Por que me pediram para criar uma senha para desabilitar a inicialização segura na instalação inicial do Ubuntu 16.04?

Question

Na instalação inicial do Ubuntu 16.04, verifiquei "Instalar software de terceiros" e, abaixo dele, fui solicitado a marcar outra opção que permitiria ao pacote do sistema operacional desativar automaticamente a inicialização segura por conta própria , um pré-requisito do qual estava criando uma senha que de alguma forma permitiria que todo esse processo ocorresse.

Após continuar com a instalação, nunca recebi nenhuma indicação de que essa desativação da inicialização segura tivesse ocorrido, nem que eu fosse solicitado a digitar a senha que eu havia criado.

Após a instalação bem-sucedida do sistema operacional, reiniciei meu computador e verifiquei o BIOS. Na BIOS, o boot seguro ainda estava ativado. No entanto, de volta ao Ubuntu, posso reproduzir arquivos MP3 e Flash sem problemas, o que suponho indica que a instalação de software de terceiros foi bem-sucedida.

Ainda não tive nenhum problema (além do fato de que a interface do usuário tem sido um pouco meticulosa e cheia de erros às vezes), mas eu gostaria de saber o que realmente consegui na Terra ao criar essa senha.

O que aconteceu com a senha que criei? Vou precisar lembrar por algum motivo? Não é o mesmo que minha senha de login / sudo.

O Ubuntu editou permanentemente meu BIOS para fazer uma exceção por si mesmo? Em caso afirmativo, como posso visualizar essas alterações e, potencialmente, desfazê-las? É onde a senha viria?

Por que o Ubuntu precisa desativar / ignorar a inicialização segura para instalar o pacote ubuntu-restricted-extras de qualquer maneira? Minha instalação está bem? Eu me preparei para problemas futuros? Devo tentar reinstalar com inicialização segura manualmente desativada como não para receber esse prompt em primeiro lugar?

Informação adicional: Estou executando um sistema UEFI e estou iniciando o Ubuntu 16.04 com o Windows 10.

Outro usuário fez uma pergunta sobre um problema semelhante aqui. Ao contrário de este usuário, eu não recebo um aviso sobre "inicialização no modo inseguro", mas eu também gostaria de saber se o Ubuntu criou uma exceção para si mesmo e como eu poderia gerenciar tais exceções. Ao contrário de mim, este usuário não mencionou nada sobre ter que criar uma senha.

    

Answer 1

O UEFI Secure Boot protege o carregador de boot contra violações usando uma combinação de chaves de CA e assinaturas em arquivos de inicialização. A Microsoft, por exemplo, assinou carregadores de inicialização para os quais as chaves CA já estão presentes no firmware UEFI da maioria dos PCs.

Isso protege apenas o núcleo inicial do carregador e nada mais depois. Por exemplo, initrd (initramfs) não é protegido, ou qualquer coisa depois (GRUB, kernel, módulos, drivers, qualquer coisa no espaço do usuário, etc).

O software de terceiros que você instalou PODE incluir alguns códigos PCI ou RAID de baixo nível necessários para o carregador de boot, e é por isso que você precisa criar uma senha, que criará uma chave no espaço do firmware UEFI. Após modificações, se o sistema perceber algo diferente no momento da inicialização, o BIOS parará no POST e solicitará a mesma senha digitada durante a instalação para provar que você é quem instalou o software. Esse método garante que um usuário fisicamente instalado no computador insira essa senha como confirmação, já que nenhum software pode ser carregado no BIOS POST para falsificar isso.

Para a maioria dos sistemas de usuários, a inicialização segura faz pouco para protegê-lo. Não impede vírus ou malware, nem a instalação desses. Tudo isso impede a violação de bootloader de baixo nível, que geralmente é impedida pelo antivírus básico ou pela segurança do sistema operacional. Na minha opinião, e de acordo com a maioria das documentações, pode ser desativado com segurança.