Linux muss in Secure-Boot-Umgebungen noch weiter abgesichert werden.
Linux muss in Secure-Boot-Umgebungen noch weiter abgesichert werden. (Bild: Anniolek/CC BY 3.0)

Secure Boot Signierte ELF-Dateien sollen Linux absichern

Damit die Linux-Bootloader nicht auf Microsofts schwarzer Liste landen, müssen spezielle Funktionen des Linux-Kernels besonders abgesichert werden, darunter Kexec. Das wollen Entwickler mit signierten ELF-Dateien umsetzen.

Anzeige

Ausführbare ELF-Dateien sollen künftig signiert werden können. Damit soll beispielsweise verhindert werden, dass über die Kernel-Funktion Kexec weitere Kernel in einer ungesicherten Umgebung gestartet werden und damit UEFIs Secure Boot aushebeln. Entwickler Vivek Goyal hat signierte ELF-Dateien vorgeschlagen und bereits entsprechende Patches und ein Werkzeug bereitgestellt. Noch handelt es sich aber um ein RFC.

Entwickler und Secure-Boot-Experte Matthew Garrett hatte auf mögliche Schlupflöcher in dem mit UEFI umgesetzten Sicherheitssystem hingewiesen. Gegenwärtig müssten zahlreiche Funktionen im Linux-Kernel abgestellt werden, denn sie könnten dazu genutzt werden, Secure Boot auszuhebeln.

Schlupfloch Kexec

Eine davon ist der Aufruf Kexec, mit dem ein laufender Kernel einen weiteren - auch unsicheren - Kernel starten kann. Wird in einer solchen Situation mit Kexec ein Windows-Kernel gestartet, wähnt sich dieser in einer sicheren Umgebung. Bleibt Kexec unsicher, könnte das Microsoft dazu veranlassen, sämtliche Bootloader, die einen Kernel mit Kexec starten, auf die schwarze Liste zu setzen und damit die Installation von Linux auf von Microsoft zertifizierter Hardware erschweren.

Kexec zu deaktivieren, kommt für die meisten Kernel-Entwickler aber nicht infrage. Deshalb schlägt Goyal vor, binäre ELF-Dateien zu signieren. Erst wenn die Signatur vom laufenden Kernel bestätigt worden ist, kann eine ELF-Binärdatei die Funktion Kexec nutzen. Ist die Datei unsigniert, soll die Funktion Kexec gesperrt werden. Die Binärdatei kann aber weiterhin gefahrlose Funktionen aufrufen. Erst wenn die Signatur nicht verifiziert werden kann, verweigert der Kernel die Arbeit der Binärdatei gänzlich.

Eingeschränkte Funktionen

Erkennt der Kernel über seine Funktion binfmt_elf eine signierte Binärdatei, werden seine Speicherseiten solange blockiert, bis die Signatur verifiziert worden ist. Damit soll verhindert werden, dass die Datei nach der Verifizierung noch ausgetauscht werden kann.

Jede ausführbare Datei im Executable and Linking Format (ELF) besitzt einen entsprechenden Header. Darin soll die kryptographische Signatur untergebracht werden, und nicht am Ende der Binärdatei wie mit den jüngst eingeführten Signaturwerkzeugen des Kernels. Die Signatur soll aus dem Hash-Wert des Inhalts der PT_LOAD-ELF-Segmente der Datei bestehen und mit einem privaten Schlüssel signiert werden. Gegenwärtig soll das aber nur mit statisch gelinkten Dateien funktionieren, denn gemeinsam genutzten Bibliotheken kann ebenfalls nicht getraut werden.

Entwicklungsbedürftig

Noch ist Goyals Vorschlag nicht ausgereift. Denn seine Patches verhindern gegenwärtig nicht die Nutzung des Aufrufs dlopen, mit dem dynamische Bibliotheken geladen werden können, oder ptrace, mit dem nach wie vor Binärdateien manipuliert werden könnten.

Zwar besitzt Linux seit Kernel 3.7 mit der Integrity Measurement Architecture (IMA) bereits einen ähnlichen Mechanismus. Allerdings enthalte Goyals Vorschlag sinnvolle Funktionen, die es dort nicht gebe, schreibt Kernel-Entwickler Johnathen Corbet, etwa die Möglichkeit, Funktionen nur einzuschränken, wenn die Binärdatei nicht signiert ist, oder das Sperren der Speicherseite, das eine zusätzliche Sicherheitsfunktion darstellt.

Bis es eine endgültige Lösung gibt, müssten Linux-Distributionen Kexec aber deaktivieren, wenn sie nicht auf Microsofts Blacklist laden wollen.


Thaodan 17. Jan 2013

Das wird aber bei der Masse nicht klappen und wer die Masse ha, hat die Macht.

Kommentieren



Anzeige

  1. Senior Systemadministrator (m/w) (Microsoft/AD / VMware / Citrix)
    DATAGROUP Köln GmbH, Frankfurt am Main
  2. Fachinformatiker (m/w) Anwendungsentwicklung
    OSRAM Opto Semiconductors GmbH, Regensburg
  3. (Senior-) Berater (m/w) IT - Logistik (Land-, Bahn-, Luftverkehr, See-, Luftfracht oder KEP)
    Capgemini Deutschland GmbH, verschiedene Standorte
  4. (Senior) .NET Developer (m/w)
    Infoman AG, Stuttgart

 

Detailsuche


Top-Angebote
  1. NEU: Blu-rays unter 10 EUR
    (u. a. Oblivion, The Purge, Battlestar Galactica The Plan, Schlacht um Midway, Snitch)
  2. NEU: Fallout: New Vegas - Ultimate Edition [PC Steam Code]
    5,97€ USK 18
  3. TV-Superboxen reduziert
    (u. a. Fringe komplette Serie 56,97€, Friends komplette Serie 73,97€, The Clone Wars 1-5 für...

 

Weitere Angebote


Folgen Sie uns
       


  1. Konsolenhersteller

    Energiesparen ja, aber nicht beim Spielen

  2. RTL Disney Fernsehen

    Super RTL startet kostenpflichtige Streaming-Plattform

  3. Steam

    Gabe Newell über kostenpflichtige Mods

  4. Cross-Site-Scripting

    Offene Sicherheitslücke in Wordpress

  5. HTTPS

    Kaspersky ermöglicht Freak-Angriff

  6. Deep angespielt

    "Atme tief ein und tauche durch die virtuelle Welt"

  7. Federation Against Copyright Theft

    Mit Videoüberwachung im Kinosaal gegen Release Groups

  8. Razer Blade 2015 im Test

    Das bisher beste Gaming-Ultrabook

  9. Biomimetik

    Miniroboter zieht Vielfaches seines Eigengewichts nach oben

  10. Malware

    Apples Schutzmechanismen sind nahezu wirkungslos



Haben wir etwas übersehen?

E-Mail an news@golem.de



Schützen, laden, stylen: Interessantes Zubehör für die Apple Watch
Schützen, laden, stylen
Interessantes Zubehör für die Apple Watch
  1. iFixit-Teardown Herz der Apple Watch lässt sich nicht wechseln
  2. Smartwatch So funktioniert der Pulssensor der Apple Watch
  3. Smartwatch Apple Watch wird frühestens im Juni im Laden verkauft

The Ocean Cleanup: Ein Müllfänger für die Meere
The Ocean Cleanup
Ein Müllfänger für die Meere
  1. Vorbild Tintenfisch Tarnmaterial ändert seine Farbe
  2. Keine Science-Fiction Mit dem Laser gegen Weltraumschrott
  3. Maglev Magnetschwebebahn erreicht in Japan 590 km/h

GTA 5 im Technik-Test: So sieht eine famose PC-Umsetzung aus
GTA 5 im Technik-Test
So sieht eine famose PC-Umsetzung aus
  1. GTA 5 auf dem PC Erst beschränkter Zugriff, dann mehr Freiheit
  2. GTA 5 Es ist doch nicht 2004!
  3. GTA 5 PC Rockstar Games gibt Systemanforderungen für Ultra-HD bekannt

  1. Re: Wie schon im anderen Beitrag gesagt: Wer...

    blaub4r | 17:30

  2. Re: Und was für eine Lehre sollte man daraus...

    zZz | 17:30

  3. Re: Unterschied zu Dota 2 und Co.

    Lord Gamma | 17:28

  4. Re: Recht teuer

    most | 17:28

  5. Re: KDBUS

    mnementh | 17:28


  1. 17:26

  2. 17:13

  3. 16:24

  4. 14:46

  5. 14:34

  6. 14:00

  7. 13:21

  8. 12:00


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel