Gummiboot: Systemd will Bootloader integrieren

Fosdem 2015

Spätestens nach den Snowden-Enthüllungen müssen Rechner und Datenzentren sicherer werden, wobei Secure Boot nach Aussage von Lennart Poettering helfen kann. Das Systemd-Projekt habe dafür eine Entscheidung getroffen, die "viele hassen werden", sagte der Projektgründer.

Artikel veröffentlicht am 2. Februar 2015, 7:19 Uhr, Sebastian Grüner

Lennart Poettering und Kay Sievers (Bild: Fabian Hamacher/Golem.de)

"Die meisten von euch werden diese Ankündigung wahrscheinlich hassen", sagte Lennart Poettering in seinem Vortrag auf der Fosdem. Das Systemd-Projekt plane, den UEFI-Bootloader Gummiboot in die Userspace-Werkzeugsammlung zu integrieren. Tatsächlich quittierten die Anwesenden in dem überfüllten Hörsaal diese Nachricht mit einem Raunen.

Geheimdienste und Angreifer aussperren

Dieser Schritt sei notwendig, um die komplette Sicherheitskette umzusetzen, die Secure Boot erfordere. Anders als immer noch häufig angenommen, sei Secure Boot nicht von Microsoft zur Behinderung von Linux erfunden worden, sondern könne dazu benutzt werden, den eigenen Rechner mit eigenen Schlüsseln abzusichern.

Besonders wichtig ist dies in der Post-Snowden-Arä, wie Poettering sagte. Nicht nur können die Schlüssel dafür sorgen, dass ausschließlich selbst signierte Treiber geladen und gestartet werden, was etwa als Treiber implementierte Keylogger ausschließt. Auch die Betreiber von Rechenzentren können davon profitieren.

Werden zum Beispiel ganze Abbilder zwischen verschiedenen Standorten übertragen, könnten darin enthaltene Dateien verändert werden oder eventuell Code hinzugefügt werden. Unabhängig davon, ob sich diese Angriffsart technisch so weit wie möglich ausschließen lässt oder nicht, kann durch Secure Boot ein Start nicht signierter Elemente ausgeschlossen werden. Eine Unterstützung in Systemd werde auch deshalb notwendig, sagte Poettering.

Integration bleibt optional

Die Integration Gummiboots in die Werkzeugsammlung von Systemd werde dabei so durchgeführt, dass der Einsatz des Bootloaders optional bleibe. Sollten Nutzer andere Lösungen als Gummiboot verwenden wollen, werde dies weiter möglich sein. Diese könnten dann aber nicht von den Vorzügen der geplanten Zusammenführung profitieren.

Der Projektgründer erklärte, dass die Userspace-Programme von Systemd in der Lage sein müssten, mit dem Bootloader zu kommunizieren, damit die Sicherheitskette von Secure Boot aufrecht erhalten bleiben könne. Mit Bootctl steht bereits ein Werkzeug bereit, das auf verschiedene Informationen wie dem Secure Boot Status zugreifen oder auch Dateiname und Speicherort des aktuell verwendeten Bootloaders anzeigen kann.

Darüber hinaus stehen weitere Details zur Verfügung, sofern der Bootloader eine bestimmte Spezifikation und damit die Systemd-Schnittstelle unterstützt. Zurzeit implementiert dies jedoch nur Gummiboot, das vor etwa zweieinhalb Jahren von den Red-Hat-Entwicklern Kay Sievers und Harald Hoyer vorgestellt wurde. Die Man-Page von Bootctl enthält bereits einen Hinweis darauf, dass das Werkzeug eventuell darum erweitert werden könne, die Einstellungen des Bootmanagers oder der Firmware selbst zu ändern. Dies beginnt das Team nun wohl umzusetzen.