UEFI Secure Boot Saga – Blinder Alarm im Gummiboot

Das Secure-Boot-Thema erregt nach wie vor die Gemüter und taucht im Netz irgend eine neue Information auf, kocht auch die Diskussion wieder hoch. Auf jeden Fall herrscht nach wie vor ein reges Interesse an der Frage, was die wichtigen Distributionen in dieser Angelegenheit planen. Die Standpunkte, bzw. Beschlüsse zum Thema von Fedora, bzw. Red Hat und Canonical sind inzwischen bekannt und hinreichend diskutiert, auch die Tatsache, dass Linus Torvalds die ganze Geschichte gewohnt gelassen sieht. Auch wir haben das Thema hier schöpfend behandelt. Da Red Hats Beschluss, mit einem Microsoft signierten Mini-Bootloader arbeiten zu wollen amtlich zu sein scheint, stürzte sich die Blog- und Nachrichten-Szene heute Morgen auf die von einem bekannten Online-Nachrichtenkanal verbreitete Meldung, Red Hat habe unter der Bezeichnung „Gummiboot“ bereits einer erste Version des geplanten Mini-Bootloaders fertiggestellt. Dem ist aber nicht so.

Nette Geschichte

Konkret ging es um die Meldung, die Red Hat-Entwickler Kay Sievers und Harald Hoyer hätten eine erste Version des von Red Hat geplanten Microsoft-signierten Bootloaders fertig, der Linux auf UEFI-Systemen starten können soll, wie von Matthew Garret ursprünglich vorgeschlagen. Das Gummiboot existiert auch und schaust Du Dir die Beschreibung an, ist tatsächlich nicht auf dem ersten Blick klar, dass es hier nicht um die offiziell von Red Hat abgenickte Lösung eines Microsoft-signierten Mini-Bootloaders geht. Von daher kann man auch niemanden einen Vorwurf machen, das Gummiboot mit der geplanten Red Hat-Lösung in Verbindung zu bringen. Der Bezug ist ja auch durchaus da. Worin der eigentliche Zweck des Gummiboots tatsächlich besteht wurde indes erst klar, als Harald Hoyer die auf Heise Online verbreitete Nachricht richtig stellen ließ. Toll finde ich übrigens, dass Heise Online die Korrektur mit nur 90 minütiger Verzögerung online stellte. Ich würde darauf auch gar nicht herumreiten – für „Fehler“ dieser Art kann niemand was, am allerwenigsten Heise Online, denn die Produktbeschreibung von Gummiboot ist wirklich dürftig und beim gewählten Sub-Titel drängt sich der von Heise Online hergestellt Bezug geradezu auf – aber ohne Hoyers Intervention könnte ich jetzt nicht erzählen, was der Zweck des Gummibootes ist.

Voila

Der Gummiboot-Bootloader. (Quelle: http://freedesktop.org)

Der Gummiboot-Bootloader ist laut Hoyer und Sievers lediglich eine Referenzimplementierung für ein neues Konfigurationsdatei-Layout, das dazu dienen soll, ein gemeinsames Verzeichnis für die Bootkonfigurationen aller Linux-Systeme zur Verfügung stellen zu können, damit sich mehrere parallel installierte Distributionen beim Booten nicht in die Quere kommen. Gummiboot soll  installierte Kernel automatisch finden und einen anderen Bootloader nachladen können, wobei Gummiboot gefundene Kernel, bzw. einen installierten Grub in einem einfachen Menü zur Auswahl anbietet und für die weitergehende Konfiguration einfache Textdateien benutzt. Diese müssen zusammen mit Kernel und Initrd-Dateien in der EFI System Partition liegen.

Streitbar

Ich bin gespannt wie es weitergeht mit Linux und UEFI. Hierin stimme ich übrigens mit Jürgens Meinung überein, den Ansatz von Red Hat sympathischer zu finden, als den von Canonical geplanten Alleingang. Dass Red Hat dezent darauf hingewiesen hat, man hätte auch seine Kontakte zu den Hardwareherstellen für einen Red-Hat-signierten Bootloader nutzen können, dies aber im Interesse einer gemeinschaftlichen Lösung unterlassen, kann natürlich auch anders verstanden werden. Aber Spekulieren hilft hier nicht weiter.

Im Übrigen scheint es mir, dass die verschiedenen Interessengruppen in Sachen Secure-Boot ein paar Dinge durcheinander bringen. Offenbar scheint es des Einen nur darum zu gehen, eine Lösung für die Installierbarkeit von Linux auf UEFI-Boards zu finden, während Andere der Idee von Microsoft durchaus einen Sinn abringen, denn es geht ja nicht darum, dass Entwickler Secure Boot abschalten  können, sondern um eine sichere Bootkette nebst Gewährleistung der Integrität von Kernel und Modulen. Hier besteht offenbar auch ein deutlicher Unterschied im Pragmatismus, wie in Ubuntu versteht und der relativ gelassenen Haltung von Linus. Der hat ja auch nur gesagt, dass Secure Boot nicht den Weltuntergang darstellt und er Garrets Ansatz nachvollziehbar findet. Und dann wäre dann noch eine dritte Gruppe, die alles „böse“ findet, was Microsoft tut. Doch mal im Ernst. Es geht um rund 100 Dollar pro Hersteller, pro Bootloader, die noch nicht einmal an Microsoft, sondern an VeriSign gehen.