Linux na maszynie z „bezpiecznym startem”? Nie tak prędko…

Brak możliwości instalacji i uruchomienia innego, niż Windows 8 systemu, na maszynach z UEFI Secure Boot powoduje ból różnych części ciała, przednich lub tylnych, u wielu osób. Jednym przeszkadza, że nie zainstalują sobie ulubionej dystrybucji Linuksa obok systemu Microsoftu, innych mierzi uczucie, że ich wolność jest ograniczana, nawet jeśli po pingwinka czy BSD nigdy nie sięgną. Do tego dokłada się obawa środowisk związanych z systemami otwartoźródłowymi, że zupełnie stracą one popularność, bo pani Ania nie będzie w stanie uruchomić sobie LiveCD z Ubuntu. Skończy się sprawdzanie alternatyw, skończą się płytki ratunkowe (GParted!), przestanie przybywać użytkowników. Dystrybucje przeznaczone do używania na desktopach zwiędną i uschną.

The Linux Foundation zaproponowała rozwiązanie tego „problemu” — kupi od Microsoftu odpowiedni klucz i podpisze nim wstępny bootloader, nad którym pracuje, a następnie narzędzie udostępni na swojej stronie. Każda dystrybucja będzie mogła z niego skorzystać. Tylko że nadal go tam nie ma i raczej prędko się nie pojawi. Jeśli więc ktoś w liście do Świętego Mikołaja wspomniał o nowym laptopie, na którym będzie chciał używać systemu z pingwinkiem, może już zacząć pisać notę korygującą…

W zasadzie wszystko jest zrobione i posprzątane. Fundacja ma w kieszeni podpisany już kontrakt z Microsoftem i działający bootloader w repozytorium. Czemu więc nie jest on jeszcze dostępny?

Trochę światła na sprawę rzucił James Bottomley, CTO firmy Parallels i aktywny deweloper jądra. Okazuje się, że przedziwne rzeczy dzieją się w systemie odpowiedzialnym za podpisywanie aplikacji przeznaczonych dla maszyn z Secure Boot. Założenie konta nie było wcale proste, a na „dzień dobry” musiał wyposażyć się w maszynę wirtualną z Windowsem, gdyż aby wysłać plik CAB zawierający skompilowany program musiał skorzystać z Silverlighta (ze wszystkimi wcześniejszymi krokami, łącznie z podpisaniem pliku Cabinet kluczem przydzielonym przez Verisign, poradził sobie z użyciem narzędzi linuksowych). Ale tego akurat można było się spodziewać i nie jest to przeszkoda nie do pokonania dla upartego dewelopera.

Pierwszy raz po wysłaniu tam aplikacji do podpisania… nic się nie stało — CAB utknął. Wsparcie techniczne nie okazało się pomocne, kontakt się urwał po wyjaśnieniu, że nie jest to 32-bitowa aplikacja dla Windows, a 64-bitowa dla UEFI. Za drugim razem Bottomley otrzymał opatrzony kluczem program, który nawet spełniał swoje zadanie. Radość nie trwała długo, bo pracownicy Microsoftu uprzedzili go, że podpis jest niepoprawny i potrzebują czasu na rozwiązanie tego problemu. I rzeczywiście — klucz przydzielony w procesie nie należał do TFL, a do puli kluczy ogólnych. Bottomley w ogóle nie powinien uzyskać do niego dostępu, gdyż nie jest przywiązany do żadnego podmiotu i nie da się go wycofać. Na razie wsparcie techniczne milczy.

Ile przyjdzie nam czekać na ten malutki komponent otwierający przed Linuksem świat nowiutkich komputerów nikt nie potrafi powiedzieć. Bottomley spodziewa się, że będzie to kilka dni. Inni mają nadzieję, że uda się przed końcem roku. Jestem przekonana, że to nie koniec przygód CTO Parallels z Microsoftem.