Secure Boot: Linux-Community streitet über Kernel-Lockdown

Mit einer Reihe von Patches soll ein laufender Linux-Kernel vor Veränderungen geschützt werden. Die Verknüpfung dieses sogenannten Kernel-Lockdown erregt Chefentwickler Torvalds, der diese Funktion so nicht möchte. Red-Hat- und Google-Entwickler versuchen zu intervenieren.

Artikel veröffentlicht am ,
In der Linux-Community gibt Linus Torvalds den Ton an.
In der Linux-Community gibt Linus Torvalds den Ton an. (Bild: Christopher Michel/CC-BY 2.0)

Nach einem Jahr Arbeit und einigen Runden an Überarbeitungen wird neuer Code für eine Sicherheitsfunktion des Linux-Kernel vom zuständigen Security-Maintainer James Morris in einen Kernel-Zweig für kommende Veröffentlichung eingepflegt. Dieser Zweig landet früher oder später bei Linux-Chefentwickler Linus Torvalds, der die jeweils aktuellen Kernel-Versionen verantwortet. Dieser eigentlich übliche Ablauf wird nun aber von Torvalds selbst durchbrochen, der bei den Patches zum sogenannten Kernel-Lockdown massiv interveniert und wie bereits in anderen Fällen zuvor damit droht, den Code schlicht nicht aufzunehmen.

Stellenmarkt
  1. Sachbearbeiterin / Sachbearbeiter (w/m/d) im Referat SZ 14 Fachgremienarbeit für Prüf- und ... (m/w/d)
    Bundesamt für Sicherheit in der Informationstechnik, Freital bei Dresden
  2. Mitarbeiter (m/w/d) im Innendienst für den Bereich Produktdatenmanagement
    Schubert Tacke GmbH & Co. KG, Velbert, Essen (Home-Office möglich)
Detailsuche

Die unter Leitung von Red-Hat-Entwickler David Howells von mehreren beteiligten Entwicklern erstellten Patches sollen dafür sorgen, dass der laufende Kernel von einem Angreifer nicht dauerhaft verändert werden kann, indem der Zugriff auf bestimmte Kernel-Schnittstellen schlicht verhindert wird. Der Google-Angestellte Kees Cook, der verschiedene Sicherheitsfunktionen in Linux umsetzt, beschreibt sogar, dass damit der Root-Nutzer (UID-0) teilweise vom laufenden Kernel mit seinen Systemberechtigungen (Ring-0) getrennt werden soll. Die Patches sollen hier die bekannten Pfade zu Rechte-Erweiterungen "stopfen", schreibt Cook außerdem.

Lockdown bei Secure Boot

Die aktuelle Serie der Patches aktiviert den Kernel Lockdown automatisch, falls das System mit aktiviertem UEFI Secure Boot gestartet wurde. Der langjährige Linux-Entwickler Andy Lutomirski kritisiert in einer E-Mail aber nicht nur die Patches selbst, sondern eben auch diese Verknüpfung zu Secure Boot. Er verstehe nicht, warum Secure Boot zwingend zu dem Lockdown führen solle. Torvalds schreibt daraufhin: "Hier stimme ich heftig mit Andy überein".

Der Linux-Chefentwickler führt seine Kritik weiter aus und schreibt, dass zwar der Lockdown im Allgemeinen vielleicht eine gute Sache sei, dies aber eben nichts mit Secure Boot zu tun habe. Die zwei Techniken passten schlicht nicht zueinander und hätten keine Überschneidungen, schreibt Torvalds.

Golem Akademie
  1. PowerShell Praxisworkshop: virtueller Vier-Tage-Workshop
    20.–23. Dezember 2021, virtuell
  2. Azure und AWS Cloudnutzung absichern: virtueller Zwei-Tage-Workshop
    25.–26. November 2021, virtuell
Weitere IT-Trainings

Diese Einschätzungen basieren wohl aber auf einigen Missverständnissen in Bezug auf Secure Boot, dessen prinzipielle Einsatzmöglichkeiten sowie die bereits umgesetzte praktische Verwendung der UEFI-Funktion. Das legen zumindest die Erläuterungsversuche verschiedener Entwickler nahe, allen voran der Google-Angestellte Matthew Garrett, der einer der treibenden Kräfte für die Secure-Boot-Umsetzung in Linux war.

Auf die Erklärungsversuche scheinen sowohl Lutomirski als auch Torvalds aber nicht recht eingehen zu wollen. Beide vermuten vielmehr, dass mit den Patches eine nicht genannte Agenda umgesetzt werden solle und die beteiligten Entwickler zumindest einen Teil ihrer Beweggründe für die Patches absichtlich verschweigen.

Sollte sich nichts Grundlegendes an den Konfigurationsoptionen für die Lockdown-Funktion ändern, wird Torvalds in seiner Position als Hauptverantwortlicher für den Kernel den Code nicht einpflegen. Das hat er zumindest schon angekündigt.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


lahmbi5678 09. Apr 2018

Aber irgendwann wird halt der Schalter umgelegt, dann gibt es neue Hardware nur noch mit...

vergeben 05. Apr 2018

nur so nebenbei, weil es wunderschön paßt: siehe systemd Was ursprünglich als Ersatz für...

a user 05. Apr 2018

Ne Menge. Aber, der Hauptgrund der Performanceunterschiede ist nicht darauf...

jose.ramirez 05. Apr 2018

Es war anfangs nicht vorgesehen. Secure Boot ist de facto kaputt.

pythoneer 05. Apr 2018

Mir scheint, du hast nicht ganz verstanden auf was ich hinaus wollte. Der Artikel...



Aktuell auf der Startseite von Golem.de
Wirtschaft
Warum China gegen Internetkonzerne vorgeht

Chinas KP geht seit einem Jahr massiv gegen die großen Internet-Konzerne der Volksrepublik vor. Sie will so für mehr Gleichheit sorgen, aber nicht nur.
Eine Analyse von Gerd Mischler

Wirtschaft: Warum China gegen Internetkonzerne vorgeht
Artikel
  1. Windows XP: Das Drehbuch für Dune wurde mit MS-DOS-Programm geschrieben
    Windows XP
    Das Drehbuch für Dune wurde mit MS-DOS-Programm geschrieben

    Eric Roth verwendet seit Jahren den Movie Master für MS-DOS. Auch Dune schrieb er mit dem 30 Jahre alten Editor - und einer IBM Model M.

  2. The Definitive Edition: Rockstar Games ersetzt Flagge in GTA Vice City
    The Definitive Edition
    Rockstar Games ersetzt Flagge in GTA Vice City

    Der Community ist es aufgefallen: Rockstar Games hat in der Neuauflage von GTA Vice City ein rassistisches Symbol auf einem T-Shirt ersetzt.

  3. Apple: Kunde zeigt das Innere des Macbook Pro 14 mit M1 Pro
    Apple
    Kunde zeigt das Innere des Macbook Pro 14 mit M1 Pro

    Das neue Macbook Pro 14 kann wie die Vorgänger aufgeschraubt werden. Zumindest Akku und Ports sind auswechselbar, RAM und SSD aber nicht.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Samsung 4K-Monitore & TVs günstiger (u. a. 50" QLED 2021 749€) • Seagate Exos 18TB 319€ • Alternate-Deals (u. a. Asus B550-Plus Maiboard 118€) • Neues Xiaomi 11T 256GB 549,90€ • Switch OLED 359,99€ • Speicherprodukte von Sandisk & WD [Werbung]
    •  /