시큐어 부트에 대해서 그동안 계속 관심을 끄고 있엇는데요.
항상 UEFI에서 꺼버리고 사용했엇거든요.
최근에 서피스 프로에 OSX 설치질을 하면서 CLOVER로 시큐어 부트를 한번 해 보았는데요..
대략 과정이 이렇다라고요..
1. openssl 로 인증서 만들기
2. 인증서로 부트로더 서명하기
3. 내가 만든 인증서를 UEFI에 쑤셔넣기
4. 시큐어 부트 성공...
원래 이런식으로 작동하는 기술이였나요??
예전에 리눅스 쪽에서 MS 상대로 쌍욕을 하고 그러길래.
뭔가 UEFI 재조사들과 MS가 야합을 해서 수정할 수 없는 공간에 windows 부트로더를 위한 인증서만 넣어서 판매하게 되는 그런 기술인줄 알았는데..
그냥 인증서를 개인적으로 삽입할 수 있다는게 의아해서요.
전 비 MS 계열 운영체제들이 시큐어 부트를 구현한는게 뭔가 취약점을 뚫어네거나 MS 부트로더는 까서 만든 트윅같은걸 써서 하거나 그럴 거라고 생각했엇거든요.. 원래 이런식 이였나요??
애초에 인텔을 중심으로 하드웨어 제조사들이 만든 규약인데 PC쪽에서 본격적으로 적용이 시작된게 윈8 발매 전후라서 "일딘 마소를 욕하고 본다"가 된겁니다.
리눅스나 오픈소스 OS진영 에서는 수많은 배포판에 일일이 인증서를 집어넣거나 그 인증서를 공인 기관에서 발행받아야 하는 걸로 인한 시간과 비용문제가 발생하니까 반대한겁니다.
리눅스 진영에서 반대한것은 리눅스 계열은 윈도우즈와 달리 설치하자 말자 사용할 수 있는 상태가 구축되지 않기 때문이라는 거고요..
그런데 그런식으로 작동하는것 이였다면 큰 의미가 있나요?
MS에서 배포사던 surface용 시큐어 부트 관리툴은 윈도우즈 하에서 관리자 권한만 주면 시큐어 부트 영역 백업도 하고 덮어 쓰기도 하던데.
개인적으로 인증서 만들어서 인증이 가능하다면 바이러스라던가가 부트로더를 오염시킨 다음에 지가 만든 인증서로 서명해서 인증서 까지 심어버리면 그만인게 아닌가 해서요.
부트로더에 접근할 수 있는 수준의 권리를 획득했다면.. 그것도 될것 같은데...
다만 관리자 권한도 없이 털리거나 변조된 OS로 감염되는건 어느 정도 막아준다고 생각해야 될 겁니다.
리눅스 쪽은 추가적인 절차로 인해서 접근성이 떨어진다는 문제도 있고, 과거에 나온 수많은 배포판들에 대해서 대응을 한다는게 현실적으로 불가능하다는 문제도 있었습니다.
더우기 윈도우를 기본 설치한 완제품 PC는 바이오스에서 시큐어부트를 끄지 못하는 경우도 많은데 이런데는 윈도우가 아니면 레드햇이나 우분투 말고는 바로 설치가 안되니까 OS선택권이 제한되는 셈이니까 반발이 심했습니다.
결과적으로 마소가 만든건 아니지만 윈8에서 지원하면서 시큐어부트가 기본 활성화되다 보니 마소가 죽일넘, 레드햇이 배신자가 되버렸죠.
전 처음엔 아예 수정 불가능 으로 기획했다가
반대가 너무 심해서 후퇴해서 이렇게 된건가 하고 생각했거든요..