UEFI-Firmware und Private-Key: AMI bestätigt Echtheit, hält Gefahr aber für gering
Der UEFI-Quellcode von AMI, der samt privatem Schlüssel auf einem offenen FTP-Server in Taiwan gefunden wurde, ist echt, bestätigte American Megatrends in einer Presseerklärung(öffnet im neuen Fenster) . Allerdings stammt der Code nicht von AMI direkt, sondern von einem Lizenznehmer. AMI trägt also keine Schuld daran, dass die Daten in falsche Hände gelangt sind.
Bei dem im Archiv enthaltenen privaten Schlüssel handle es sich zudem nur um einen Testschlüssel für Entwickler. AMI rät seinen Kunden, für fertige Produkte die Schlüssel nochmals gegen einen Produktionsschlüssel auszutauschen. Ist der Lizenznehmer diesem Rat gefolgt, sollte der Schlüssel wenig nützlich sein.
Daher gibt AMI Entwarnung. Die gefundenen Daten seien nicht geeignet, um Systeme nahezu unbemerkbar mit Schadsoftware zu infizieren.
Der Sicherheitsforscher Adam Caudill, der den Fund des Quellcodes und Schlüssels durch einen Kollegen publik gemacht hat, hält die Veröffentlichung(öffnet im neuen Fenster) des Quellcodes dennoch für ein Sicherheitsproblem. Dritte hätten so die Möglichkeit, den Quellcode, der nicht für die Öffentlichkeit bestimmt war, zu untersuchen und so einfacher Sicherheitslücken zu finden.