どうやって既に存在するものを作れるの？

あなたがビジネスであることを考慮して、ライセンスの対象になる可能性のあるLinuxインストールのアイデアを調べた方がいいよ。もしプロモーションしたり、インストールのためのリソースを無償で提供したりするなら、それは多分問題ないと思う。でも、Linuxがプリインストールされたシステムを販売する場合は、少なくとも何らかの帰属が必要になるかもしれない。

正しいディストロを選んで、可能な限りアップデートを自動化しよう。MintはWindowsユーザーにとっては一番なじみやすい選択だよ。でも、彼らは絶対に自分から何もアップデートしない。永遠にね。

LibreOfficeとuBlock Originが含まれていることを確認してね。どれだけ速くて、広告が少なくて、文書を書くのにマイクロソフトのサブスクリプションが必要ないかを見せてあげて。ビジネスのお客さんには、Linuxでのデータベースがかなり安いことを知っておいてもらいたい。先週、自動化会社と話したときに「データベースが10GB近くになるたびに、いろいろ削除しないとマイクロソフトにお金を払わなきゃいけない」と言われたよ。しかも、Linux自体にはライセンス費用もかからない。これがMSがすでに根付いている大企業には通用しないかもしれないけど、小規模ビジネスには絶対にお得だよ。

これをやるなら、商業サポートが受けられるものを設定してあげてね。個人的には、ユーザーのニーズがChromebookで満たされるなら、Linux + ブラウザ + メール + Zoomなどで十分だと思う。もしOfficeや他のWindows専用ソフトに依存しているなら、説得するのは難しいだろうし、善意であっても、彼らが慣れ親しんだソフトを使えないのは逆効果かもしれない。

ターボタックスがウェブ専用に移行するって聞いた気がするけど、もしかしてそれは個人用だけで法人用じゃないのかな？

マイクロソフトがそれが必要だと装っている それが「人工的制限」の意味だと思う。マイクロソフトが必要だと装っているけど、実際にはそうじゃない。

その気持ちはわかるけど、正直言って必要ないと思う。私の意見では、その機能は自分が買ったハードウェアのコントロールを奪うために使われてる。コンピュータにより良いセキュリティを追加したいなら、オプトインにして、必要ない人に使わせようとしない方がいいよ。

私はWindowsを使ってないし、他の人のコンピュータでWindowsを使うとちょっと狂ってるなって感じる…でも、TPMやセキュアブートが彼らのソフトウェアの要件かどうかは、MSFTの選択だよね。もし彼らのソフトウェアがOSが信頼できるハードウェアにアクセスすることを前提にしているなら、それは要件になる。セキュア版と非セキュア版のWindowsを作るべきだという意見もあるけど、実際にそれを真剣に受け止める人は少ないと思う。ハードウェアがある程度信頼できると仮定することには多くの利点があるけど、逆にマイクロソフトが自分のマシンで何が信頼できるかをコントロールするのは嫌だよね。そういう場合は、MSFTにルート権限を与えたくないだろうし、別のOSの方がいいかもね。

そうだね、セキュアブートチェーンを提供してくれるけど、それを証明するのは難しい。例えば、TPM暗号化でディスク暗号化キーが保護されているところで働いたこともあるよ。これらは、（遅いけど）ハードウェアのランダム性のソースとしても使えることが多い。最近のIntel（8世代以降）やAMD Zen以降はfTPMも搭載してるし。これらはアップグレード中にBIOSで有効にして、また無効にすることもできる。個人的には、Win11が利用可能になった瞬間にアップグレードしたけど、それは無料のMS Windowsを永遠に使い続けたいからで、ゲームをするためだけに起動してるんだ。最近はそれも少なくなってきたけど。

セキュアブートはいつでもオンオフできるよ。これによる唯一の影響は、測定値にバインドされているかもしれない暗号化キーを失うことだね。だから、悪意のある人に対抗するためには、LUKSキーをバインドする必要がある。でも、それと同時にLUKSキーに強いPINを設定することもできるよ。

SSDだから、デフォルトで暗号化されてるよ。ユーザーと管理者のパスワードを設定するだけで、フルディスク暗号化ができる！HDD/SSDのパスワードはBIOS/UEFIから設定できるし、僕のおすすめはHDPARMの—SECURITYコマンドを使うこと。ドライブを取り外しても、別のコンピュータから直接接続すればロック解除できるし、UEFIがHDD/SSDのロック解除をサポートしてれば問題なし。サポートしてなければ、Linuxで動くプレブート認証をドライブにインストールしてロック解除して、その後は普通の非暗号化ドライブとして動作するよ。HDPARMやOPAL標準について調べてみて。

デュアルブートのWindowsについては何も言えないな。WindowsアップデートがカスタムEFI変数の設定を上書きして、Windowsブートローダーを再インストールすることがよくあるって聞いたことがある。それ以外は、FDEとセキュアブートは関係ないよ。ボードのUEFIは、あなたのカーネル＋initramfs（UKIバイナリ）か、好きなブートローダーを起動するんだ。ディストリビューションによっては、MSのサードパーティCAに署名されたgrubやsystemd-bootのようなブートローダーがすでにあるかもしれないし、その場合は自分のキーで生成して署名する必要はない。そうでなければ、自分のキーを生成してそれでセキュアブートを設定して、UKIバイナリやブートローダーバイナリにそのキーで署名する方法を考えないといけない。このinitramfsは、ルートやその他のパーティションを見つけてマウントする役割を果たすよ。systemdディストリビューションの場合、UAPI Discoverable Partitions仕様を使って（ルートパーティションには特定のタイプIDを使用）、systemdにはそのパーティションのLUKSパスワードをttyで入力するように促す組み込みのcryptsetupターゲットがあるよ。そうでなければ、ディストリビューションのinitramfsオプションを調べてみて。

• BIOS/UEFIで既存のWin10ドライブか新しいLinuxドライブのどちらかを選ぶデュアルブート。grubとsystemd-bootはどちらかの利用可能なEFIバイナリを選択するメニューを表示するよ。そうでなければ、UEFIが似たようなメニューを表示するかも。
• 壊れたコンピュータからドライブを取り出して、他の場所でアクセスできるようにしたい。再フォーマットしてバックアップからリロードする必要がないように。どんなPCでも、元のPCと同じパスワードを指定すればcryptsetupでドライブをマウントして復号化できるよ。
• セキュアブートをオフにした状態でディストリビューションをインストールしたら、後でメリットのためにオンにできるのか、それともその逆も可能？はい。ボードのUEFIを起動して、SBの状態を「セットアップモード」に設定してからOSを起動し、新しいキーを生成して登録すれば、SBが「ユーザーモード」に設定されて次回の起動時に署名が強制されるよ。もし壊れたら、ボードのUEFIで「セットアップモード」に戻してOSを起動し、トラブルシュートやキーの再登録ができる。OSは以前にSBを有効にしていたことを気にしないけど、今はSBを無効にして起動することになるよ。セキュアブートとメジャードブートは違うから注意してね。標準のメジャードブート設定では、ディスク暗号化キーはボード上のセキュアエレメント（例えばTPM）がブートチェーンを測定して保護するから、ブートチェーンが前の測定と一致すれば自動的にディスクが復号化されて、一致しなければ自動的に復号化に失敗するよ。ディスクの復号化に失敗することへの懸念はこの設定に関するもので、SBには関係ないよ。でもLUKS暗号化されたパーティションは複数のキーを持つことができるから、メジャードブートで保護された暗号化キーと手動でディスクを解除するための緊急用パスワードの両方を持つことができるよ。

slicktuxの提案に賛成だよ：OPALを調べてみて。LUKSに比べて設定や使い方がずっと簡単だし、OSに対して暗号化が透明だから、複数のOSをマルチブートしても暗号化やパーティションツールとの互換性を心配しなくていい。だけど、ドライブはOPALをサポートしている必要があるから、SEDの管理にはsedcliをチェックしてみて。

ごめんね。ハッカーニュースの読者向けに、スイッチの理由を説明しようとしてたんだ。

私はメインPCにDebian Stable + Gnomeを使ってる。Linuxで利用できるネイティブアプリをいくつか使ってるし、他のアプリはほとんどウェブベース。昔はGnomeデスクトップがあまり好きじゃなかったけど、今のGnomeは速くて、無駄がなくて、邪魔にならないんだよね。

• 図を作るなら、draw.ioは悪くない代替手段だよ。Photoshopユーザーには、Photopeaの方がGIMPより合うかもしれないし、本当にAdobeエコシステムに留まりたいならPhotoshop Express/Onlineもあるよ。

その通りだね。今のスマホの状況を見れば、ベンダーに承認されていないものは起動できないからね。

その機能が変わったら、その状況を生み出す可能性があると思う。言葉を更新した方がいいかもしれないけど、消費者の選択肢の観点から見ると、そういう解決策はベンダー特有で、オープンな組織によって管理されているわけじゃない気がする。

でも、全体の設計がクローズドでファームウェアもそうだから、セキュリティはほぼゼロだよ。ファームウェアデバイスイメージ（例えばオプションROM）をシールすることさえ難しいし、ブートローダーはなおさら。いくつかのセキュリティホールが見つかってるし、標準のWindowsブートローダーでブートルートキットを起動するのに問題はないよ。手動でコマンドラインやグループポリシーでイメージをシールしない限り、同じイメージがワイプ後に起動するから、新しいブートローダーをインストールすることでバイパスされる可能性もあるんだ。

これは古い逆効果のFSFミームで、もう引退すべきだけど、なぜか残ってるよね。

「Secure Bootに関して言えば、Microsoftは実際にユーザーの選択肢を促進したと言える。Windowsロゴに準拠したPCは、デフォルトでMicrosoftの信頼のルートがインストールされている必要がある。Microsoftはそこで止まることもできたけど、そうしなかった。最初のSecure Bootの導入時は、BIOSがロックされていて、特定のデバイスではWindows 8しか起動できないようにされていた。あの時代のWindows RT ARMマシンがそうだった。今は、再びマシンをロックダウンするにはビットをひっくり返すか、e-fuseを吹き飛ばすだけで済む。すでにスマホやタブレットではそうなってる。TPMや暗号コプロセッサを悪用してリモート認証を強制する可能性もある。私はあなたの最初の段落に賛成し、すべてのマシンでSecure BootとTPMを使っている人間としてこれを言う。」

表面的にはただのセキュリティ機能だけど、実際には業界全体がそれを使ってデバイス認証システムを実装して、プラットフォームをロックダウンしてソフトウェアエコシステムの中央集権的な管理を進めているんだ。別のOSをインストールできても、重要なアプリやウェブサイトが動かないならあまり意味がないよね。

TPMとSecure Bootは、第三者に対してそれを使っていることや特定の設定をしていることを証明する手段がなければ良いものなんだけど（つまり、リモート認証のことね）。それが可能であることが、ユーザーの選択肢を減らし、国家や企業の監視を促進する要因になってるんだ。

https://www.welivesecurity.com/2023/03/01/blacklotus-uefi-bo...

あなたが「OSを設定して邪魔にならないようにする」ためのキャパシティに達してないだけのように聞こえる。それは人それぞれの選択だよね。Windows 10は、インストール後に変更しなきゃいけないデフォルトの数が多すぎて、結局私のキャパを超えちゃった。これがWindows 10がリリースされてすぐのことで、私はWindows 7の後に出たWindows 8のハイブリッドのモンスターが嫌いだった。Windows 7が最高だと思ってるからね。だから、Pop! OSに移行して、デスクトップとノートパソコンで5年以上楽しんでるよ。

セミパワーユーザーなら誰でも気づいてイライラすること： * OSをインストールするのにインターネットとMicrosoftアカウントが必要 * スタートメニューがプログラムリストにアクセスするのに2回クリックが必要 * 右クリックで使いたいオプションにアクセスするのに2回クリックが必要（例えば、7zで解凍したり特定のプログラムで開く） * タスクマネージャーが遅くてラグがある * 通知エリアにゲームインストールを促すランダムな広告が出る * ... あと、日常的にイライラさせる小さなバグがあちこちにある： * エクスプローラーのタブが時々クリックを受け付けなくなる（キーボード選択はできる）。だから、タブを閉じて再オープンする必要がある * キーボードレイアウトの設定が壊れて、リセットする適切な方法がない（この設定が新しい設定アプリの20階層も深く埋もれていることはさておき） * 設定アプリの検索が機能しない * ... 私の意見では、これが最悪のWindowsバージョン（VistaやMEを抜いて）だよ。普段はLinuxを使ってるけど、仕事ではWindowsを使わざるを得なくて、もちろんWindows 11にアップグレードさせられたよ...

大多数の人は、ウェブブラウジングやドキュメント/スプレッドシートの編集など、基本的な機能のためにPCを使ってると思う。そういうユーザーにはLinuxで十分だよ。私の70歳の母がその典型例で、Windows 3.1から7までのすべてのバージョンを使って、10年前にLinuxに切り替えたけど、全く問題ないよ。もし母がLinuxを使えるなら、普通の人も使えるはず。問題が起こるのは、パワーユーザーや特定の専用ソフトウェア/ハードウェアの要件があるユーザーだね。カーネルレベルのアンチチートがあるゲームをプレイするゲーマーや、AdobeやAutoCADなどに依存しているプロフェッショナルたちがそうだ。