Fedora プロジェクトは、Linux ディストリビューションを次世代の安全なデスクトップ コンピューティング ハードウェア上で実行できるようにするために、Microsoft からデジタル署名を取得する予定であると、同プロジェクトの開発者が水曜日に発表した。
「これは魅力的な解決策ではないが、実行可能な解決策だ」とマシュー・ギャレット氏は水曜日のブログ投稿に記した。「他のアプローチはすべて実行不可能だという結論に達した」
オープンソースディストリビューションの次のリリースである Fedora 18 は 11 月に予定されており、UEFI (Unified Extensible Firmware Interface) を使用するコンピューターで実行できる最初のバージョンになります。UEFI では、マシンで実行する前にオペレーティング システムがデジタル キーを提供する必要があります。
ハードウェア開発者の間で UEFI の採用が拡大するにつれ (主に Microsoft の要請による)、Fedora プロジェクトはいくつかの代替案に直面したが、どれも完全に満足できるものではなかったと Garrett 氏は語った。
Fedoraはデジタル証明書の要求を無視することもできます。しかし、そうするとユーザーはファームウェアの設定をいじる必要があり、技術に詳しくないユーザーにとっては使い勝手が悪くなります。「スキルのないユーザーがLinuxを使うことを困難にしたり不可能にしたりしても、フリーソフトウェアの理念は推進されません。このアプローチには欠点もありますが、90年代のような状況に陥ることも避けられます」とギャレット氏は続けました。「ユーザーは改変されたソフトウェアを実行する自由を保持します。それを不可能にするような解決策は、私たちは決して受け入れません。」
もう一つの可能性は、Fedoraが独自の鍵を生成することです。しかし、このアプローチでは各ハードウェアメーカーの承認が必要となり、実現は困難です。また、Fedoraと互換性のあるコンピュータやコンポーネントのリストが長くなる可能性があります。また、Slackwareのような、鍵を管理するリソースが不足している可能性のある、他の小規模なLinuxディストリビューションも対象外となってしまいます。
Fedoraプロジェクトは、すべてのLinuxディストリビューションに対応するキーの作成も検討しました。しかし、このアプローチは最終的に数百万ドルの費用と長い時間がかかり、ほとんどのLinuxディストリビューターにはそれを賄うだけのリソースがありませんでした。
Fedora が選択した方法では、組織は Microsoft に Fedora ディストリビューションのバイナリ リリースへの署名を依頼するために 99 ドルを支払うことになります。証明書のコストは、Fedora の年 2 回のリリース スケジュールでは年間 200 ドル未満ですが、名目上は Microsoft に Fedora の制御が渡されることになります。マシンはキーを使用して、ディストリビューションのバイナリ バージョンがキー署名者に提出されたものと同一かどうかを確認できます。次に、Fedora のエンジニアがブートローダー (コンピューターの電源投入時にオペレーティング システムをロードする小さなプログラム) を開発します。このブートローダーは、必要な Microsoft キーをハードウェアに提供し、操作を標準ブートローダーに引き渡します。Garrett はこのソフトウェアを「シム」と呼び、コンピューターのブート プロセスの遅延を最小限に抑えるソフトウェアと表現しました。
ギャレット氏は、このアプローチにも欠点があることを認めている。カーネルの一部機能はロックダウンされる。また、カーネルモジュールには署名が必要になる。独自のカーネルバイナリをコンパイルする開発者は、ファームウェア会社に直接申請するか、Fedoraのブートローダーに似たシムを作成するなど、署名を得る方法を見つけなければならない。あるいは、証明書を必要としないコンピューター上でバイナリを実行することも可能だ。
プロジェクトにはまだ他の可能性もあるが、これまでのところ、UEFI マシンで Fedora を実行するには、Microsoft からキーを購入するのが最も実現可能な方法だと Garrett 氏は語った。
それでもなお、コンピューター上でLinuxを実行するための承認をMicrosoftに求めるという行為は、かつてMicrosoftがオープンソースに対して敵対的な姿勢をとっていたことを覚えている、長年のオープンソース支持者にとって苦い薬となるかもしれない。「Microsoftが99ドルの署名プログラムの規約を変更してFedoraを排除した場合、Fedoraはどのような計画を持っているのだろうか？」と、ギャレット氏の投稿にコメントしたある人物は疑問を呈した。
昨年、マイクロソフトはWindows 8オペレーティングシステムを実行するすべてのコンピューターで、ファームウェアによるUEFIのサポートを必須にすると発表しました。x86システムではUEFIを無効にすることができますが、ARMプロセッサ搭載コンピューターではこのオプションは利用できません。ギャレット氏は、ARMコンピューターへのUEFIの強制については、マイクロソフトのこれらのベンダーに対する影響力がそれほど大きくないため、それほど懸念していません。
ジョアブ・ジャクソンは、IDGニュースサービスでエンタープライズソフトウェアとテクノロジー全般の最新ニュースを担当しています。Twitterで@Joab_Jacksonをフォローしてください。ジョアブのメールアドレスは[email protected]です。
