News Microsoft Pluton: Security-Chip lässt Linux nicht auf das Lenovo Z13 und Z16

[lynx007]

Doch natürlich, man muss nur einen kleinen Haken im BIOS setzen und schon geht das alles.

Komplett unnötige Hysterie.

Ja, steht mir dan TPM zur verfügung? Pluton ersetzt ja TPM. Oder läuft das simultan auf den geräten?

 

[Atent12345]

Was schon damit unsinnig wird, das man mir hier nun ernsthaft erklären will, das etwas ... das man mit windows-updaten kann, dann sicher sein soll? Ernsthaft?

Ich glaube, du hast dich noch nie damit befasst wie updates für secure vaults und masked logic gehandhabt werden. Wenn das vernünftig gemacht ist, bestände zumindest nach derzeitigen paperstand und meiner eigenen beruflichen Erfahrung darin kein Problem. Im Zweifel packt man einen burnable PROM dahinter.

@lynx007 Der Harken deaktiviert nicht Pluton, sondern lässt Pluton Zertifikate die nicht von MS stammen (wie die für Windows oder die großen Linux Distros) akzeptieren.

 

[Mensch_lein]

Ich glaube, du hast dich noch nie damit befasst wie updates für secure vaults und masked logic gehandhabt werden. Wenn das vernünftig gemacht ist, bestände zumindest nach derzeitigen paperstand und meiner eigenen beruflichen Erfahrung darin kein Problem. Im Zweifel packt man einen burnable PROM dahinter.

Nein, davon hab ich herzlich wenig Ahnung. Ich sehe meinen Erlebnishorizont und der ist, was MS angeht eher nicht der Meinung, das MS irgendetwas Vernünftig macht.

Für mich ist aber klar, dass wenn Menschen wie Rüdiger Weis genügend darüber wissen, und es als nicht gut empfinden, ich es auch als mindestens kritisch ansehe. Da vertraue ich auf deren Expertise. Genauso wie beim CCC. Dazu haben die mich noch nie belogen.
MS und die Politiker aber schon mehrfach, genauso wie Geheimdienste und Wirtschaftsweise.

 

[Creeping.Death]

Für mich ist aber klar, dass wenn Menschen wie Rüdiger Weis genügend darüber wissen, und es als nicht gut empfinden, ich es auch als mindestens kritisch ansehe. Da vertraue ich auf deren Expertise. Genauso wie beim CCC. Dazu haben die mich noch nie belogen.

Ich möchte nicht bestreiten, dass TPM seine Tücken hat. Aber der zitierte Rüdiger Weis hat 2013 (das war vor 9 Jahren!) behauptet:

Insbesondere die Tatsache, dass Microsoft die übliche Praxis verlassen hat und den Überwachungschip automatisch einschaltet und faktisch nicht mehr ausschalten lässt, verstösst unter anderem gegen das Eckpunktepapier des Bundesinnenministeriums.

Das hat sich bis zum heutigen Tag nicht bewahrheitet. Zumindest das heutige übliche TPM-Modul in CPUs lässt sich deaktivieren und war zumindest bis vor Kurzem sogar standardmäßig inaktiv.

 

[Mensch_lein]

Genau, die Aussage war von 2013. Ich sagte ja nicht, das sich seither nichts verändert hat. Die Frage für mich ist da nicht warum. Der Aufschrei war gross. Darum wurde das Ganze nicht so umgesetzt, wie es damals geplant war oder vorbereitet. Die Analyse von Rüdiger Weis war eine Momentaufnahme. Darum muss man es als das sehen, was es ist. Das bedeutet aber NICHT, das TPM plötzlich gut wäre. Nein, man braucht Pluton, damit es sicherer sei. Also wie ich schon vor einigen Seiten hier erwähnte, man versucht etwas unsicheres(was als sicherheitsplus verkauft wurde)nun sicher zu machen mit etwas, das genauso umgehbar sein wird.

 

[Atent12345]

@Mensch_lein
Ich kenne Weis durchaus (sowohl über meine Arbeit beim CCC, über eine Forschungskooperation zwischen unseren beiden Hochschulen und ich habe ihn auch mal auf der Washington Konferenz getroffen). Er ist halt Informatiker durch und durch. Von VLSI Design hat er nur bedingt Ahnung. Darum ging es auch bei der Kooperation. Er tendiert dazu side chanel der Kryptographie zu vernachlässigen. Da sehe ich z.B. einen großen Vorteil bei TPM. Ob Microsoft die Marktmacht langfristig nicht missbraucht (aktuell gibt es ja durchaus Linux Distributionen mit MS Zertifikat und die Option Drittanbieter Zertifikate zuzulassen)

Außerhalb einer sehr kleinen Blase war der Aufschrei zu dem Thema quasi nicht existent. Das hatten die auch damals ohne Probleme durchdrücken können.

 

[ComputerJunge]

Ich kenne Weis durchaus

Ich auch, er war 'ne Klasse unter mir.

Damals waren Computer für mich allerdings noch "Teufelszeug". Folgen konnte ich manchen seiner Ausführungen im Treppenhaus oder dem Pausenhof auch schon damals nicht, was allerdings ausnahmslos an meiner Kenntnislosigkeit lag.

 

[cloudman]

Nein, man braucht Pluton, damit es sicherer sei. Also wie ich schon vor einigen Seiten hier erwähnte, man versucht etwas unsicheres(was als sicherheitsplus verkauft wurde)nun sicher zu machen mit etwas, das genauso umgehbar sein wird.

Schau dir mal bitte an wie aufwendig die erfolgreichen Attacken auf Bitlocker sind.
Physikalischer Zugriff auf den Rechner ist notwendig. Dann wird ein Fpga verwendet um die keys beim booten abzugreifen.
Sobald man eine Pin für Bitlocker verwendet (wie es eigentlich best practice ist und auf unseren Laptop per GP vorgeschriebenen ) funktioniert dir Attacke nicht mehr.
Mit Pluton wird der Bus nicht mehr verwendet und macht diesen Angriff dann unmöglich selbst wenn keine PIN verwendet wird.

Generell ist der Vorteil eines TPMs das dort keys gespeichert werden die den Chip nicht verlassen. Das wird z.b. für Windows Hello verwendet. Pin oder biometrische Schlüssel liegen im TPM und lassen sich daraus nicht auslesen wenn man nicht über Umwege an die abgeleitetn Keys heran kommt (LPC Bus Attacks).
Warum ist eine Pin sicher als ein Passwort? Im TPM liegt das eigentliche komplexe Passwort. Die PIN wird nur verwendet um den Tresor zu öffnen der dann das komplexe Passwort herausrückt. Selbst wenn du deine PIN jemandem verrätst kann er über das Netz nicht damit anfangen. Er müsste dafür an deinem Rechner sitzen. Die komplexen Passwörter sind sehr viel sicherer als jedes ausgedachte Passwort. Technisch stimmt meine Beschreibung nicht ganz weil es noch deulich komplexer ist - ich will nur ungefähr erklären was da passiert.
Grob vereinfacht kann man sich ein TPM als Tresor vorstellen mit der Besonderheit das man aus ihm nichts entnehmen kann.
Du sagst dem TPM hier habe ich eine Information bitte mit meinem key verschlüsseln oder hier habe ich etwas verschlüsseltes bitte entschlüssen. Den keys selbst rückt das TPM nicht mehr heraus.

So du hast zwar Recht das Pluton die Sicherheit verbessert aber TPM als generell unsicher zu betrachten ist nicht richtig. Absolute Sicherheit wird es nie geben aber Verbesserung sind meiner Meinung nach zu begrüßen.

Sicherheit ist leider sehr komplex und nur Pluton ist sicherlich nicht die Lösung aller Probleme aber eben ein Baustein den man einsetzen kann um eine Schwachstelle (die wie wie gesagt nicht einfach auszunutzen zu) zu stopfen.
Nicht mehr und nicht weniger.

 

[xexex]

Genau, die Aussage war von 2013. Ich sagte ja nicht, das sich seither nichts verändert hat.

Es hat sich nicht nur seitdem, sondern sogar kurz danach die Einstellung zu TPM verändert. Der Artikel bei Wikipedia wurde nur nie auf den aktuellen Stand gebracht oder irgendjemand aus der "Aluhutszene" blockiert bewusst die Richtigstellung.

Zu TPM gab es bereits 2013 eine Korrektur seitens dem BSI ....

"Das BSI warnt weder die Öffentlichkeit, deutsche Unternehmen noch die Bundesverwaltung vor einem Einsatz von Windows 8." Zwar sieht die Bundesbehörde durchaus einige Probleme beim Zusammenspiel des Microsoft-Betriebssystems mit einem Sicherheits-Chip Trusted Platform Module (TPM) in der künftigen Version 2.0; für bestimmte Nutzergruppen könne der Einsatz von Windows 8 in Kombination mit einem TPM aber durchaus einen Sicherheitsgewinn bedeuten.
https://www.tecchannel.de/a/das-bsi-warnt-niemanden-vor-windows-8,2043669

Der aktuelle Stand:
https://www.bsi.bund.de/DE/Service-...ien/SiSyPHuS_Win10/AP5/SiSyPHuS_AP5_node.html

Der FUD von 2013 zieht sich aber leider bis heute Kreise und wird dummerweise auch noch immer wieder zitiert....

 

[cloudman]

@xexex danke die detaillierte BSI Informationen kannte ich nicht.

Ich hatte schon mal angeregt, dass Computerbase einen verständlichen Artikel zu TPM bringt.
Nach diesem Artikel hier zu Pluton bin ich allerdings nicht sicher ob dazu genügend know how vorhanden ist.

Ich würde ja einen Leser Artikel schreiben wenn ich etwas begabter wäre dieses komplexe Thema vernünftig zu beschreiben. Ist aber leider nicht wirklich meine Stärke. Bin eher der Dev Typ der lieber Code als Prosa schreibt 😉

 

[xexex]

Ich hatte schon mal angeregt, dass Computerbase einen verständlichen Artikel zu TPM bringt.

Es gibt vom BSI eine detaillierte Analyse diverser Sicherheitskomponenten von Windows 10, eine solche Tiefe kriegt man bei CB schlichtweg nicht unter, hier schaffen die Leser oft nicht einmal einen einfachen Artikel zu Ende zu lesen, geschweige denn zu interpretieren.

https://www.bsi.bund.de/DE/Service-Navi/Publikationen/Studien/SiSyPHuS_Win10/SiSyPHuS_node.html

 

[j-d-s]

Was soll man sagen, es gibt eben intelligente Menschen, die mit bedacht dargebotene Funktionen nutzen oder deaktivieren und es gibt eben Menschen, die eben nicht mit genug Intelligenz gesegnet sind und solchen Automatismen gehorsam folgen, alles zum Wohle ...... nein natürlich nicht der Menschheit, sondern zum Wohle der Aktionäre. Sicherheit, Funktionsfähigkeit oder gar Anwenderfreundlichkeit steht keinesfalls im Jahresbericht, da stehen nur Zahlen die aufzeigen wie viel die Aktionäre am Ende überwiesen bekommen.

Normalerweise kann man aber diese "Funktionen" nicht abschalten, denn MS verfolgt damit ja ein klares Ziel.

War doch auch so, als mal per Update ein Kopierschutztreiber blockiert wurde und damit diverse ältere Spiele mit einem bestimmten Kopierschutz nicht mehr spielbar waren.

MS hat auch schon häufiger Updates als "kritische Sicherheitsupdates" deklariert, obwohl es rein gar nichts damit zu tun hatte (bspw. solche, die das Upgrade auf Win10 ermöglichten).

 

[cloudman]

War doch auch so, als mal per Update ein Kopierschutztreiber blockiert wurde und damit diverse ältere Spiele mit einem bestimmten Kopierschutz nicht mehr spielbar waren.

Ja Macrovision hatte den Treiber jahrelang nicht mehr aktualisiert obwohl er unsicher war

https://www.cvedetails.com/cve/CVE-2006-1197/

Daraufhin wurde er blockiert. Es ging also sehr wohl um Security

 

[Nore Ply]

Es geht darum, das Pluton keinen Mehrwert hat

Dir mag es darum gehen. In der News geht es nur um den Bios Switch.

Ergänzung (13. Juli 2022)

Macht auch irgendwie Sinn, wenn ein Gerät mit Windows verkauft wird oder nicht?

Jahrelang konnte man Geräte für Windows verkaufen ohne deshalb Linux per Default-Settings erstmal auszuschließen.

Was hat sich geändert? Es geht um ein Security Label. MS vergibt das Label, MS gibt entsprechend auch vor was dafür getan werden muss. Kaum überraschend das MS bei einem Secured Windows PC gerne sehen möchte das per Default Windows, Windows, Windows, oder - wenn es denn unbedingt sein muss - Windows gestartet wird.

Problematisch wäre das in meinen Augen wenn es nicht umkehrbar wäre. Ist es aber, dem Bericht nach ohne übertriebenen Aufwand durch Bios-Switch. Problematisch wäre imA auch wenn das auf nicht-Secured-Windows-PC übergreifen würde. Aber dagegen kann ich erst protestieren wenn es denn wirklich so kommt.

 

[Eddy021771]

Normalerweise kann man aber diese "Funktionen" nicht abschalten, denn MS verfolgt damit ja ein klares Ziel.

im normalfall würde ich Dir ja Recht geben, aber es arbeiten bei MS eben nicht nur dumme Leute und die Gefahr das noch mehr aus dem Windows Universum abwandern ist eben viel größer wenn man zuviel auf einmal ändert, wenn man kleine Schritte macht in die Richtung in die man gerne will gewöhnen sich die User dran, weil, der Unterschied ist ja jedesmal nur relativ gering, die Zeit als Microsoft schalten und walten konnte nach gut dünken, weil Sie im Privatem Umfeld einfach 95% Marktmacht hatten sind zum Glück vorbei, heutzutage gibt es eben auch wieder Apple, Linux, Tabletts und Handys, aber mach mal sowas Aktionären klar das man vor ein paar Jahren noch 5 Milliarden Nutzer hatte und heute vielleicht noch 3 Milliarden (Zahlen aus der Luft gegriffen), aber die sollen ja trotzdem jedes Jahr noch mehr Umsatz bringen, MS muss also nun ein Weg suchen mit weniger Nutzern steigende Umsätze zu generieren um diese Bande von Aktionären zufrieden zu stellen und da ist es die große Keule zu schwingen sicher weniger effektiv als eben kleine Schritte zu machen und die noch vorhandene User schar nicht zu verschrecken, Appel hatte irgendwie das Glück gehabt als die Ihr eigenes Universum aufbauten das der User gesagt hat, he ganz schön teuer, aber irgendwie funktioniert wenigstens alles, davon ist MS ja weit entfernt.

 

[fdsonne]

Und doch gibt es den Fall, dass man zu einem späteren Zeitpunkt ein anderes OS installieren will. ...

Kannste doch - hindert dich doch keiner!?
Wenn man die Kiste zudreht, wie man es machen wird, wenn einem Sicherheit am Herzen liegt, dann musst du eh ins Bios. Also warum ist die eine Einstellung denn jetzt ein wirkliches Problem und die anderen nicht!?

Des weiteren, würde ich mal vermuten, dass für den Zugriff auf Uefi Einstellungen aus Windows eine erfolgreiche Anmeldung an Windows und Admin Rechte erforderlich sind, und dann ist da immer noch der Umstand, dass ein Uefi durch ein Kennwort gesichert werden kann...

Das ist eben der Punkt. Man versucht das installierte OS zu sichern vor externen Einflüssen. Denn wenn das DIng einmal gebootet und offen ist, ist es eben Anfällig. Ebenso versucht man die Firmware und Hardware zu sichern durch externe Einflüsse, weil du eben über diese Wege an die Settings kommst.

Lässt du die Tür aber auf, dann ist sie auf. Warum solltest du ein Windows booten und den Admin im Zweifel noch "knacken" wollen, wenn du auch ein Linux booten kannst bei dem du eh Root bist - von ner Live DVD oder Stick? Das ergibt keinen Sinn sich den Windows Account vorzunehmen. Die Sicherheitskette funktioniert nur, wenn man sie komplett durchdenkt. Partielle Sicherheit in einem Punkt die sich dann aushebeln lässt mit dem nächsten, bringt Niemanden irgendwas.


btw. gibt es aktuell (seit heute) nen deutlich besser beschriebenen Artikel zu dem Thema bei Heise.
https://www.heise.de/news/Linux-Ins...ows-11-Notebooks-etwas-erschwert-7178734.html
Allein der Aufmacher "Linux Installation etwas erschwärt" vs. "Security-Chip lässt Linux nicht auf das Lenovo Z13 und Z16"
Es wird dort auch ganz gut beschrieben um was es dabei geht. Linux aussperren ist nicht der Grund
Ebenso sind noch deutlich mehr als nur zwei Lenovo Books von dem Umstand betroffen. Offenbar betrifft es so ziemlich alle gängigen OEMs für Business IT mit wenigstens ein paar der Produkten.

..., aber mach mal sowas Aktionären klar das man vor ein paar Jahren noch 5 Milliarden Nutzer hatte und heute vielleicht noch 3 Milliarden (Zahlen aus der Luft gegriffen), aber die sollen ja trotzdem jedes Jahr noch mehr Umsatz bringen, ...

Wieso Zahlen aus der Luft greifen um damit irgend einen Standpunkt zu erfinden!?
Gibt doch genug Zahlen was Umsätze im PC Umfeld angeht... Versteh ehrlich gesagt dieses Stammtisch Gesabbel nicht. Du erfindest einfach irgendwas um eine Behauptung zu legitimieren.
https://www.microsoft.com/en-us/Investor/earnings/FY-2022-Q3/
Da kannste Zahlen gucken... btw. gingen knappe 50% des letzten Quartalsumsatz aus dem Cloud Geschäft. So viel zum Thema "MS muss also nun ein Weg suchen mit weniger Nutzern steigende Umsätze zu generieren" Leute Leute Leute eh. Wie naiv seid ihr denn bitte immer. Der private Michel mit seiner "geschenkten" Windows Client Installation ist einer Microsoft doch seit langem schon effektiv völlig Bumms egal.

 

[ComputerJunge]

Wie naiv seid ihr denn bitte immer. Der private Michel mit seiner "geschenkten" Windows Client Installation ist einer Microsoft doch seit langem schon effektiv völlig Bumms egal.

Sarkastisch formuliert: Die Tellerränder werden immer höher.

Wohl etwas zutreffender: Mir scheint heute die Bereitschaft, zumindest etwas nachhaltiges Interesse an Hintergrunddetails haben zu wollen, noch geringer als früher^TM.

In Windows 7: ESU-Support für Unternehmen wird deutlich ausgeweitet läuft es komplementär. In der Essenz (stimmt natürlich in dieser Ausnahmslosigkeit nicht) gibt es als Grund, warum in Unternehmen (1 - 700.000 Mitarbeiter) heute noch Windows 7 Instanzen betrieben werden, eigentlich auch nur die "unfähige IT-Abteilung". Das kann ja auch gar nicht anders ein.

 

[catch 22]

Kannste doch - hindert dich doch keiner!?
Wenn man die Kiste zudreht, wie man es machen wird, wenn einem Sicherheit am Herzen liegt, dann musst du eh ins Bios. Also warum ist die eine Einstellung denn jetzt ein wirkliches Problem und die anderen nicht!?

du vermengst hier eine willentliche Entscheidung, für die man proaktiv Einstellungen vorgenommen hat und zu der man entsprechend Kenntnisse hat, mit einer vorgegebenen, unbemerkten und potentiell unerwünschten Einstellung

 

[Eddy021771]

Wieso Zahlen aus der Luft greifen um damit irgend einen Standpunkt zu erfinden!?
Gibt doch genug Zahlen was Umsätze im PC Umfeld angeht... Versteh ehrlich gesagt dieses Stammtisch Gesabbel nicht.

ich habe nie Behaubtet das es Tatsachen sind die man legitimieren muss , es war von Anfang an nur meine Meinung
und wieso den nicht Zahlen erfinden, natürlich kann man alles irgendwie fundiert und belegt sich besorgen, aber ganz erlich, ob es nun 3 milliarden ; 2,7 Millarden oder wer weiß wieviel Windowsnutzer es gibt am Ende ganz genau sind, ist mir persönlich völlig egal und mit die genauen Zahlen zu besorgen bei Windows in meinen Augen Zeitverschwendung, das es weniger sind als noch vor 10 oder 15 Jahren sollte unstrittig sein und das nicht jeder dieses "stammtisch gesabbel" versteht , das macht überhaubt nix :-)

 

[Irgendjemand123]

Der Microsoft-Müll hat in einer CPU die nicht exklusiv für nur ein Betriebssystem da ist meiner Meinung nach gar nichts zu suchen und ich will das da auch nicht drin haben.