Auf ARM-Geräten soll laut Vorgaben von Microsoft Secure Boot zwingend erforderlich sein.
Auf ARM-Geräten soll laut Vorgaben von Microsoft Secure Boot zwingend erforderlich sein. (Bild: Microsoft)

UEFI Secure-Boot macht Linux weiter Probleme

Die technischen Hürden einer Linux-Installation auf UEFI-Geräten werden sich überwinden lassen. Nutzerfreundlich wird das wohl aber nicht, befürchtet Entwickler Matthew Garrett.

Anzeige

Der Red-Hat-Angestellte Matthew Garrett äußert starke Bedenken darüber, ob sich Linux trotz UEFI-Secure-Boot auf Windows-8-Geräten installieren lassen wird. "Wir können den für Secure-Boot benötigten Code in kurzer Zeit schreiben - tatsächlich ist das meiste davon schon getan. Aber erhebliche praktische Probleme bleiben bestehen und bis jetzt haben wir keine praktikable Lösung für auch nur eines davon."

"Kernel signieren reicht nicht"

Garrett schreibt zum Beispiel von dem Risiko, das ein global verfügbarer Linux-Schlüssel berge. Angreifer könnten diesen nutzen, um einen "Malware-Loader" zwischen den Firmware-Start und den Bootloader zu schalten. Der "Malware-Loader" wäre dabei ein stark modifizierter Linux-Kernel mit Schadcode, der sich selbst vor dem laufenden System versteckt, Nutzereingaben jedoch mitschreibt.

Deshalb sei das Signieren des Kernels mit einem Schlüssel einfach nicht genug. Genaugenommen dürfte der Kernel nur signierten Code starten. Proprietäre Binärtreiber ließen sich dann ebenso wenig einsetzen wie selbst kompilierte Treiber. Dies gelte auch für Windows 8, schreibt Garret.

Custom Mode erschwert Installation

Die Option Custom Mode der UEFI-Spezifikation sieht vor, dass Nutzer eigene Schlüssel in die Firmware einpflegen können. Diese Option griff Garrett bereits auf und schlug vor, dass Linux-Distributionen ihre Schlüssel einfach mitliefern. Dadurch würde die Installation jedoch deutlich erschwert, da Anwender die Firmware verändern müssten.

Außerdem schreibt die Spezifikation vor, wie genau Anwender den Custom Mode benutzen müssen. Unter anderem muss die Veränderung durch physisch vorhandene Nutzer geschehen, die gleichzeitige Installation auf mehreren Rechner über das Netzwerk würde dadurch unmöglich. Darüber hinaus gibt es keine Vorgabe, wie die User Interfaces des Custom Mode auszusehen haben, theoretisch unterscheiden sie sich also je nach Firmware-Hersteller.

Schlüsselformat nicht spezifiziert

Laut Garrett ist das Format der Schlüssel nirgendwo definiert und er fragt sich, ob der Schlüssel in reinem Binärcode vorliegen wird, als "EFI_SIGNATURE_DATA" oder gar "Base64-codiert und darüber hinaus mit Rot13 geschützt."

Auch wie die Schlüssel verteilt werden könnten, bereitet Garrett Sorgen. Sollten die Schlüssel asymmetrisch erzeugt werden, kann der private Schlüssel nicht einfach herausgegeben werden. Distributionen müssten ihre Schlüssel dann selbst erzeugen und an die Firmware-Hersteller aushändigen. Das fiele aber vor allem kleinen Projekten extrem schwer. Garrett schreibt pessimistisch: "Bastler-Linux-Distributionen werden damit der Vergangenheit angehören."

Kein Ende in Sicht

Bisher schob Microsoft das Problem von sich zu den OEM-Herstellern oder verbietet den Custom Mode auf ARM-Geräten. Die FSF startete die Kampagne Restricted-Boot, Garrett selbst, oder auch die Linux-Foundation und Canonical machten bereits Vorschläge, wie Nutzer eigene Schlüssel installieren könnten.

Das sind allerdings größtenteils technische Bedenken, dazu kommen die von Garrett nun geäußerten Hürden für Anwender bei der Installation. Die vielen offenen Fragen werden sich letztlich erst nach der Veröffentlichung von Windows 8 beantworten lassen.


GmaWelt 23. Jan 2012

das ist mir genau so passiert. da mir das auf einem netzlaufwerk passierte, gab's auch...

NeverDefeated 20. Jan 2012

Es ist ganz simpel: Bis das Problem nicht behoben ist verzichtet man einfach auf den Kauf...

Vanger 19. Jan 2012

Ja, weil das auch wirklich jeder Linux-Nutzer problemlos hinbekommt. Wenn ich da an...

Dreami 18. Jan 2012

Mal abgesehen davon was die anderen gesagt haben, dort signiert der Hersteller das ROM...

Threat-Anzeiger 18. Jan 2012

nein, es geht darum dass OEM-PCs nur mit vorinstalliertem Windows-Key kommen, und man...

Kommentieren



Anzeige

  1. Software Projektmanager (m/w)
    MBtech Group GmbH & Co. KGaA, Stuttgart Sindelfingen
  2. Embedded Software Engineer (m/w)
    GIGATRONIK Technologies AG, Wil SG (Schweiz)
  3. Teamleiter Web Development (m/w) Schwerpunkt Enterprise Applications & moderne Web Frameworks - Front- & Backend
    GIGATRONIK Stuttgart GmbH, Stuttgart
  4. Service Desk Mitarbeiter/in
    Fraunhofer-Gesellschaft zur Förderung der angewandten Forschung e.V., St. Augustin

 

Detailsuche


Spiele-Angebote
  1. NEU: PS4 + The Witcher 3 + Comic
    399,00€
  2. VORBESTELLBAR: Guild Wars 2 Heart of Thorns Vorverkaufsbox
    44,99€ (Vorbesteller-Preisgarantie)
  3. VORBESTELLAKTION: Tom Clancy's Rainbow Six Siege
    ab 59,95€ (Vorbesteller-Preisgarantie) - Vorbesteller erhalten Beta-Zugang - Release 13.10.

 

Weitere Angebote


Folgen Sie uns
       


  1. One Earth Message

    Bilder und Töne für Außerirdische

  2. Tropico 5

    Espionage mit El Presidente

  3. Tessel

    Offenes Entwicklerboard soll wie Io.js verwaltet werden

  4. Hack auf Datingplattform

    Sexuelle Vorlieben von Millionen Menschen veröffentlicht

  5. Angriff auf kritische Infrastrukturen

    Bundestag, bitte melden!

  6. Mark Shuttleworth

    Canonical erwägt offenbar Börsengang

  7. Amazon

    Fire TV Stick für 29 Euro

  8. Umfrage

    US-Bürger misstrauen Regierung beim Umgang mit Daten

  9. Mozilla

    Firefox personalisiert Werbung mit Browserverlauf

  10. Tracking auf Unternehmensseiten

    Verbraucherschützern gefällt der Gefällt-mir-Knopf nicht



Haben wir etwas übersehen?

E-Mail an news@golem.de



Apps für Googles Cardboard: Her mit der Pappe!
Apps für Googles Cardboard
Her mit der Pappe!
  1. Game of Thrones Auf der Mauer weht ein eisiger Wind
  2. VR im Journalismus So nah, dass es fast wehtut
  3. Deep angespielt "Atme tief ein und tauche durch die virtuelle Welt"

BND-Selektorenaffäre: Die stille Löschaktion des W. O.
BND-Selektorenaffäre
Die stille Löschaktion des W. O.
  1. BND-Chef Schindler "Wir sind abhängig von der NSA"
  2. BND-Metadatensuche "Die Nadel im Heuhaufen ist zerbrochen"
  3. NSA Streit um Selektoren-Liste zwischen Gabriel und Steinmeier

SSD HyperX Predator im Test: Kingstons Mischung ist gelungen
SSD HyperX Predator im Test
Kingstons Mischung ist gelungen
  1. Z-Drive 6300 Neue SSD bietet bis zu 6,4 TByte Speicherplatz
  2. Crucial BX100 und MX200 im Test Mehr SSD pro Euro gibt's derzeit nicht
  3. Plextor M6e Black Edition im Kurztest Auch eine günstige SSD kann teuer erkauft sein

  1. Re: Politische Inhalte von Star Trek

    Moe479 | 22:35

  2. Re: Killer poke

    borg | 22:27

  3. Re: Kodi-Raspberry ablösen!

    JakeJeremy | 22:25

  4. OT: Re: Wie groß sind die patches?

    Katsuragi | 22:24

  5. Re: Dauerdashcam, Antidiskriminierung...

    Bond2602 | 22:24


  1. 18:43

  2. 15:32

  3. 15:26

  4. 15:09

  5. 14:21

  6. 14:08

  7. 13:54

  8. 13:44


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel