uefi & secureboot

daufinsyd · 13-11-2013 20:09:42

Bonjour ou plutôt bonsoir. (ce qui après relecture devrait donner plutard bonsoir

)

J'ai commencé une page pour expliquer l'installation de Debian sur les ordinateurs équipés de l'uefi et du secureboot.

http://debian-facile.org/atelier:chantier:uefi
[edit: **déplacé**: http://debian-facile.org/doc:install:uefi]
ainsi qu'une page répertoriant les succès/échec d'installations

http://debian-facile.org/atelier:chantier:secure-boot
[edit: **déplacé**: http://debian-facile.org/doc:materiel:secure-boot] Page de retours ici https://debian-facile.org/viewtopic.php … 86#p130886

j'ai essayé de faire quelque chose de simple à la porté de tout le monde (j'espère y être arrivé).

N'hésitez pas à rectifier - ajouter - supprimer des choses, j'ai construit la page d'après mes quelques expériences et des docs trouvées sur divers sites

.

Merci et bonne soirée,
daufinsyd

PS: sur la page secureboot j'ai voulu mettre des images à la place des + - et ? mais je n'en trouve pas libres de droits

n'y a-t-il pas un moteur pour chercher les images sur le serveur de df (j'ai vu qu'on pouvait en mettre) ?

Dernière modification par daufinsyd (13-11-2013 20:13:06)

Y316 · 14-11-2013 22:01:49

N'hésitez pas à rectifier - ajouter - supprimer des choses,

Alors, je me permet parceque je ne comprends pas cette note (ci-dessous)

Si votre distribution est signée, vous n'êtes pas obligés de désactiver le secureboot. Voir cette page pour plus d'information
http://debian-facile.org/atelier:chantier:uefi

que veux dire "signée" ?

Lætitia · 14-11-2013 23:19:32

salut,
quand tu dis

Tout d'abord, vérifiez que la table des partition est bien GPT

Pour vérifier,

parted -l

Si la table est en GPT, parted te le diras.

daufinsyd · 15-11-2013 09:11:10

Alors, je me permet parceque je ne comprends pas cette note (ci-dessous)

En mode « lancement sécurisé » (secure boot), l'UEFI utilise un mécanisme de vérification par signatures numériques. Le micrologiciel interdit tout chargement de driver ou de noyau dont la signature ne correspondrait pas à celle gravée en ROM. (wikipedia)

La signature numérique (parfois appelée signature électronique) est un mécanisme permettant de garantir l'intégrité d'un document électronique et d'en authentifier l'auteur, par analogie avec la signature manuscrite d'un document papier.

Elle se différencie de la signature écrite par le fait qu'elle n'est pas visuelle, mais correspond à une suite de nombres (wikipedia).

Une distribution signée a acheté une clé à ms et est donc reconnue comme non dangereuse par le secureboot. Il n'y a donc (en théorie) pas besoin de le désactiver pour installer la distribution.

j'ai rajouté un lien vers wikipedia

merci Lætitia pour l'astuce, je l'ai également rajoutée

captnfab · 15-11-2013 09:21:51

Y316 a écrit :

que veux dire "signée" ?

En fait, secureboot n'accepte de lancer que des boot-loaders étant signés par une clé détenue par Microsoft (je résume).
Certaines distro ont fait le choix de refuser de jouer le jeu et de demander de désactiver secure boot. D'autres ont privilégiées la simplicité pour les utilisateurs et ont accepté de céder à ce système. Ces dernières font donc signer leur bootloader, ce qui consiste à rajouter en fin de fichier une signature ne pouvant être produite que par une clé privée, mais pouvant être vérifiée par la clé publique présente dans tout uefi.
Voir GPG pour plus d'info sur l'authentification asymétrique

Edit: Ah, grillé.

daufinsyd · 15-11-2013 09:32:52

captnfab a écrit:
Edit: Ah, grillé. smile

2 fois plus d'explications pour deux fois mieux comprendre

pour info

Debian, qui ne constitue pas une entité commerciale mais une communauté, ne peut acheter une signature quelconque à une entité commerciale telle que Microsoft13. En outre, les statuts de la distribution sont très restrictifs : l’emploi de marques commerciales y est interdit. Enfin, l'emploi d'une clef secrète empêcherait la modification du code par une autre entité que Debian et contreviendrait à la quatrième liberté fondamentale du logiciel libre (la liberté de modification).

Donc pas de clé pour Debian

captnfab · 16-11-2013 10:45:04

Je précise quand même qu'il n'est pas impossible que Debian propose une version de son installateur compatible Secure-Boot. Le problème est en discussion, en particulier Steve McIntyre et Leif Lindholm vont en parler demain à la Mini-Debconf de Cambridge[1].

[1] https://wiki.debconf.org/wiki/Miniconf-UK/2013

daufinsyd · 16-11-2013 15:40:44

Tu veux dire acheter une clé au près de ms ?

captnfab · 16-11-2013 15:47:05

Oui, mais bon, l'argent ne va pas à MS, il va à Verisign ou je ne sais quel organisme «indépendant» qui s'occupe de chapeauter tout ça.

daufinsyd · 16-11-2013 15:52:40

ce n'est pas le problème, c'est plutôt ceci:

l’emploi de marques commerciales y est interdit.
l'emploi d'une clef secrète empêcherait la modification du code par une autre entité que Debian et contreviendrait à la quatrième liberté fondamentale du logiciel libre (la liberté de modification).

personnellement, ce n'est pas bien compliqué d'installer linux sur un ordi équipé de l'uefi comme le montre le tuto, même si c'est vrai que ça pose des problèmes sur certains ordis. Mais on trouve sans aucune difficulté des problèmes d'installations d'Ubuntu signées et qui devraient pourtant êtres reconnues par le secureboot.

Enfin il me semble que certaines personnes avaient réussi à contourner sans grand mal le secureboot.

captnfab · 16-11-2013 16:11:56

Pendant longtemps, les CD de Debian contenaient des firmwares non-libres et bien souvent non-modifiables.
Ici, c'est un peu la même chose qui se passerait. Grub (par exemple) serait présent dans une version signée «officielle» en plus de la version standard.

Tout le monde pourrait encore utiliser cette version de la même manière que c'est fait aujourd'hui mais en plus l'installation sur les machines à UEFI ne nécessiterait pas de désactiver le secure-boot.

De plus, Debian incluerait alors également les outils permettant de signer soi-même avec une clé personnelle le Grub, ce qui permettrait à chacun, à condition qu'il ait pu rajouter sa clé dans son UEFI de se refaire un grub modifié mais secure-bootable.

Je suis d'accord sur le point que ça ne respecte pas la quatrième liberté fondamentale, mais c'est une exception qui a été discutée. À voir si cette exception est acceptée ou non.

daufinsyd · 16-11-2013 16:21:09

oui, la philosophie de Debian était elle déjà la même à cette époque où les cd incluaient des firmwares non libres ? (je ne sais pas ça fais juste un peu plus d'un an que je suis sous Debian

)

captnfab · 16-11-2013 16:27:50

Oui, ces firmwares étaient en fait inclus dans le noyau Linux lui-même, qui n'était donc pas libre (en tant que paquet.)

Les firmwares ont été séparés avant la sortie de Squeeze je crois, qui embarquait donc un OS véritablement libre.

Le contre-coup étant que tout le matos en dépendant ne fonctionnait plus d'office, les cartes wifi sont un exemple…

Donc la philosophie n'a pas changé, mais les machines si. C'est pour s'adapter aux machines que les devs Debian ont envisagé cette exception.

Reste que le véritable résultat est que le secure-boot est juste un empêcheur de tourner en rond qui va pénaliser toutes les distros ayant effectivement besoin de personnaliser Grub (heureusement probablement très peu) et n'ayant pas les moyens de le faire signer par une clé valide.

milou · 30-04-2015 17:57:16

Très léger tatouillage de l'en-tête

milou · 24-07-2015 17:18:13

Il y a deux pages pour ce sujet, j'ouvre un autre fil pour celle-là ? https://debian-facile.org/doc:materiel:secure-boot

paskal · 24-07-2015 17:48:48

Oui, en prenant soin de placer des inter-liens

milou · 24-07-2015 18:03:19

Fait

paskal · 24-07-2015 18:13:25

milou · 24-07-2015 18:17:59

atta je place dans les pages wiki

paskal · 24-07-2015 18:18:50

J'atta, j'atta ...

milou · 24-07-2015 18:26:41

C'est fait

paskal · 24-07-2015 18:28:00

Déjà ?

milou · 24-07-2015 18:31:40

En plus il se fiche de moi

paskal · 24-07-2015 18:36:15

J'oserais pas ... /o\

milou · 24-07-2015 18:38:12

Debian-facile

#1 13-11-2013 20:09:42

uefi & secureboot

#2 14-11-2013 22:01:49

Re : uefi & secureboot

#3 14-11-2013 23:19:32

Re : uefi & secureboot

#4 15-11-2013 09:11:10

Re : uefi & secureboot

#5 15-11-2013 09:21:51

Re : uefi & secureboot

#6 15-11-2013 09:32:52

Re : uefi & secureboot

#7 16-11-2013 10:45:04

Re : uefi & secureboot

#8 16-11-2013 15:40:44

Re : uefi & secureboot

#9 16-11-2013 15:47:05

Re : uefi & secureboot

#10 16-11-2013 15:52:40

Re : uefi & secureboot

#11 16-11-2013 16:11:56

Re : uefi & secureboot

#12 16-11-2013 16:21:09

Re : uefi & secureboot

#13 16-11-2013 16:27:50

Re : uefi & secureboot

#14 30-04-2015 17:57:16

Re : uefi & secureboot

#15 24-07-2015 17:18:13

Re : uefi & secureboot

#16 24-07-2015 17:48:48

Re : uefi & secureboot

#17 24-07-2015 18:03:19

Re : uefi & secureboot

#18 24-07-2015 18:13:25

Re : uefi & secureboot

#19 24-07-2015 18:17:59

Re : uefi & secureboot

#20 24-07-2015 18:18:50

Re : uefi & secureboot

#21 24-07-2015 18:26:41

Re : uefi & secureboot

#22 24-07-2015 18:28:00

Re : uefi & secureboot

#23 24-07-2015 18:31:40

Re : uefi & secureboot

#24 24-07-2015 18:36:15

Re : uefi & secureboot

#25 24-07-2015 18:38:12

Re : uefi & secureboot

Pied de page des forums