Original-URL des Artikels: https://www.golem.de/news/nitropad-im-test-ein-sicherer-laptop-der-im-alltag-kaum-nervt-2002-146511.html    Veröffentlicht: 13.02.2020 12:03    Kurz-URL: https://glm.io/146511

Nitropad im Test

Ein sicherer Laptop, der im Alltag kaum nervt

Das Nitropad schützt vor Bios-Rootkits oder Evil-Maid-Angriffen. Dazu setzt es auf die freie Firmware Coreboot, die mit einem Nitrokey überprüft wird. Das ist im Alltag erstaunlich einfach, nur Updates werden etwas aufwendiger.

Auch das sicherste Betriebssystem nützt nichts, wenn das Rootkit im Bios oder UEFI sitzt und den Rechner schon vor dem Start des Betriebssystems kontrolliert. Abhilfe soll eine Kombination aus den freien Firmwares Coreboot und Heads schaffen, die den Startvorgang bis hin zum verschlüsselten Betriebssystem authentifizieren. Dieses lässt sich wiederum mit einem Nitrokey kontrollieren, der mit einer roten LED Alarm schlägt, wenn eine Veränderung am Bios vorgenommen wurde. Doch die Installation eines solchen Systems ist alles andere als trivial.

Beim Nitropad X230 installieren Nitrokey-Mitarbeiter Coreboot und Heads auf gebrauchte X230-Laptops von Lenovo. Die bereits etwas in die Jahre gekommene X230-Reihe eigne sich vor allem wegen der guten Unterstützung durch Coreboot, erklärt Jan Suhr von Nitrokey. Für rund sieben Jahre alte Laptops ist die Leistung beachtlich, wie ein Golem.de-Benchmark zeigt. Das Nitropad verspricht Sicherheit für kleines Geld, ohne selbst basteln zu müssen. Im Golem.de-Test zeigt der Laptop, dass er hält, was er verspricht.

Das unsichtbare Coreboot

Nach dem Auspacken stecken wir den beigelegten Nitrokey unseres Testgerätes in den USB-Port und drücken auf den Einschaltknopf: Wir werden direkt von Heads begrüßt. Coreboot bootet so schnell, dass es Unsinn wäre, den Vorgang durch das Einblenden eines Textes oder eines Bildes unnötig in die Länge zu ziehen. Während wir uns die Optionen im Boot-Menü von Heads anschauen, blinkt der Nitrokey grün und zeigt damit, dass keine Veränderung an Coreboot oder Heads vorgenommen wurde.

Viel zu bieten hat das Boot-Menü auf den ersten Blick nicht: Neben dem Default Boot kann die Überprüfung von Coreboot und Heads erneut getriggert oder der Rechner wieder heruntergefahren werden. Zudem gibt es einen Menüpunkt Optionen. Wir starten das vorinstallierte Ubuntu 18.04 LTS (Long Term Support) und werden mit der Passwortabfrage für die Festplattenverschlüsselung begrüßt. Nachdem wir "PleaseChangeMe" eingetippt haben, müssen wir noch einen Benutzer anlegen und das Passwort ändern. Dann ist das Nitropad startklar.

Im hohen Alter noch satte Leistung

Weitere Besonderheiten hat das Ubuntu nicht. Trotz des fortgeschrittenen Alters der X230-Serie von Lenovo können wir mit dem Laptop flüssig arbeiten. Office nutzen und Surfen ist ohnehin kein Problem, selbst mit virtualisierten Betriebssystemen lässt sich gut arbeiten. Alternativ zu Ubuntu kann das Nitropad auch mit Qubes OS bestellt werden. Dieses schottet mehrere Betriebssysteme mittels Virtualisierung voneinander ab und gilt daher als besonders sicher.

Beim Nitropad kann zwischen den beiden Ivy-Bridge-Prozessoren i5-3320M und i7-3520M gewählt werden. Im Unterschied zu den Intel-Prozessoren U-Suffix (Ultra-Low-Power) bieten die Modelle mit dem M-Suffix (Mobilsysteme) mehr Geschwindigkeit, allerdings bei höherem Energiebedarf (35 Watt TDP). In einem Benchmark mit Blender konnte der in unserem Testgerät verbaute i7-3520M mit dem Skylake-Prozessor i5-6200U in einem Lenovo X1 Carbon, das wir in der Redaktion täglich einsetzen, mithalten. Der neuere Prozessor ist nur etwa 5 Prozent schneller.

Doch das Nitropad definiert sich nicht durch seine Leistung beziehungsweise den Prozessor, sondern auch durch seine Sicherheitsfunktionen, die wir ebenfalls im Arbeitsalltag getestet haben.

Was das Nitropad sicher macht

Wie eingangs erwähnt, soll die Heads-Firmware helfen, die Manipulation der Firmware beziehungsweise des genutzten Betriebssystems schnell und einfach erkennen zu können. Vorgestellt hat Heads der Entwickler Trammell Hudson erstmals auf dem 33. Chaos Communication Congress als mögliche Maßnahme gegen den sogenannten Evil Maid Attack, also eine Firmware-Manipulation in einem Moment, bei dem der eigene Rechner nicht unter eigener Kontrolle ist, etwa weil dieser im Hotelzimmer liegt.

Grundlegend ist Heads eine sehr kleine Linux-Distribution, die direkt von der Coreboot-Firmware als sogenanntes Payload geladen wird. Heads selbst greift für seine eigentliche Aufgabe auf ein Trusted Platform Module (TPM) zurück. Dieses wird genutzt, um die Daten und den Code beim Boot mit Hilfe von Hashwerten zu überprüfen. Dies geschieht auch mit den kryptographischen Headern der verschlüsselten Festplatten, die so ebenfalls vor Manipulation geschützt werden sollen.

Um diesen Messvorgang beim Neustart verifizieren zu können, bietet Heads die Nutzung eines Time-based One-time Password (TOTP) an. Dieses wiederum kann dann mit einer Authenticator App auf dem Smartphone überprüft werden. Statt mit Hilfe der App kann dieses gemeinsame Secret beim Nitropad eben auch mit dem Nitrokey selbst überprüft werden, dann jedoch per HOTP (HMAC-based One-time Password), das einen zwischen den Geräten ausgehandelten Zähler statt der Uhrzeit verwendet.

Heads, wir haben ein Problem

Neben dem Bootvorgang wird auch die unverschlüsselte Linux-Bootpartition überprüft. Hier befinden sich beispielsweise der Linux-Kernel und weitere zum Start des Betriebssystems notwendige Programme, die das Grundsystem starten und zu einer Passworteingabe für den verschlüsselten Teil des Linux-Systems auffordern. Auch die Dateien auf der Boot-Partition werden durch Heads abgesichert, indem sie mit einem GPG-Schlüssel, der sich auf dem Nitrokey befindet, signiert werden. Diese Signaturen prüft Heads unter Rückgriff auf den Nitrokey ebenfalls bei jedem Bootvorgang. Wurden die Dateien verändert, warnt Heads mit einer Fehlermeldung auf rotem Grund.

Das passiert allerdings auch bei jedem Update, bei dem die Boot-Partition verändert wird. Der Rechner startet nicht wie gewohnt, sondern die Warnmeldung weist auf geänderte Hash-Werte auf der Boot-Partition hin. Entsprechend müssen die Hashes nach jedem Update, das Änderungen an der Boot-Partition vorgenommen hat, aktualisiert werden. Um die Signaturen zu erneuern, fragt Heads, ob der Nitrokey eingesteckt ist. Diese Frage sollten Nutzer nicht - wie gefordert - mit der Y-Taste für Yes beantworten, da Heads das US-Tastatur-Layout verwendet, bei dem Y und Z getauscht sind. Drücken Nutzer auf Y wird dieses zu Z und der Vorgang bricht sofort ab, ein Reboot ist notwendig.

Stattdessen können Nutzer ganz ohne Y und Z einfach auf Enter drücken, auch dann fordert Heads zur Eingabe des Nitrokey-PINs auf und die Dateien in der Boot-Partition werden neu signiert. Das ist zwar etwas nervig, geht aber schnell von der Hand. Aus Sicherheitsgründen empfiehlt es sich, das Nitropad nach jedem Systemupdate, bei dem auch Dateien in der Boot-Partition verändert wurden, neu zu starten und die Dateien zu signieren - sonst könnte eine Veränderung in Abwesenheit nicht erkannt werden.

Wird ein neuer Kernel installiert, müssen Nutzer zudem die Default-Boot-Einstellung ändern und den entsprechenden Kernel, der standardmäßig gestartet werden soll, festlegen. Denn Heads überspringt den Bootloader des Linux-Systems (beispielsweise Grub) und startet das Ubuntu oder ein anderes Linux direkt.

Das Updaten nervt im Alltag zwar etwas, allerdings gehört es zu den elementaren Sicherheitsfunktionen von Heads: den überprüften und abgesicherten Boot-Vorgang bis zum verschlüsselten System sicherzustellen. Sicherheit ist eben häufig nicht komfortabel.

Weniger ME für mehr Sicherheit

Neben den Signaturen lassen sich auch Coreboot und Heads selbst updaten. "Wir werden zukünftig Updates auf unserer Webseite zum Download anbieten. Aber man kann sich Heads und Coreboot natürlich jederzeit selber kompilieren", sagt Suhr. Für das Update müsse nur die Update-Datei auf einen USB-Stick kopiert und der Computer neu gestartet werden. Aus dem Heads-Menü könne dann einfach das Update getriggert werden, erklärt Suhr.

Nitrokey ersetzt nicht nur das Bios des X230-Laptops durch freie Firmware, sondern kümmert sich auch um die Management Engine (ME), eine proprietäre Firmware-Komponente von Intel. Diese hatte in der Vergangenheit immer wieder Sicherheitsprobleme und ist eine Art Black Box auf Computern mit Intel-Chips. "Es gibt derzeit zwei Möglichkeiten, ME zu verhindern", erläutert Suhr. Zum einen könne ein Bit gesetzt werden, das die Ausführung von ME verhindert, zum anderen könne ein großer Teil des ME-Binary-Blobs überschrieben werden. "Am sichersten ist es, beide Methoden zu verwenden und das machen wir auch", sagt Suhr.

Verfügbarkeit und Fazit

Dass es sich bei dem Nitropad um ein Gebrauchtgerät handelt, ist unschwer an einigen kleineren Kratzern auf dem Gehäuse zu erkennen. Auch der Akku sitzt in unserem Testgerät nicht perfekt. Zudem wurde die Tastatur erst mit relativ unscheinbaren Klebern zu einer QWERTZ-Tastatur. Die Gebrauchsspuren und ein improvisierter Festplatten-Caddy haben den Charme eines Bastelprojektes, nur dass man nicht selbst mit einer Klammer und einem SPI-Flash-Programmer den Bios-Chip flashen muss.

Die Nitropad-Variationen

Das Nitropad X230 ist seit dem 7. Januar erhältlich. In den bereits besprochenen Prozessoren steckt zusätzlich der Grafikchip Intel HD Graphics 4000. Die Bildschirmdiagonale des Nitropads X230 umfasst 12,5 Zoll bei einer Auflösung von 1.366 x 768 Pixeln. Im Shop von Nitrokey können zwischen verschiedenen Konfigurationen des Nitropads gewählt werden. Neben dem i5- oder i7-Prozessor stehen auch 4, 8 oder 16 GByte RAM, eine 320 GByte Festplatte oder eine SSD mit 128 oder 256 GByte zur Wahl. Zum Lieferumfang gehört auch ein Nitrokey Pro. Gegen Aufpreis kann ein Nitrokey Storage mit 16, 32 oder 64 GByte Speicher bestellt werden.

In unserem Test-Modell sind der i7-Prozessor, 16 GByte RAM sowie eine 240 GByte SSD von Kingston verbaut. In dieser Konfiguration würde der Laptop 785 Euro kosten. In der günstigsten Variante (i5, 4 GByte RAM, 320 GByte Festplatte) kostet das Nitropad 450 Euro. Hinzu kommen 6 Euro für den Versand in Deutschland beziehungsweise 8 Euro für den weltweiten Versand. Die Lieferzeit beträgt laut Nitrokey 2 bis 10 Tage.

Für das X230 gibt es verschiedene Dockingstationen von Lenovo, die ebenfalls gebraucht erworben werden können und bereits ab 15 Euro erhältlich sind. Wir haben das Nitropad mit einer Dockingstation getestet: Die freie Firmware kam problemlos mit der Dockingstation und ihren Anschlüssen klar. Laden, LAN, Audio oder USB3 - alles funktionierte.

Fazit

Abgesehen von Systemupdates bekommen wir im Alltag von den zentralen Sicherheitskomponenten Heads und Coreboot nichts mit. Der Rechner bootet schnell, mit Ubuntu kann normal gearbeitet werden. Der einzige Unterschied besteht darin, das der Bootprozess weitgehend mit freier Software realisiert wird. Die Überpüfung des Bootvorgangs mittels des Nitrokeys überzeugt nicht nur sicherheitstechnisch, sie ist auch leicht zu bedienen: Die grün oder rot blinkende LED verrät auf einen Blick, ob alles in Ordnung ist oder obVeränderungen an der Software vorgenommen wurden. Nur im Falle eines Betriebssystem-Updates werden wir jenseits der blinkenden LED mit Sicherheitsfunktionen konfrontiert. Wir müssen die Boot-Partition neu signieren sowie im Falle eines Kernel-Updates den zu bootenden Kernel auswählen. Letzteres kann im Alltag zwar etwas nerven, ist die Sicherheitsfunktion jedoch allemal wert.

Ansonsten hat sich das Nitropad in unserem Test bewährt. Die Leistung sollte jenseits von gehobenen Ansprüchen wie Bild- oder Videobearbeitung für den Surf-, Office- oder Admin-Alltag völlig ausreichen. Wem das Projekt zu viel Bastelcharakter hat, der kann auf ein deutlich teureres Gerät von Purism ausweichen, das mit der gleichen Boottechnik ausgerüstet ist. Nachhaltiger und preisgünstiger sind die Geräte von Nitrokey.

 (mtr)


Verwandte Artikel:
Nitropad X230: Nitrokey veröffentlicht abgesicherten Laptop   
(07.01.2020, https://glm.io/145902 )
LVFS: Coreboot-Updates sollen nutzerfreundlich werden   
(12.11.2019, https://glm.io/144920 )
Kryptographie: OpenSSH 8.2 unterstützt U2F-Hardware als zweiten Faktor   
(14.02.2020, https://glm.io/146649 )
Librem One: Purism startet Angebot für sichere Online-Dienste   
(02.05.2019, https://glm.io/141007 )
Webauthn: Nitrokey kann Fido2   
(26.11.2019, https://glm.io/145204 )

© 1997–2020 Golem.de, https://www.golem.de/