• IT-Karriere:
  • Services:

Secure Boot: Linux-Community streitet über Kernel-Lockdown

Mit einer Reihe von Patches soll ein laufender Linux-Kernel vor Veränderungen geschützt werden. Die Verknüpfung dieses sogenannten Kernel-Lockdown erregt Chefentwickler Torvalds, der diese Funktion so nicht möchte. Red-Hat- und Google-Entwickler versuchen zu intervenieren.

Artikel veröffentlicht am ,
In der Linux-Community gibt Linus Torvalds den Ton an.
In der Linux-Community gibt Linus Torvalds den Ton an. (Bild: Christopher Michel/CC-BY 2.0)

Nach einem Jahr Arbeit und einigen Runden an Überarbeitungen wird neuer Code für eine Sicherheitsfunktion des Linux-Kernel vom zuständigen Security-Maintainer James Morris in einen Kernel-Zweig für kommende Veröffentlichung eingepflegt. Dieser Zweig landet früher oder später bei Linux-Chefentwickler Linus Torvalds, der die jeweils aktuellen Kernel-Versionen verantwortet. Dieser eigentlich übliche Ablauf wird nun aber von Torvalds selbst durchbrochen, der bei den Patches zum sogenannten Kernel-Lockdown massiv interveniert und wie bereits in anderen Fällen zuvor damit droht, den Code schlicht nicht aufzunehmen.

Stellenmarkt
  1. über duerenhoff GmbH, München
  2. SySS GmbH, Tübingen

Die unter Leitung von Red-Hat-Entwickler David Howells von mehreren beteiligten Entwicklern erstellten Patches sollen dafür sorgen, dass der laufende Kernel von einem Angreifer nicht dauerhaft verändert werden kann, indem der Zugriff auf bestimmte Kernel-Schnittstellen schlicht verhindert wird. Der Google-Angestellte Kees Cook, der verschiedene Sicherheitsfunktionen in Linux umsetzt, beschreibt sogar, dass damit der Root-Nutzer (UID-0) teilweise vom laufenden Kernel mit seinen Systemberechtigungen (Ring-0) getrennt werden soll. Die Patches sollen hier die bekannten Pfade zu Rechte-Erweiterungen "stopfen", schreibt Cook außerdem.

Lockdown bei Secure Boot

Die aktuelle Serie der Patches aktiviert den Kernel Lockdown automatisch, falls das System mit aktiviertem UEFI Secure Boot gestartet wurde. Der langjährige Linux-Entwickler Andy Lutomirski kritisiert in einer E-Mail aber nicht nur die Patches selbst, sondern eben auch diese Verknüpfung zu Secure Boot. Er verstehe nicht, warum Secure Boot zwingend zu dem Lockdown führen solle. Torvalds schreibt daraufhin: "Hier stimme ich heftig mit Andy überein".

Der Linux-Chefentwickler führt seine Kritik weiter aus und schreibt, dass zwar der Lockdown im Allgemeinen vielleicht eine gute Sache sei, dies aber eben nichts mit Secure Boot zu tun habe. Die zwei Techniken passten schlicht nicht zueinander und hätten keine Überschneidungen, schreibt Torvalds.

Diese Einschätzungen basieren wohl aber auf einigen Missverständnissen in Bezug auf Secure Boot, dessen prinzipielle Einsatzmöglichkeiten sowie die bereits umgesetzte praktische Verwendung der UEFI-Funktion. Das legen zumindest die Erläuterungsversuche verschiedener Entwickler nahe, allen voran der Google-Angestellte Matthew Garrett, der einer der treibenden Kräfte für die Secure-Boot-Umsetzung in Linux war.

Auf die Erklärungsversuche scheinen sowohl Lutomirski als auch Torvalds aber nicht recht eingehen zu wollen. Beide vermuten vielmehr, dass mit den Patches eine nicht genannte Agenda umgesetzt werden solle und die beteiligten Entwickler zumindest einen Teil ihrer Beweggründe für die Patches absichtlich verschweigen.

Sollte sich nichts Grundlegendes an den Konfigurationsoptionen für die Lockdown-Funktion ändern, wird Torvalds in seiner Position als Hauptverantwortlicher für den Kernel den Code nicht einpflegen. Das hat er zumindest schon angekündigt.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Hardware-Angebote
  1. (u. a. 3er Pack Lüfter LL120 RGB für 102,90€, Crystal 680X RGB Gehäuse für 249,90€)

lahmbi5678 09. Apr 2018

Aber irgendwann wird halt der Schalter umgelegt, dann gibt es neue Hardware nur noch mit...

vergeben 05. Apr 2018

nur so nebenbei, weil es wunderschön paßt: siehe systemd Was ursprünglich als Ersatz für...

a user 05. Apr 2018

Ne Menge. Aber, der Hauptgrund der Performanceunterschiede ist nicht darauf...

jose.ramirez 05. Apr 2018

Es war anfangs nicht vorgesehen. Secure Boot ist de facto kaputt.

pythoneer 05. Apr 2018

Mir scheint, du hast nicht ganz verstanden auf was ich hinaus wollte. Der Artikel...


Folgen Sie uns
       


Silent Hill (1999) - Golem retro_

Wir haben einen Ausflug ins beschauliche Silent Hill gemacht - und ins Jahr 1999.

Silent Hill (1999) - Golem retro_ Video aufrufen
Verkehr: Das Kaltstart-Dilemma der Autos mit Hybridantrieb
Verkehr
Das Kaltstart-Dilemma der Autos mit Hybridantrieb

Bei Hybridautos und Plugin-Hybriden kommt es häufiger zu Kaltstarts als bei normalen Verbrennungsmotoren - wenn der Verbrennungsmotor ausgeht und der Elektromotor das Auto durch die Stadt schiebt. Wie schnell lässt sich der Katalysator vorwärmen, damit er Abgase dennoch gut reinigen kann?
Von Rainer Klose

  1. Elektromobilität Umweltbonus gilt auch für Jahreswagen
  2. Renault City K-ZE Dacia plant City-Elektroauto
  3. Elektroautos EU-Kommission billigt höheren Umweltbonus

Generationenübergreifend arbeiten: Bloß nicht streiten
Generationenübergreifend arbeiten
Bloß nicht streiten

Passen Generation Silberlocke und Generation Social Media in ein IT-Team? Ganz klar: ja! Wenn sie ihr Wissen teilen, kommt am Ende sogar Besseres heraus. Entscheidend ist die gleiche Wertschätzung beider Altersgruppen und keine Konflikte in den altersgemischten Teams.
Von Peter Ilg

  1. Arbeit Warum anderswo mehr Frauen IT-Berufe ergreifen
  2. Arbeit Was IT-Recruiting von der Bundesliga lernen kann
  3. Arbeit Wer ein Helfersyndrom hat, ist im IT-Support richtig

Unitymedia: Upgrade beim Kabelstandard, Downgrade bei Fritz OS
Unitymedia
Upgrade beim Kabelstandard, Downgrade bei Fritz OS

Der Kabelnetzbetreiber Unitymedia stellt sein Netz derzeit auf Docsis 3.1 um. Für Kunden kann das viel Arbeit beim Austausch ihrer Fritzbox bedeuten, wie ein Fallbeispiel zeigt.
Von Günther Born

  1. Hessen Vodafone bietet 1 GBit/s in 70 Städten und kleineren Orten
  2. Technetix Docsis 4.0 mit 10G im Kabelnetz wird Wirklichkeit
  3. Docsis 3.1 Magenta Telekom bringt Gigabit im Kabelnetz

    •  /