Можно ли обновить мой BIOS на UEFI? Не совсем. UEFI нельзя прошить вместо BIOS, поскольку он занимает гораздо больше памяти. Но существует такая штука, как DUET. Это загружаемая из BIOS посредством отдельного загрузочного раздела среда UEFI, которая может быть полезна, если вы собираетесь использовать диски объемом >2Тб на своем старом железе с BIOS. Подробнее можно ознакомиться здесь: http://www.rodsbooks.com/bios2uefi/
Здесь за гибкую настройку приоритета загрузки отвечает целый модуль CSM
Что такое GPT? GUID Partition Table, GPT — стандарт формата размещения таблиц разделов на жестком диске. Он является частью интерфейса EFI. EFI использует GPT там, где BIOS использует MBR.
Где в GPT хранятся аналоги загрузочных секторов? EFI использует для хранения загрузчиков папку EFI/boot, находящуюся в корне раздела FAT32. По умолчанию должен загружаться файл /EFI/boot/bootx64.efi Если загружаемый диск размечен в стиле MBR, то наличие файловой системы FAT32 на первом разделе (если их несколько) и файла с загрузчиком, лежащего по дефолтному пути, являются единственными условиями загрузки с этого носителя (CD/DVD тоже поддерживаются). В случае, если диск размечен в стиле GPT, раздел необязательно должен быть первым, но у него должен присутствовать флаг boot (проверить и выставить можно через gparted)
Возможно ли сконвертировать диск из MBR в GPT и обратно без потери данных? Да. Для этого потребуется загрузочный диск/флешка с Gparted http://gparted.sourceforge.net/download.php После загрузки с загрузочного носителя откроется окно gparted, в котором в верхнем правом углу будет отображен рабочий диск (обычно это /dev/sda). Необходимо запомнить имя диска, который вы хотите сконвертировать, открыть терминал, и набрать там sudo gdisk /dev/sda где вместо sda, при необходимости, нужно подставить имя вашего диска. Затем нужно ввести команду w и подтвердить запись таблицы GPT на диск. Все, диск преобразован в таблицу GPT. Для обратной конвертации в MBR необходимо таким же образом открыть gdisk для вашего диска, и последовательно набрать команду r, затем g, после чего подтвердить запись новой таблицы при помощи команды w. Так же в среде Windows вам поможет программа Partition Guru либо аналоги.
режим загрузки legacy или UEFI hybrid или UEFI native для windows 8.1
Я собираюсь переустановить свою ОС. На этот раз я собираюсь установить Windows 8.1 вместо Windows 7.
теперь я пришел в что-то новое (для меня) есть другой режим загрузки в моем ноутбуке вариант загрузки
Я немного изучил UEFI до сих пор путают.
может любое одно сказать Мне который режим использует для лучшего производительность и стабильность? с небольшим, почему?
2 ответов
Если вы не используете розничный DVD просто используйте Руфус чтобы создать установщик USB с поддержкой UEFI, загрузите систему в собственном режиме UEFI и установите как обычно.
прочитав о глючных гибридных реализациях UEFI (таких как Gigabyte например), я бы не советовал.
обратите внимание, что поскольку Windows в режиме UEFI может загружаться только с GPT разделенный диск, если системный диск предварительно разбитые на разделы как MBR тогда вы столкнетесь с проблемами. Для достижения наилучших результатов я бы рекомендовал пустой диск (вы можете удалить существующие разделы, используя саму установку Windows), чтобы Windows могла использовать GPT и создавать необходимые WinRE,ESP и MSR разделы, как я уже упоминал здесь.
UEFI для безопасности, а не стабильности. Для обновления до Windows 10 может потребоваться использовать режим загрузки UEFI в соответствии с BetaNews и Paul Thurrott (предварительные версии могут поддерживать устаревший режим BIOS). Таким образом, для текущей безопасности и будущего upgradability, включить UEFI.
тем не менее, может потребоваться использовать устаревший режим для установки ОС с помощью любого носителя. Если это так, попробуйте включить UEFI впоследствии. Проверьте сайт производителя вашего ПК для получения информации о доступе к BIOS и включении UEFI или legacy режимы.
В то время, как сам процесс установки у подготовленного пользователя не вызывает особых трудностей, процесс подготовки загрузочного устройства и выбор режимов установки может вызывать вопросы. Хотя бы в части понимания разницы между режимами установки на различные типы таблиц: MBR или GPT. Вскроем некоторые подробности процесса как правильно установить Windows. Статья будет разделяться по такому принципу:
Если теория вас не интересует, переходите сразу к установке.
С некоторых пор именно режим UEFI рекомендуется для установки операционной системы, так как он обладает более расширенными настройками безопасности, нежели Legacy. Однако обычного пользователя прежде всего интересуют другие аспекты двух режимов, которые можно было бы сравнить. Сюда относим:
Итак, весь «сыр-бор» вопроса «какая между ними разница?…» заключается в том, каким образом в процессе загрузки системы обнаруживается сама цель загрузки. И в указанных выше пунктах сравнения можно вычленить и сами «плюсы» и «минусы» обоих режимов. Но сначала о процессе загрузки Windows в них обоих. Из описания уже можно сделать определённые выводы.
Загрузка Windows в режиме Legacy
Запускается программное обеспечение BIOS из чипа CMOS. Это ПО поддерживает распознавание списка установленных устройств, которые могут выступать в роли загрузчика: традиционные флопик, CD/DVD привод и диск. Они перечисляются в установленном порядке. По окончанию POST-процедуры в память загружается первый сектор каждого из потенциальных устройств хранения. И тут же начинается сканирование работоспособной записи MBR. Если такой обнаружен, управление загрузкой передаётся уже коду загрузчика самой MBR. У пользователя появляется возможность выбрать раздел, откуда начнётся загрузка. Если же на первом устройстве «валидная» MBR не найдена, BIOS сканирует второе устройство, третье и т.д. Результатом череды неудач по поиску MBR является пресловутая ошибка
Загрузка Windows в режиме UEFI
Запускается программное обеспечение UEFI, которое поддерживает распознавание списка «валидных» загрузочных томов, которые некоторым пронырливым пользователям известны как EFI Service Partitions.
На устройства ему наплевать, UEFI интересуют именно «особые» разделы с работоспособной GPT-таблицей. GPT не содержит в себе начальный загрузчик (boot loader), как это делает MBR. Всю работу на себя берут специальные драйверы EFI. И, если раздел найден, система сразу начинает себя загружать. Если нет, UEFI может переключиться на метод Legacy, в котором принцип загрузки изменится на вам уже знакомый (см. раздел Установка Windows в режиме UEFI). Если и у Legacy ничего не вышло, мы снова сталкиваемся с
Теперь, когда принципы загрузки Windows в обоих режимах бегло рассмотрены, переходим к прямому сравнению.
Производительность
Legacy BIOS управляется исключительно постоянным запоминающим устройством ПЗУ (Read Only Memory), прошитым в чип CMOS и являющимся неизменяемой частью ПО связки BIOS-CMOS. Добавляете или меняете какие-то составляющие на компьютере? В некоторых случаях компьютер просто не запустится из-за возникающей несовместимости ПО BIOS и обновлённого компонента. Таким образом, появляется необходимость в перепрошивке чипа CMOS (и далеко не только после замены такого важнейшего компонента, как процессор, например). Это, впрочем, уже «языковая» проблема Legacy-варианта (см. ниже). Кроме того, разницу между UEFI и Legace нужно рассматривать именно в части разницы между двумя типами таблиц: MBR и GPT.
Программное обеспечение UEFI частично решило эту проблему за счёт внедрения в процесс загрузки драйверов, которые теперь отвечают за корректность запуска ОС вместо ROM. Кроме этого, у драйверов нет того, чем всегда «страдала» BIOS — ограничение памяти. Этим отчасти также решается гораздо более расширенная совместимость с «железом» компьютера. Но дальше — лучше: раз это драйверы, значит и пишутся они уникально (а именно «универсальность» BIOS иногда играет плохую шутку с пользователями). В конце концов такие драйверы легко записываются и устанавливаются с обычного диска/флешки, как и привычные драйвера для остальных устройств. Что в итоге? В режиме Legacy прошитое в BIOS ПО «рулит» загрузкой в пределах установленных (а может быть очень-очень давно) норм. В итоге загрузка системы идёт так, как нужно BIOS. У UEFI же процесс загрузки более адаптирован к конкретной сборке и системе: CMOS прислушивается к особенностям ОС, шансов на загрузку системы и стабильность в работе гораздо больше.
Скорость загрузки
Несмотря на кажущуюся сложность в режиме загрузки драйверов в UEFI по сравнению со строгой программой BIOS, загрузка из UEFI на современных процессорах происходит гораздо быстрее. При этом на чипсетах старого образца с меньшими показателями по скорости и объёмам кэша преимущества UEFI не были бы заметны. Но об этом уже не узнает никто: напомню, технология получила широкое распространение с десяток лет назад, и на старых платах поддержки UEFI не существует.
С против Ассемблера
Здесь всё немного сложнее именно для конечного пользователя, но в конце концов опять же всё упирается в преимущество UEFI. Этот пункт вбирает в итоге оба предыдущих. Написанная на языке С, EFI подразумевает дружелюбность и адаптивность не только для автора ПО производителя «железа». Не в пример иногда разрастающихся строк кода Ассемблера для Legacy. Legacy-тип программ (т.е. унаследованный тип ПО) всегда был ограничен тем, что обновление программы невозможно без обновления оборудования.
Что будет носителем файлов установки?
Для начала определитесь с носителем, с которого вы будете Windows устанавливать. Склонять в какую-либо сторону вас не стану, у всех вариантов есть плюсы и минусы. Я лично для себя навсегда уяснил, что:
Развивать эту тему подробнее смысла не вижу, а потому приступаем к установке. Однако перед процессом вам может пригодиться информация о том, как узнать в каком виде существующий носитель к установке подготовлен. То есть, если флешка уже на руках, Legacy она или UEFI? Вариантов для этого несколько, самый быстрый — из PowerShell:
Смотрим на вывод терминала PS в части Parttition Style. GPT — это UEFI-загрузка, MBR — Legacy.
А моя материнская плата поддерживает UEFI?
Последние версии материнских плат так и делают (до 2012 г. UEFI не существовало). Однако формулировка «последние версии», согласитесь, расплывчата. Точно вам скажет сама BIOS/UEFI при запуске компьютера и нажатию на клавишу Delete (или в зоне F-клавиш). Однако об этом можно узнать прямо из установленной на диске Windows. Лучший способ это обнаружить — воспользоваться программой-бенчмарком (типа HWiNFO соответствующей версии Windows) и проверить поддержку UEFI в части Motherboard слева:
поддержка UEFI есть
поддержки UEFI нет
И пусть вас не сбивает с толку одно только присутствие папки EFI по адресу:
C:\Windows\Boot
Она есть у всех последних версий Windows. Так что проясните вопрос сразу, чтобы при попытке установить Windows в режиме UEFI вас не встретило обескураживающее (см. абзац с установкой Windows в режиме UEFI):
Подробнее о способах выявления поддержки режимов загрузки Windows в статьях:
Поддерживает ли плата режим UEFI?
Как установить Windows в режиме UEFI?
Установить Windows любом из указанных режимов на момент написания может даже ребёнок, сам процесс упрощён донельзя. Нам понадобятся лишь:
Далее. Выбрав режим, вы «соглашаетесь» с тем, что:
Перед тем, как приступить к подготовке указанным способом, убедитесь, что версия вашей материнской платы вообще поддерживает режим UEFI. Если всё в порядке, и выбранном варианте вы уверены, продолжаем. Для дальнейшей работы закрываем фоновые программы и готовим флешку для принятия файлов установки с образа. Это может сделать сама утилита Rufus. Так что…
Для самой установки Windows необходимо либо выставить загрузку с флешки в BIOS либо после включения компьютера/ноутбука «поймать» меню выбора загрузочного устройства (Boot Pop Up Menu). Последнее на разных материнских платах появляется по-разному:
Минусы варианта
Даже созданный волне официальным способом носитель вероятно наткнётся на застывший экран с надписью
Starting Windows
Впрочем, некоторые из манипуляций в BIOS помогут исправить ситуацию с установкой Windows с созданной нами флешки в режиме UEFI. Так, идеальным вариантом был бы тот, что включает обоюдную поддержку (UEFI и Legacy):
Как установить Windows в режиме Legacy?
Условия создания флешки те же, что и в предыдущем варианте. Только теперь окно Rufus до записи на флешку в части некоторых настроек выглядит так:
Выбрав режим, вы «соглашаетесь» с тем, что:
Более подробное (хотя процесс прост) описание — в содержании статьи Загрузочная флешка с Windows от Rufus. Там, на примере немного устаревшей версии утилиты всё расставлено по полочкам. Процесс выбора готовой уже флешки при установке Windows на компьютер также схож с аналогичным из предыдущего абзаца:
Как установить Windows 10 в двойном режиме UEFI+Legacy BIOS?
Если компьютеров несколько, то «заточенную» под определённый формат установки Windows флешку таскать — не вариант. И способ создания «интернациональной» флешки также возможен. Однако Rufus от релиза к релизу своей утилиты его прячет за сочетанием клавиш “Alt + E“. Запустите Rufus, и в единственном окне зажмите одновременно Alt + E клавиши. Символ E — латинский, но переводить клавиатуру в английскую раскладку не нужно. Rufus поймёт что вы собрались сделать. В нижней части окна утилиты в части « Обнаружено устройств: » на пару секунд промелькнёт фраза Двойной UEFI/BIOS режим включено :
То же сочетание вернёт всё на свои места. А в нашем случае следует учесть, что теперь:
Кроме всего прочего, Rufus способна создавать два NTFS-раздела с целью хранить на носителе файлы размером 4 Гб, которые FAT и FAT32 не воспринимают в принципе.
Проблемы с подготовкой носителя
Разрабы Rufus редко подстерегают (форматирование флешки часто все проблемы забирает с собой), но всё же стоит проверить некоторые из параметров:
Не так давно приходилось разбираться с тем, что такое UEFI и с чем же его едят. Тема весьма актуальна, а статей на русском языке не очень много. Что же, постараюсь исправить ситуацию и поделиться информацией, кою удалось «нарыть». Для начала, вводная глава для ознакомления с тем, что же такое UEFI и зачем оно нужно.
UEFI (Unified Extensible Firmware Interface) является связующей оболочкой между операционной системой и аппаратной частью (железом). В будущем планируется, что UEFI полностью вытеснит BIOS (Basic Input Output System) и займет его место. UEFI является относительно старой технологией, разработанной в 2005 (Unified EFI Forum) году. Однако, сие высказывание некорректно относительно данной ситуации, так как несмотря на то, что 8 лет довольно большой срок для IT-технологии и в иных сферах за эти годы успевали сменить сразу по нескольку технологий, UEFI изначально развивался довольно медленно и лишь в последние годы стал получать все большую известность. Ниже вы можете ознакомиться с графиком релизов UEFI.
Первоочередной целью при создании UEFI была разработка удобной и многогранной оболочки для 64-х битных систем с более развитым пользовательским интерфейсом и сетевым контролем. И так, какими же преимуществами обладает UEFI?
Преимущества и просто интересные факты о UEFI
Мне кажется, что все выгоды и преимущества перехода с BIOS на UEFI откроются перед пользователями и разработчиками лишь при массовом внедрении оболочки и полным отказом от BIOS. Однако, уже сейчас можно перечислить несколько очевидных преимуществ UEFI:
1) В связи с веянием последних трендов, все больше ПК имеют 64-х битную ОС, что позволяет увеличить производительность. 2) Второй немаловажный пункт – это адресация памяти. Замечательная возможность использовать большее количество RAM-а и размера винчестера. Теоритически максимальный размер жесткого диска может достигать 8192Exybyte-а, что составляет примерно 8.8 (о да! О_о) триллионов терабайт, что даже при нынешних объёмах трансфера информации является весьма впечатляющей цифрой, особенно если учесть, что размер архива всего интернета составляет 10 петабайт. Что же касается оперативной памяти – здесь так же наблюдаются радужные перспективы с возможностью адресации до 16Exybyte-ов, что при нынешней ситуации на рынке (новые ПК как правило имеют от 8 до 16 гигабайт оперативной памяти) является бааальшушим заделом на будущее. Ссылка на интересные факты связынае с наглядным примером того, много это или мало. 3) Более быстрая загрузка система, достигаемая за счёт параллельной инициализации отдельных компонентов системы. 4) Загрузка драйверов в UEFI и последующая передача оных в распоряжение ОС. 5) Одна из важнейших и наиболее критичных особенностей UEFI является Secure Boot Option, коя позволяет защитить Bootloader от исполнения вредоносных программ, что в свою очередь позволяет защитить ОС за её же пределами во время загрузки. Для этого используются «цифровые» подписи операционных систем.
UEFI Начало
Как показано на следующей картинке старт UEFI разбивается на несколько различных модулей и этапов, кои в свою очередь разделяются на дальнейшие подпункты.
Начинается все с Power On фазы (кто бы мог подумать) в которой исполняется Power On Self Test и проскакивает Security phase. После чего можно считать, что платформа инициализирована, при этом нельзя забывать и о фазе PEI (Pre-Инициализация EFI), а так же DXE (Driver Execution Environment) фазе, что позволяет системе добраться до пункта когда становиться доступна память, а так же начинается (Firmware) поиск Boot-устройства. В BDS (Boot Device Selection) фазе происходит поиск устройство с коего может быть осуществлен boot, при это может быть использовано стороннее устройство или UEFI-Shell. При старте системы происходит передача уже инициализированных и загруженных драйверов в распоряжение ОС, дабы сократить время загрузки оной.
И так это была вступительная часть рассказа о UEFI. В следующей главе будут рассмотрены отдельные фазы более детально: POWER ON, SECURITY (SEC), PRE-EFI Initialisation (PEI), DRIVER EXECUTION ENVIRONMENT и BOOT DEV SELECT (BDS)
UEFI: долгожданный наследник BIOS и заклятый друг Linux
Разработанная свыше тридцати лет назад для персональных компьютеров IBM PC, система BIOS (или «базовая система ввода-вывода») уже лет пятнадцать как считается реликтом древней эпохи. Жизнь, однако, распорядилась так, что подходящих альтернатив не находилось очень долго. Лишь теперь сложились подходящие обстоятельства и, соответственно, пошли разговоры, что BIOS наконец-то начинает сдавать свои доминирующие позиции.
На ее место приходит система UEFI, комплекс спецификаций, появившийся как «загрузочная инициатива Интел» (Intel Boot Initiative) в далеком уже 1998 году. Причиной рождения инициативы послужило то, что ограничения, обусловленные BIOS, стали ощутимо тормозить прогресс вычислительных систем на основе новейших в ту пору интеловских процессоров Itanium. Несколько позже эта же инициатива стала называться EFI, а в 2005 году корпорация подарила свою разработку специально созданному под нее консорциуму UEFI Forum, главными членами которого стали — помимо Intel — такие зубры IT-индустрии, как AMD, Apple, IBM, Microsoft и ряд других.
Логотип UEFI уже сейчас можно встретить на упаковке материнских плат
Не самая благозвучная аббревиатура UEFI расшифровывается как Unified Extensible Firmware Interface и представляет собой весьма радикальное преобразование традиционной для компьютеров процедуры загрузки. Точнее, перемены настолько глубоки, что UEFI не имеет с системой PC BIOS практически ничего общего.
В то время как BIOS по сути своей является весьма жестким и фактически неизменным по содержанию кодом прошивки специального BIOS-чипа, система UEFI — скорее гибко программируемый интерфейс. А расположен этот интерфейс поверх всех аппаратных компонентов компьютера с их собственными прошивками-микрокодами. В отличие от загрузочного кода BIOS, который всегда жестко прошит в соответствующем чипе на системной плате, куда более обширные по размеру коды UEFI находятся в специальной директории /EFI/, место физического расположения которой может быть самым разнообразным — от микросхемы памяти на плате или раздела на жестком диске компьютера и до внешнего сетевого хранилища.
В результате столь гибкого подхода система UEFI становится чем-то вроде сильно облегченной, но вполне самостоятельной операционной системы. То есть, по сути дела, в компьютере сначала загружается система UEFI, под ее управлением выполняется произвольный набор нужных действий, а затем уже запускается загрузка собственно операционной системы (из этого, кстати, совершенно не следует, что процесс загрузки становится более длительным. Скорее даже наоборот, заранее гибко настроенная конфигурация системы способна грузиться ощутимо быстрее).
UEFI, что и говорить, по сравнению с классическими BIOS выглядит гораздо красивее и понятнее для нормальных людей
Еще более усиливая сходство с ОС, спецификации UEFI включают в себя не только загрузочные, тестовые и рабочие сервисы, но также протоколы коммуникаций, драйверы устройств (UEFI изначально разрабатывалась для работы вне зависимости от операционных систем), функциональные расширения и даже собственную EFI-оболочку, из-под которой можно запускать собственные EFI-приложения. А уже поверх всего этого хозяйства расположен собственно загрузчик, отвечающий за запуск на компьютере основной операционной системы (или нескольких систем).
Хотя UEFI иногда называют псевдо-ОС, она, тем не менее, способна сама получать доступ ко всему аппаратному обеспечению компьютера. То есть уже на уровне UEFI вполне возможно, к примеру, выходить в Интернет или организовывать резервное копирование жестких дисков, причем делать это все в условиях полноценного графического интерфейса под привычным мышиным управлением.
Тот факт, что все эти расширенные загрузочные данные хранятся во вместительной флеш-памяти или на жестком диске, попутно означает, что там же имеется намного больше пространства для таких вещей, как языковая локализация системы, развитая система диагностики на этапе загрузки, полезные утилиты (типа архивации, восстановления после сбоя, сканирования на вирусное заражение) и так далее.
Полностью построенная на основе программного кода, UEFI действительно стала объединенной кросс-платформенной системой. Уже сегодня спецификации UEFI предусмотрены в работе почти любой комбинации чипов с 32- и 64-битной архитектурой, выпускаемых AMD, Intel и многочисленными лицензиатами ARM. Единственное, что требуется для обеспечения этой универсальности, это скомпилировать исходный код под требования каждой конкретной платформы.
UEFI уже сейчас вовсю используется в топовых материнских платах крупных производителей, а к концу следующего года найти свежую модель с «просто BIOS» станет практически невозможно
Помимо внушительного множества расширяемых возможностей, реализуемых благодаря гибкому и продвинутому интерфейсу, система UEFI также определяет несколько стандартных особенностей, которые должны быть реализованы в работающем под ней компьютере. В частности, среди таких стандартно обеспечиваемых возможностей упоминаются «безопасная загрузка» (secure boot, о чем в подробностях далее), низкоуровневая криптография, сетевая аутентификация, универсальные графические драйверы и еще немало чего другого.
В принципе, в каждой из основных на сегодня операционных систем (Windows, OS X, Linux) уже имеется поддержка загрузки через UEFI. Но следует также отметить, что пока UEFI все еще является очень молодой системой и реально очень немногие ОС пользуются всеми ее преимуществами, перечисленными выше.
Linux определенно поддерживает UEFI, однако это скорее поверхностное знакомство, чем эффективное партнерство. Система Mac OS X продвинулась несколько дальше и отчасти использует UEFI со своим загрузочным менеджером Bootcamp. В линейке Microsoft реальная поддержка UEFI появится в Windows 8, и когда она будет запущена в 2012 году, эта операционная система, вероятно, станет первой из «главных» ОС, где будут весьма интенсивно задействованы преимущества UEFI, включая функции восстановления, обновления, безопасной загрузки и, вполне возможно, что-то еще.
Случилось так, что именно этот первый, действительно крупномасштабный проект Microsoft на основе UEFI породил и первую заметную проблему вокруг новой системы.
⇡#Мягкое выдавливание конкурентов
В сентябре компьютерное сообщество взбудоражила новость о том, что корпорация Microsoft станет требовать поддержки безопасной загрузки UEFI от систем, официально сертифицированных под Windows 8. Вроде бы ничего страшного, но такой подход может с очень большой вероятностью привести к полному блокированию загрузки ОС Linux на Windows-сертифицированных системах.
Кое-где угроза была воспринята настолько серьезно, что, например, в Австралии Linux-сообщество тут же запустило процедуру подачи официальной жалобы в ACCC, Австралийскую комиссию по честной конкуренции и правам потребителей.
Однако, как говорят сведущие в технических и юридических тонкостях специалисты, именно из этого разбирательства Microsoft практически наверняка сумеет выбраться без всяких проблем. Просто потому, что в описании процесса безопасной загрузки UEFI или, точнее, в словах о необходимости такого процесса корпорацией не упоминаются иные операционные системы. Суть проблемы, с которой сражается Microsoft (очень тщательно и аккуратно подбирая выражения), — это борьба с вредоносными кодами, а безопасная загрузка тем и хороша для работы Windows, что такой процесс перекрывает еще один опасный канал для проникновения вредоносных программ.
Есть ощущение, что с выходом Windows 8 увидеть на экране какой-то другой интерфейс станет посложнее. По крайней мере, для людей, не умеющих собирать компьютеры самостоятельно
Иначе говоря, в процессе обсуждения столь сложной и разветвленной системы, как UEFI, среди спорящих неизбежно возникает путаница относительно того, почему переход на более современную и, кажется, полезную технологию вызывает столь неоднозначную реакцию. Что же, давайте разберемся.
Начиналось все так. В конце сентября один из ведущих разработчиков дистрибутива Red Hat Мэтью Гаррет (Matthew Garrett) в своем блоге отметил, что, согласно новым правилам относительно присвоения машинам логотипа «Windows 8», все компьютеры, совместимые с этой ОС, должны будут иметь для загрузки уровень UEFI вместо устаревшего уровня BIOS.
Причем речь шла не просто о любом уровне спецификаций UEFI (реализованных в разных версиях достаточно давно), а конкретно о безопасном UEFI. Что означает более жесткий контроль за процессом загрузки системы. Конкретнее, это ужесточение означает то, что «все микрокоды прошивки и программное обеспечение, участвующее в процессе загрузки, должны быть криптографически подписаны доверяемым органом сертификации (CA)» — согласно слайдам презентации о загрузочном процессе UEFI в одном из официальных докладов Ари ван дер Ховена (Arie van der Hoeven), главного менеджера программ Microsoft (здесь, наверное, стоит привести и английскую версию названия этой почти непереводимой должности, Principal Program Manager Lead. — прим. редакции).
Судя по всему, коварство Microsoft всерьез потрясло Мэтью Гаррета, так что на всех новых фотографиях он выглядит одинаково удивленным
Ну, к словесным баталиям деятелям мира Linux не привыкать. Однако процедура оказывается чрезвычайно запутанной и трудозатратной — даже для линуксоида со стажем — сразу в двух аспектах: юридическом и практическом.
Во-первых, юридическая сторона. По свидетельству Гаррета, самый распространенный линуксовский загрузчик GRUB 2 лицензирован на условиях лицензии GPLv3. Это вроде бы может означать, что ключи должны быть предоставлены поставщиком вместе с исходным кодом программы. Однако в действительности это весьма мутный момент. Лицензия GPLv3 требует, чтобы ключи цифровой подписи выпускались, когда аппаратное обеспечение продается вместе с ПО, созданным под GPLv3 (и криптографически подписанным). Но если это же подписанное ПО просто используется на чьем-то еще аппаратном обеспечении, тогда ключи не требуются. И хотя уже это выглядит запутанно, ситуация еще более сложна, когда речь идет о GPLv2, лицензии для первоначального загрузчика GRUB (существенно отличающейся в своих требованиях от GPLv3). Для того чтобы полностью избавиться от всех этих юридических неясностей, Гаррет рекомендует просто использовать иной загрузчик, не связанный условиями лицензии GPL.
Вот только гарретовский рецепт, как бы сомнительно он ни выглядел, в реальности может оказаться еще опаснее. Процедура загрузки ОС — это один из сервисов, которые уже встроены в ядро Linux. А ядро этой ОС является кодом, работа с которым определяется лицензией GPLv2, причем ситуацию эту даже не собираются менять — из неких принципиальных соображений и несогласия с GPLv3.
Благодаря заботе Microsoft, многие дистрибутивы Linux могут окончательно утратить имидж user-friendly
И наконец, есть еще один — практический — аспект, о котором упоминает Гаррет. Кто именно будет заниматься тем, чтобы отслеживать и убеждать всех OEM-изготовителей компьютеров, чтобы они предоставляли соответствующие криптоключи, необходимые для безопасной загрузки Linux? Конечно же, многие компании предоставят такие ключи для Windows 8 — коль скоро они хотят иметь возможность продавать свои машины на новой операционной системе Microsoft. Однако в природе не существует никаких правил, которые диктовали бы им, что они обязаны предоставлять такие же ключи кому-то еще. И, учитывая долю рынка Linux, убедить их может оказаться делом непростым…
Между тем ни о какой нечестной конкуренции речи-то не идет. Официальные лица Microsoft уже вполне резонно парировали нападки линуксоидов тем, что с их стороны речь идет исключительно об укреплении безопасности в работе ОС Windows. И они никоим образом не пытаются влиять на то, как именно изготовители аппаратного обеспечения распоряжаются своими криптоключами. Microsoft никак не препятствует выдачам таких же ключей другим операционным системам. А если у индейцев возникают проблемы с третьей стороной, причем тут шериф?
Если пытаться судить объективно, позицию Microsoft здесь никак нельзя называть неправой. Просто реальная ситуация на рынке такова, что небольшого смещения акцентов под здравые, в общем, требования Microsoft оказалось достаточно, чтобы вся ответственность перенеслась на действия (точнее, вероятное бездействие) OEM-изготовителей.
Linux уверенно побеждает Windows только в творчестве фанатов. Если бы кому-то пришло в голову нарисовать истинное положение дел, картинка выглядела бы слишком шокирующе даже для нашего либерального портала
В финальных комментариях на данный счет Мэтью Гаррет говорит следующее: «Microsoft имеет возможности потребовать от поставщиков железа предоставления своих ключей. Их конкуренты таких возможностей не имеют. Всякая система, которая продается с ключами подписи только для Microsoft и никого другого, будет не способна выполнять безопасную загрузку любой операционной системы, отличающейся от Windows. Ни один другой поставщик ПО или аппаратного обеспечения не имеет такой же позиции власти над поставщиками железа. У Red Hat нет возможностей гарантировать, что каждый OEM обеспечит для этой ОС ключи подписи. Нет такой возможности у Canonical (ОС Ubuntu). Нет у Nvidia, или у AMD, или любого другого изготовителя компьютерных компонентов. В этой области влиятельность Microsoft даже больше, чем у корпорации Intel».
На рынке серверов ситуация с Linux будет совершенно не такой, как в продажах настольных систем. В серверном пространстве такие поставщики, как IBM, HP, и Dell, уже инвестировали слишком много и в Linux-системы вообще, и в облачные или виртуальные системы в частности, чтобы у Linux не появлялось никаких проблем с установкой на новых машинах.
Однако в мире настольных систем, где ныне почти никто из OEM не продает компьютеры с предустановленной Linux, совершенно неясно, какие стимулы могут быть у изготовителей железа для раздачи своих криптоключей всем этим разнообразным дистрибутивам Linux. Единственное, что можно прогнозировать наверняка, — Microsoft «разруливанием» данной проблемы заниматься не будет точно.
⇡#Другая сторона медали
Среди проблем, уже обозначившихся вокруг UEFI, есть одна особенная, очень важная для всех операционных платформ без исключения. Касается она защиты информации, а потому речь об этом удобно начать с мнения спецслужб и работающих на них специалистов.
В конце сентября в американском городе Орландо, штат Флорида, проходила специализированная выставка-конференция под названием NSA Trusted Computing, организованная Агентством национальной безопасности США.
Главный комплекс зданий Агентства национальной безопасности США. По всем признакам, людей там хватает
На этом мероприятии доклад об угрозах компьютерам со стороны BIOS и о путях укрепления защиты на этом направлении сделал Эндрю Регеншайд (Andrew Regenscheid), сотрудник подразделения компьютерной безопасности в составе NIST, американского Национального института стандартов и технологий. Именно это ведомство в тесном сотрудничестве с АНБ занимается подготовкой и изданием технических федеральных стандартов на защиту информации.
В апреле текущего года НИСТ выпустил специальный документ SP 800-47 с рекомендациями о том, каким образом производители компьютеров и использующие их структуры должны работать с BIOS для максимального предотвращения заражений и атак. Одним из главных соавторов данного документа и был Эндрю Регеншайд.
По свидетельству этого эксперта, несмотря на весьма ограниченную роль BIOS в современных компьютерах (где, как принято полагать, функции устаревшей системы сводятся лишь к загрузке ОС), реально BIOS на сегодняшний день представляет собой «нарастающий вектор угроз» для компьютеров и их пользователей. Ощутимый прогресс в защите операционных систем заставил злоумышленников изобретательно искать в компьютерах новые уязвимости. При этом специалисты, занимающиеся безопасностью, о BIOS долгое время забывали. А в совокупности все это стало означать, что креативные злодеи с заметным успехом ныне могут эксплуатировать уязвимости и в кодах прошивки микросхем.
Случаи атак через BIOS уже есть. Так, в начале сентября китайская антивирусная фирма обнаружила в компьютерах весьма опасный руткит, получивший название Mebromi, который успешно заражает своим шпионским компонентом память BIOS-чипов AWARD. Проникнув в BIOS и попутно подменяя MBR, главную загрузочную запись жесткого диска, эта вредоносная программа прописывается в машине так основательно, что удалить ее стандартными средствами не представляется возможным. Просто потому что антивирусные программы не занимаются лечением BIOS.
Как сказал об этом Регеншайд, «если злоумышленник способен проникать в BIOS и модифицировать его код, он получает возможности не только «убить» систему, не допуская ее загрузки, но и внедрить свое шпионское ПО на чрезвычайно высоких по привилегиям уровнях работы системы».
И вот теперь, существенно усложняя общий «ландшафт угроз» для компьютерной безопасности в аспектах BIOS, на сцене появляется UEFI BIOS. То есть следующее поколение системы, в своих спецификациях добавляющее множество новых возможностей как для администраторов и конечных пользователей, так и для злоумышленников.
Совершенно очевидно, что, в отличие от традиционных BIOS, система UEFI способна на много, много большее, чем просто процесс загрузки. Эндрю Регеншайд, в частности, в своем докладе особо подчеркнул набор рабочих сервисов, которые можно вызывать даже в таких условиях, когда основная ОС уже давно загружена и, как принято обычно считать, полностью управляет компьютером. Эта специфическая особенность, а также другие свойства UEFI BIOS, по свидетельству Регеншайда, очень ощутимо расширяют пространство возможных атак на систему.
В дополнение к этому, сказал докладчик, стандарт UEFI BIOS намного более подробно документирован, нежели предыдущие спецификации BIOS. Это, да в сочетании с тем, что систему UEFI понадобится обновлять через сеть куда более часто, чем BIOS, открывает широкий простор для создания и внедрения самых разнообразных вредительских и шпионских закладок.
Странная история получается, правда? С одной стороны, во имя безопасности происходит изменение правил игры, существенно осложняющее жизнь «маленьким» участникам. А с другой — уже сейчас, на старте, есть существенные сомнения в том, что этой самой безопасности всерьез прибавится.
