News Microsoft Pluton: Security-Chip lässt Linux nicht auf das Lenovo Z13 und Z16

[Termy]

Wie bei vielen Consumer Mainboards auch.

Habe ich noch nicht ein einziges Mal erlebt - würde also mal behaupten, dass es (wenn überhaupt) bisher eher die Ausnahme darstellt.
Und davon abgesehen das Problem ja nicht mindert, selbst wenn deine Aussage korrekt sein sollte.

 

[Atent12345]

Genau diese 3rd-Party-Zertifikate für den shim sind aber ja per Default nicht akzeptiert.

Nur die selbst ausgestellten Zertifikate. Die großen Distros haben von Microsoft selbst ausgestellte Zertifikate. Die gehen zumindest auf meinem Lenovo Thinbook mit Pluton und der selben Bios Option durch.

 

[7r1c3]

@Termy
Kann mich jetzt täuschen, aber bei Asus Mainboards ist glaube ich unter Secure Boot "Windows UEFI Mode" voreingestellt welches keine 3rd Party CA beinhaltet.

Erst nach umstellen auf "Other OS" und abschalten vom CSM kann hier Linux gebootet werden.
Dies hatte ich jetzt bei ein paar Boards und glaube nicht, dass hier vorher etwas umgestellt wurde.

Und davon abgesehen das Problem ja nicht mindert, selbst wenn deine Aussage korrekt sein sollte.

Soll es auch nicht, finde aber daher hier diesen Aufstand etwas lächerlich.
Worüber wird sich hier aufgeregt? Dass hier ein weiterer Schritt, notwendig ist um Linux zum booten zu bekommen?
Dann kauft doch einfach ein Gerät, welches für Linux konzipiert ist. Dies hätte auch gleich mehrere Vorteile.

Ich beschwere mich auch nicht, wenn ich ein Custom Rom auf ein Android spiele, hier gewisse dinge zu beachten sind. Ich bin ja schon froh, wenn das überhaupt noch möglich ist.

Versteh mich nicht falsch, ich wünsche mir keine Zukunft, wo ich am PC nicht mehr entscheiden kann, welches OS ich nutze, sehe hier im Artikel aber auch nicht, dass es das Ziel des Pluton Chips ist. Sollte es nachträglich verhindert werden, bin ich gerne dabei, laut herumzuschreien.

 

[xexex]

Das ist aber auch etwas, was kaum einer wirklich braucht.

Das ist Schwachsinn³. Womit machen die meisten Menschen heutzutage ihre Fotos? Mit ihrem PC? Wohl kaum! Wohin landen Fotos und Videos und von wo werden sie Freunden und Bekannten meist gezeigt? Auf dem PC? Genauso wenig! Meinen Kalender und meine Dokumente möchte ich mit meiner Familie teilen, die Mediendaten sowieso.

Wenn du für die Cloud keine Verwendung findest und mit Linux zurecht kommst, gehörst du halt zu den 2% Nutzer die aktuell damit auf dem Desktop arbeiten. Deine Ü70 Mutter würde sich vermutlich hingegen freuen, wenn sie die Fotos von ihrem Smartphone direkt auf ihrem PC sehen und bearbeiten könnte, sie gibt sich mit der Kiste zufrieden, weil sie vermutlich nicht mal weiß was heutzutage alle möglich ist.

Der "Rest" sieht es aber längst anders, sonst wären Chromebooks nach den anfänglichen Startschwierigkeiten nicht längst immer beliebter und hätten zeitweise sogar Apple überholt. Der PC als eine Insellösung bei der man den gesamten Smartphone und Tablet Markt außer acht lässt und die Cloud nicht berücksichtigt hat längst ausgedient.

Ergänzung (11. Juli 2022)

Lässt es sich denn jetzt doch abschalten beim Lenovo?

Natürlich und hätte @SVΞN nicht den Titel so reißerisch gewählt und die meisten Schreihälse hier den Text nur selektiv überflogen, bräuchte man die schwachsinnige Diskussion hier nicht.

In der Standardkonfiguration, also dem Auslieferungszustands des Notebooks, verhindere der in CPUs von AMD, Intel und Qualcomm integrierbare Security-Prozessor den Start von Linux und erlaube ausschließlich das Booten von Windows.

Einmal kurz ins UEFI, Pluton ausschalten und jeder kann wieder sein gewünschten Bastelsystem aufspielen.

Damit bietet Lenovo mit dem ThinkPad Z13 und Z16 erstmals im Auslieferungszustand Windows-Only-Notebooks an und bestätigt in einem offiziellen Dokument (PDF), dass Microsoft 3rd Party UEFI Certificates zukünftig ab Werk nicht akzeptiert werden und erst über einen Eingriff in das BIOS freigegeben werden müssen.

 

[Kuristina]

Einmal kurz ins UEFI, Pluton ausschalten und jeder kann wieder sein gewünschten Bastelsystem aufspielen.

Es gibt nicht nur Nerds auf dem Planeten 🙂

 

[xexex]

Es gibt nicht nur Nerds auf dem Planeten

Wer nicht fähig ist im UEFI eine Option umzustellen, sollte Versuche alternative Betriebssysteme zu installieren am besten gleich ganz lassen.

 

[Kuristina]

Wer nicht fähig ist im UEFI eine Option umzustellen, sollte Versuche alternative Betriebssysteme zu installieren am besten gleich ganz lassen.

Eine Distro auf einen Stick kopieren ist einfach. Den Stick einstecken und davon zu booten auch. Im Bios irgendwo rumfummeln ist wieder ganz was anderes. Würde ich nicht jedem empfehlen.

 

[xexex]

Eine Distro auf einen Stick kopieren ist einfach. Den Stick einstecken und davon zu booten auch. Im Bios irgendwo rumfummeln ist wieder ganz was anderes. Würde ich nicht jedem empfehlen.

Blöd nur, dass man um überhaupt von einem Stick booten zu können meist sowieso ins UEFI muss. Wer schon daran scheitert im UEFI Sachen einzustellen, braucht gar nicht anzufangen sich mit Linux zu beschäftigen.

 

[Termy]

sehe hier im Artikel aber auch nicht, dass es das Ziel des Pluton Chips ist.

Steht da auch nicht - aber selbst wenn es "nur" ein von Microsoft sehr gerne gesehener "Nebeneffekt" ist, so verdient das doch trotzdem, angeprangert zu werden?
Um bei deinem Custom-ROM-Beispiel zu bleiben: findest du es nicht auch absolut daneben, wenn immer mehr Hersteller den Bootloader zudengeln? Ist es da auf der Suche nach dem nächsten Handy nicht auch hilfreich, wenn es Berichte gibt, anhand derer ich sehen kann, welche Hersteller zu meiden sind?

Ergänzung (11. Juli 2022)

Blöd nur, dass man um überhaupt von einem Stick booten zu können meist sowieso ins UEFI muss. Wer schon daran scheitert im UEFI Sachen einzustellen, braucht gar nicht anzufangen sich mit Linux zu beschäftigen.

Auch hier wieder: von "Bootreihenfolge" haben sicher schon viele gehört, ist ja auch absolut intuitiv nachvollziehbar.
Warum der Linux-Stick nicht bootet zu wissen welche der zahlreichen Optionen man umstellen muss ist da ne ganz andere Liga...

 

[Karan S'jet]

Eine Distro auf einen Stick kopieren ist einfach. Den Stick einstecken und davon zu booten auch. Im Bios irgendwo rumfummeln ist wieder ganz was anderes. Würde ich nicht jedem empfehlen.

Das uefi aufzurufen und nach Anleitung die Option zu setzen ist noch viel einfacher als sich einen Boot Stick zu erstellen…

Man muss sich halt nur mit der Thematik auseinandersetzen wollen.

 

[Kuristina]

Blöd nur, dass man um überhaupt von einem Stick booten zu können meist sowieso ins UEFI muss.

Ich brauchte da nichts umstellen, um diverse Distros zu testen. Einfach nur vom Stick booten.

Warum der Linux-Stick nicht bootet zu wissen welche der zahlreichen Optionen man umstellen muss ist da ne ganz andere Liga...

Ganz genau.

 

[xexex]

Warum der Linux-Stick nicht bootet zu wissen welche der zahlreichen Optionen man umstellen muss ist da ne ganz andere Liga..

Wirklich? Probleme mit Secure Boot und Linux gibt es seit mehr als 10 Jahren und mindestens genauso lange Anleitungen wie man dies umgeht. Ich kann an dieser Stelle es nur nochmal wiederholen, wer bei der Linux Installation schon daran scheitert, braucht sich mit Linux auch sonst nicht weiter zu befassen.
https://support.hp.com/de-de/document/c03760008

Ergänzung (11. Juli 2022)

Ich brauchte da nichts umstellen, um diverse Distros zu testen. Einfach nur booten.

Klar! Es gab noch nie Probleme mit UEFI oder CSM, mit 32 oder 64 bit EFI und die Probleme mit Secure Boot gibt es auch erst seit heute..... Der Weihnachtsmann existiert bestimmt auch wirklich und macht grad Urlaub mit dem Osterhasen auf Hawai.

https://praxistipps.chip.de/ubuntu-im-uefi-modus-installieren-so-gehts_43466

 

[Kuristina]

Klar! Es gab noch nie Probleme mit UEFI oder CSM, mit 32 oder 64 bit EFI und die Probleme mit Secure Boot gibt es auch erst seit heute

Hat keiner gesagt. Entspann dich mal. Draußen scheint die Sonne. 🙂 Ich sagte nur, ich musste da nichts umstellen, um einige Distros zu testen.

 

[Termy]

Ich kann an dieser Stelle es nur nochmal wiederholen, wer bei der Linux Installation schon daran scheitert, braucht sich mit Linux auch sonst nicht weiter zu befassen.

Warum denn? Wenn die Hürde des Startens des Live-Systems genommen ist, dann ist die Installation deutlich schneller und einfacher als die von Windows...

Klar! Es gab noch nie Probleme mit UEFI oder CSM, mit 32 oder 64 bit EFI und die Probleme mit Secure Boot gibt es auch erst seit heute.....

Und weil es mit Microsofts Secure Boot 1.0 schon in der Vergangenheit "ganz unbeabsichtigte" Probleme in Bezug auf nicht-Windows-Betriebssysteme gab muss man jetzt mit "SecureBoot 2.0" die gleiche Scheisse wiederholen?
Ich kann echt nicht verstehen, dass solch ein Gebahren tatsächlich von Kunden verteidigt wird...

 

[7r1c3]

Um bei deinem Custom-ROM-Beispiel zu bleiben: findest du es nicht auch absolut daneben, wenn immer mehr Hersteller den Bootloader zudengeln?

Natürlich, aber ich kann mich da ein keinen großen Aufschrei der Community erinnern, als es gewissermaßen zum Standard wurde. Auch glaube, ich wurde es bei Apple und dem IPhone nie so bemängelt wie hier, obwohl beim einen etwas noch immer möglich ist und beim anderen nicht.

Die eine Sache ist aber "Was wäre wenn" und die andere Sache ist die Realität. Wenn du mir klare beweise, zuschieben kannst, dass Pluton zum ziel, hat andere OS konsequent auszuschließen, ändere ich gerne meine Meinung zu dem Thema.

 

[Mensch_lein]

"Wer sich mit der Tematik IT nicht beschäftigen will, sollte keinen Computer nutzen." ist genauso eine ZU Pauschalisierte Aussage.

Ich kenne genügend Menschen welche eigentlich nur mit ihrem OS etwas zu tun haben wollen. Die wollen dann eben NICHTS im Bios einstellen müssen. Noch sich darum kümmern, was es überhaupt ist.

Bei manchen Mobos kann man auch per F12 dann Booten von etc einstellen und benötigt keinen ausflug ins Bios. Nur mal so der Vollständigkeit halber, weil manche glauben die Menschen ins Bios zu werfen sei so cool und gar kein Problem. Wäre dann korrekt, wenn man sich mit der Hardware beschäftigen will, oder generell mit IT.

 

[7r1c3]

Und weil es mit Microsofts Secure Boot 1.0 schon in der Vergangenheit "ganz unbeabsichtigte" Probleme in Bezug auf nicht-Windows-Betriebssysteme gab muss man jetzt mit "SecureBoot 2.0" die gleiche Scheisse wiederholen?

Ist es dass, oder liegt es daran, dass fast jeder Hersteller im Consumer Bereich davon ausgeht, dass Windows genutzt wird und daher die Einstellung von Secure Boot entsprechend gesetzt sind.

Beim Mac hast du auch die "Probleme" von Secure Boot und musst die Einstellungen entsprechend setzten.

Nur mal hier, was im Debian Wiki zum Thema Secure Boot steht.
https://wiki.debian.org/SecureBoot#What_is_UEFI_Secure_Boot_NOT.3F

Welches meiner Meinung auch heute noch gültig ist.

 

[Mensch_lein]

Ich frage mich bei dem Ganzen eher, wozu sollte das gut sein?

Sicherheit? Kann ich den Scherz nun nochmals in Farbe haben?

Laut Microsoft wird die Firmware von Pluton über die Windows-Update-Funktion aktualisiert, genau wie viele andere Komponenten auf Ihrem PC. Das bedeutet, dass neue Funktionen, die Pluton nutzen, sich auch auf ältere Geräte übertragen lassen. Durch diese Sicherheits- Updates können Sie somit auch kommende Bedrohungen entschärfen. Des Weiteren macht das Pluton zum Teil einer Sicherheitslösung, die Microsoft als „Chip-to-Cloud“ bezeichnet.

Quelle : https://www.pcwelt.de/tipps/Microsoft-Pluton-Darum-kuemmert-sich-der-Security-Chip-11226058.html

Wenn ich so etwas lese, dann weiss ich, das von Sicherheit rein gar nix übrigbleibt zum Schluss. Sie brauchen eine Internetverbindung, damit sie vor Viren sicher sind. *TILT! Error syntax error. pleas Format/c*Hust.

 

[Termy]

Natürlich, aber ich kann mich da ein keinen großen Aufschrei der Community erinnern, als es gewissermaßen zum Standard wurde.

Na die Mobile-User lassen sich ja leider generell viel kundenfeindliches gefallen, welches auf dem Desktop (noch) für größere Shitstorms sorgt...

Wenn du mir klare beweise, zuschieben kannst, dass Pluton zum ziel, hat andere OS konsequent auszuschließen, ändere ich gerne meine Meinung zu dem Thema.

Ist die Intention (die abseits des Leaks interner Dokumente wohl sowieso kaum "klar zu beweisen" wäre) denn so entscheidend? Klar würde es das ganze noch verabscheuungswürdiger machen, kritikwürdig ist es aber eben auch ohne ein solch direktes Ziel.

Welches meiner Meinung auch heute noch gültig ist.

Ja, nachdem MS dann endlich shim gesigned hat - sonst hätte es da aber sicher auch kartellrechtliche Probleme gegeben

Wenn ich so etwas lese, dann weiss ich, das von Sicherheit rein gar nix übrigbleibt zum Schluss.

Wenn man Microsoft vertraut, dann kann sowas (in der Theorie) eventuell sogar wirklich ein wenig Sicherheit bieten. Secure Boot wäre ja auch ganz brauchbar, wenn nicht MS den Generalschlüssel halten würde und man uneingeschränkt nur eigene Schlüssel nutzen könnte.
Problematisch ist es halt, wenn man vernünftig ist und Microsoft nicht vertraut.

 

[Mensch_lein]

Problematisch ist es halt, wenn man vernünftig ist und Microsoft nicht vertraut.

Genau darum hab ich so meine Probleme damit.