News Shim 0.2 ermöglicht UEFI-Secure-Boot mit Linux

@bLu3to0th: Also irgendwie hast du wirres Zeug von dir gegeben.

@Wilhelm14:
Irgendwie vermischt du was. ACPI/IDE sind Schnittstellen, wovon Erstes Bill Gates damals absichtlich obfuscated halten wollte, damit Linuxdevs Steine in den Weg gelegt werden. Einfach mal danach googeln. Und die Bootreihenfolge ist nur eine Konfiguration. Während sich Erstes ohne Hindernisse Implemetieren oder ggf. reverse engineeren lies und Letztes für jederman zugänglich war, lässt Secure Boot, bis auf die Deaktivierbarkeit unter x86, gar keine Möglichkeiten mehr zu. Das sind prinzipiell himmelweite Unterschiede.

Microsoft kontrolliert zwar nicht die UEFI Spezifikation, aber ich bin gespannt wie lange es dauert bis die Ihre Muskeln spielen lassen. Man darf nicht vergessen, dass Microsoft ebenfalls im Unified EFI Forum sitzt. Ich mutmaße sogar, dass UEFI unter x86 nur deaktivierbar ist, da IBM und HP noch mit drin sitzen. Microsoft hat mit seiner Marktmacht aber auch die Möglichkeit von hinten durch die Brust zu schießen: Windows 9 weigert sich einfach bei deaktiviertem UEFI zu booten. Dann schauen nämlich einige ganz schön dumm drein. Dann wars das mit Dualboot. Der darauffolgende Verdrängungseffekt wäre bilderbuchhaft. Und dass Microsoft momentan nur auf ARM ganz "unschuldig" den Apple-Weg gehen möchte (deaktivieren von SB nicht möglich) ist keine Entschuldigung oder ein Grund zur Irrelevanz von SB unter x86, wie viele suggerieren wollen. Zumindest die Mitgliederliste erweckt bei mir nicht sonderliche Zuversicht. Neben IBM und HP ist nicht wirklich was dabei, was irgendwie ernsthaft hinter FOSS steht.

Sollte der Tag X wirklich kommen, dann werden mit großer Sicherheit alle Mainboard Hersteller darauf umsatteln (müssen). Das Einzige was einem bleibt, ist den ROM mit der Firmware gegen eines mit zB Coreboot auszutauschen. Bleibt jedoch das Bangen, ob die Alternative kompatibel zum Mainboard ist und ob in naher Zukunft die Roms vlt. nicht irgendwann grundsätzlich fest verlötet sind. Dann wird jeder Wunsch sich Linux aufzuspielen, zu einer riskanten Bastelorgie a la PS3 Break, inklusive Garantieverlust.

Auch dass Linux jetzt schon mit Secure Boot "umgehen kann", ist kein Grund sich zurückzulehnen. Das heißt nur, dass die einen Fuß in der Türschwelle haben und das wars. Linux konnte vor über 5 Jahren auch mit Broadcom WLAN Karten "umgehen", die Einrichtung (f**k you Broadcom um es in Linus Manier zu sagen) war jedoch eine Qual. Die entscheidende Frage ist wie der Benutzer damit umgehen muss. Ich stelle es mir alles andere als einfach vor, weder aus Nutzersicht noch aus Sicht der Distributoren, hier bald einen goldenen Weg zu finden der alle zufrieden stellt. Und allein das ist schon ein Rückschritt, der lange braucht bis er, wenn überhaupt, aufgeholt werden kann.

Und TCPA/TPM sind aus einem ganz rundimentären Grund nicht mehr in aller Munde: Beides ist faktisch tot. Unzwar in dem Sinne, als dass die Idee für diese Technologien zuerst ein viel breiteres Feld abdecken sollten. Manche Medienmogule hatten da Ihre feuchten Träume, so ziemlich jeden PC der Content verarbeiten konnte zu 'dongeln'. Heute fasst kein Entscheider mehr diese Technologien an, oder nimmt sie lautstark in den Mund, da sie mit einem zu negativen Image behaftet sind.

Unterm Strich sei gesagt, dass ich UEFI, ja gar Secure Boot nicht abgeneigt bin. Aber hier haben die Falschen, oder sagen wir zu sehr die eine Seite, viel zu sehr das Sagen. UEFI sollte nicht von einer Lobby- bzw. Industriegruppe, sondern von einem weitgehend unabhängigen Konsortium kontrolliert werden.
 
ChilliConCarne schrieb:
@Wilhelm14:
Irgendwie vermischt du was. ACPI/IDE sind Schnittstellen
ACPI ist der Nachfolger von APM und ich meine AHCI. AHCI/IDE sollte als Beispiel für meinen Vorposter dienen. Der sieht schon eine Hürde, weil er überhaupt ins UEFI/BIOS muss um eventuell ohne Secure Boot booten zu müssen. Vom Schwierigkeitsgrad (Leichtigkeitsgrad) sehe ich das auf derselben Stufe wie die Einstellungen für AHCI/IDE oder auch Datum/Uhrzeit.

ChilliConCarne schrieb:
Und TCPA/TPM sind aus einem ganz rundimentären Grund nicht mehr in aller Munde: Beides ist faktisch tot.

Ja, tot, eben. Es gab dieselben Diskussionen und die schlimmsten Linux-Welt-Untergangs-Szenarien. Nichts ist eingetreten. Würde mich nicht wundern, wenn dass bei Secure Boot genauso ist.

Edit: Sry, falls ich so knapp auf deinen ausführlichen Beitrag antworte. Ich kann deinen Ausführungen folgen und verstehe auch die Gedankengänge. Es gibt ja auch heute schon Server-Hersteller, die Linux einsetzen und trotzdem Geld verdienen. Es besteht also ein Bedarf an Mainboards für Linux. Die wenigsten Linux-Nutzer werden sich einen "verplombten" Fertig-PC kaufen. Oder anders herum werden die Mediamarkt-Kunden kein Interesse an einem Linux Dualboot haben.
 
Zuletzt bearbeitet:
Ach ok, so war das bezogen. Ja, dann will ich dazu nichts gesagt haben.

Was diese Untergangsszenarien angeht, waren die nicht so weit hergeholt. Die sind ja nur aufgrund massiven Widerstands nicht eingetreten. Hätten wir heute den Fall, dass jedes OS zwingend und vollständig TCPA/TPM fähig sein muss, möchte ich nicht wissen, welche Hürden ich heute bei der Hardwarewahl hätte. Historisch betrachtet ist es jedoch so, dass sich die Ideen hinter UEFI+Secure Boot schon recht weit etabliert haben und wahrscheinlich auch weter tun werden. Allein in der Apple Welt, gibt es quasi nichts anderes mehr. Im Vergleich zu damals vor zehn Jahren, sind wir IMHO heute solch einem "mutmaßlichen Untergangsszenario" näher. In solch einem Fall ist es dann auch schwerer die Kurve zu bekommen.

Ich sehe es jetzt momentan auch nicht so dramatisch wie manch anderer, aber dass weitere Restriktionen zum Usus werden könnte halte ich heute in diesem Fall für zumindest wahrscheinlicher, als noch damals vor zehn Jahren als TPM Module angekündigt wurden.

Ich sehe es zumindest so, dass UEFI und Secure Boot nunmal da sind, aber dennoch nicht vollkommen unbeobachtet bzw. kritiklos durch irgendeine Gruppe durchgedrückt werden sollten.

EDIT: Gerade deinen Edit während der Vorschau gesehen :). Jupp ist was dran. Aber jeder fängt mal mit Linux (oder BSD etc.) an und der Normaluser mit seinem Mediamarkt PC könnte von vornherein daran gehindert werden eine Alternative auszuprobieren. Das klingt jetzt etwas elitär, wenn man den zugegeben lächerlichen Linux Desktop Marktanteil betrachtet. Und die Mainboard Hersteller .. hmm, schwer einzuschätzen wie die reagieren würden, falls zB Windows 9 (nicht RT) nur noch mit Secure Boot booten würde. Für den Fall des postulierten Verdrängungseffekts wäre Linuxhardware (sowohl Mobos als auch dazu kompatible Komponenten) wahrscheinlich nur noch im teuren Segment zu haben. Gut, dass ist jetz wirklich mehr Orakelei von mir. Würde zwar auch noch gerne dazu diskutieren, jedoch bleibt mir auch nicht die Zeit :).
 
Mir ist der Sicherheitsaspekt, den SecureBoot dann noch hat nicht mehr so klar, wenn es einen universellen Bootloader gibt.

SecureBoot hatte noch nie einen Sicherheitsaspekt.

Die Schein-Argumentation von Microsoft war:
Bei Diebstahl bsw. eines Laptops kann der Dieb dank Secure Boot kein Fremd-Betriebssystem vom Laptop starten und die Daten des Opfers sind geschützt.

Schein-Argumentation, da der Dieb die Festplatte ausbauen, in seinen eigenen PC einbauen und von dort die Festplatte jederzeit auslesen kann, unabhängig von SecureBoot.

Wer seine Daten sichern will, sollte die Festplatte verschlüsseln. Nur wenn die Festplatte verschlüsselt ist, ist sie vor Fremdsystemen und Fremdrechnern sicher. Und wenn sie verschlüsselt ist und in Fremdrechner eingebaut wird, ist die Sicherheit unabhängig von SecureBoot gewährleistet.

So, dann muss noch die Frage gestattet sein, wozu dieses Sicherheitsgetue und scheinargumentieren, wenn das alles nichts mit Sicherheit zu tun hat?

Ohne die eigentliche Motivation zu kennen, in manchen Artikeln liest man was von "gut gemeint". Meine Spekulation ist: Ein Schritt von vielen, dem Nutzer die Kontrolle über sein System zu entziehen. Man will auf dem Desktop-PC da hin, wo man bei Smartphones schon ist. Die bindend enge Verbindung zwischen Hardware und Systemsoftware. Der Kunde soll zum Appstore Konsumenten herunter degradiert werden und sich im neuen Windows Store schön die Apps in den eWarenkorb zusammen touchen.

Das Ding sollte eigentlich "Control-the-User Boot" heißen. Schon die Namensgebung ist ein Täuschungsversuch. :D
 
Hi,

@Juxxy

Genau das war auch meine Erfahrung mit SecureBoot. Gängeleien für den Nutzer und Restriktionen - aber nachdem man es abschalten kann oder die Festplatte ausbauen (wie du sagst) oder jetzt dank dem Bootloader auch ein Linux booten kann - wozu genau brauche ich SecureBoot bzw. was genau bringt mir das? Ich denke es bringt mir eher wenig ;) sehr diplomatisch formuliert

VG,
Mad
 
secureboot hat so wie es konzipiert wurde dem kunden noch nie irgendwas gebracht außer ärger. secureboot ist ausschließlich dazu da den kunden daran zu hindern was anderes drauf zu machen (vor allem bei nicht x86-systemen).

aber microsoft ist ja bekannt dafür bugfixes und kastrationen als features zu vermarkten.
 
Für normale Windows Nutzer und damit für die überwältigende Mehrheit ist das Konzept okay und schließt eine kleine Sicherheitslücke, neben den anderen Vorteilen von UEFI und GPD. Für den kläglichen Rest gibt's einen opt-out. Also nicht wundern, wenn euer pseudo-alternatives Gemecker keiner ernst nimmt. Die Hardware-Hersteller haben eh längst Fakten geschaffen.
 
Zuletzt bearbeitet von einem Moderator:
Hi,

Für den kläglichen Rest gibt's einen opt-out.

Noch - das ist ja genau das Problem.

Für normale Windows Nutzer und damit für die überwältigende Mehrheit ist das Konzept okay und schließt eine kleine Sicherheitslücke

So? Welche Sicherheitslücke wäre das?

Also nicht wundern, wenn euer pseudo-alternatives Gemecker keiner ernst nimmt.

Peinlich.

VG,
Mad
 
abulafia schrieb:
Für normale Windows Nutzer und damit für die überwältigende Mehrheit ist das Konzept okay und schließt eine kleine Sicherheitslücke, neben den anderen Vorteilen von UEFI und GPD. Für den kläglichen Rest gibt's einen opt-out. Also nicht wundern, wenn euer pseudo-alternatives Gemecker keiner ernst nimmt. Die Hardware-Hersteller haben eh längst Fakten geschaffen.

welche lücke schließt es denn, wenn doch jeder diese mit eigenen zertifikaten überwinden kann? pseude-alternatives gemecker... aha. ja die hersteller haben fakten geschaffen, aber schön, dass du dich nicht dafür interessierst warum.

ja glücklich ist das schwein, dass nicht weiß warum es gemästet wird.
 
Zurück
Oben