¿Qué son los archivos seguros de arranque y cuña? Explicar a los usuarios de Linux

Si es un usuario de Linux, puede encontrarse enredado en los problemas de inicio al instalar su distribución favorita, especialmente si «Boot Safe» en la imagen.

Secure Boot está diseñado para agregar una capa adicional de protección a nuestro sistema para evitar que el software no verificado se ejecute bajo el arranque. Suena como una victoria, ¿verdad?

Bueno, ese no es siempre el caso. Para los usuarios de Linux, Secure Boot a menudo se siente más como una molestia que como ayuda, causando problemas, fallas de instalación y dolores de cabeza problemáticos.

Tome el fiasco de lanzamiento de Ubuntu 21.04 como ejemplo, donde el último archivo de Shim (un proceso para habilitar Secure Boot en Linux) tiene problemas de compatibilidad con el firmware EFI anterior, lo que hace que los sistemas de algunos usuarios se vuelvan impotibles después de una actualización.

Ubuntu finalmente lanzó una solución, pero no se lanzó antes de que muchos usuarios se encontraran solucionando o incluso degradando a las cuñas más antiguas, solo para comenzar su sistema.

Pero, ¿qué es exactamente un arranque seguro, cómo funciona el archivo de cuña y cuándo debe considerar deshabilitarlo?

En esta guía, desglosaré el arranque seguro en términos simples y explicaré cómo afecta la instalación de Linux, incluida lo que puede hacer si se interpone en el camino.

¿Qué es el arranque seguro?

Imagine su computadora como un castillo, con un poderoso guardián que verifica la identificación de cualquiera que intente ingresar.

Bota de seguridad Al igual que ese Gatekeeper, asegúrese de que solo los programas de seguridad de confianza puedan ejecutarse durante las etapas iniciales de iniciar la computadora (también conocido como el proceso de inicio).

Secure Boot es un estándar de seguridad desarrollado para garantizar que su computadora esté protegida del malware que puede comenzar a hacer cosas dañinas incluso antes de que el sistema operativo (SO) esté completamente cargado.

Esta es la llamada parte Interfaz de firmware extensible unificada (UEFI)reemplazando el sistema BIOS anterior. UEFI es una forma moderna para que su computadora se inicie y verifique todo como se esperaba.

Cuando Secure Boot está activado, su computadora solo cargará el software/sistema operativo y tendrá una firma especial o «sello» aprobado.

Si algo sin esta firma intenta cargarse, Secure Boot lo bloqueará, protegiendo así a su computadora del daño potencial.

¿Cómo funciona Secure Boot?

Uso seguro de la bota Cadena de confianza Use diferentes tipos de claves de cifrado (piense en ellas como tarjetas de identificación digital) para verificar cada paso del proceso de arranque. Este es un mal funcionamiento simple:

Clave de plataforma (PK): Esto es como una clave maestra, generalmente sostenida por los fabricantes de dispositivos (como Dell, HP, etc.). Esta es la raíz del proceso de verificación.

Clave de intercambio de claves (Kek): Esta clave confirma si se pueden confiar en otras claves y actúa como un puente entre la tecla de plataforma y el cargador de arranque.

Bases de datos permitidas (DB): Contiene una lista de firmas aprobadas para el software que puede cargarse.

Desactivar la base de datos (DBX): Almacena la firma de programas conocidos e inseguros. Si algo intenta cargarse de esta lista, proteja el bloque de inicio.

Durante el inicio, el arranque de forma segura verifica cada programa que intente cargarse en estas claves y bases de datos. Solo los programas con claves válidas y de firma pueden ejecutarse, asegurando que su sistema permanezca seguro.

¿Qué es un archivo de junta?

Ahora, supongamos que está intentando ejecutar Linux en una máquina de arranque segura. Linux no siempre tiene la misma firma preaprobada que Windows Juntas Los documentos entran.

uno Juntas Es un programa pequeño, al igual que la traducción entre el arranque seguro y el sistema operativo Linux. La firma de un archivo de cuña utiliza una clave reconocida por la clave (generalmente reconocida por Microsoft), por lo que se puede cargar.

La cuña luego verifica la firma del cargador de arranque de Linux (como grub) y le pasa control a todo lo que se revisan.

Este proceso crea una «cadena de confianza» desde el arranque seguro hasta Linux, por lo que el sistema operativo se puede cargar de forma segura incluso en sistemas de arranque seguros.

Esto también funciona para BSD y otros sistemas operativos que no son de Windows.

¿Por qué es importante el arranque seguro?

Las botas de seguridad son cruciales porque puede defenderse de uno de los malware más peligrosos: Kit de arranque y RootKit.

Estos son programas maliciosos que intentan esconderse en el proceso de inicio para que puedan ejecutarse antes de que el sistema operativo esté completamente en funcionamiento. Pueden ser difíciles de detectar y aún más difíciles de eliminar.

Use el arranque seguro:

• Bota y raíz Carga de bloques por verificación de firma.
• Procedimientos manipulados o no autorizados Evite la influencia del proceso de arranque.
• Se recuerda a los usuarios Si algo sale mal, entonces pueden resolver problemas potenciales antes de que se vuelvan serios.

¿Cuándo puedo necesitar deshabilitar el arranque seguro?

El arranque seguro es excelente para la seguridad, pero a veces puede causar problemas:

• Instalar un sistema operativo sin firmar: Algunos sistemas operativos, especialmente algunas distribuciones de Linux, pueden no tener la firma requerida para pasar una verificación segura de arranque. Si su sistema operativo aún no se reconoce, Secure Boot evitará que se cargue.
• Use un controlador o gestor de arranque personalizado: Algunos controladores o cargadores de arranque no pueden estar firmados, lo que puede causar problemas de compatibilidad.
• Configuración avanzada: Para los usuarios avanzados que desean personalizar el sistema, las restricciones en el arranque seguro pueden ser limitadas. Deshabilitarlo puede mejorar la flexibilidad, especialmente en los entornos de desarrollo o de desarrollo.

Sin embargo, apagar el arranque seguro también puede eliminar la capa adicional de seguridad, por lo que debe hacerse con cuidado.

¿Qué distribuciones admiten arranque seguro?

Aunque Secure Boot presenta desafíos de compatibilidad para Linux, muchas distribuciones populares se adaptan a la colaboración suave con él.

Estas distribuciones incluyen cargadores de arranque firmados y archivos binarios de cuhería, lo que les permite ejecutarse sin problemas en sistemas seguros habilitados para arranque.

Ahora, la mayoría de las principales distribuciones de Linux admiten arranque seguro. Al menos puedo pensar en estos:

• Ubuntu
• Fedora
• OpenSuse/Suse
• Zorín
• Menta Linux
• Debian
• Sombrero rojo

No todas las distribuciones proporcionan soporte de arranque seguro, por lo que si planea habilitar el arranque seguro, vale la pena verificarlo antes de instalarlo.

Para las distribuciones que no admiten directamente el arranque seguro, aún puede deshabilitarlo en la configuración de su BIOS o agregar manualmente un cargador de arranque de confianza, aunque requiere algunos conocimientos técnicos.

Cómo deshabilitar el arranque seguro (y por qué tener cuidado)

Si decide que necesita deshabilitar Secure Boot, consulte la siguiente guía simple:

1. Reinicie su computadora e ingrese la configuración de UEFI/BIOS (esto generalmente implica presionar la tecla F2,,,,, F10o DEL durante el inicio).
2. Encuentra opciones de arranque seguras: En Configuración, busque «arranque seguro» en Opciones de seguridad o arranque.
3. Deshabilitar el arranque seguro: Configurarlo para deshabilitar. Asegúrese de guardar los cambios y salir.

Cómo deshabilitar el arranque seguro de UEFI en Windows

Seguro Boot puede no permitirle arrancar desde un USB de arranque. Tutoriales simples que usan capturas de pantalla y aprenden a desactivar UEFI Secure Boot en Windows.

El pensamiento final

Hay una buena razón por la cual el discurso sobre las botas de seguridad está polarizada.

Si bien está diseñado para mejorar la seguridad del sistema, las restricciones a menudo se imponen a los usuarios de Linux, especialmente dependiendo de los controladores patentados o utilizando una distribución menos convencional.

La demanda de juntas firmadas de Microsoft ha planteado preocupaciones efectivas sobre el bloqueo y la compatibilidad del proveedor.

En mi experiencia, especialmente con tarjetas gráficas dedicadas en las computadoras portátiles de juegos, es casi necesario mantener un arranque seguro.

¡Después de que Secure Boot esté habilitado, ya que estoy en POP! Según lo presenciado en el sistema operativo, los conductores propietarios a menudo fallan. Este es mi compromiso de elegir la compatibilidad, aunque no tiene que hacerlo.

Este artículo es para aquellos interesados ​​en aprender sobre las peculiaridades de las botas de seguridad y por qué su distribución favorita puede no lanzarse sin problemas.

El debate es sutil: ¿es esta una capa de seguridad importante para los usuarios de Linux o un obstáculo innecesario? ¡Me encantaría escuchar su posición sobre este discurso y avisarme en los comentarios!