Sicherer mit Pureboot und Librem Key

In der Standardausführung startet der Librem mit einer Kombination aus Coreboot und Seabios das installierte Linux. Gegen Aufpreis ist ein mit verschiedenen Komponenten abgesicherter Bootmodus erhältlich, den Purism Pureboot nennt. Hier startet Coreboot mit dem Payload Heads, welches den Bootprozess verifiziert.

Das soll den Librem Mini vor unbemerkten Manipulationen an der Firmware oder am Bootprozess bis hin zur verschlüsselten Linux-Partition schützen, beispielsweise wenn der Rechner unbeaufsichtigt zu Hause oder im Büro steht (Evil-Maid-Attacke).

Das von Trammell Hudson entwickelte Heads ist eine sehr kleine Linux-Distribution, die von Coreboot gestartet wird und anschließend jeden Schritt des Bootvorgangs mit Hashwerten überprüft. Dazu greift Heads normalerweise auf ein Trusted Platform Module (TPM) zurück, mit dessen Hilfe ein HOTP- (HMAC based One Time Password) und ein TOTP-Code (Time based One Time Password) generiert werden. Letzterer kann mit einer TOTP-App auf dem Smartphone abgeglichen werden.

Deutlich komfortabler ist es jedoch, den USB-Sicherheitsschlüssel Librem Key zu verwenden, der baugleich mit dem Nitrokey 2 Pro ist. Er blinkt grün, wenn beim Bootvorgang keine Veränderung festgestellt wurde, ansonsten warnt er durch rotes Blinken.

Pureboot geht auch ohne TPM - ist aber weniger sicher

Der Librem Mini verfügt im Unterschied zu den Librem-Laptops jedoch nicht über ein TPM. "Bei Geräten ohne TPM lesen wir stattdessen die gesamte Firmware aus dem Flashspeicher und hashen sie. Anschließend bilden wir daraus das HOTP", sagte Matt DeVillier, Firmware Developer bei Purism, Golem.de.

• 

Wenn der Librem Key rot blinkt, wurden Veränderungen detektiert. (Bild: Martin Wolf/Golem.de)

Das Lesen und Hashen der kompletten Firmware dauere etwas länger, sagt DeVillier. Man könne argumentieren, dass der Ansatz sogar sicherer sei, da wirklich alles berücksichtigt werde. Auch auf der Purism-Webseite heißt es, dass Pureboot ohne TPM "einen gleichwertigen Schutz gegen Manipulationen" bieten würde. Doch in einem Pull-Request, der den TPMless-Ansatz in Heads selbst implementieren soll, gesteht Purism ein niedrigeres Sicherheitsniveau ein.

Der Heads-Maintainer Thierry Laurion spricht von einem "Gefühl falscher Sicherheit", die von Pureboot/Heads ohne TPM vermittelt werde, da bei weitem nicht das gleiche Schutzniveau erreicht werde. Im Pull-Request beschreibt er einen einfachen Angriff, vor dem der TPMlose-Ansatz nicht schützen könne. Zudem unterstützt das TPM-freie Heads kein TOTP, der Bootvorgang des Librem Mini könne daher nur mit dem Librem Key oder Nitrokey, nicht jedoch mit einer TOTP-App auf dem Smartphone überprüft werden.

Intel ME wird aus Sicherheitsgründen gelöscht

Doch nicht nur die Firmware wird überprüft. Auch die unter Linux üblicherweise nicht verschlüsselte Boot-Partition, auf der unter anderem der Linux-Kernel liegt, wird bis hin zum verschlüsselten System mit einem GPG-Schlüssel auf dem Librem Key signiert und anschließend bei jedem Bootvorgang überprüft. Wird eine Veränderung festgestellt, schlägt das System Alarm. Allerdings muss bei jedem Update, das die Boot-Partition verändert, auch neu gestartet und signiert werden. Das kann insbesondere bei den häufigen Updates von PureOS Byzantium/Debian Testing doch etwas nerven.

Neben dem abgesicherten Bootvorgang deaktiviert und löscht Purism Intel ME soweit wie möglich auf seinen Rechnern. Die proprietäre Firmware-Komponente hat in der Vergangenheit immer wieder durch Sicherheitsprobleme auf sich aufmerksam gemacht und ist eine Art Black Box auf Computern mit Intel-Chips.