[Date Prev][Date Next] [Thread Prev][Thread Next] [Date Index] [Thread Index]

Re: UEFI Secure Boot => Kernel Lockdown => kein Tiefschlaf. Warum?



Ulf Volmer - 06.03.21, 17:09:07 CET:
> On 06.03.21 16:49, Martin Steigerwald wrote:
> > Ulf Volmer - 06.03.21, 16:13:17 CET:
> >> On 06.03.21 16:05, Martin Steigerwald wrote:
> >>> Meine Frage bleibt: Vor welchem konkreten Angriffs-Szenario
> >>> schützt Kernel Lockdown? […]
[…]
> >> bob arbeitet auf Deinem PC und hat eine gültige Phrase für Dein
> >> LUKS,
> >> dameit er den Rechner selbstständig starten kann. bob hast Du aber
> >> keine root- Rechte gegeben. Durch Manipulation des Swap- Images
> >> kann
> >> er sich welche holen.
> > 
> > Wie kann er das Hibernation-Image im Swap-Laufwerk manipulieren,
> > wenn er *keine* Root-Rechte hat *und* das Swap-Laufwerk im
> > ausgeschalteten Zustand des Laptops verschlüsselt ist?
> 
> Indem er vom USB Stick bootet oder die Platte in einen anderen PC
> steckt.

Dann findet er ein Hibernation Image in einem verschlüsselten Swap-
Laufwerk vor. Das stelle ich mir schon ziemlich herausfordernd vor, da 
sinnig im Sinne eines Angriffes was anzupassen. Wobei ich nicht weiß, 
inwiefern LUKS die Integrität der verschlüsselten Daten prüft. Ich fände 
es ja gut, wenn es das täte. So oder so… LUKS-verschlüsselte Daten im 
verschlüsselten Zustand so zu manipulieren, dass da was Sinnvolles bei 
raus kommt halte ich für ziemlich schwer.

Wie ich es auch drehe und wende… für mich kommt da kein allzu 
realistisches Angriffs-Szenario raus.

> > So richtig überzeugend finde ich keines dieser Szenario. Zumindest
> > nicht überzeugend genug, um bei Aktivieren von UEFI Secure Boot
> > standardmäßig den Kernel Lockdown zu aktivieren.
> 
> Ich habe in Deinem Szenario (Single User, alle Nutzer sind
> vertrauenswürdig, der Laptop wird nicht mit auf Flugreisen genommen)
> eh nicht verstanden, was Secure Boot für Dich für Vorteile bietet.

Meine Idee war, wie ich schrieb, die Manipulation des Boot-Vorgangs bis 
zur Eingabe des LUKS-Passworts etwas schwerer zu machen. D.h. ich wollte 
sicherstellen, dass Bootloader, Kernel und InitramFS das sind, was ich 
da hin gepackt habe. 

Selbst das sehe ich nicht als essentiell an… aber das macht für mich 
noch mehr Sinn, als auch noch den Kernel zu zunageln, da für mich das 
Angriffs-Szenario so dermaßen weit hergeholt scheint, dass ich den 
Aufwand dafür gleich dreimal nicht verstehe.

Aber ja… ich sehe den Sinn hinter UEFI Secure Boot ebenfalls bereits als 
marginal an. Sicherlich ist wichtiger, die persönlichen Daten auf dem 
Laptop entsprechend zu schützen. Daher habe ich Secure Boot ja auch 
einfach erst mal wieder ausgeschaltet. Wenn an Ende dieser Kernel 
Lockdown und Hibernation Kram out of the box funktioniert… vielleicht… 
aber den Mehrwert im Kernel Lockdown sehe ich für mich nicht wirklich.

Ciao,
-- 
Martin



Reply to: