В списке рассылки разработчиков ядра Linux разгорелась бурная дискуссия (https://lkml.org/lkml/2013/2/21/228) о целесообразности предложения (https://lkml.org/lkml/2013/2/21/196) инженеров компании Red Hat по включению в состав ядра механизма динамической загрузки X.509 сертификатов из исполняемых файлов, для их использования c целью верификации загружаемых модулей. Суть идеи в том, что сервис компании Microsoft, который осуществляет формирование цифровых подписей для компонентов загружаемых в режиме UEFI Secure Boot, поддерживает только интеграцию сертификатов в исполняемые файлы PE, поэтому разработчики Red Hat и предложили включить в ядро функции загрузки ключей из PE-файлов, чтобы обеспечить в режиме UEFI Secure Boot возможность загрузки проприетарных драйверов, заверенных ключом Microsoft.

Попытка продвинуть в ядро подобный код вызвала поток (https://lkml.org/lkml/2013/2/21/225) негодования (https://lkml.org/lkml/2013/2/21/228) со стороны Линуса Торвальдса, который в присущей ему жесткой форме выразил абсурдность интеграции средств для управления  сертификатами X.509 и парсинга PE-файлов непосредственно в ядро, а также нелепость подстраивания ядра обходными путями под особенности стороннего сервиса Microsoft, вместо того чтобы в сервисе Microsoft обеспечить создание подписей для модулей ядра Linux.

Если компании Red Hat необходимо обеспечить загрузку подписанных ключом Microsoft компонентов, почему бы не выделить отдельную машину, на которой будет выполняться разбор PE-файлов, проверка сигнатур и заверения результатов ключом  Red Hat, после чего использовать уже присутствующие в ядре средства поддержки сертификатов X.509. Если какая-то компания намерена поставлять верифицируемый бинарный модуль для Fedora или RHEL, то  для создания цифровой подписи должен использоваться ключ Red Hat, без зависимости от ключей Microsoft.

URL: http://www.theregister.co.uk/2013/02/24/linus_torvalds_rant/
Новость: https://www.opennet.ru/opennews/art.shtml?num=36214