萬盛學電腦網

 萬盛學電腦網 >> 服務器教程 >> 兼談在Win8上安裝Linux

兼談在Win8上安裝Linux

  一、自由軟件基金會的呼吁

  上周,2012年將近結束的時候,自由軟件基金會(FSF)發出呼吁,要求人們繼續支持反Secure Boot壟斷,希望簽名者能達到5萬人(目前是4萬)。我覺得,這個呼吁很重要。如果我們不支持,未來就無法自由地使用硬件、安裝自己想要的軟件。

  這絕非危言聳聽。而且,由於這個事件直接與Windows 8操作系統有關,因此意味著一切已經迫在眉睫了。

  下面,我根據自己的理解,談談這到底怎麼回事。如果你是一個Linux愛好者,或者喜歡自己安裝操作系統,下面的內容與你直接相關。

  二、BIOS和UEFI

  所有電腦啟動的時候,都會運行BIOS程序,用於初始化硬件。

兼談在Win8上安裝Linux 三聯

  自從個人電腦誕生後,就一直如此。過去30年我們都在使用類似上圖的畫面,設置硬件參數。不用說,BIOS已經變得日益不適用了。

  1998年,Intel牽頭,聯合AMD、AMI、Apple、Dell、HP、IBM、Lenovo、Microsoft和Phoenix等業界主要廠商,開始制定新一代BIOS。這個項目叫做"統一的可擴展固定接口"(Unified Extensible Firmware Interface),簡稱UEFI。2005年推出1.1版,目前是2.3版。

  將來一開機,電腦運行的將不是BIOS,而是UEFI BIOS。等它運行結束,再載入操作系統。

  三、微軟的態度

  UEFI是一個很先進的、面向未來的規格。但是很長時間內無法推廣,原因就是微軟公司不支持。

  Windows操作系統是桌面市場的主流系統,如果它不部署UEFI代碼,就沒有硬件廠商會跟進。所以,普通消費者對這個新規格所知甚少。

  意想不到的變化,出現在2011年9月,微軟毫無預兆地突然宣布,Windows 8將支持UEFI。

  這本來是一件好事。但是,問題是微軟感興趣的不是整個UEFI,而是UEFI的一個子規格Secure Boot。它要強行部署Secure Boot。

  四、Secure Boot

  Secure Boot只是UEFI的一個部分。兩者的關系是局部與整體的關系。

  Secure Boot的目的,是防止惡意軟件侵入。它的做法就是采用密鑰。UEFI規定,主板出廠的時候,可以內置一些可靠的公鑰。然後,任何想要在這塊主板上加載的操作系統或者硬件驅動程序,都必須通過這些公鑰的認證。也就是說,這些軟件必須用對應的私鑰簽署過,否則主板拒絕加載。由於惡意軟件不可能通過認證,因此就沒有辦法感染Boot。

  這個設想是好的。但是,UEFI沒規定哪些公鑰是可靠的,也沒規定誰負責頒發這些公鑰,都留給硬件廠商自己決定。

  現在,微軟就是要求,主板廠商內置Windows 8的公鑰。

  五、Windows 8

  首先明確,在不打開Secure Boot的情況下,Windows 8可以安裝。這與安裝以前版本的Windows沒有差別。

  但是,微軟規定,所有預裝Windows 8的廠商(即OEM廠商)都必須打開Secure Boot。因此,消費者購買一台預裝Windows 8的台式機或筆記本,想要在上面再安裝其他操作系統(包括以前版本的Windows)是不可能的,除非關閉Secure Boot,或者其他操作系統能夠通過Windows 8公鑰的認證。

  如果選擇關閉Secure Root,那麼預裝的Windows 8將無法使用,需要重新安裝。

  六、實例:微星主板

  ITwire的記者Sam Varghese,做了一個實驗,想了解在打開Secure Boot的主板上,如何安裝操作系統。

  實驗對象是微星公司Z77A-G41主板。它帶有Secure Boot功能,默認是關閉的。

  第一步,開機後按Delete鍵,進入BIOS,選擇Windows 8 Configration選項。

  第二步,選擇最後一個Secure Boot選項。

  第三步,打開(Enabled)Secure Boot功能,然後選擇最後一個Key Management(密鑰管理)選項。

  第四步,輸入廠商提供的公鑰,也就是Windows 8的公鑰(目前,任何其他操作系統都沒有這類公鑰。)

  第五類,安裝Windows 8之後,在命令行界面輸入confirm-securebootuefi命令,結果為true,表示secureboot功能打開。

  根據Sam Varghese測試,打開Secure Boot之後,再安裝其他操作系統(包括以前版本的Windows),全部被主板拒絕。

  七、對Linux的影響

  Secure Boot規格的本意是,讓操作系統廠商自行選擇公鑰,通過認證。但是實際上,只有微軟公司才有能力,讓主板廠商內置它的公鑰,其他公司都不具備這種能力。

  因此,如果要在打開Secure Boot的主板上安裝Linux系統,這個系統就必須通過Windows 8的認證。

  目前,微軟公司把Windows 8的私鑰委托給Verisign,頒發認證。操作系統廠商想要通過認證,就必須花99美元,向Verisign買一張數字證書,嵌入自家的操作系統。

  最新動態是,Linux的各個發行版之中,Ubuntu已經購買了數字證書,Fedora和SUSE計劃購買,其他發行版還沒做出決定。

  因此,在預裝Windows 8的電腦上安裝Linux(或其他操作系統)的最佳做法,就是進入BIOS,關閉Secure Boot。但是,這意味著你花錢買來的Windows 8將無法使用,而且對於普通用戶,這種操作有一定難度。

  八、為什麼Windows 8的公鑰不可接受?

  目前看上去,Linux購買Windows 8的數字證書,是眼下唯一可行的相對容易的解決方法。但是,這種做法不可接受。

  首先,系統的公鑰被微軟控制,後果難以預料。如果微軟決定更換和廢除這個公鑰,Linux就要被迫跟進。

  其次,Linux的啟動管理器Grub是GPL許可證,該許可證(第三版)明文禁止軟件附帶非GPL許可證下的密鑰,因此要改用非GPL許可證的啟動管理器。

  再次,只有幾個較大的Linux發行版才有能力購買數字證書,較小的發行版和用戶自己定制的版本最終還是需要有自己的公鑰。

  九、關於移動設備

  Secure Boot對移動設備的影響,比PC還要嚴重。

  微軟明確規定,所有PC主板必須帶有關閉Secure Boot的選項。這不是因為微軟的善意,而是因為如果不這樣做,它一定會遭到反壟斷起訴。

  但是,在移動設備領域,微軟不占優勢,所以它就沒有顧慮,規定所有安裝Windows的移動設備的Secure Boot必須打開,而且沒有關閉選項。

  微軟的平板電腦Surface RT就是一個最好的例子。它的Secure Boot是打開的,沒法關閉,而且微軟用了一個不同於桌面電腦Windows 8操作系統的公鑰,且不提供獲得數字證書的途徑。因此理論上,用戶不可能在Surface RT上安裝其他操作系統。

  還有報道稱,使用Windows Phone 8操作系統的智能手機也將采用這種做法。那麼,用戶也就不可能在Windows Phone上安裝其他操作系統了。

  十、結語

  Secure Boot的本來用意是保證系統安全,但現在似乎成了廠商保護市場壟斷、阻礙競爭一種手段。

  除了微軟公司,蘋果公司也有這種傾向。在新一代的iPhone和iPad上面安裝其他操作系統,似乎是不可能的。

  自由軟件基金會呼吁反Secure Boot壟斷,就是基於這種考慮:用戶應該擁有硬件和軟件的使用自由,操作系統應該是開放的,而不是封閉的。

  作為一種規格,自由軟件基金會並不反對Secure Boot,它只是要求硬件廠商提供便利,使得用戶可以更容易地安裝和管理公鑰,從而使用硬件平台對所有操作系統(以及設備驅動)保持開放。

  我認為,這是完全合理的要求,對於保證用戶的自由和業界的健康生態極為重要。讓我們一起支持這個行動(簽名和捐助),密切關注事態下一步的發展。

copyright © 萬盛學電腦網 all rights reserved