La saga du démarrage sécurisé va bon train et, l'une après l'autre, les distributions Linux décident comment elles vont s'adapter aux restrictions programmées de Windows 8. Cette fois, c'est au tour de Suse Linux de s'exprimer sur le sujet, et ce que propose la distribution allemande ressemble à bien des égards à une approche hybride entre celle envisagée par Ubuntu et celle de Fedora. « La technologie de boot sécurisé UEFI est utile, et augmente la difficulté pour les attaquants éventuels qui tenteraient d'introduire un rootkit dans la séquence de démarrage », a expliqué mercredi Olaf Kirch, directeur du département Suse Linux Enterprise, dans un blog. « Mais en même temps, ces modalités de fonctionnement - à savoir faire confiance à un root unique - contredisent les principes du développement Open Source, dont la vocation est d'être indépendant et distribué », a-t-il poursuivi.

«Une solution intelligente»

Pour ceux qui ont raté une étape, la norme UEFI (Unified Extensible Firmware Interface) de Windows 8 implique que seuls les systèmes d'exploitation avec une signature numérique appropriée peuvent démarrer. La Free Software Foundation et la Fondation Linux ont essayer de faire valoir leurs propres points de vue sur le sujet. « Cependant, il existe deux autres manières de contourner ces restrictions », a expliqué Olaf Kirch. « La première consiste à travailler avec les fournisseurs de matériel pour leur faire approuver une clef Suse qui servira à identifier le système de démarrage », a-t-il écrit. « L'autre solution est de passer par le programme de certification Windows Logo de Microsoft pour obtenir la certification du chargeur d'amorçage ou boot loader et faire en sorte que notre clef de signature soit reconnue par Windows 8 ».

Comme l'a précisé le directeur du département de Suse Linux Enterprise, l'éditeur prévoit d'utiliser le chargeur de shim (le shim étant une interface qui sert à rediriger une opération) développé à l'origine par Fedora. « C'est une solution intelligente qui évite plusieurs questions juridiques ennuyeuses, et simplifie considérablement l'étape de certification/signature », a-t-il justifié. Ce chargeur de shim chargera le boot loader GRUB 2, le vérifiera, puis chargera des noyaux signés par une clef SUSE.

Deux clefs possibles

Hier cependant, Vojtěch Pavlik, le directeur de Suse Labs, a donné plus de détails sur la question. « Nous démarrons avec une shim, basée sur la shim de Fedora, signée soit par un certificat émis par le Key Exchange Key (KEK) de Suse ou un certificat émis par Microsoft, qui correspond à un KEK disponible dans la base de données de clés UEFI inscrites dans le système », a t-il expliqué pour sa part.

En d'autres termes, il existe deux options distinctes pour le shim : soit celui signé avec la clef propre de Suse, ce qui en fait une solution similaire à l'approche d'Ubuntu, soit celui signé avec une clef fournie par Microsoft, comme c'est le cas dans la solution de Fedora.

Dans les deux cas, le shim ira vérifier que le chargeur d'amorçage GRUB 2 est valide en utilisant par défaut un certificat Suse indépendant intégré dans son code. En outre, le shim permettra également à des combinaisons de touches définies par l'utilisateur ou Machine Owners Key's (MOK) de passer outre la valeur de la clé par défaut de Suse », a ajouté le directeur de Suse Labs.