[Ciko 0]

Чому звичайні ноутбуки проблема

Стандартний ноутбук будь-якого великого виробника - Dell, Lenovo, HP - містить кілька рівнів закритого пропрієтарного коду, який працює нижче операційної системи і який неможливо перевірити. BIOS/UEFI прошивка, Intel Management Engine або AMD Platform Security Processor, контролери пристроїв - все це закриті бінарники, яким ви змушені довіряти сліпо.

Purism Librem 14

Librem 14 це ноутбук американської компанії Purism, спроектований з явним пріоритетом безпеки, що верифікується, на апаратному рівні.

Ключова особливість – нейтралізація Intel Management Engine. IME це окремий процесор всередині процесора, який працює незалежно від основної системи, має доступ до пам'яті, мережі і може працювати навіть коли комп'ютер вимкнено. На Librem 14 IME нейтралізовано через офіційний механізм HAP bit – це не повне видалення, але значне скорочення функціональності та поверхні атаки.

Відкрита прошивка - Librem 14 поставляється з coreboot замість пропрієтарного BIOS і PureBoot замість стандартного завантажувача. PureBoot використовує TPM чіп та фізичний ключ безпеки (Librem Key – модифікований Nitrokey) для верифікації цілісності прошивки та завантажувача при кожному старті. Якщо хтось модифікував прошивку, поки пристрій був не під вашим контролем — система при наступному завантаженні покаже попередження через зміну індикатора на ключі.

Фізичні перемикачі - окремі апаратні перемикачі для камери та мікрофона, і окремі для Wi-Fi та Bluetooth. Це не програмне відключення, яке можна обійти через вразливість — фізичний розрив ланцюга на рівні заліза. Камера і мікрофон фізично відключені поки перемикач у положенні off незалежно від того, що робить операційна система.

Підтримувані операційні системи - PureOS (власний дистрибутив Purism заснований на Debian), але працює з будь-яким Linux, включаючи Tails, Qubes OS, NixOS про який говорили раніше.

Чесні обмеження — Librem 14 значно дорожчий за звичайний ноутбук аналогічних характеристик, продуктивність не видатна, і компанія невелика що створює ризики довгострокової підтримки.

System76

System76 - американська компанія з Денвера, спочатку спеціалізувалася на ноутбуках з Linux, але в останні роки рухається у бік відкритого заліза.

Coreboot - System76 активно переводить свої ноутбуки на coreboot, і це вже реалізовано на декількох моделях, включаючи Galago Pro і Lemur Pro. Відкрита прошивка перевіряється та аудується на відміну від пропрієтарного BIOS.

System76 Open Firmware — компанія розробляє власну надбудову над coreboot, яку називає System76 Open Firmware, публікує вихідний код і бере активну участь у розробці coreboot upstream.

PopOS – власний дистрибутив Ubuntu з додатковими налаштуваннями, але ноутбуки System76 працюють із будь-яким Linux.

Thelio — окрім ноутбуків, компанія виробляє десктопи з відкритою прошивкою і навіть публікує механічні креслення корпусів як відкрите залізо.

Чесні обмеження System76 не нейтралізує Intel ME на відміну від Purism, фізичних перемикачів немає на більшості моделей. Це швидше "максимально відкритий Linux ноутбук", ніж "параноїдальна безпека".

Порівняння двох підходів

Purism йде глибше на рівень заліза – нейтралізація IME, фізичні перемикачі, апаратна верифікація завантаження. Це максимальний захист від загроз на рівні прошивки.

System76 йде ширше – відкрита прошивка, відкрите залізо, активна участь у open source екосистемі. Це практичніший варіант для повсякденного використання без жертви зручністю.

Альтернативи, які варто знати

Тhinkpad з coreboot - класичні моделі Lenovo ThinkPad X230, T430, X220 мають зрілу підтримку coreboot через проект Skulls і libreboot. Це старе залізо але з найперевіренішим часом відкритим стеком прошивок і значно дешевше.


Framework Laptop — модульний ноутбук із замінними компонентами, що рухається у бік відкритої прошивки. Не досягає рівня Purism але значно краще за звичайних виробників за прозорістю.

Практичний висновок

Якщо в моделі загроз є противник, здатний на атаку рівня прошивки (evil maid атака на BIOS, компрометація IME) - Librem 14 з PureBoot і Librem Key це єдиний комерційно доступний варіант з апаратною верифікацією цілісності при кожному завантаженні.


Якщо потрібний просто хороший Linux ноутбук з відкритою прошивкою без екзотичних вимог - System76 або Framework з coreboot дають хороше співвідношення відкритості та практичності.