เมื่อเร็วๆ นี้ อัตราวันละประมาณ 1 บทความ มาทำลาย Microsoft ว่า evil ใช้ Secure Boot thingie เพื่อ monopolize desktop และ prevent Linux จาก taking over นอกจากนี้ Microsoft ไม่ว่า หลายคน blame UEFI ไม่ให้ boot Linux distros ต่างๆ
ผมอยากใช้โอกาสนี้ **dispel myths, fears, และ pure simple disinformation** เพราะ articles ส่วนใหญ่บน topic นี้ ไม่เกิน FUD (Fear, Uncertainty, Doubt) designed generate controversy, traffic, revenue มาดูว่าเกิดอะไรขึ้น และทำไม UEFI จึง alright และไม่มีปัญหาเลย
UEFI at a Glance (UEFI ในนजरหนึ่ง)
Acronym: **Unified Extensible Firmware Interface** Standard ที่ define interface ระหว่าง operating systems และ platform hardware Essentially: replaces BIOS ใน function นี้ UEFI modern กว่า support ทุกอย่าง: remote connectivity, mouse navigation ใน menus, large disks support, services อื่นๆเยอะ
Secure Boot (บูทปลอดภัย)
Feature เพิ่มใน UEFI version 2.2: **Secure Boot** capability ใช้ restrict hardware platform ให้ boot เฉพาะ operating systems ที่มี valid digital signature คล้ายๆ การ connect HTTPS sites เช่น bank
Setup mode: UEFI enumerate hardware เขียน public keys (Platform keys) ไป firmware User mode: allow เฉพาะ OS ที่มี matching private key boot ใน most cases private key จะ include hardware enumeration และ kernel's digital signature ดังนั้น term Secure Boot เพราะถ้า OS changed significantly หรือ hardware tampered อาจ indicate something wrong ไม่อยาก boot machine
เพื่อ allow changes และ kernel updates additional keys stored ได้ แต่ต้อง related to platform key custom modes allow adding new keys สำหรับ OS อื่นๆ คล้าย digital certificate website ถ้า site tampered signature invalid ไม่อยาก proceed
หมายเหตุ: รูปจาก Wikimedia, licensed under CC BY-SA 3.0
Microsoft Conspiracy? (คอกรมของ Microsoft? ไม่ใช่)
Drama เริ่มที่นี่: Microsoft Windows 8 supports Secure Boot แต่ feature นี้ instantly publicly subverted เป็น conspiracy ว่า Microsoft intends ใช้ feature lock out OS vendors อื่นๆ นั่นคือ Linux จาก boot stuff บน hardware เดียวกัน
คำถามคือ: ทำไมคุณต้องกังวล?
คุณแค่เข้า UEFI menu เปลี่ยน Secure Boot configuration ไป Setup หรือ Custom modes ทำ relevant tweaks ปัญหาเริ่มที่นี่
เพราะ **GPL restrictions** อาจ impossible change GRUB bootloader ใช้ digital signatures exact reasons ไม่ important แต่ **nothing to do with Microsoft** generic signing key ใช้ได้สำหรับ bootloader satisfy licensing concerns แต่ كيف persuade OEM ship key นี้พร้อม Microsoft key? **Again, nothing to do with Microsoft**
หลาย pre-boot bootloaders กำลังพัฒนา ใช้สำหรับ signing แล้ว hand off boot sequence control ให้ GRUB ตรงปกติ เรียกว่า **shims** มี variants หลายตัวใน development ควรมี official bootloader อยู่แล้ว search web ถ้าจริงใจ care อีกครั้ง unrelated conspiracy theory by Microsoft และเคยบอกไหมว่า **Secure Boot can be DISABLED completely** และ **not a concern whatsoever**? นี่คือสิ่งที่ enrage crowds มากที่สุด
Wait, Secure Boot สามารถปิดได้ไหม?
Microsoft want platforms shipping Windows RT (ARM, tablets, smartphones) UEFI locked down ป้องกัน tampering Secure Boot mechanism หากคิดละเอียด: **no different** จาก Apple หรือ Google กับโทรศัพท์ของพวกเขา ต้อง load custom firmware เพื่อ jailbreak แต่ไม่มีใคร clamor เรื่องนั้น ทุกคน wild เมื่อ Microsoft อยากทำ same thing
Same note: Microsoft requires OEM vendors allow **full control of Secure Boot on x86 platforms** (desktops, laptops) นี่นำไปสู่ OEM vendors
OEM Vendors (ผู้ผลิต OEM)
Market figures: uptight MBA graduate strut stage telling excited emphasizing "penetration" (markets) Microsoft definitely want ensure market share แต่ given restrictions/lack thereof Windows/Windows RT ไม่มี real problem statistics เรียบง่าย: 90% computers run Microsoft Windows 90% preinstalled users never change 90% people never think dual-boot/other OS Linux never was/is issue
Linux users: savvy, skilled เข้า UEFI menu ทำ changes เพื่อ dual/triple boot ได้ง่าย likely purchase generic hardware without OS installations Secure Boot notion never raised Much ado about nothing แต่ drama more fun
Only question you need ask: **On OEM hardware ที่ support/use Secure Boot preinstalled Windows ที่คุณ intend ใช้ own OS จะ vendor respect requirements และ truly allow disable/modify Secure Boot?**
นี่คือ **ONLY relevant question** ไม่มีอะไรผิดกับ UEFI capabilities, Microsoft desires/goals/strategies, requirements from vendors only question: vendors respect standard หรือ cripple functionality prevent user changes? That's all to worry
Answer: **DO NOT buy hardware (laptops mostly) ที่มี limited/restricted UEFI interface** ไม่ซื้อ hardware ที่ limit usage models ซื้อ machines support: 1) Secure Boot changes 2) Legacy mode emulate old BIOS That's all
Why UEFI Works Fine, Examples (ทำไม UEFI ทำงานดี ตัวอย่าง)
ผมซื้อ desktops 2 เครื่อง: 2011 และ 2012 virtually identical ทั้งคู่ ASUS boards, ASUS firmware ทั้งคู่ UEFI support legacy boot ทั้งคู่ install/run Windows 7 และ Linux distros หลายตัว **without any problems WHATSOEVER** Secure Boot ไม่ขึ้นเป็น issue เพราะ disabled หรือไม่มีใน menu หรือ who the hell cares Choose hardware carefully full control assets make modifications any way you like
UEFI Scare Stories (เรื่องระทึกขวัญ UEFI)
Far end spectrum: scary stories Samsung laptops bricked after boot Linux on them instantly turned Microsoft conspiracy จนทุกคน figured out: Secure Boot **not an issue here** rather incompatibility OS และ underlying firmware due to **BUG in firmware** caused machines to cease living
People quick blame UEFI evil Problem manifested only certain boot modes certain Linux versions bricked hardware stories not new million cases past: DVD burners, routers, whole machines It happens bugs, resolved
หมายเหตุ: รูปจาก Wikimedia, CC BY-SA 3.0
Nothing wrong UEFI, Samsung, Linux ใน certain conditions combine components problems happen The reason surfaced: Samsung ไม่ test Ubuntu/alike บน laptops preinstalled Windows same issue might happen factories assembling แต่ Samsung would contact Microsoft resolve silently Well apparently not เพราะ problem manifests in Windows too BAM! Conspiracy gone
You don't want to know hundreds cases like this happen all the time OEM vendors back to OS/hardware companies ask fixes firmware You don't need to care as customer
More Scare Stories (เรื่องระทึกขวัญเพิ่มเติม)
People clamor: systems with Secure Boot enabled ไม่ boot after hardware changes new hardware = new device enumeration digital signature hash ไม่ match stored key
Small problem แต่ easily resolved: disable Secure Boot before hardware changes Back to OEM vendors respecting specs Frankly: never issue desktops laptops: how often change hardware?
สรุป
UEFI ไม่ใช่ devil แค่ different from BIOS OS จะต้อง adapt ใช้ capabilities มัน Simple Secure Boot functionality ไม่ควรกังวลมาก ต้อง: purchase hardware from vendors ที่ไม่ treat customers as toilet bowl That's all
Stick by simple rules guidelines multi-boot experience on UEFI hardware pleasant hassle-free One day Linux distros all natively seamlessly support Secure Boot issue vanish completely Other than that usual applies including slight remote possibility hardware become cinder block But happens regardless acronym you choose Now enough useless drama.
Cheers.
