Secure Boot : la réponse de Microsoft incomplète pour Garrett

La fonctionnalité Secure Boot de l’UEFI fait décidément parler d’elle depuis que Microsoft a indiqué que son utilisation serait obligatoire pour qu’un PC reçoive le logo « Certifié pour Windows 8 ». Les inquiétudes soulevées par Matthew Garrett de chez Red Hat ont reçu une réponse de Microsoft, mais le développeur réplique à son tour, les propos de l’éditeur ne lui ayant pas suffi.


Secure Boot permet de vérifier la légitimité des éléments impliqués dans la chaine de démarrage du système d’exploitation. Windows 8 ne réclame pas obligatoirement cette fonctionnalité pour démarrer, et le système n’a d’ailleurs même pas besoin d’un UEFI. Quand bien même, le maintien de l’intégrité soulevait une inquiétude légitime sur la capacité de désactiver le Secure Boot afin que d’autres systèmes puissent être installés s’ils ne disposaient pas des certificats nécessaires.

Pour Matthew Garrett, la réponse de Microsoft est incomplète

Matthew Garrett, dans sa nouvelle réponse, indique que lui et d’autres développeurs de Red Hat se sont rendu compte du problème en août et qu’ils ont depuis discuté avec d’autres éditeurs de solutions Linux, des constructeurs ainsi que des fournisseurs de BIOS. Il expose quatre « faits » :

1. La certification Windows 8 impose que le matériel soit livré avec la fonction Secure Boot activée
2. La certification Windows 8 n’impose pas au constructeur le fait de laisser choisir à l’utilisateur s’il veut activer ou non le Secure Boot, et certains constructeurs auraient déjà annoncé leur intention de ne pas proposer l’option
3. La certification Windows 8 n’impose pas qu’une machine soit livrée avec d’autres clés que celles de Microsoft
4. Un système avec Secure Boot actif et possédant uniquement les clés de Microsoft ne pourra démarrer de manière sécurisée que le système de l’éditeur

Il est évident que Microsoft prend les décisions qu’il faut pour s’assurer que son propre business est florissant. Mais Matthew Garret indique que l’éditeur a une position flagrante de position dominante sur le marché des systèmes d’exploitation de bureau avec plus de 90 %. Le marché est hautement compétitif et les constructeurs jouent toute carte à leur disposition. Rater l’opportunité d’une certification Windows n’est donc pas envisageable puisqu’elle entraînerait un désavantage face aux concurrents.

L'utilisateur a-t-il réellement le contrôle ?

Pour Garrett le problème central est qu’il n’existe pas d’autorité centrale pour la gestion des certificats de sécurité. Par son poids, Microsoft peut imposer l’utilisation de son programme de certification, car aucun constructeur ne peut raisonnablement l’éviter. Les autres éditeurs n’ont pas forcément la capacité de négocier avec les OEM pour proposer leurs clés. En l’état, Garrett estime donc qu’une partie des machines sera incapable de prendre en charge Linux et d’autres systèmes.

Il indique par ailleurs que la volonté de Microsoft de donner le plein contrôle à l’utilisateur se vérifie si « utilisateur » signifie « constructeur », car c’est bien ce dernier qui aura entre ses mains le véritable pouvoir de choisir ou non. L’utilisateur lui-même n’a aucune garantie qu’il pourra ne serait-ce qu’accéder à la liste des clés de signature et encore moins la gérer. Une perspective d’autant plus inquiétante selon lui qu’elle s’étend à l’ensemble du matériel : GPU, carte réseau, contrôleur Sata…

Pour le développeur de Red Hat, il est clair que si Microsoft voulait vraiment s’assurer que l’utilisateur final ait le contrôle total de sa machine, il rendrait obligatoire la possibilité d’influer sur la liste des certificats. Dans l’état actuel des choses, des constructeurs (lesquels ?) ayant déjà indiqué qu’aucune option ne serait proposée, on imagine que les amateurs de Linux et autres systèmes devront faire attention aux machines des OEM qu’ils choisiront.