rgbs schrieb:
Ich gehe davon aus, dass der Zwang zu Secure Boot mit TPM von "weiter oben" kommt.
Es ist doch der feuchte Traum aller sogenannten Staatsschützer bestimmen zu können, was auf privaten Rechnern läuft.
Eigentlich hat das ganze Thema seinen Ursprung in Konzept des Trusted Computing
https://de.wikipedia.org/wiki/Trusted_Computing
Dieses wurde und wird von einem Industrie-Konsortium (der Trusted Computing Group) entwickelt.
Aber auch unabhängig davon ist es Stand der Wissenschaft, dass man die Sicherheit und Integrität von Computern (egal ob es sich um einen PC, ein Smartphone ein IoT Device, oder was auch immer handelt) nur sicherstellen kann, wenn man Kontrolle über die Quellen, von denen Code installiert wird, hat.
Selbst ein Anwender mit "Expertenwissen" wird das nicht vollständig und zuverlässig für alle seine Geräte selbst überprüfen können, daher muss er sich, zumindest teilweise, auf den Anbieter der Hard- und Software verlassen. Ob und wie weit er das tut, ist Entscheidung des Anwenders. Also ob man eher Canonical oder Microsoft vertrauen möchte, muss jeder selbst entscheiden. Kritisch würde es werden, wenn es diese Wahl nicht mehr geben würde, weil z.B. ein autoritärer Staat vorschreiben würde, das nur noch ein "Staatsbetriebsystem" installiert werden dürfte.
Während es solche Ideen in Russland und China eindeutig gibt, kann ich das in der westlichen Welt nicht erkennen. Da sind eher die großen IT-Konzerne die treibendenden Akteure.
rgbs schrieb:
Leider betrifft Secure Boot mit TPM nicht nur Windows:
https://www.golem.de/news/tpm-und-s...verschluesselung-unter-linux-2109-159846.html
Und ich trage keinen Aluhut, ich bin nur Realist.
Poettering hat genau den oben beschriebenen Schwachpunkt eines "ungesicherten" Systems angesprochen.
Jetzt sind natürlich "Evil Maid" Angriffe nicht gerade das häufigste Angriffsszenario von PCs in Privathaushalten, das betrifft er Firmen-PCs. Außerdem ist auch ein Windows PC, selbst mit Bitlocker, nicht automatisch davor geschützt, wenn die Konfiguration fehlerhaft ist (gab es neulich einen Heise Artikel zu...).
Secure Boot ist natürlich auch kein Allheilmittel, es verhindert bestimmte Angriffsszenarien, die vermutlich zur Zeit noch nicht mal besonders relevant sind. Das liegt aber daran, dass es viel einfachere Wege gibt:
Der große "Schwachpunkt" von Desktop Betriebssystemen (egal ob Linux oder Windows) ist, das sie grundsätzlich erst mal jedes Executable von jeder Quelle das es in das Dateisystem schafft ausführen. Unter Umständen mit einer Warnung, aber letztendlich wird alles ausgeführt. Letztendlich ist das aber auch ein wichtiges Merkmal eines PC, was sicher niemand von uns aufgeben will. Man muss sich nur dieses Risikos bewusst sein. Würde Microsoft diese Möglichkeit ernsthaft beschneiden (wie sie es schon mal bei Windows RT versucht haben), dann wäre Windows nicht mehr das was es heute ist. Dann würde ein Windows PC eher einem iPad entsprechen. Ich glaube aber das aus genau diesem Grund Microsoft das auf absehbare Zeit nicht tun wird. Auch ein Unternehmen wie Microsoft kann nicht gegen den Markt arbeiten.
Balikon schrieb:
Das war das, was Kritikern schon seit Anbeginn bei TPM Bauchschmerzen bereitet hat. Man könnte z.B. kostenfreie OpenSource-Software als "unsicher" einstufen und raushalten.
Wie schon mehrmals erwähnt, hat das TPM selbst diese Fähigkeit gar nicht. Es ist nur ein Zertifikatsspeicher der die "Chain-of-Trust" absichert.
Die Hoheit, was auf einem Computer ausgeführt werden darf, und was nicht, bestimmt das Betriebssystem, ob mit oder ohne TPM. Das ist bei einer XBox oder einem iPhone restriktiver gelöst als bei einem Windows PC.
Balikon schrieb:
Also ist es für einen Bios-/Mainboard-/OS-Anbieter theoretisch möglich, unliebsame, weil freie Software aus dem System rauszuhalten. Transparenz geht in dem Fall auch gegen Null.
Theoretisch ja, und zwar genau auf den von Dir genannten Ebenen. Ein Mainboard Hersteller könnte ein Mainboard rausbringen, das über seine UEFI Firmware nur Windows booten kann. Aber wie realistisch ist das? Bisher sehe ich im Markt keinerlei Tendenzen in dieser Richtung, auch nicht bei Laptops/Notebooks von den bekannten Herstellern.
StefanArbe schrieb:
MS wird sich schwer tun win 11 zu verkaufen.
Dafür kann ich keinen Anhaltspunkt erkennen. Wir befinden uns hier in einer Blase von PC- Selbstbauern und Enthusiasten.
Das ist eine Nische, der Rest des Marktes sieht anders aus.
- Schon heute haben alle mit vorinstallierten Windows verkauften Laptops/Notebooks das TPM und Secureboot aktiviert. Bei Fertig-Desktops weiß es nicht so genau, aber vermutlich ist es da ähnlich
- Durchschnittsanwender machen eigentlich nie ein Betriebssystem-Upgrade auf eine neue Version. Der PC läuft bis zum Ende seiner Nutzung mit der Windows-Hauptversion mit der er gekauft wurde
- Firmen nutzen Secureboot/TPM/Bitlocker in der Regel auch
Und sogar in der Computerbase Nische wollen vermutlich sehr viele Leute schon "um das Neuste zu besitzen" Windows 11 installieren und werden die dafür notwendigen Voraussetzungen schaffen.
). Fazit: Ein PC ist kein Smartphone.
