להורדה | ווינדוס 11 (רשמי) + מידע ועדכונים

מחשבים אישיים מודרניים נשלחים עם תכונה בשם "Secureאתחול מופעל. זוהי תכונת פלטפורמה ב- UEFI, המחליפה את ה- BIOS PC המסורתי. אם יצרן מחשבים מעוניין להציב מדבקת לוגו "Windows 10" או "Windows 8" למחשב האישי שלהם, מיקרוסופט מחייבת שהם יאפשרו את Secure Boot ועקבו אחר כמה הנחיות.

לרוע המזל, זה גם מונע ממך להתקין כמה הפצות לינוקס, שיכולות להיות די טרחה.

כיצד מאבטח אתחול מאובטח את תהליך האתחול של המחשב שלך

אתחול מאובטח לא נועד רק להקשות על הפעלת לינוקס. ישנם יתרונות אבטחה אמיתיים בהפעלת Secure Boot, ואפילו משתמשי לינוקס יכולים ליהנות מהם.

BIOS מסורתי יאתחל כל תוכנה. כאשר אתה מאתחל את המחשב שלך, הוא בודק את התקני החומרה לפי סדר האתחול שהגדרת, ומנסה לאתחל מהם. מחשבים אופייניים בדרך כלל יאתרו ואלתחל את מטעין האתחול של Windows, אשר ממשיך לאתחל את מערכת ההפעלה המלאה של Windows. אם אתה משתמש בלינוקס, ה- BIOS יאתר את מטען האתחול GRUB, בו רוב ההפצות לינוקס משתמשות.

עם זאת, זה אפשרי לתוכנות זדוניות, כגוןrootkit, כדי להחליף את מטעין האתחול שלך. ערכת השורש יכולה לטעון את מערכת ההפעלה הרגילה שלך ללא כל אינדיקציה שמשהו אינו כשורה, להישאר בלתי נראה לחלוטין ולא ניתן להבחין במערכת שלך. ה- BIOS לא יודע מה ההבדל בין תוכנות זדוניות לבין מטעין אתחול מהימן - הוא רק מגבש את כל מה שהוא מוצא.

אתחול מאובטח נועד לעצור זאת. מחשבי Windows 8 ו- 10 נשלחים עם האישור של מיקרוסופט המאוחסן ב- UEFI. UEFI יבדוק את מטעין האתחול לפני שיפעיל אותו ויבטיח שהוא חתום על ידי מיקרוסופט. אם ערכת שורש או חתיכה אחרת של תוכנות זדוניות אכן מחליפות את מטעין האתחול שלך או מתעסקות בו, UEFI לא יאפשר לו לאתחל. זה מונע מתוכנות זדוניות לחטוף את תהליך האתחול שלך ולהסתיר את עצמו ממערכת ההפעלה שלך.

כיצד מיקרוסופט מאפשרת להפצות לינוקס לאתחל באמצעות אתחול מאובטח

תיאוריה זו נועדה, בתיאוריה, רק כךלהגן מפני תוכנות זדוניות. אז מיקרוסופט מציעה דרך לעזור להפצות לינוקס בכל מקרה. זו הסיבה שכמה הפצות לינוקס מודרניות - כמו אובונטו ופדורה - "פשוט יעבדו" על מחשבים אישיים מודרניים, אפילו עם הפעלת Secure Boot. הפצות לינוקס יכולות לשלם עמלה חד פעמית של 99 $ כדי לגשת לפורטל Sysdev של מיקרוסופט, שם הן יכולות להגיש בקשה לחתום על מעמיסי האתחול שלהם.

להפצות לינוקס יש בדרך כלל "פשיעה"חתם. Shim הוא מטעין אתחול קטן שפשוט מגבש את מעבד האתחול הראשי של GRUB להפצות לינוקס. ה- shim החתום על ידי מיקרוסופט בודק אם הוא מאתחל את מטעין האתחול שנחתם על ידי ההפצה של לינוקס ואז את הפצת לינוקס בדרך כלל.

אובונטו, פדורה, Red Hat Enterprise Linux ו-openSUSE תומך נכון לעכשיו ב- Secure Boot, ויעבוד ללא שינויים בחומרה מודרנית. יכול להיות שיש אחרים, אבל אלה אנחנו מודעים אליהם. כמה הפצות לינוקס מתנגדות פילוסופית לבקשה להחתמה על ידי מיקרוסופט.

כיצד ניתן להשבית או לשלוט על אתחול מאובטח

אם זה כל מה ש- Secure Boot עשה, לא היית עושה זאת מסוגל להריץ כל מערכת הפעלה שאינה מאושרת על ידי מיקרוסופט במחשב האישי שלך. אך סביר להניח שאתה יכול לשלוט על Secure Boot מקושחת UEFI של המחשב שלך, שהיא כמו ה- BIOS במחשבים ישנים יותר.

ישנן שתי דרכים לשלוט על Secure Boot. השיטה הקלה ביותר היא לפנות לקושחת UEFI ולהשבית אותה לחלוטין. הקושחה של UEFI לא תוודא שאתה מפעיל מטעין אתחול חתום, וכל דבר יאתחל. אתה יכול לאתחל כל הפצה של לינוקס או אפילו להתקין את Windows 7, שאינו תומך ב- Secure Boot. Windows 8 ו- 10 יעבדו מצוין, פשוט תאבדו את יתרונות האבטחה בכך ש- Secure Boot יגן על תהליך האתחול.

אתה יכול גם להתאים אישית עוד יותר את האתחול המאובטח. אתה יכול לקבוע אילו תעודות חתימה מציעה Secure Boot. אתה חופשי להתקין אישורים חדשים ולהסיר אישורים קיימים. ארגון שהריץ את לינוקס במחשבים האישיים שלו, למשל, יכול לבחור להסיר את האישורים של מיקרוסופט ולהתקין במקומם את האישור של הארגון. מחשבים אישיים אלה אז היו רק ממעילי האתחול שאושרו ונחתמו על ידי אותו ארגון ספציפי.

גם אדם יכול לעשות זאת - תוכל לחתוםטוען אתחול Linux שלך ולהבטיח שהמחשב שלך יכול רק לאתחל את מעמיסי האתחול שאותם הידרת וחתמת באופן אישי. זה סוג השליטה והכוח שמציעה אתחול מאובטח.

מה שמיקרוסופט דורשת מיצרני מחשבים
מיקרוסופט אינה דורשת ספקי מחשבים בלבדאבטח אתחול אם הם רוצים את המדבקה ההסמכת "Windows 10" או "Windows 8" הנחמדה במחשבים האישיים שלהם. מיקרוסופט דורשת מיצרני מחשבים ליישם זאת באופן ספציפי.

במחשבי Windows 8, היצרנים היו צריכים לתת לך דרך לכבות את האתחול המאובטח. מיקרוסופט דרשה מיצרני מחשבים להכניס מתג Secure Boot Kill בידי המשתמשים.

במחשבי Windows 10 זה כבר לא חובה. יצרני מחשבים יכולים לבחור לאפשר את Secure Boot ולא לתת למשתמשים דרך לכבות אותה. עם זאת, איננו מודעים למעשה ליצרני מחשבים העושים זאת.

באופן דומה, בעוד שעל יצרני המחשבים לכלולמקש ה- Microsoft Windows Production PCA הראשי של מיקרוסופט כך ש- Windows יכול לאתחל, הם לא צריכים לכלול את המפתח "Microsoft Corporation UEFI CA". המפתח השני מומלץ רק. זהו המפתח השני, האופציונלי, בו משתמשת מיקרוסופט כדי להחתים את מעמיסי האתחול של לינוקס. התיעוד של אובונטו מסביר זאת.

במילים אחרות, לא כל המחשבים בהכרח יתחילו לאתחלהפצות לינוקס חתומות כאשר Secure Boot מופעל. שוב, בפועל, לא ראינו מחשבים אישיים שעשו זאת. אולי אף יצרן מחשבים שאינו מעוניין ליצור את קו המחשבים הנייד היחיד שאי אפשר להתקין בו לינוקס.

לעת עתה, לפחות, מחשבי Windows מיינסטרים צריכיםמאפשרים לך להשבית את Secure Boot אם תרצה, והם צריכים לאתחל הפצות לינוקס שנחתמו על ידי מיקרוסופט גם אם לא תשבית את Secure Boot.

לא ניתן היה להשבית אתחול מאובטח ב- Windows RT, אך Windows RT מת

כל האמור לעיל נכון לגבי מערכות הפעלה חלונות 8 ו- 10 בחומרה הרגילה של Intel x86. זה שונה עבור ARM.

ב- Windows RT - הגרסה של Windows 8 עבור ARMחומרה שנשלחה בין המכשירים Surface RT ו- Surface 2 של מיקרוסופט, בין מכשירים אחרים - לא ניתן היה להשבית את Secure Boot. כיום, עדיין לא ניתן להשבית את האתחול המאובטח בחומרה של Windows 10 Mobile - כלומר, טלפונים שמפעילים את Windows 10.

הסיבה לכך היא שמיקרוסופט רצתה שתחשיב על מערכות RT RT מבוססות ARM כ"מכשירים ", ולא למחשבים אישיים. כפי שמיקרוסופט אמרה למוזילה, Windows RT "כבר לא חלונות."

עם זאת, Windows RT מת כעת. אין גרסה של מערכת ההפעלה Windows 10 שולחן העבודה עבור חומרת ARM, כך שזה כבר לא מה שאתה צריך לדאוג. אבל, אם מיקרוסופט תחזיר את החומרה של Windows RT 10, סביר להניח שלא תוכלו להשבית את Secure Boot עליו.

:::

שמח לעזור

@a0533057932 חסום אפשר HTML?

שמח לעזור

@noamicko123 תפעיל מחדש שוב ותבדוק

קינג קומפיוטר

@noamicko123 אמר בהורדה | ווינדוס 11 (בטא) + מידע ועדכונים:

@שמח-לעזור שיניתי את ההגדרות אבל זה אותו דבר...

בטוח ששמרת את ההגדרה לפני היציאה מהביוס?

A0533057932

@שמח-לעזור אמר בהורדה | ווינדוס 11 (בטא) + מידע ועדכונים:

@a0533057932 חסום אפשר HTML?

פתוח בנטפרי

יוסי הגאון

@a0533057932 אמר בהורדה | ווינדוס 11 (בטא) + מידע ועדכונים:

@שמח-לעזור אמר בהורדה | ווינדוס 11 (בטא) + מידע ועדכונים:

@a0533057932 חסום אפשר HTML?

פתוח בנטפרי

הוא ברימון
זה מה שרשום שם:
מחשבים אישיים מודרניים נשלחים עם תכונה בשם "Secureאתחול מופעל. זוהי תכונת פלטפורמה ב- UEFI, המחליפה את ה- BIOS PC המסורתי. אם יצרן מחשבים מעוניין להציב מדבקת לוגו "Windows 10" או "Windows 8" למחשב האישי שלהם, מיקרוסופט מחייבת שהם יאפשרו את Secure Boot ועקבו אחר כמה הנחיות.

לרוע המזל, זה גם מונע ממך להתקין כמה הפצות לינוקס, שיכולות להיות די טרחה.

כיצד מאבטח אתחול מאובטח את תהליך האתחול של המחשב שלך
אתחול מאובטח לא נועד רק להקשות על הפעלת לינוקס. ישנם יתרונות אבטחה אמיתיים בהפעלת Secure Boot, ואפילו משתמשי לינוקס יכולים ליהנות מהם.

BIOS מסורתי יאתחל כל תוכנה. כאשר אתה מאתחל את המחשב שלך, הוא בודק את התקני החומרה לפי סדר האתחול שהגדרת, ומנסה לאתחל מהם. מחשבים אופייניים בדרך כלל יאתרו ואלתחל את מטעין האתחול של Windows, אשר ממשיך לאתחל את מערכת ההפעלה המלאה של Windows. אם אתה משתמש בלינוקס, ה- BIOS יאתר את מטען האתחול GRUB, בו רוב ההפצות לינוקס משתמשות.

עם זאת, זה אפשרי לתוכנות זדוניות, כגוןrootkit, כדי להחליף את מטעין האתחול שלך. ערכת השורש יכולה לטעון את מערכת ההפעלה הרגילה שלך ללא כל אינדיקציה שמשהו אינו כשורה, להישאר בלתי נראה לחלוטין ולא ניתן להבחין במערכת שלך. ה- BIOS לא יודע מה ההבדל בין תוכנות זדוניות לבין מטעין אתחול מהימן - הוא רק מגבש את כל מה שהוא מוצא.

אתחול מאובטח נועד לעצור זאת. מחשבי Windows 8 ו- 10 נשלחים עם האישור של מיקרוסופט המאוחסן ב- UEFI. UEFI יבדוק את מטעין האתחול לפני שיפעיל אותו ויבטיח שהוא חתום על ידי מיקרוסופט. אם ערכת שורש או חתיכה אחרת של תוכנות זדוניות אכן מחליפות את מטעין האתחול שלך או מתעסקות בו, UEFI לא יאפשר לו לאתחל. זה מונע מתוכנות זדוניות לחטוף את תהליך האתחול שלך ולהסתיר את עצמו ממערכת ההפעלה שלך.

כיצד מיקרוסופט מאפשרת להפצות לינוקס לאתחל באמצעות אתחול מאובטח

תיאוריה זו נועדה, בתיאוריה, רק כךלהגן מפני תוכנות זדוניות. אז מיקרוסופט מציעה דרך לעזור להפצות לינוקס בכל מקרה. זו הסיבה שכמה הפצות לינוקס מודרניות - כמו אובונטו ופדורה - "פשוט יעבדו" על מחשבים אישיים מודרניים, אפילו עם הפעלת Secure Boot. הפצות לינוקס יכולות לשלם עמלה חד פעמית של 99 $ כדי לגשת לפורטל Sysdev של מיקרוסופט, שם הן יכולות להגיש בקשה לחתום על מעמיסי האתחול שלהם.

להפצות לינוקס יש בדרך כלל "פשיעה"חתם. Shim הוא מטעין אתחול קטן שפשוט מגבש את מעבד האתחול הראשי של GRUB להפצות לינוקס. ה- shim החתום על ידי מיקרוסופט בודק אם הוא מאתחל את מטעין האתחול שנחתם על ידי ההפצה של לינוקס ואז את הפצת לינוקס בדרך כלל.

אובונטו, פדורה, Red Hat Enterprise Linux ו-openSUSE תומך נכון לעכשיו ב- Secure Boot, ויעבוד ללא שינויים בחומרה מודרנית. יכול להיות שיש אחרים, אבל אלה אנחנו מודעים אליהם. כמה הפצות לינוקס מתנגדות פילוסופית לבקשה להחתמה על ידי מיקרוסופט.

כיצד ניתן להשבית או לשלוט על אתחול מאובטח

אם זה כל מה ש- Secure Boot עשה, לא היית עושה זאתמסוגל להריץ כל מערכת הפעלה שאינה מאושרת על ידי מיקרוסופט במחשב האישי שלך. אך סביר להניח שאתה יכול לשלוט על Secure Boot מקושחת UEFI של המחשב שלך, שהיא כמו ה- BIOS במחשבים ישנים יותר.