Vlákno názorů k článku Bezpečnostní modul IPE zajistí integritu Linuxu, vyvíjí ho Microsoft od Libor Peltan - Moc mi není jasné, čemu to dokáže zabránit....

Moc mi není jasné, čemu to dokáže zabránit. Když už se útočník dostane tak daleko, že je do systému schopen nahrát svou binárku, nemůže zrovna překonfigurovat volby jádra v zavaděči a IPE vypnout, nebo přenastavit na svůj klíč? Nebo rovnou vyměnit kernel a rebootovat stroj?

Filozoficky, dostali jsme se do bodu, kdy používáme nejuniverzálnější možnou architekturu postavenou na Linuxu, s očekáváním, že bude funkčně simulovat Harvardskou architekturu počítačů.

Rizika se nikdy nedají eliminovat na nulu a vždy zbude nějaký vektor útoku. Cílem je snižovat rizika. Chránit zavaděč můžete např. ve virtualizaci, nebo při síťovém bootu. Pak máte jistotu, že nikdo úmyslně (ani interní uživatel, ani externí útočník), ani nedopatřením nespustí nic, co nemáte pod kontrolou.

Co secureboot? Nemám to vyzkoušené, ale s efistub by měl snad jít podepsat kernel i s konfigurací.

Navíc, spousta věcí dneska neběhá jako čistý virtuál, ale v kontejnerech. Kde se nikdo k bootloaderu a kernelu vůbec nedostane :)

Secureboot v routerech/fire­wallech či virtualizačních platformách?

V routerech a firewallech to nemožné není, jde jen o to, jestli bude mít výrobce zájem.
Ve virtualizaci VMWare SecureBoot podporuje.

Podle tohoto mi přijde, že i Secureboot podporuje i KVM.
https://fedoraproject.org/wiki/Using_UEFI_with_QEMU#Testing_Secureboot_in_a_VM