Unified Extensible Firmware Interface

Unified Extensible Firmware Interface (UEFI, v překladu jednotné rozšiřitelné firmwarové rozhraní) definuje softwarové rozhraní (API) mezi operačním systémem a firmwarem obsluhujícím hardware v osobním počítači. UEFI je nástupcem původního rozhraní BIOS, které bylo používáno od prvních IBM PC kompatibilních počítačů. Specifikace UEFI je spravována aliancí Unified EFI Forum, avšak původně byla vyvinuta společností Intel pod kratším názvem EFI.

Role Extensible Firmware Interface ve struktuře počítače

Charakteristika

UEFI je nový standard, který je oficiálně zaváděn z několika důvodů. Prvním a nejdůležitějším důvodem je podpora Secure boot (viz dále). Druhým důvodem je využití schopností nových procesorů a ukončení zpětné kompatibility s 16bitovými procesory 8086, které byly v prvních IBM PC kompatibilních počítačích. Třetím důvodem pak je podpora GPT, která umožňuje zavést operační systém z diskových oddílů (resp. pevných disků) větších než 2 TiB (což je limit původního MBR).

Druhý a třetí výše uvedený důvod nemá reálný základ, protože již delší dobu existují varianty BIOSu, které tyto důvody řeší bez nutnosti zavádět zcela nekompatibilní UEFI standard (existuje 32bitový BIOS a existují BIOSy, které umí systém zavést z disků obsahujících GPT tabulku). Faktickým důvodem tak zřejmě je snaha prosadit Secure boot a zavést do startu počítače podporu binárních ovladačů, kdy výrobce hardware nemusí nikomu sdělovat podrobnosti ovládání a nastavení hardware, což umožňuje lépe vynucovat DRM (Digital rights management) kvůli ochraně autorsky chráněného obsahu proti kopírování (písničky, filmy). Vedlejším efektem je jisté omezení alternativních operačních systémů (Linux, FreeBSD apod.).

Secure boot

Na tuto kapitolu je přesměrováno heslo Secure boot.

UEFI Secure boot je ověřovací mechanismus, který umožňuje zajistit, že software spouštěný při startu počítače (bootování) je důvěryhodný. Je navržen tak, aby mohl zabránit aktivaci škodlivého kódu (malware) ještě před zavedením operačního systému. Secure boot pracuje na pricipu kontrolních součtů (otisk) a elektronického podpisu, který dokládá důvěryhodnost kódu, který zavaděč hodlá spustit. Pokud není důvěryhodnost kódu ověřena, je zabráněno jeho spuštění (aktivaci). Tímto způsobem je zabezpečen celý řetězec spouštění počítače včetně samotného operačního systému, který navíc znemožní přístup k funkcím, které by mohly zabezpečení obejít.

Většina stolních počítačů (IBM PC kompatibilních na platformě x86) obsahuje z výroby veřejný klíč firmy Microsoft, což znamená, že firma Microsoft funguje jako certifikační autorita pro Secure boot a tyto počítače automaticky důvěřují kódu, který obsahuje elektronický podpis Microsoftu. Veřejný klíč pro ověřování je uložen v BIOS/UEFI nebo v TPM čipu. Většina systémů je prodávána s aktivovanou funkcí Secure boot, takže může být zaveden jen Microsoftem podepsaný kód, ale obsahují možnost deaktivovat Secure boot nebo přidat vlastní klíče Platform key (PK). Některé dovolují odstranit veřejný klíč vložený výrobcem a systém pak bude zavádět pouze kód podepsaný dodatečně doplněným klíčem a nikoliv klíčem Microsoftu.

Firma Microsoft podepíše zavaděč (po splnění určitých podmínek a zaplacení poplatku) firmám i jednotlivcům (zavaděč se pak již nemůže měnit). Původní podmínky jsou však postupně zpřísňovány, takže v roce 2022 je téměř nemožné, aby jednotlivec tento podpis získal, což diskvalifikuje nezávislé vývojáře otevřeného software.

Většina UEFI kódu (tj. programů umístěných ve speciálním UEFI oddílu pevného disku) jsou podepsané zavaděče, ale mohou zde být i specializované programy (nástroje pro aktualizaci firmware počítače, nástroje pro kontrolu a výpis hardware počítače, diagnostiky závad a podobně).

V řadě Windows NT byla zavedena podpora secure bootu ve Windows 8 z roku 2012. Fedora podporuje Secure boot od verze 18 z roku 2013, Debian od verze 10 (Buster z roku 2019).

Shim

Shim je malý open source zavaděč, který je dobře zdokumentovaný a kód je auditovaný, a je tak bez problémů podepsán Microsoftem. Slouží jako prvostupňový zavaděč alternativních systémů, takže individuální vývojáři nemusí žádat o elektronický podpis Microsoftu. Shim obsahuje veřejný klíč příslušné linuxové distribuce a umožňuje tak zachovat důvěryhodný řetězec při bootování a aktivování operačního systému (GRUB, jádro a jeho moduly/ovladače atd.).

Omezení secure bootu

Secure boot nedokáže zamezit softwarovým chybám v operačním systému, a tak nezajišťuje 100% bezpečnost. Obsahuje zadní vrátka.

Historie

Původní záměr vytvořit EFI vznikl v počátcích vývoje prvních systémů Intel-HP Itanium v polovině 90. let 20. století. Pro platformu větších serverů, na které se Itanium zaměřovalo, byla považována omezení PC BIOSu (16bitový režim procesoru, 1 MB adresovatelného místa aj.) za nepřijatelná. Pokus o řešení těchto problémů se nejprve nazýval Intel Boot Initiative a později byl přejmenován na Extensible Firmware Interface.

EFI specifikace verze 1.02 byla vydána Intelem 12. prosince 2000. (Původní vydání 1.01 obsahovalo nesprávné právní údaje a informace o ochranné známce a bylo rychle staženo.)

EFI specifikace verze 1.10 byla vydána Intelem 1. prosince 2002. Oproti 1.02 zahrnovala ovladačový model EFI a mnoho menších vylepšení.

V roce 2005 Intel poskytl specifikaci UEFI Foru, které je nyní zodpovědné za vývoj a propagaci EFI. To bylo přejmenováno na Unified EFI (UEFI), ale ve většině dokumentace jsou oba termíny zaměnitelné.

UEFI Forum vydalo 7. ledna 2007 UEFI specifikaci verze 2.1. Ta přidala a vylepšila šifrování, síťovou autentizaci a architekturu uživatelského rozhraní.

Implementace

Intel Platform Innovation Framework pro EFI

Intel Platform Innovation Framework pro EFI (známé také jako „Framework“) je soubor specifikací vyvinutých Intelem v souvislosti s EFI. Zatímco EFI specifikuje rozhraní operačního systému a firmwaru, Framework specifikuje strukturu používanou k vytvoření firmwaru pod rozhraním EFI.

Platformy používající UEFI nebo Framework

První pracovní stanice a servery Itanium od Intelu, uvedené v roce 2000, podporovaly EFI 1.02.

První systémy Itanium 2 od Hewlett-Packard, uvedené v roce 2002, podporovaly EFI 1.10. Bylo na nich možné provozovat Windows, Linux, FreeBSD a HP-UX, v červnu 2003 byla doplněna podpora v OpenVMS.

V listopadu 2003 uvedla firma Gateway svůj počítač Gateway 610 Media Center. Šlo o první počítačový systém platformy x86 s Windows, který používal firmware založené na Frameworku – InsydeH2O od Insyde Software. Bootování Windows stále záviselo na BIOSu, implementovaném jako compatibility support module (CSM, modul pro podporu kompatibility).

V lednu 2006 začala společnost Apple Inc. prodávat své první počítače Macintosh s procesory Intel. Ty používají EFI a Framework namísto Open Firmware, který byl používán na předchozích Macích s procesory PowerPC. 5. dubna 2006 vydal Apple aplikaci Boot Camp, která umožňuje instalaci Windows XP nebo Vista bez nutnosti přeinstalovat Mac OS X. Také byla vydána aktualizace firmwaru doplňující k EFI podporu BIOSu. Pozdější modely Maců ji již obsahují. Všechny nyní prodávané Macintoshe (mimo Xserve) tedy umožňují provoz operačních systémů vyžadujících BIOS jako například Windows XP nebo Vista.

Převážná většina základních desek Intelu se prodává s firmwarem založeným na Frameworku. Během roku 2005 bylo prodáno více než milion systémů od Intelu obsahujících Framework. V roce 2006 se začaly prodávat nové mobilní, desktopové a serverové produkty používající Framework, například desky obsahující čipovou sadu řady Intel 945. Jejich firmware ovšem neobsahuje podporu EFI a je omezen použitím BIOSu.

Od roku 2005 se EFI implementuje také na jiné architektury než IBM PC jako například vestavěné systémy založené na jádrech XScale.

V roce 2007 uvedla společnost Hewlett-Packard multifunkční tiskárny série 8000 s firmwarem vyhovujícím specifikaci EFI.

V roce 2008 přešlo na technologii UEFI mnoho systémů platformy x64. Ačkoli některé z nich stále podporují pouze bootování systémů vyžadujících BIOS pomocí CSM, jiné začaly podporovat bootování operačních systémů založených na UEFI. Jsou to například: server IBM x3450, základní desky MSI s ClickBIOSem, všechny notebooky a Microsoft Tablet PC řady HP EliteBook nebo novější notebooky HP Compaq (6730b, 6735b aj.) Plánuje se, že na přelomu let 2009 a 2010 bude více než 50 % počítačů platformy x86-64 založeno na UEFI.

Operační systémy

Operační systém, který podporuje bootování z (U)EFI, je podle (U)EFI specifikace nazýván (U)EFI-aware OS (tj. OS uvědomující si UEFI). Termín bootování z (U)EFI označuje přímé bootování systému s použitím (U)EFI OS loaderu uloženého na jakémkoli nosiči dat.

• Linuxové systémy jsou schopné používat EFI pro bootování již od roku 2000 pomocí EFI bootloaderu ELILO nebo později EFI verzí GRUBu.
• HP-UX používá od roku 2002 (U)EFI jako způsob bootování na systémech IA-64.
• HP OpenVMS používá (U)EFI od svého počátečního ověřovacího vydání v prosinci 2003 a pro produkční vydání od ledna 2005.
• Apple adoptoval EFI pro svoji linii počítačů Macintosh používající procesory Intel. Mac OS X verze 10.4 Tiger pro Intel a Mac OS X verze 10.5 Leopard podporují EFI verze 1.10 ve 32bitovém režimu, i s 64bitovými procesory. (Novější Macy mají 64bitové EFI.)
• Itanium ve verzích pro Windows 2000 (Advanced Server Limited Edition a Datacenter Server Limited Edition) podporovalo v roce 2002 EFI 1.10. Jako požadavek platformy podle specifikace DIG64 podporují EFI Windows Server 2003 pro IA-64, Windows XP 64-bit Edition a Windows 2000 Advanced Server Limited Edition, vydané pro rodinu procesorů Intel Itanium.
• Microsoft zavedl podporu UEFI pro operační systém Windows na platformě x64 ve verzích Windows Server 2008 a Windows Vista Service Pack 1.

Grafické funkce

EFI podporuje grafická menu a funkce. Tyto možnosti využívá například Aptio nebo Great Wall UEFI.

Pro grafický výstup jsou v EFI specifikovány dva protokoly. První z nich je UGA, Universal Graphic Adapters. Druhý je GOP, Graphic Output Protocol. Tyto protokoly jsou si podobné. UGA je podporován pouze v EFI verze 1.1 a starší. EFI nedefinuje, jak má systém vypadat. To zcela závisí na implementaci jednotlivých výrobců. Zatím má většina strojů používajících EFI uživatelské rozhraní podobné klasickému BIOSu, výjimku tvoří počítače Macintosh.

Kritika

EFI je kritizováno kvůli tomu, že zavádí do systému větší komplikovanost, aniž by přineslo významné výhody a staví se zcela proti open-source náhradám BIOSu jako OpenBIOS a Coreboot.

První malware infikující UEFI byl nalezen a popsán na konci roku 2018.

Odkazy

Související články

• x86-64
• Basic Input/Output System (BIOS)
• Boot
• Coreboot
• Live USB
• Open Firmware
• OpenBIOS

Reference

V tomto článku byl použit překlad textu z článku Extensible Firmware Interface na anglické Wikipedii.

Externí odkazy

• Obrázky, zvuky či videa k tématu Extensible Firmware Interface na Wikimedia Commons
• Domovská stránka UEFI
• Architektura EFI (článek na portálu Dr. Dobbse)
• EFI Linux gnu toolchain (gnu-efi)
• Projekt EFI Linux Loader (ELILO)
• rEFIt, menu pro bootování a sada nástrojů pro správu strojů vybavených EFI
• Stránka Intelu ohledně EFI
• Stránka Intelu ohledně Frameworku
• Seznam příkazů podle Intelu
• Intelem sponzorovaná open-source iniciativa pro EFI Framework
• Oficiální stanovisko Microsoftu k EFI