Freiheit heißt, selbst zu entscheiden

In der Podiumsdiskussion bekräftigte Garrett, dass genau dieser Punkt ganz im Sinne der Nutzerfreiheit sei - ein ihm sehr wichtiges Ziel. Jeder könne mit Secure Boot selbst bestimmen, welcher Code auf dem eigenen Rechner ausgeführt wird und welcher nicht.

Stellenmarkt
  1. Team-Leiter:in (w/m/d) für die Informations- und Kommunikationstechnik
    Hochschule Aalen, Aalen
  2. Softwarearchitekt (m/w/d) in einem Cloud-Native-Stack
    PROSOZ Herten GmbH, Herten (Ruhrgebiet)
Detailsuche

Diese Art der Freiheit ist gleichzeitig ein Sicherheitsgewinn. Denn Malware wie Keylogger und Bootkits könnten sich nicht mehr ohne weiteres auf Computern einbringen lassen. Das schützt wiederum die Privatsphäre jedes Einzelnen vor Bespitzelungen.

Voraussetzung für diese Freiheit und Sicherheit ist jedoch, dass die Hardware-Hersteller Secure Boot und die UEFI-Firmware in einer Weise implementierten, die es ermöglicht, eigene Schlüssel zu hinterlegen und ein anderes Betriebssystem zu installieren. In der Zeit, in der sich Garrett mit der Thematik befasst hat, hat das nicht immer geklappt.

UEFI-Implementierungen mit Fehlern

Der Grund dafür sei aber nicht etwa die Böswilligkeit der Hardware-Hersteller gewesen, sondern schlicht Fehler in der UEFI-Implementierung, sagte er. Garret berichtete von Toshiba-Laptops, die keinen korrekten Signaturschlüssel enthielten und dadurch den Start einer Linux-Distribution verwehrten. Auch auf einigen Geräten von Lenovo sei eine Parallelinstallation von Windows und Linux nicht möglich.

Golem Karrierewelt
  1. IPv6 Grundlagen: virtueller Zwei-Tage-Workshop
    19./20.12.2022, virtuell
  2. Apache Kafka Grundlagen: virtueller Zwei-Tage-Workshop
    22./23.11.2022, Virtuell
Weitere IT-Trainings

Außerdem bauten die Hersteller selbst Fehler in UEFI ein, zum Beispiel Samsung in Laptops, die unter bestimmten Umständen nicht mehr benutzbar waren, da die Firmware nicht startete. Der Fehler fiel zunächst nur Linux-Nutzern auf. Garrett fand jedoch heraus, dass sich der Bug in Samsungs Firmware auch unter Windows 7 ohne Secure Boot auslösen ließ. Ähnliches entdeckte Garrett auch auf Hauptplatinen von Intel.

Secure-Boot-Probleme noch nicht völlig ausgeräumt

"Alle Fehler, die uns bekannt sind, haben wir bereits behoben", sagte Garrett, bezog sich damit aber leider nur auf die Kernel-Entwickler. Diese haben einige Workarounds in den Quellcode eingebaut, um die Fehler der Hardware-Hersteller auszubügeln. Teilweise müssen Funktionen im Kernel ausgeschaltet werden, damit sie die Fehler in UEFI nicht auslösen.

In einem Fall verhindere der bestehende Workaround für ein System sogar effektiv die Installation von Linux auf einem anderen System, sagte Garrett. "Man kann es zwar nicht beschädigen, aber auch kein Linux darauf installieren." Für Linux-Nutzer heißt das, beim Kauf aktueller Geräte darauf zu vertrauen, dass die Firmware einigermaßen fehlerfrei ist. Bei etwas älteren Modellen ist sehr oft ein Firmware-Update angebracht.

Secure Boot im Server

Für Unternehmen, die großen Wert auf die Sicherheit und Integrität ihrer Server legen, könnte Secure Boot ebenfalls von Nutzen sein, sagte Garrett Golem.de. Denn auch hier gelte, dass mit Secure Boot letztlich der Administrator entscheide, welche Software ausgeführt wird.

Doch neben der noch fehlenden Unterstützung von einigen Kernel-Funktionen wie Kexec sprach Garrett ein Detail an, das in der UEFI-Spezifikation nicht berücksichtigt wurde: Derzeit muss eine Person physisch am Rechner sitzen, die die Installation eines Schlüssels in die Firmware bestätigt. Diese Sicherheitsmaßnahme ist auf Desktop-Systemen durchaus sinnvoll. In einer Serverumgebung mit mehreren Rechnern müsste auf jedem Einzelnen eine Linux-Distribution installiert werden. Damit wäre eine automatisierte Installation über das Netzwerk nicht mehr möglich.

Viele Serverhersteller bieten bereits Hardware mit UEFI an. Ob künftig auch Secure Boot auf Server-Hardware Anwendung findet, regelt höchstwahrscheinlich die Nachfrage. Ein Kernel-Entwickler, der nicht genannt werden möchte, äußerte gegenüber Golem.de auf dem Linuxtag starke Zweifel, dass diese Nachfrage je bestehen wird. Garrett, der seit etwa einem halben Jahr für den Server- und Cloud-Hosting-Spezialisten Nebula arbeitet, ist davon nicht überzeugt. Immerhin ist die mit Secure Boot gewonnene Freiheit und Sicherheit ein starkes Argument.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
 Matthew Garrett: "UEFI ist kein böser Plan von Microsoft"
  1.  
  2. 1
  3. 2


Danse Macabre 02. Feb 2015

Linux sein Problem ... schon bei der Grammatik schüttelt es einen.

Ass Bestos 18. Jul 2013

was ist falsch an anarchos?

Anonymer Nutzer 13. Jun 2013

Dank inzwischen mehrerer signierten Bootloader sind auch LiveCDs bei aktiviertem...

Anonymer Nutzer 13. Jun 2013

Da die meisten Themen hier nur über UEFI bzw. Secrureboot meckern brech ich mal ne Lanze...



Aktuell auf der Startseite von Golem.de
Potential Motors
Winziges E-Offroad-Wohnmobil mit 450 kW vorgestellt

Potential Motors hat mit dem Adventure 1 ein kleines Offroad-Wohnmobil mit E-Motoren vorgestellt, die insgesamt 450 kW Leistung erbringen.

Potential Motors: Winziges E-Offroad-Wohnmobil mit 450 kW vorgestellt
Artikel
  1. Minority Report wird 20 Jahre alt: Die Zukunft wird immer gegenwärtiger
    Minority Report wird 20 Jahre alt
    Die Zukunft wird immer gegenwärtiger

    Minority Report zog aus, die Zukunft des Jahres 2054 vorherzusagen. 20 Jahre später scheint so manches noch prophetischer.
    Von Peter Osteried

  2. Luftfahrt: Wisk Aero zeigt autonomes Flugtaxi
    Luftfahrt
    Wisk Aero zeigt autonomes Flugtaxi

    Das senkrecht startende und landende Lufttaxi soll in fünf Jahren im regulären Einsatz sein.

  3. Gegen Agile Unlust: Macht es wie Bruce Lee
    Gegen Agile Unlust
    Macht es wie Bruce Lee

    Unser Autor macht seit vielen Jahren agile Projekte und kennt "agile Unlust". Er weiß, warum sie entsteht, und auch, wie man gegen sie ankommen kann.
    Ein Erfahrungsbericht von Marvin Engel

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • MindFactory (u. a. PowerColor RX 6700 XT Hellhound 489€, ASRock RX 6600 XT Challenger D OC 388€) • Kingston NV2 1TB (PS5) 72,99€ • be quiet! Silent Loop 2 240 99,90€ • Star Wars: Squadrons PS4a 5€ • Acer 24"-FHD/165 Hz 149€ + Cashback • PCGH-Ratgeber-PC 3000 Radeon Edition 2.500€ [Werbung]
    •  /