UEFI platforma a bootování otevřených OS

[Pavel Troller]

Zdravím,
  dovolil bych si na začátku víkendu otevřít téma, k němuž mne inspiroval tento
článek:
https://www.computerworld.com/s/article/9227662/Fedora_Linux_capitulates_to_Microsoft_boot_certificate
  Píše se tam, že pánové od Fedory kapitulovali před lobby microsoftu a začnou
si od něj nechávat podepisovat image svých operačních systémů pro zajištění
bezproblémového chodu na UEFI platformách.
  Jako svobodnému uživateli a hlavně integrátorovi vlastní distribuce mi docela
zatrnulo - opravdu se blíží doba, kdy si nebudu moci spustit vlastní software
na běžném "drogériovém" hardware ? Docela bych chtěl vědět, jak to celé 
funguje.
  Co všechno musí být podepsáno ? Bootloader ? Nu to by ještě nebyla taková
katastrofa, použil by se nějaký binární image, stejně je binární celý ten UEFI
bios, tak by se to jen maličko posunulo dál. Ale není mi jasné, k čemu by to
bylo dobré, co by to řešilo. Nebo musí být podepsaný i kernel ? To by ale
musel kontrolovat ten bootloader, že ? Nerozumím tomu. To by zase bylo na nic,
když by bootloader (který je nyní pod kontrolou např. Fedory) dovolil dále
bootnout libovolné jádro a to pak zase dovolilo spustit cokoliv jiného, tak 
k čemu by tam ten podpis vlastně byl ? Tak mám obavu, že ten "Chain of trust"
se bude protahovat ve směru bootloader -> jádro -> aplikace a že vlastně takový
OS bude zcela nemodifikovatelný, že na něm nepůjde spustit nic, co nebude
originál od dodavatele OSu.
  Jak tyto UEFI platformy pracují ? V tom článku je uvedeno, že ten podpis není
stoprocentně nutný, ale že si pak uživatel musí hrát s nastaveními toho
firmware. Slyšel jsem i názor, že sice půjde bootovat i bez podpisu, ale lepší
vlastnosti desky (HD režimy video/audio atd.) budou blokovány, aby na tom nešel
např. přehrávat upirátěný film (protože v certifikovaném OSu nepůjde upirátěný
film přehrát - nedovolí to patrně přehrávač a jiný tam nespustíte, deska se
odemkne, aby šel přehrát legálním přehrávačem legální film).
  Prosím tedy o vysvětlení místní znalce a počítačové experty, zda je tato
hrozba skutečná, nebo jde jen o nějaký vstřícný krok Fedory, aby se vlichotila
Microsoftu a on ji třeba pak méně žaloval za porušování různých patentů, což
jak víme, občas dělá.
  Na závěr prosím všechny přispěvatele o udržení tématu, nechtěl bych, aby se
toto vlákno zvrhlo do flamewaru ani do přetřásání globální/lokální politiky
či čehokoliv, co s UEFI přímo nesouvisí. Děkuji!
  Zdraví Pavel