Private Key & Open Source

[Kaliumhexacyanoferrat]

Doofe Frage ... aber müsste bei einem Open-Source-Programm nicht auch der private Schlüssel, der zur Signierung des Pre-Loaders verwendet wurde, irgendwo im Repository liegen? Und könnte man als Malware-Hersteller diesen Key nicht einfach verwenden, um Malware zu signieren?

Weiß jemand, wie dies üblicherweise in quelloffenen Projekten gehandhabt wird?

[mc-kay]

Kommt auf die Lizenz an.
Ich glaube wenn es die GPL wäre müssten die Key's öffentlich sein.
Sie werden dann wahrscheinlich eine BSD Lizenz oder ähnliches nehmen die die Weitergabe ohne Quellcode erlaubt.

[kabbalah]

Den Private Key wird Microsoft nicht hergeben, da man sonst damit alles signieren könnte. Der Bootloader bekommt nur eine Signatur, die sich mit dem Public Key überprüfen lässt.

[Kaliumhexacyanoferrat]

Aha, und wie sieht "bekommt nur eine Signatur" dann aus? Erhält der Antragssteller nicht ein Zertifikat (inklusive privatem Schlüssel) unterhalb der Secure-Boot-Root-CA von Microsoft (deren privaten Schlüssel Microsoft natürlich nicht rausgibt)?

[Thaodan]

War das nnicht nur bei GPL3 der Fall und nicht bei der GPL 2?

Wahrung der Menschenrechte oder Freie fahrt am Wochenende.
-- Georg Schramm

[honk]

Nein, natürlich nicht. Was soll der Private Key mit dem Programmcode zu tun haben?

Wäre sonst auch ziemlich blöde.

[tingelchen]

Das mit den Schlüsseln kann schnell komplex werden :) Die einfachste Form sieht so aus. Man erstellt einen CA. Dieser besteht aus einem öffentlichen und einem privaten Schlüssel. Der öffentliche wird an die einzelnen Stellen verteilt. Z.B. Mail Programme, Browser oder in diesem Fall die Mainboard Hersteller. Der private wird natürlich nicht raus gerückt.

Denn mit dem privaten CA Schlüssel können neue Zertifikate ausgestellt werden. Der Antragssteller bekommt nun ein neues Zertifikat, signiert mit dem privaten CA Schlüssel. Dieses landet dann im Boot Loader und kann gegen den öffentlichen CA Schlüssel, gespeichert im EFI, gegen geprüft werden.


Evtl. wird das Zertifikat des Antragsstellers auch noch zusätzlich verschlüsselt und das Passwort mit einem bestimmten Verfahren erstellt. Die Basis könnte z.B. ein Hash Wert des Boot Loaders sein.

So könnte man zum einen verhindern das Fremde, trotz öffentlichen Zugriff, das Zertifikat erhalten und zum anderen, das man diesen Schlüssel nicht für das laden eines fremden Boot Loaders missbrauchen kann. Zumindest nicht so einfach :)