Caramon2 schrieb:
Dazu eine Frage: Hat Secure-Boot bei irgendeinem von euch schon mal etwas gebracht?
Definiere, was mit "gebracht" gemeint ist?
Aus wessen Sicht und was soll es verhindern?
Bringen kann es viel, wenn der Anwender seine Hausaufgaben macht.
Wenn du bei Secure Boot Zwang versuchst unsignierte oder falsch signierte Boot Medien in einem PC zu booten, dann wird das zwangsweise fehl schlagen. Die Linux Community dürfte sowas eigentlich kennen.
Der Fehler ist nur, dass Microsoft dafür die Schuld gegeben wird - und nicht dem eigentlichen Problem Auslöser. Das ist nämlich der Vendor des Systems, der sich als PK Owner bewusst für Microsoft als Anbieter und Verwalter entschieden hat. Das ist faktisch kein muss. Und es gibt auch keinen Zwang dafür. HP bspw. betreibt parallel zu Microsoft eine eigene Zertifikatskette.
Caramon2 schrieb:
So wie ich das verstehe, verhindert es nicht, dass sich Rootkits oder Sache wie Bootkits installieren, sondern verhindert nur, dass Windows beim nächsten Mal gebootet wird und die Schädling aktiviert werden.
Du verstehst offenbar den Sinn hinter Secure Boot nicht. Secure Boot verhindert nicht das Einbringen von Schadcode. Es verhindert eher das Ausführen des Systems wenn dort kein valider Boot Prozess stattfindet. Und dabei reicht ein Teil der Kette, der invalide ist.
SavageSkull schrieb:
ISt Microsoft eigentlich die einzige Firma, die den Schlüssel verwaltet? Ist das noch im Interesse der Nutzer, dass MS damit Konkurrenz Produkte ausschließen kann?
Nein - ist Microsoft natürlich nicht. Microsoft ist nur halt die Stelle, die quasi überall verwendet wird für diesen Prozess, weil so ziemlich kein Vendor auf der Erde aktuell (bis auf Apple vielleicht noch und Geräte abseits von Client Geräten) Microsoft aussperrt - da deren Client Markt Anteil mit Windows eben das Maß der Dinge ist.
Mal andersrum geschaut - auf nem MacBook mit M CPU findest du bestimmt keine Microsoft Schlüssel im EFI Boot Prozess
Termy schrieb:
In der Praxis ja - mir wäre zumindest kein Mainboard-Hersteller oder OEM bekannt, der nicht die MS-Keys im UEFI hinterlegen würde.
Da zumindest im Client PC Bereich Microsoft OSen die mit Abstand größte Verteilung inne haben und die ihre Software nur mit eigenen Keys signieren musst du als Kunde eben abwägen. Willst du Microsoft, dann nimm die Keys von Microsoft. Wenn nicht, dann schmeiß den Kram halt raus...
Wenn mich nicht alles täuscht ist das enfernen der Einträge technisch ja machbar. Du brauchst nur den eigenen PK und kannst über dieses Key Pair die Infrastruktur Dritter implementieren (und halt dann selbst pflegen).
Termy schrieb:
SB ist eigentlich schon ne super Sache - aber eben nur mit eigenen Keys. Ist mit
sbctl jetzt auch kein Hexenwerk, das einzurichten
Ist das nicht genau genommen bei jeder Art von Verschlüsslung bzw. Signatur der Fall!?
Technisch gesehen sagt einfach nur eine dritte Partei, dass die dort etwas valide ist oder eben nicht. Wie vertrauenswürdig diese dritte Partei ist, ist bei Secureboot in den Köpfen der Leute bspw. eine ganz andere Nummer wie bei Webseiten mit ihren TLS Zertifikaten.
ComputerJunge schrieb:
Ohne die Mainboard-Hersteller/OEMs geht andererseits auch nichts, weil nur diese m. E. über den Platform Key (PK) alle Änderungen in der KEK-DB signieren, dessen Zertifikat(e) wiederum alle Änderungen in den anderen relevanten Zertifikats-DBs signiert/signieren.
Exakt das. Es nicht nicht Microsoft die hier das Problem sind. Sie sind Teil derer, die Probleme verursachen könnten. Technisch wäre aber die Aufgabe des OEMs hier bei Erkennung von einer Ausnutzung durch Microsoft die Microsoft Teile der Kette rauszuputzen aus der Firmware. Bspw. durch ein simples Firmware Update. Es ist eigentlich komplett ausgeschlossen, dass das zu einem Nutzer Problem wird.
Mal davon ab - wer das alles nicht will, der betreibt halt nen eigenen PK und eine eigene KEK. Importiert die Microsoft LIste zusätzlich und kann selbst steuern, welche Einträge in der DB oder DBX Liste stehen. Es gibt nur eine DB und DBX pro Firmware. Alle KEK sind gleichberechtigt für diese Liste. Wenn MS das rausputzt ist es faktisch ausgeschlossen, dass man es nicht wieder rein schreiben kann, solange man den PK private Key hat. -> so für die mit dem großen Aluhut unter uns.
ComputerJunge schrieb:
Auch dieser PK kann ablaufen. Viel Spaß dann mit HW-Anbietern, die UEFI-Updates über Google-Drives zur Verfügung stellen.
Das ist aber technisch kein Problem, weil das UEFI Design vor sieht, dass der physikalische Besitzer des Systems den PK tauschen können muss. Dafür gibt es einen Setup Mode - es ist technisch über diesen Möglich, ein eigenes PK Pair zu erzeugen und zu importieren. Dann importiert man seine eigene KEK und ggf. bei Nutzung von Windows noch die von Microsoft und gut ist. Ein aktuelles Windows Update wird dann die DB/DBX Listen füllen und wenn einem irgendwas daran nicht passt, dann dreht man es nach gutdünken und fertig.
