• IT-Karriere:
  • Services:

Sicherer mit Pureboot und Librem Key

In der Standardausführung startet der Librem mit einer Kombination aus Coreboot und Seabios das installierte Linux. Gegen Aufpreis ist ein mit verschiedenen Komponenten abgesicherter Bootmodus erhältlich, den Purism Pureboot nennt. Hier startet Coreboot mit dem Payload Heads, welches den Bootprozess verifiziert.

Stellenmarkt
  1. über duerenhoff GmbH, Schwalmstadt
  2. neam IT-Services GmbH, Paderborn

Das soll den Librem Mini vor unbemerkten Manipulationen an der Firmware oder am Bootprozess bis hin zur verschlüsselten Linux-Partition schützen, beispielsweise wenn der Rechner unbeaufsichtigt zu Hause oder im Büro steht (Evil-Maid-Attacke).

Das von Trammell Hudson entwickelte Heads ist eine sehr kleine Linux-Distribution, die von Coreboot gestartet wird und anschließend jeden Schritt des Bootvorgangs mit Hashwerten überprüft. Dazu greift Heads normalerweise auf ein Trusted Platform Module (TPM) zurück, mit dessen Hilfe ein HOTP- (HMAC based One Time Password) und ein TOTP-Code (Time based One Time Password) generiert werden. Letzterer kann mit einer TOTP-App auf dem Smartphone abgeglichen werden.

Deutlich komfortabler ist es jedoch, den USB-Sicherheitsschlüssel Librem Key zu verwenden, der baugleich mit dem Nitrokey 2 Pro ist. Er blinkt grün, wenn beim Bootvorgang keine Veränderung festgestellt wurde, ansonsten warnt er durch rotes Blinken.

Pureboot geht auch ohne TPM

Der Librem Mini verfügt im Unterschied zu den Librem-Laptops jedoch nicht über ein TPM. "Bei Geräten ohne TPM lesen wir stattdessen die gesamte Firmware aus dem Flashspeicher und hashen sie. Anschließend bilden wir daraus das HOTP", sagte Matt DeVillier, Firmware Developer bei Purism, Golem.de. Das funktioniere, weil der Flashspeicher beim Librem Mini nur während des ersten Bootvorgangs nach dem Flashen schreibbar sei, sonst nicht.

  • Der Librem Mini ist kompakt. Vorne bietet er vier USB-Anschlüsse. (Bild: Martin Wolf/Golem.de)
  • Die meisten Anschlüsse liegen auf der Rückseite des Librem Mini. (Bild: Martin Wolf/Golem.de)
  • Im Innern ist noch reichlich Platz. Im Deckel kann eine 2,5"-Festplatte oder SSD eingebaut werden. (Bild: Martin Wolf/Golem.de)
  • Wenn der Librem Key rot blinkt, wurden Veränderungen detektiert. (Bild: Martin Wolf/Golem.de)
  • Blinkt der Sicherheitsschlüssel hingegen grün, ist alles in Ordnung. Hier kommt der baugleiche Nitrokey statt des Librem Key zum Einsatz. (Bild: Martin Wolf/Golem.de)
Wenn der Librem Key rot blinkt, wurden Veränderungen detektiert. (Bild: Martin Wolf/Golem.de)

Das Lesen und Hashen der kompletten Firmware dauere etwas länger, da wirklich alles berücksichtigt werde, sagt DeVillier. Das erklärt auch, warum der Librem Mini anfangs ziemlich lange zum Booten braucht, das Betriebssystem dann aber flink startet. Allerdings unterstützt das TPM-freie Heads auch kein TOTP, der Bootvorgang des Librem Mini kann daher nur mit dem Librem Key oder Nitrokey, nicht jedoch mit einer TOTP-App auf dem Smartphone überprüft werden.

Golem HIGHEND jetzt mit Ryzen 5000 und Radeon RX 6800 verfügbar

Intel ME wird aus Sicherheitsgründen gelöscht

Doch nicht nur die Firmware wird überprüft. Auch die unter Linux üblicherweise nicht verschlüsselte Boot-Partition, auf der unter anderem der Linux-Kernel liegt, wird bis hin zum verschlüsselten System mit einem GPG-Schlüssel auf dem Librem Key signiert und anschließend bei jedem Bootvorgang überprüft. Wird eine Veränderung festgestellt, schlägt das System Alarm. Allerdings muss bei jedem Update, das die Boot-Partition verändert, auch neu gestartet und signiert werden. Das kann insbesondere bei den häufigen Updates von PureOS Byzantium/Debian Testing doch etwas nerven.

Neben dem abgesicherten Bootvorgang deaktiviert und löscht Purism Intel ME soweit wie möglich auf seinen Rechnern. Die proprietäre Firmware-Komponente hat in der Vergangenheit immer wieder durch Sicherheitsprobleme auf sich aufmerksam gemacht und ist eine Art Black Box auf Computern mit Intel-Chips.

Mit Pureboot setzt Purism letztlich ein umfassend abgesichertes System um, das weit über Coreboot hinausgeht. Hierzu greift der Hersteller auf frei verfügbare Komponenten zurück, die man auch selbst auf ausgewählten, schon etwas älteren Laptops installieren kann, beispielsweise auf dem X230 oder dem T430 von Lenovo. Ersteres bietet Nitrokey unter dem Namen Nitropad (Test) an. Der Librem Mini dürfte jedoch der erste Desktop-Rechner sein, der ein solches Sicherheitslevel mitbringt.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
 Der neue Comet-Lake-Prozessor im BenchmarkLibrem Mini v2: Verfügbarkeit und Fazit 
  1.  
  2. 1
  3. 2
  4. 3
  5. 4
  6.  


Anzeige
Spiele-Angebote
  1. (u. a. Star Wars: Knights of the Old Republic II - The Sith Lords für 1,99€, Star Wars Empire at...
  2. (u. a. Monster Hunter World: Iceborne Digital Deluxe für 29,99€, Phoenix Wright: Ace Attorney...
  3. 51,90€ (Release 12. Februar)

pool 01. Dez 2020 / Themenstart

Aber beides sind Nomen im Maskulinum. Ô_o Der Nutzende. Der Nutzer.

DAASSI 30. Nov 2020 / Themenstart

Eigentlich ist das doch der einzige Grund überhaupt Intel zu kaufen. AMD hat keine Out-of...

Dystopinator 28. Nov 2020 / Themenstart

Wozu genau bitte? Das ist auch ein Fehler in der Politik seine Position nur noch...

Dystopinator 28. Nov 2020 / Themenstart

PSP = AMD Platform Security Processor/AMD Secure Technology Ich rechne auch dieses...

wurstdings 25. Nov 2020 / Themenstart

Na gut das ist ja auf allen größeren Plattformen seit mehreren Jahren Standard und MS...

Kommentieren


Folgen Sie uns
       


Drive Pilot der S-Klasse ausprobiert

Die neue S-Klasse von Mercedes-Benz soll erstmals dem Fahrer die Verantwortung im Stau abnehmen.

Drive Pilot der S-Klasse ausprobiert Video aufrufen
    •  /