News Microsoft Pluton: Security-Chip lässt Linux nicht auf das Lenovo Z13 und Z16

[unlock]

Und noch interessanter ist die Frage, warum ein chinesisches Unternehmen mit der Verwendung eines "Sicherheitschips" jetzt plötzlich das quelloffene Linux verbietet.

Weil sich der Hersteller an die Zertifizierungsvorgaben Microsofts hält. Also bitte einfach mit dem Finger auf den wirklich Schuldigen zeigen.

 

[ETI1120]

Da brauchst du dir keine Sorgen machen.

Microsoft Pluton wird zukünftig in diversen Geräten mit AMD, Intel und Qualcomm zu finden sein, keine Angst.

Das habe ich auch gehört, aber bisher hat Intel soweit ich weiß Pluton noch nicht eingebaut.
Die sind groß genug, um sich nicht von Microsoft erpressen zu lassen.

Account only, Online only und Pluton on top. Ich freue mich drauf. 😄

Und dann muss man sich eben überlegen, ob ein Privat-PC noch sinn ergibt.

Wenn man keine Kontrolle über den eigenen Computer hat, kann man gleich alles in die Cloud packen. Dort habe ich wenigsten das Vergnügen jemandem die Schuld zu geben wenn Daten verloren gehen.

 

[Silencium]

Somit wäre ein MacBook freier als ein Gerät mit Windows + Pluton.

Hach ja, was haben sie nicht alle für Hasstiraden zum besten gegeben, als Apple mit seinem T1 anfing solchen Unfug zu treiben. Ich bin da im Übrigen auch auf der Seite der Befürworter von freie Wahl des Betriebssystems.
Zugleich kann ich jedoch das Bestreben bzw. den „Versuch“ der Firma Apple verstehen die Integrität zu wahren.

Wie auch immer: jetzt eben langsam auch bei den anderen PCs.

Microsoft ist für mich schon im Berufsalltag ein Krampf, eine Seuche und ich kann nur sagen: NIEMALS würde ich das OS außerhalb der Zockerwelt zu dem meinigen erster Wahl machen!

 

[Apacon]

@Apacon du nimmst also alles ohne zu hinterfragen hin da du ja also Kunde König bist und Unternehmen nur dein bestes wollen ja?

Nein, kritisch zu hinterfragen was manche Unternehmen abziehen ist absolut sinnvoll.

Aber in diesem Fall sehe ich es als genau das was es ist. Ein Schalter. Den jeder einfach aktivieren/deaktivieren kann. Etwas das bei Windows 11 schon oft notwendig war.

Ich finde dass der Artikel und die hier von manchen verbreiteten Verschwörungstheorien und Panikattacken nicht im Verhältnis zur Ursache stehen.

Es steht natürlich jedem frei dies anders zu sehen.

 

[Helge01]

@lowrider20 Du kannst es auch ohne Boot Camp-Assistenten installieren, Apple bietet nur den Support an damit es der User so einfach wie möglich hat.

 

[lowrider20]

ohne Boot Camp-Assistenten

Danke! Dann mach ich mich da mal schlau darüber. Dachte mit Bootcamp wird es erst möglich.

Edit: Ganz kurze Recherche: ganz ohne einen Assistent scheint es nicht zu gehen (also nur via Mediatoolkit erstellten USB-Stick).

 

[ComputerJunge]

Sowas gehört ganz einfach nicht auf ein Customer-Gerät.

Ich sehe in diesem konkreten Fall bezogen auf das reine UEFI-Flag dennoch weder ein Problem, noch einen Skandal. Er hat für bestimmte Anwendungsfälle einen "falschen" Default, that's it.

Etwas anderes ist die Frage, was Lenovo vorher zugesichert haben mag. Dann ist dies aber ein reines Lenovo-Thema.

@ETI1120: Garantien für die Zukunft kann und wird Dir (hier) niemand geben können. Sollte der Schalter dauerhaft rausgepatched werden, gibt es ja "immerhin" noch die UEFI-Vorversionen - inklusive eines vermutlich signifikanten und hochverdienten Reputationsschadens für den Hardwareanbieter.

Daher: Wachsam bleiben - ja, natürlich. Aber der "freie" PC ist mitnichten schon jetzt und dadurch "doomed".

 

[Apacon]

Nein, ist er nicht.

Natürlich ist er das.

Der Titel lautet: "Microsoft Pluton: Security-Chip lässt Linux nicht auf das Lenovo Z13 und Z16"

Dies impliziert, dass sich durch den Pluton Chip Linux nicht auf den entsprechenden Geräten installieren lässt. Dies ist nicht der Fall. Es ist ohne weiteres möglich diese Funktion zu deaktivieren und Zertifikate von dritten zuzulassen. Dementsprechend ist der Titel sachlich falsch.

Ein besserer Titel wäre: "Standardeinstellungen des Lenovo Z13 und Z16 blockieren Linux."

Damit wird klar deutlich dass Linux sich im Default nicht installieren lässt, dieses Hinderniss aber einfach umgehen lässt. Bei neuen Geräten von HP und co, welche TPm Einstellungen für WIndows 11 benötigten, habt ihr schließlich auch nicht geschrieben, dass HP Windows 11 blockt.

 

[Helge01]

@lowrider20 Der Boot Camp-Assistenten vereinfacht das ganze erheblich, da Apple extra Treiber für Windows für die eigene Hardware zur Verfügung stellt. Die machen nicht nur die Installation von Windows möglich, sondern schreiben für Windows auch die entsprechenden Treiber.

 

[tollertyp]

Habe ich etwas verpasst? Bei der Meldung geht es darum dass Linux auf den neuen Laptops mit Rembrandt nicht installiert werden kann.

Ja. hast du. Aber danke, dass du nochmal mit Nachdruck zeigst, dass die Meldung einfach schlecht geschrieben ist, auch wenn es dafür keinen Beweis gebraucht hätte.

https://www.opencve.io/cve?vendor=intel&cvss=&search=SGX
Such Mal nach "intel sgx vulnerability"

Und was hat Intel SGX nun mit Pluton zu tun?

 

[Bart1]

Edit: Ganz kurze Recherche: ganz ohne einen Assistent scheint es nicht zu gehen (also nur via Mediatoolkit erstellten USB-Stick).

Wie ich vorhin bereits erwähnte, braucht man den Assistenten nicht wirklich. Man muss sich halt das Treiberpaket für sein entsprechendes Modell organisieren, was auch ohne Bootcamp möglich ist. Welches übrigens aus einer einzigen .exe besteht, die sofort alles installiert und nach Reboot ist man fertig, sowas wünscht man sich in der Windows-Welt öfter.

edit: Ja okay, das Treiberpaket schimpft sich auch Bootcamp.

 

[lowrider20]

entsprechenden Treiber

Schon klar, für was Boot Camp ist. Aber scheinbar (wie gesagt nur ganz kurz gesucht) geht es ohne einen (irgendeinen) nicht. Ja, weniger restriktiv als zu Beginn der Umstellung auf x86, aber immer noch nicht voll x86-kompatibel.

Ergänzung (9. Juli 2022)

Wie ich vorhin bereits erwähnte, braucht man den Assistenten nicht wirklich.

Ok. Dann ist es schwer eine Grenze zu ziehen, ob das jetzt noch als geschlossenes System gesehen werden kann oder nicht.

 

[Fallenghost90]

Also, ich hab das bei Laptops immer so gehandhabt, wenn ich Linux installiere, dass ich den Namen von dem Gerät selber gegooglet habe zwecks kompatibilität. Dann würde sich in dem Fall doch schnell rausstellen, dass es an dem Plutonchip liegt, wenn meine Linux installation nicht startet. Aber ich habe halt auch schon lange Erfahrung mit Linux. Laien, die Linux einfach mal ausprobieren wollen, werden da schon evtl. durchaus auf Probleme stoßen. Die meisten werden aber wohl eh mit Windows Only zufrieden sein, da Sie ohnehin nichts anderes verwenden werden. Dennoch bin ich kein Freund von so "Sicherheitsfeatures", auch wenn man es "einfach" deaktiveren kann.

 

[Bart1]

Ok. Dann ist es schwer eine Grenze zu ziehen, ob das jetzt noch als geschlossenes System gesehen werden kann oder nicht.

Du steckst deinen Boot-Stick ein und hältst beim Einschalten eine Taste gedrückt. Ich sehe da keine Grenze.

 

[lowrider20]

Ich sehe da keine Grenze

Seh ich in dem Fall ebenso. Wie sieht es denn mit den Treiberupdates aus? Z.B. für Grafikkarten. Funktionieren die Standardtreiber oder braucht es hier auch von Apple freigegebene?

 

[ETI1120]

Schön herausgesucht.

Du kennst "Reflection of Trusting Trust" von Ken Thompson?
Kennst Du "Quality Software Management" von Gerald M. Weinberg?

Hier lohnt sich Mal über das Kapitel 10 "Measuring failures before they happen" im 2. Band zu reflektieren. Es ist nun Mal so dass die bei weitem überwältigende Anzahl der Sicherheitslücken auf Fehler beruht.

Die Idee über Zertifikate Sicherheit zu erzeugen, bedingt dass man bevor man Schlüssel vergibt ein Audit durchführt. Und dass die geänderte Software nicht veröffentlicht werden werden darf ohne dass erneut ein Audit erfolgt.

Und diese Audits werden nicht durchgeführt. Und es gibt auch keinen transparenten Mechanismus zu Vergabe der Keys.

Allerdings wird bei Linux relativ viel reviewt (wenn auch weniger als erwünscht).

Also ist das ganze IMO heckMeck um Secutre Boot reine Augenwischerei und macht es anderen Betriebssytemen schwerer. was das Ziel war.

 

[Bart1]

Seh ich in dem Fall ebenso. Wie sieht es denn mit den Treiberupdates aus? Z.B. für Grafikkarten. Funktionieren die Standardtreiber oder braucht es hier auch von Apple freigegebene?

Steht hier: https://www.computerbase.de/forum/t...-das-lenovo-z13-und-z16.2092979/post-27071783
Und das ist einfach nur ein geschnürtes Paket von den normalen Treibern, die du dir auch einzeln zusammensuchen könntest, aber wieso sich die Mühe machen?

 

[NOTAUS]

Damit schießen die sich nur ins eigene Knie. Aber schön, dass schon darüber berichtet wird. Ich hatte es bis jetzt noch nirgends gelesen. Irgendwie gehen viele Sachen in die falsche Richtung... aber naja...

 

[lowrider20]

normalen Treibern

Jetzt bin ich komplett verwirrt.
Ich dachte, mit Bootcamp gibt es den passenden Unterbau, da eine Win-Installation sonst durch Inkompatibilität (durch eine spezielles UEFI z.B.) unterbunden wird. Entsprechende Treiber dann eben für die Sicherheitsplattform. Und Grafikkarten gab es in der Vergangenheit ja auch mit eigenem Bios für Macs. Deswegen die Frage, ob normale Treiber funktionieren.

 

[Ray519]

Die Idee über Zertifikate Sicherheit zu erzeugen, bedingt dass man bevor man Schlüssel vergibt ein Audit durchführt. Und dass die geänderte Software nicht veröffentlicht werden werden darf ohne dass erneut ein Audit erfolgt.

Und diese Audits werden nicht durchgeführt. Und es gibt auch keinen transparenten Mechanismus zu Vergabe der Keys.

Jup. Damit lieferst du aber AUCH Argumente, dass die Regeln härter werden müssen um effektiv zu sein und in die Richtung scheint Microsoft ja mit dem Verbieten des sehr unvalidierten 3rd Party Keys zu gehen.

Aber solange die Technik konfigurierbar ist und man seine komplett eigenen Keys nutzen kann, sollte man die Existenz der Technik selbst nicht verbieten wollen. Und ja die Möglichkeit und vllt auch den Wunsch mancher Parteien dass in Richtung Monopol zu misbrauchen gibt es und muss man genau beobachten und auch gerne davor Warnen. Aber halt so fair, dass Leute einem noch zuhören, wenn was schlimmeres passiert.

Und wenn ein als Fertiggerät mit OS verkauftes Gerät bestimmte Optionen als Standard setzt, wenn sie (potentiell) die Sicherheit erhöhen oder zumindest nicht herabsetzen muss doch grundsätzlich ok sein. Da ist es doch viel eher sinnvoll sich Geräte zu kaufen, die ohne OS kommen und solche Optionen standardmäßig nicht setzen.
Aber für die 5% Kunden die das mitgekaufte OS nicht nutzen eine schlechtere Option zu setzen kann doch nicht die beste Lösung sein.