Abo
  • Services:
Anzeige
Mit Matthew Garretts Vorschlag wird sich Secure-Boot mit Fedora einfach nutzten lassen.
Mit Matthew Garretts Vorschlag wird sich Secure-Boot mit Fedora einfach nutzten lassen. (Bild: Microsoft)

UEFI Secure Boot: Fedora 18 mit Microsoft-Signatur

Mit Matthew Garretts Vorschlag wird sich Secure-Boot mit Fedora einfach nutzten lassen.
Mit Matthew Garretts Vorschlag wird sich Secure-Boot mit Fedora einfach nutzten lassen. (Bild: Microsoft)

Ein kleines Stück Software, das noch vor Grub geladen wird, soll von Microsoft signiert werden. Alles andere möchte das Fedora-Team selbst signieren und so Secure-Boot in Fedora 18 für alle nutzbar machen.

Auch wenn es nicht unbedingt die attraktivste Lösung sei, wird das Fedora-Team den Secure-Boot-Signierdienst von Microsoft in Anspruch nehmen, schreibt Matthew Garrett in seinem Blog. So soll sich Fedora 18 leicht auf Hardware installieren lassen, die für Windows 8 zertifiziert ist und entsprechend Secure-Boot einsetzt.

Anzeige

Zwar gäbe es Alternativen, etwa die Möglichkeit, Fedora-Schlüssel an Hardwarehersteller zu verteilen oder einen Schlüssel für alle Linux-Distributionen zu erzeugen, diese seien Garrett zufolge jedoch wenig praktikabel. Außerdem führe das Signieren von Microsoft dazu, dass Fedora "auf einer möglichst großen Anzahl von Hardware läuft".

Bootloader zwischen UEFI und Grub

Geplant ist ein minimaler Bootloader, der von Microsoft signiert werden soll. Einziger Zweck dieser Software ist es, den eigentlichen Bootloader, Grub2, zu starten. Außerdem soll die Software die Grub2-Signatur überprüfen, welche von Fedora zur Verfügung gestellt wird.

Dadurch kann das Team einerseits einfach Grub2 aktualisieren, da es mit dem Fedora-eigenen Schlüssel signiert ist. Andererseits sollte das Release-Team keine Probleme haben, den zwischengelagerten Bootloader signieren zu lassen. Garrett geht davon aus, dass dieser höchstens einmal pro Release-Zyklus aktualisiert werden muss.

Secure-Boot in Fedora

Damit die Kette von signiertem Code beim Boot bis zur grafischen Oberfläche nicht unterbrochen werden kann, müssen die Entwickler jedoch noch einige Funktionen beschränken. So sollen Nutzer künftig etwa keine Module mehr in Grub2 laden können und die Kommandozeile für den Kernel soll keine Befehle mehr entgegennehmen können, die Angreifer ausnutzen könnten.

Auch werde der Linux-Kernel selbst eingeschränkt, schreibt Garrett. So müssen etwa sämtliche verwendeten Treiber signiert sein und in den Kernel geladen werden. Der Umgang mit Modulen, die das Fedora-Team nicht selbst anbietet, wird also schwieriger.

Selbst signieren oder ausschalten

Anwender, die einen selbst gebauten Kernel oder spezielle Module, etwa binäre Grafikkartentreiber, nutzen möchten, haben hauptsächlich zwei Optionen: Zum einen könnten sie gänzlich auf Secure-Boot verzichten, indem die Funktion in der Firmware abgeschaltet wird.

Die zweite Möglichkeit ist, einen eigenen Schlüssel zu erzeugen. Garrett schreibt, das Fedora-Team wird "sämtliche Werkzeuge zum Signieren von Binärdateien" zur Verfügung stellen. Die Schlüssel können in der Firmware hinterlegt werden, und Fedora wird diese akzeptieren.

Die nun von Garrett vorgestellte Strategie ist allerdings noch nicht endgültig. Garrett schreibt, "es gibt immer die Möglichkeit, dass wir etwas übersehen haben oder eine neue Idee aufkommt". Die angestrebte Lösung scheint jedoch die einfachste für alle Beteiligten und Nutzer zu sein.

Eine erste Version des zwischengelagerten Bootloaders ist bereits bei Github im Quellcode verfügbar.


eye home zur Startseite
robinx999 02. Jun 2012

Aber Firmware klingt nach dem Bios Nachfolger UEFI, oder verstehe ich das Falsch? Und ist...

Ampel 01. Jun 2012

Secure Boot ist nicht wichtig und kein wesendlicher Bestandteil zur funktionalität eines...

bstea 31. Mai 2012

Dann signierst du selbst. Entscheidend ist, dass Board muss dich kennen.

robinx999 31. Mai 2012

Im Artikel steht ja "[..]Garrett schreibt, das Fedora-Team wird "sämtliche Werkzeuge zum...

malachi54 31. Mai 2012

ich glaube nicht, dass redhat dafür etwas zahlt. die entfernen doch nicht aus jux und...



Anzeige

Stellenmarkt
  1. Robert Bosch GmbH, Stuttgart-Feuerbach
  2. T-Systems International GmbH, München
  3. Schweickert Netzwerktechnik GmbH, Walldorf
  4. TAKATA AG, Berlin, Aschaffenburg


Anzeige
Top-Angebote
  1. 94,90€ statt 109,90€
  2. 74,90€
  3. (u. a. The Expendables 3 Extended 7,29€, Fight Club 6,56€, Predator 1-3 Collection 24,99€)

Folgen Sie uns
       


  1. Bildbearbeitung unmöglich

    Lightroom-App für Apple TV erschienen

  2. Quartalszahlen

    Apple-Gewinn bricht wegen schwächerer iPhone-Verkäufe ein

  3. SSD

    Crucial erweitert MX300-Serie um 275, 525 und 1.050 GByte

  4. Shroud of the Avatar

    Neustart der Ultima-ähnlichen Fantasywelt

  5. Spielekonsole

    In Nintendos NX stecken Nvidias Tegra und Cartridges

  6. Nach Terroranschlägen

    Bayern fordert Ausweitung der Vorratsdatenspeicherung

  7. Android-Smartphone

    Update soll Software-Probleme beim Oneplus Three beseitigen

  8. Tim Sweeney

    "Microsoft will Steam zerstören"

  9. Störerhaftung weg

    Kommt nun der Boom für offene WLANs?

  10. Fusion mit Hailo

    Mytaxi wird zum größten App-basierten Taxivermittler Europas



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Wolkenkratzer: Wer will schon 2.900 Stufen steigen?
Wolkenkratzer
Wer will schon 2.900 Stufen steigen?
  1. Hafen Die Schauerleute von heute sind riesig und automatisch
  2. Bahn Siemens verbessert Internet im Zug mit Funklochfenstern
  3. Fraunhofer-Institut Rekord mit Multi-Gigabit-Funk über 37 Kilometer

Festplatten mit Flash-Cache: Das Konzept der SSHD ist gescheitert
Festplatten mit Flash-Cache
Das Konzept der SSHD ist gescheitert
  1. Ironwolf, Skyhawk und Barracuda Drei neue 10-TByte-Modelle von Seagate
  2. 3PAR-Systeme HPE kündigt 7,68- und 15,36-TByte-SSDs an
  3. Dells XPS 13 mit Ubuntu im Test Endlich ein Top-Notebook mit Linux!

Nuki Smart Lock im Test: Ausgesperrt statt aufgesperrt
Nuki Smart Lock im Test
Ausgesperrt statt aufgesperrt

  1. Re: Windows-Unterstützung

    Seitan-Sushi-Fan | 05:32

  2. De Maizière hätte die Tat verhindern können.

    Pjörn | 05:19

  3. Re: Ich bete, dass das nicht stimmt ...

    Seitan-Sushi-Fan | 04:42

  4. Re: Achtziger an Nintendo: Wir wollen unsere...

    Seitan-Sushi-Fan | 04:31

  5. Re: Warum ist das Steammonopol besser?

    Seitan-Sushi-Fan | 04:16


  1. 23:40

  2. 23:14

  3. 18:13

  4. 18:06

  5. 17:37

  6. 16:54

  7. 16:28

  8. 15:52


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel