Abo
  • Services:

Freie Linux-Firmware: Google will Server ohne Intel ME und UEFI

Nach dem Motto "Habt ihr Angst? Wir schon!" arbeitet ein Team von Googles Coreboot-Entwicklern mit Kollegen daran, Intels ME und das proprietäre UEFI auch in Servern unschädlich zu machen. Und das wohl mit Erfolg.

Ein Bericht von veröffentlicht am
Ronald Minnich auf dem Open Source Summit in Prag
Ronald Minnich auf dem Open Source Summit in Prag (Bild: Linux Foundation/CC-BY 2.0)

Eigentlich arbeitet der Entwickler Ronald Minnich bei Google an der freien Firmware Coreboot, die das proprietäre Bios oder UEFI ersetzen soll und auf Chromebooks eingesetzt wird. Leider sei Coreboot auf Servern aber nicht verfügbar, sagte Minnich auf dem Open Source Summit in Prag. Deshalb versucht er mit einigen Gleichgesinnten, die proprietären Firmware-Komponenten auf Servern mit Intels x86-Chips so weit es geht zu ersetzen oder wenigstens für den laufenden Betrieb unschädlich zu machen.

Inhalt:
  1. Freie Linux-Firmware: Google will Server ohne Intel ME und UEFI
  2. NERF-Projekt statt UEFI

Um darzustellen, warum das überhaupt notwendig sei, erklärte Minnich zu Beginn seines Vortrags Details zu den proprietären Bestandteilen und mögliche Angriffe auf diese, falls diese etwa Sicherheitslücken enthielten.

Intel ME ist anfällig

So läuft die sogenannte Intel Management Engine (ME) auf einem vom Rest des Systems getrennten Prozessor, hat aber im Prinzip Vollzugriff auf das System und damit zum Beispiel auch auf Passwörter, ohne dass etwa ein Linux-Betriebssystem dies bemerken könnte.

Die ME ist außerdem sehr groß, enthält einen Netzwerk-Stack, einen Webserver oder auch USB-Treiber und kann immer wieder angegriffen werden. So kündigten erst Anfang des Jahres Hersteller Updates für Intel ME an, und vor wenigen Wochen teilten Sicherheitsforscher mit, die Software komplett überlistet zu haben.

Stellenmarkt
  1. Robert Bosch GmbH, Waiblingen
  2. Pfennigparade SIGMETA GmbH, München

Als Nebenprodukt dieser Arbeiten wurde auch entdeckt, dass die ME vollständig deaktiviert werden kann. Letzteres nutzt das Purism-Team für seine Librem-Laptops und liefert diese künftig mit einer deaktivierten Intel ME aus.

UEFI hat die Größe von Linux

Quasi eine Ebene höher als ME läuft dann das UEFI. Dieses System nutzt die gleiche CPU wie das Linux-Betriebssystem, hat laut Minnich einen ähnlich komplexen Kernel und besteht außerdem aus Millionen Zeilen von Code. Zudem laufe das UEFI immer weiter, so lange die Rechner angeschaltet seien.

Ähnlich wie die ME enthält auch das UEFI einen eigenen Netzwerk-Stack, eine Vielzahl von Hardware-Gerätetreibern etwa für USB und weitere Module. Schlimmer sei jedoch, dass ein UEFI-System es ermögliche, sich selbst zu überschreiben - zum Beispiel für Updates. Malware könnte dies ausnutzen und eventuell sogar so tun, als würden Sicherheitslücken geschlossen, obwohl dies nicht geschehe.

Um dieses Angriffsszenario zu beheben, hilft laut Minnich im Prinzip nur ein Shredder, um die Hardware dauerhaft zu zerstören. Wirklich umsetzbar ist das aber nicht. Minnich fragte das Publikum: "Habt ihr Angst? Wir schon!"

Um diesen Zustand zu überwinden, experimentiert sein Team mit dem Abschalten der ME sowie einem Linux-Ersatz für UEFI, was beides nebenbei noch den Boot-Vorgang eines Server-Systems massiv beschleunigt.

NERF-Projekt statt UEFI 
  1. 1
  2. 2
  3.  


Anzeige
Top-Angebote
  1. für 134,98€/176,98€ (Bestpreise!)
  2. 19,99€ + 3,99€ Versand (Vergleichspreis 31,49€)
  3. 129€ (Vergleichspreis 163,73€)
  4. 762,99€ inkl. Versand (Vergleichspreis 798,04€)

ElTentakel 24. Apr 2018

Wir reden hier nicht von fetten Dingern sondern explizit von AtMega Prozessoren. Atmel...

FreiGeistler 21. Nov 2017

@tha_specializt: Toll getrollt. Fast glaubhaft. :-) Entweder das, oder du musst noch eine...

teleborian 03. Nov 2017

Könnte sich da nicht auch das Gerade laufende Betriebssystem einloggen um bessere...

gadthrawn 01. Nov 2017

Ein an die Hardware angepasstes Linux als bootloader welches nie gekauft wird ist da...

muhviehstarrr 31. Okt 2017

Power on Linux wird doch von IBM angeboten?


Folgen Sie uns
       


Xbox E3 2018 Pressekonferenz - Golem.de Live

Große Gefühle beim E3-2018-Livestream von Microsoft: Erlebt mit uns die Ankündigungen von Halo Infinite, Gears 5, Sekiro, Cyberpunk 2077 und vielem mehr.

Xbox E3 2018 Pressekonferenz - Golem.de Live Video aufrufen
Hacker: Was ist eigentlich ein Exploit?
Hacker
Was ist eigentlich ein Exploit?

In Hollywoodfilmen haben Hacker mit Sturmmasken ein ganzes Arsenal von Zero-Day-Exploits, und auch sonst scheinen die kleinen Programme mehr und mehr als zentraler Begriff der IT-Sicherheit verstanden zu werden. Der Hacker Thomas Dullien hingegen versucht sich an einem theoretischen Modell eines Exploits.
Von Hauke Gierow

  1. IoT Foscam beseitigt Exploit-Kette in Kameras
  2. Project Capillary Google verschlüsselt Pushbenachrichtigungen Ende-zu-Ende
  3. My Heritage DNA-Dienst bestätigt Datenleck von 92 Millionen Accounts

Sun to Liquid: Wie mit Sonnenlicht sauberes Kerosin erzeugt wird
Sun to Liquid
Wie mit Sonnenlicht sauberes Kerosin erzeugt wird

Wasser, Kohlendioxid und Sonnenlicht ergeben: Treibstoff. In Spanien wird eine Anlage in Betrieb genommen, in der mit Hilfe von Sonnenlicht eine Vorstufe für synthetisches Kerosin erzeugt oder Wasserstoff gewonnen wird. Ein Projektverantwortlicher vom DLR hat uns erklärt, warum die Forschung an Brennstoffen trotz Energiewende sinnvoll ist.
Ein Bericht von Werner Pluta

  1. Deep Sea Mining Deep Green holte Manganknollen vom Meeresgrund
  2. Klimaschutz Unter der Erde ist das Kohlendioxid gut aufgehoben
  3. Physik Maserlicht aus Diamant

Porsche Design Mate RS im Test: Das P20 Pro in wahnwitzig teuer
Porsche Design Mate RS im Test
Das P20 Pro in wahnwitzig teuer

In Deutschland kostet Huaweis Porsche Design Mate RS 1.550 Euro - dafür bekommen Käufer technisch ein P20 Pro, das ähnlich aussieht wie das Mate 10 Pro. Den Aufpreis von 800 Euro halten wir trotz neuer Technologien für aberwitzig, ein Luxusgerät ist das Smartphone für uns nicht.
Ein Test von Tobias Költzsch

  1. Low Latency Docsis Huawei will Latenz von 1 Millisekunde im Kabelnetz erreichen
  2. Cloud PC Huawei streamt Windows 10 auf Smartphones
  3. Android Keine Bootloader-Entsperrung mehr bei Huawei-Geräten

    •  /