Secure Boot Torvalds wehrt sich gegen Schlüssel-Patch

Linus Torvalds wehrt sich vehement gegen einen Patch für den Linux-Kernel, der einen Schlüssel aus einer von Microsoft signierten PE-Datei ausliest und ihn dem Keyring des Kernels hinzufügt.

Ein Patch für Linux 3.9 von Red-Hat-Entwickler David Howells missfällt Linux-Chef Linus Torvalds. Der Patch sieht vor, dass dem Schlüsselbund des Kernels automatisch neue Schlüssel hinzugefügt werden. Damit soll unter anderem der dynamische Import von Microsofts Secure-Boot-Schlüssel im laufenden Betrieb ermöglicht werden. Dagegen wehrt sich Torvalds: Solche Funktionen gehörten in den Userspace, aber nicht in den Kernel.

Ihm missfalle der Parser für X.509-Zertifikate, der seit Kernel 3.7 integriert sei, schreibt Torvalds. Der neue Patch kompliziere die Schlüsselinfrastruktur nur unnötig. Noch schlimmer sei aber, dass der Patch Binärdateien im PE-Format von Microsoft parse, um Schlüssel zu extrahieren. Wenn Red Hat eine solche Lösung brauche, sei das in Ordnung, im Kernel habe so ein Code aber nichts zu suchen. Es gebe keinen Grund, Kernel-Module überhaupt mit Schlüssel von Microsoft zu signieren.

Einfacheres Signieren

Kernel-Entwickler Peter Jones erklärte daraufhin nochmals die Funktion des Patches: Es gebe Entwicklern die Möglichkeit, ein Kernel-Modul selbst zu signieren und dafür geradezustehen, etwa ein Systemtap-Modul.

Da Microsoft nur PE-Dateien signiert, sieht der von Howell eingereichte Patch vor, eine Binärdatei mit einem X.509-Schlüssel zu erzeugen, die wiederum von Microsoft signiert werden sollte. Der bereits in Linux 3.7 umgesetzte Befehl keyctl add soll deshalb unter anderem um einen Parser für PE-Dateien ergänzt werden. Dann können weitere Schlüssel hinzugefügt werden, die beispielsweise im Kernel liegen. Später sollen Funktionen hinzukommen, die Signaturschlüssel aus dem UEFI auslesen können. Der Patch soll auch ein manuelles Einlesen eines Schlüssels im Bios unnötig machen.