Secure Boot (war: Re: Strom sparen / Komfort behalten)
Sebastian Suchanek - 31.07.23, 08:11:12 CEST:
> Das ist nicht das (Haupt-)Ziel von Secure Boot. Das Ziel von Secure
> Boot ist es, schon vom Start weg keinen kompromittierten Code
> auszuführen. Gegen kompromittierten Code schützt auch eine
Ja, mir ist das bewusst. Ich habe nur den Eindruck, dass es so einige
gibt, die Secure Boot als Allheilmittel für Alles ansehen.
Das Ziel erreicht es aber ohnehin nicht. Zumindest auf den typischen
PCs. Die Firmware ist aus meiner Sicht bereits komprimierter Code. Es
sei denn Du hast eine Talos POWER 9-Workstation, wo Dir der Hersteller
den GPG-signierten Code der Firmware auf CD mitliefert.
Für das Laufen lassen eines typischen PCs muss ich bereits dem
Hersteller über den Weg trauen oder darauf hoffen, dass in der Firmware
nichts passiert, was gegen mein Interesse ist. Da je nach Firmware
bereits ein oder zwei TCP/IP-Stacks enthalten sind, die hoffentlich
ausgeschaltet sind, wenn ich sie ausschalte, halte ich das bereits für
ziemlich schwierig.
> vollverschlüsselte Festplatte nur bedingt, denn mindestens derjenige
> Teil des Bootloaders, der zum "Aufschließen" der verschlüsselten
> Festplatte dient, muss ja logischerweise unverschlüsselt vorliegen,
> kann also auch ohne Kenntnis des Festplatten-Verschlüsselungs-
> Schlüssels kompromittiert werden.
Ein Gerät, auf das jemand Anderes Zugriff hat, kann auf so viele andere
mehr oder weniger kreative Weisen kompromittiert werden, vor denen
Secure Boot *nicht* schützt, dass ich erneut in Frage stelle, inwiefern
die zusätzliche Komplexität den kleinen Gewinn rechtfertigt, den Secure
Boot bietet. Aber das habe ich alles auch erwähnt und damit eben auch
klar gestellt, dass ich durchaus weiß, vor was uns die Erfinder von
Secure Boot bewahren wollen.
Genau das leistet es aber nicht. Zumindest nicht mit Laptops die nicht
entsprechend versiegelt und *physikalisch* vor Zugriff geschützt sind.
Wie ich schrieb: Ein Gerät auf das jemand anderes physikalisch Zugriff
hat, ist kompromittiert. Aus. Ende. Basta. Ich weiß nicht, was daran so
schwer zu verstehen ist. Es sei denn Du verwendest Ausnahme-Hardware.
Nur das macht eben auch wieder kaum jemand.
Secure Boot kann einen Vorteil bringen, aber eben nur dann, wenn Du all
die anderen zusätzlichen Dinge noch machst, die dafür Voraussetzung
sind: TPM, Vollverschlüsselung, physikalische Schutzmaßnahmen und im
Idealfall eine Firmware, die Du selbst aus dem signierten Quelltext
kompiliert hast.
Und dann sind noch etwaige Sicherheitslücken, die Secure Boot aufgrund
der Komplexität gerade zu einlädt, noch außen vor.
Für mich bleibt Secure Boot eine Marketing-Nebelkerze, die von dem
ablenkt, was für mich (!) wirklich wichtig ist.
Es darf aber auch jeder gerne anders sehen und so viel Secure Boot
machen wie auch nur geht.
> Wie wahrscheinlich ein solcher Angriff ist und wie gut Secure Boot in
> der Realität gegen solche Angriffe schützt, sind andere Fragen.
Eben! Wichtige Fragen, wenn Du mich fragst.
Ciao,
--
Martin
Reply to: