEFI,而是UEFI的一个子规格Secure Boot。它要强行部署Secure Boot。
Secure Boot
Secure Boot(翻译为中文为:安全启动)只是UEFI的一个部分。两者的关系是局部与整体的关系。
Secure Boot的目的,是防止恶意
软件
侵入。它的做法就是采用密钥。UEFI规定,主板出厂的时候,可以内置一些可靠的公钥。然后,任何想要在这块主板上加载的操作系统或者硬件
驱动
程序,都必须通过这些公钥的认证。也就是说,这些软件必须用对应的私钥签署过,否则主板拒绝加载。由于恶意软件不可能通过认证,因此就没有办法感染Boot。
这个设想是好的。但是,UEFI没规定哪些公钥是可靠的,也没规定谁负责颁发这些公钥,都留给硬件厂商自己决定。
现在,微软就是要求,主板厂商内置Windows 8的公钥。
Windows 8
首先明确,在不打开Secure Boot的情况下,Windows 8可以安装。这与安装以前版本的Windows没有差别。
但是,微软规定,所有预装Windows 8的厂商(即OEM厂商)都必须打开Secure Boot。因此,消费者购买一台预装Windows 8的台式机或笔记本,想要在上面再安装其他操作系统(包括以前版本的Windows)是不可能的,除非关闭Secure Boot,或者其他操作系统能够通过Windows 8公钥的认证。
如果选择关闭Secure Root,那么预装的Windows 8将无法使用,需要重新安装。
对Linux的影响
Secure Boot规格的本意是,让操作系统厂商自行选择公钥,通过认证。但是实际上,只有微软公司才有能力,让主板厂商内置它的公钥,其他公司都不具备这种能力。
根据微软针对OEM厂商的一则规定,Windows 8要求PC电脑采用UEFI(统一可扩展固件接口),这个接口将会替代PC机诞生以来历史悠久的BIOS固件设置。关于UEFI这个标准接口,是支持Windows、Linux 和 OS X 操作系统的,只是微软要求预装Windows 8 的PC电脑需要支持安全性启动机制,启动过程中涉及到的软件/固件都必须打上CA数字签名,这样,对于Linux 这种开源的无签名的系统就会直接阻止。
因此,如果要在打开Secure Boot的主板上安装Linux系统,这个系统就必须通过Windows 8的认证。
目前,微软公司把Win8的数字签名外包给了Verisign。操作系统厂商想要通过认证,就必须花99美元,向Verisign买一张数字证书,嵌入自家的操作系统。
最新动态是,Linux的各个发行版之中,Ubuntu已经购买了数字证书,Fedora和SUSE计划购买,其他发行版还没做出决定。
因此,在预装Windows 8的电脑上安装Linux(或其他操作系统)的最佳做法,就是进入BIOS,关闭Secure Boot。但是,这意味着你花钱买来的Windows 8将无法使用。
目前看上去,Linux购买Windows8的数字证书,是眼下唯一可行的相对容易的
解决
方法。但是,这种做法不可接受。
首先,系统的公钥被微软控制,后果难以预料。如果微软决定更换和废除这个公钥,Linux就要被迫跟进。
其次,Linux的启动管理器Grub是GPL许可证,该许可证(第三版)明文禁止软件使用密钥配合硬件阻止一部分用户的使用,因此要改用非GPL许可证的启动管理器。
再次,只有几个较大的Linux发行版才有能力购买数字证书,较小的发行版和用户自己定制的版本最终还是需要有自己的公钥。
关于移动设备
Secure Boot对移动设备的影响,比PC还要严重。
微软明确规定,所有PC主板必须带有关闭Secure Boot的选项。这不是因为微软的善意,而是因为如果不这样做,它一定会遭到反垄断起诉。
但是,在移动设备领域,微软不占优势,所以它就没有顾虑,规定所有安装Windows的移动设备的Secure Boot必须打开,而且没有关闭选项。
微软的平板电脑Surface RT就是一个最好的例子。它的Secure Boot是打开的,没法关闭,而且微软用了一个不同于桌面电脑Windows 8操作系统的公钥,且不提供获得数字证书的途径。因此理论上,用户不可能在Surface RT上安装其他操作系统。
还有报道称,使用Windows Phone 8操作系统的智能手机也将采用这种做法。那么,用户也就不可能在Windows Phone上安装其他操作系统了。
总结
Secure Boot的用意是保证系统安全,但现在似乎成了厂商保护市场垄断、阻碍竞争一种手段。
除了微软公司,苹果公司也有这种倾向。在新一代的iPhone和iPad上面安装其他操作系统,似乎是不可能的。
(不过一旦iPhone和iPad上面安能装其他操作系统,估计苹果就不是今天这个样子了,苹果玩的就是封闭!其实垄断也是有好处的!)
自由软件基金会呼吁反Secure Boot垄断,就是基于这种考虑:用户应该拥有硬件和软件的使用自由,操作系统应该是开放的,而不是封闭的。
作为一种规格,自由软件基金会并不反对Secure Boot,它只是要求硬件厂商提供便利,使得用户可以更容易地安装和管理公钥,从而使用硬件平台对所有操作系统(以及设备驱动)保持开放。
本文大部分内容转自:IT之家:反Secure Boot垄断:兼谈在Win8上安装Linux
回复
使用道具
举报
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
显身卡
高级模式
B
Color
Image
Link
Quote
Code
Smilies
您需要登录后才可以回帖
登录
|
注册
回复
本版积分规则
回帖后跳转到最后一页
浏览过的版块
WEB前端
多媒体技术
PHP语言
业界资讯
灰儿
管理员
9843篇
主题总数
7
总热度
提问
+关注
产品动态
2024-05-18
泛微E10(e-cology)文件存储服务器每日新增大量重复文件的原因
2024-05-16
泛微E10(e-cology)配置文件详解
2024-05-15
泛微(weaver)e-cology_V10公文管理,启用预览正文和套红预览功能
2024-05-14
泛微E10(e-cology)文件存储位置与打开方式
2024-05-14
神州数码云科(DCN) DCME-320路由器关闭互联网22、23、53端口方法
2024-05-13
关于webapp与WEB-INF的记录
2024-05-13
泛微(weaver)e-cology_V10公文管理,上传套红模板教程
2024-05-13
防火墙指标:吞吐量、时延、新建连接速率、并发连接数
热点推荐
1
泛微E10(e-cology)文件存储服务器每日新增大量重复文件的原因
2
泛微E10(e-cology)配置文件详解
3
泛微(weaver)e-cology_V10公文管理,启用预览正文和套红预览功能
4
泛微E10(e-cology)文件存储位置与打开方式
5
神州数码云科(DCN) DCME-320路由器关闭互联网22、23、53端口方法
6
关于webapp与WEB-INF的记录
7
泛微(weaver)e-cology_V10公文管理,上传套红模板教程
8
防火墙指标:吞吐量、时延、新建连接速率、并发连接数
热门板块
PC操作系统
启动和引导
手机操作系统
硬件相关
办公软件
多媒体技术
产品动态
2024-05-18
泛微E10(e-cology)文件存储服务器每日新增大量重复文件的原因
2024-05-16
泛微E10(e-cology)配置文件详解
2024-05-15
泛微(weaver)e-cology_V10公文管理,启用预览正文和套红预览功能
2024-05-14
泛微E10(e-cology)文件存储位置与打开方式
2024-05-14
神州数码云科(DCN) DCME-320路由器关闭互联网22、23、53端口方法
2024-05-13
关于webapp与WEB-INF的记录
2024-05-13
泛微(weaver)e-cology_V10公文管理,上传套红模板教程
2024-05-13
防火墙指标:吞吐量、时延、新建连接速率、并发连接数
热点推荐
1
泛微E10(e-cology)文件存储服务器每日新增大量重复文件的原因
2
泛微E10(e-cology)配置文件详解
3
泛微(weaver)e-cology_V10公文管理,启用预览正文和套红预览功能
4
泛微E10(e-cology)文件存储位置与打开方式
5
神州数码云科(DCN) DCME-320路由器关闭互联网22、23、53端口方法
6
关于webapp与WEB-INF的记录
7
泛微(weaver)e-cology_V10公文管理,上传套红模板教程
8
防火墙指标:吞吐量、时延、新建连接速率、并发连接数
热门板块
PC操作系统
启动和引导
手机操作系统
硬件相关
办公软件
多媒体技术
学习中心
站长自定义文字内容,利用碎片时间,随时随地获取优质内容。
Q设计语言
了解更多
Q Design 提供商家设计所需的指导与资源,帮商家快速完成产品设计、降低生产成本。
学习中心
站长自定义文字内容,利用碎片时间,随时随地获取优质内容。
Q设计语言
了解更多
Q Design 提供商家设计所需的指导与资源,帮商家快速完成产品设计、降低生产成本。