UEFI, Windows 8 och dubbelmoralen

Den senaste månaden eller så har det klottrats en del i IT-pressen om att datorer med Windows 8 “låser ute” andra operativsystem, såsom Linux. Trots att Microsoft har dementerat detta (och publicerat en lång, teknisk artikel om tekniken det gäller) så fortsätter sensationalistiska rubriker med titlar som “Kampanj mot låsning i Windows 8” att ploppa upp. Okej, jag borde kanske skylla mig själv som läser IDG (IT-världens motsvarighet till Aftonbladet, med ungefär samma faktakoll!) men ändå irriterar det mig en smula. Sanningen är nämligen inte särskilt svår att förstå, men känner man till den så blir det lite svårare att göra lockande rubriker. Gamla vanor är svåra att bryta och det är fortfarande något slags instinktiv reaktion bland många bloggare och journalister – särskilt de med fötterna i FOSS-stövlar – att skylla allt ont i världen på Microsoft.
Så vad är problemet?
Jo, sedan en tid tillbaka har BIOS – det program som hanterar interaktionen mellan hård- och mjukvara på en grundläggande nivå – så sakteliga börjat bytas ut mot UEFI, Unified Extensible Firmware Interface. Det är minst sagt på tiden, BIOS är 80-talsteknik som bland annat är en del av orsaken till att man fortfarande kan få vänta flera minuter på att en PC ska starta upp. UEFI (och dess föregångare EFI) används alltså lite varstans redan idag, på datorer med Windows 7, Linux eller Mac OS X. Så långt inget konstigt, men jag har på en del sajter läst påståendet att man ska vägra datorer med UEFI eftersom de bara kan köra Windows. Det är ren lögn och lika korkat som att påstå att Volvo-bilar bara kan köras inom Sverige.
Uppståndelsen beror på följande: en av de saker som Microsoft har introducerat i Windows 8 är möjligheten att utnyttja Secure Boot på datorer som har denna funktion (som är en valfri del av UEFI). Secure Boot är ett skydd mot en typ av datorangrepp som kallas rootkit, där en hackare kan ta kontroll över datorn på ett sätt som är nästan omöjligt att upptäcka, genom att han byter ut grundläggande delar av operativsystemet. Secure Boot kan skydda mot denna typ av angrepp genom att kontrollera att den kod som körs inte har blivit modifierad med hjäp av digitala signaturer. Poängen är att om man har en dator med Secure Boot så måste förstås varje OS man vill använda ha en sådan digital signatur. Signaturen måste i sin tur vara godkänd av den som tillverkat datorn, annars skulle ju vem som helst – även hackare – kunna signera sin mjukvara och installera den.
För den som använder det operativsystem som datorn levereras med – cirka 95%, alltså – är detta inget som helst problem. Det blir ett problem först när man vill installera ett annat OS som inte är signerat med en godkänd signatur. Detta godkännande ligger helt och hållet hos datortillverkaren. Om datorn levereras med Windows betyder det förstås att signaturen på Windows är godkänd från början. Utöver den kan tillverkaren välja att godkänna vilka han vill, eller göra det möjligt för användaren att godkänna själv, eller stänga av kontrollen helt och hållet vilket ger samma nivå på skyddet som dagens datorer – fullt tillräckligt i de flesta fall. Observera att om man byter ut “Windows” mot “Mac OS X” i den här paragrafen så stämmer den fortfarande.
Det som ger upphov till oro är att en del datortillverkare kan komma att sälja datorer som enbart godkänner operativsystemet de levereras med, utan någon möjlighet för användaren att byta ut det. Den som vill installera Linux på en PC med Windows, eller Windows på en Mac, eller någon annan kombination som inte motsvarar precis det som tillverkaren har givit sin uttryckliga välsignelse till, skulle därmed kunna stå lottlös. Alldeles säkert kommer det att säljas datorer med denna begränsning. Minst lika troligt är det att det kommer att säljas datorer som kan göras helt öppna, eller där man kan godkänna vilka signaturer man vill. PC-marknaden är hårt konkurrensutsatt och marknaden för folk som vill köra Linux eller något helt annat är alltjämt för stor för att ignorera.
Så visst är det bra att problemet blir känt. Men allt detta är än så länge enbart baserat på antaganden. Det finns idag bara två populära modeller av datorer som hindrar användaren från att installera sitt eget val av operativsystem, och det är Apples två generationer av iPad. Som konstigt nog har undgått kritiska artiklar i pressen trots denna bristfällighet.









