Eigene Schlüssel können zu Shim hinzugefügt werden.
Eigene Schlüssel können zu Shim hinzugefügt werden. (Bild: Suse)

UEFI Secure Boot Eigene Schlüssel unter Linux hinzufügen

Über den Bootloader Shim sollen sich eigene Secure-Boot-Schlüssel für Linux in einer Datenbank hinterlegen lassen. Andere Linux-Distributionen benötigen dann nur noch den signierten Shim-Loader von Fedora.

Anzeige

Angeregt durch einen Vorschlag von Suse-Mitarbeitern hat Matthew Garrett eine Funktion in den Bootloader Shim eingebaut, die es ermöglicht, eigene Secure-Boot-Schlüssel zu nutzen. Diese werden statt in der Firmware einfach in einer Schlüsseldatenbank innerhalb von Shim abgelegt. So ist es theoretisch für alle Distributionen ausreichend, den für Fedora signierten Shim-Loader in das Installationsmedium zu übernehmen.

  • Illustration von Secure-Boot mit Shim und eigener Schlüssel-Datenbank (Bild: Suse)
Illustration von Secure-Boot mit Shim und eigener Schlüssel-Datenbank (Bild: Suse)

Shim selbst wird wie vorgesehen den von Microsoft bereitgestellten Schlüssel zur Verifikation nutzen. Auf Shim folgende Bootloader wie Grub2 können mit einem distributionseigenen Schlüssel gestartet werden, sofern sich dieser in der Shim-Datenbank befindet.

Sollte ein Schlüssel, zum Beispiel bei einer Installation, noch nicht in der Datenbank vorhanden sein, erscheint ein von Garrett implementiertes GUI. Dieses ermöglicht es, neue Schlüssel in der Datenbank zu hinterlegen. Nach einem Neustart soll sich der neue Schlüssel dann nutzen lassen.

Ein Shim für alle - oder nicht?

Garrett zufolge hat die neue Funktion in Shim den Vorteil, dass auch kleine Distributionen Secure-Boot verwenden können, ohne sich bei Microsoft um eine Signatur bemühen zu müssen. Die einzigen Alternativen wären, auf Secure-Boot zu verzichten oder den Platform-Key in der Firmware durch einen eigenen zu ersetzen. Beides habe klare Nachteile, so Garrett.

Sollten sich Distributionen für diesen Weg entscheiden, könnten sie jedoch Shim nicht selbst kompilieren. Stattdessen muss der signierte Binärcode von Fedora verwendet werden. Garrett ist klar, dass das "inakzeptabel für Distributionen wie Debian sein wird", es sei aber eine Hilfe für andere Distributionen, vor allem für kleine Projekte.

Der Quellcode von Shim mit den Änderungen ist auf Github hinterlegt. Der Bootloader wird standardmäßig in Fedora 18 integriert werden. Ob und welche Distributionen künftig den Shim-Loader von Fedora verwenden werden, ist noch offen.


zilti 09. Okt 2012

Der Witz an der Sache ist ja, dass es nicht Opt-In ist, sondern wohl manchmal nicht...

evilchen 09. Okt 2012

Na UEFI wird doch als Sicherheitsfeature FÜR den User verkauft. Damit werden ja gar keine...

robinx999 09. Okt 2012

Wirklich effektiv verstecken kann sich ein echtes Rootkit nur wenn es vor dem Kernel...

Anonymer Nutzer 08. Okt 2012

. . . mit UEFI jeder Nutzer dann registriert ist, mit dem System das er anwendet - durch...

satriani 08. Okt 2012

unterschrieben :)

Kommentieren



Anzeige

  1. Softwaretester - Engineering Software (m/w)
    Festo AG & Co. KG, Esslingen bei Stuttgart
  2. Digital Specialist (m/w)
    Unilever Deutschland GmbH, Heilbronn
  3. Management Consultant (m/w) Middle East - Young Professional
    Horváth & Partners Management Consultants, Abu Dhabi (United Arab Emirates)
  4. Systemspezialist Bankensysteme (m/w)
    Wirecard Bank AG, Aschheim bei München

 

Detailsuche


Top-Angebote
  1. TIPP: Blu-ray-Tipps aus Filmaktion
    (u. a. Transformers 4 8,97€, Interstellar 12,99€, Fast & Furious 1-6 26,97€, Zurück in die...
  2. VORBESTELLBAR: Jurassic Park Collection - Dino-Skin Edition (exkl. bei Amazon.de) [Blu-ray] [Limited Edition]
    29,99€ - Release 11.06.
  3. TIPP: Alien - Jubiläums Collection - 35 Jahre [Blu-ray]
    20,99€

 

Weitere Angebote


Folgen Sie uns
       


  1. Kritische Infrastruktur

    Weitere Beweise für Geheimdienstangriff auf Bundestag

  2. Überwachung

    Berliner abgehört - aus Protest gegen die NSA

  3. Tor

    Hidden Services leichter zu deanonymisieren

  4. Telefónica

    Alle Base-Shops verschwinden

  5. Electronic Arts

    Nächstes Need for Speed benötigt Onlineverbindung

  6. Cloud Test Lab

    Google bringt Testservice für App-Entwickler

  7. Test Lara Croft Relic Run

    Tomb Raider auf Speed

  8. Bundestagverwaltung

    Angreifer haben Daten aus dem Bundestag erbeutet

  9. Sicherheitslücken

    Fehler in der Browser-Logik

  10. Google Fotos ausprobiert

    Gute Suche, abgespeckte Bildbearbeitung



Haben wir etwas übersehen?

E-Mail an news@golem.de



Android M: Google zeigt neues System für App-Berechtigungen
Android M
Google zeigt neues System für App-Berechtigungen
  1. Sprachassistent Google Now wird schlauer
  2. Google I/O Spezielles Google-Betriebssystem für Internet der Dinge

LG G4 im Test: Wer braucht schon den Snapdragon 810?
LG G4 im Test
Wer braucht schon den Snapdragon 810?
  1. LG G4 im Hands On Hervorragende Kamera und edle Leder-Optik
  2. Smartphone LG G4 kommt mit 16-Megapixel-Kamera
  3. Werbeaktion LG will 4.000 G4 vor dem Verkaufsstart verteilen

Digitaler Wandel: "Haben Sie Google zerschlagen, kommt der nächste"
Digitaler Wandel
"Haben Sie Google zerschlagen, kommt der nächste"
  1. Störerhaftung Abmahner fordern Registrierung aller WLAN-Nutzer
  2. Freifunker zur Störerhaftung Bundesweites WLAN-Passwort ist keine Lösung
  3. Störerhaftung Auch private Hotspots können geschäftsmäßig sein

  1. Re: Meanwhile in Germany...

    1ras | 22:18

  2. Re: 500 MBit/s bringen nur was mit anständigem...

    plutoniumsulfat | 22:08

  3. Re: Intel im Bubka-Teufelskreis

    plutoniumsulfat | 22:08

  4. Re: netto sind das unter 2000

    achtundvier | 22:07

  5. Re: Gemischte Gefühle

    Qbit42 | 22:02


  1. 18:56

  2. 16:45

  3. 15:13

  4. 14:47

  5. 14:06

  6. 14:01

  7. 14:00

  8. 13:39


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel