News UEFI-Secure-Boot-Schlüssel von AMI kompromittiert

[fethomm]

Also das ist echt beschämend. Man sollte mal die selbst angegebene Quelle lesen.

Also entweder Englisch lernen oder einafch mal aufmerksamer sein.

Du musst nicht beleidigend werden. Englisch ist meine Muttersprache und lesen kann ich seit über 50 Jahren.
Dort steht: Angennommen, der Vendor hält sich an die Vorgaben von AMI. dann sollte der private Schlussel keinen praktischen Nutzen haben.
Angenommen heisst für mich: hätte der Hund nicht...hätte er den Hasen gekriegt.

Außerdem kann ich auch nicht hellsehen. Dein zitierter Satz sthet im Update des blogs, dass zur Zeit, als die news rausging, noch nicht geschrieben war. Wenn man den Satz (den ich nicht kennen konnte, weiterliest, entsteht zudem ein anderer eindruck als in Deiner gekürzten Fassung.

 

[Daedal]

entfernt

Keine Ahnung wo die Beleidigung sein soll. Fakt ist die Original Quelle enthält anderes als diese "News" hier.

 

[fethomm]

entfernt

Im Update ja, das gabs aber noch nicht, als ich die News verfasste. Jetzt klar?
Und beleidigend ist, wenn Du jemandem sagst, er soll seine Muttersprache lernen. Mehr hab ich dazu nicht zu sagen.

 

[Luxuspur]

Und beleidigend ist, wenn Du jemandem sagst, er soll seine Muttersprache lernen. Mehr hab ich dazu nicht zu sagen.

Also das ist keine Beleidigung! Schau dir mal die Zahlen alleine zu den Analphabeten in Deutschland an ... oder willst du die nun beleidigen? wenn man deiner Argumentation folgt!

zum Thema: die automatische Update eine UEFIs kann man ausstellen! und ansonsten gilt wie für fast jeden Virus ... von alleine fängt man sich den nicht ein! Auch DriveBy müssen eine Sicherheitslücke haben die der User verschlafen hat!

Im schlimmsten Fall halt eine Lücke mehr auf die man achten muss ... im günstigsten Fall ein hochgepuschte falschinterpretierte Meldung ... ich weis ist schon schwer: bringt man ne Meldung nicht wird einem vorgeworfen nicht aktuell zu sein ... bringt man sie früh ... tritt man eben auch mal ins allseits bekannte Fettnäpfchen ... ist halt die Frage: was wollt ihr bieten? konzequent recherchierte News (wenn ich da an die Diskussionen zu Werbung oder Geldbeiträge denke, sollte es nur ersteres sein) oder einfach nur unrevidierten Nachrichtenspam!

Es gibt da schliesslich nen bekanntes IT Security Forum wo das Ganze von Anfang an recht gelassen gesehen wurde ... warum wohl?

 

[vander]

So wie ich das sehe müsste eine kompromittierte Version händisch auf einem Rechner eingespielt werden um Schaden anzurichten, oder?
...

Ich blick da nicht ganz durch. Inwiefern kann mir das nun gefährlich werden bzw welche Vorraussetzungen müssen gegeben sein um mir zu schaden?
...

Was bedeutet das denn jetzt? Jeder Rechner mit Windows und UEFI ist jetzt gefärdet? Was ist zu tun?

Ja aber wo soll denn der komprommitierte Code herkommen?
Das Board wird wohl kaum selbst bei den Malwareentwicklern nachfragen.

Ich finde es wirklich erstaunlich wieviele Poster erstmal schreiben müssen ohne den Artikel gelesen bzw. verstanden zu haben. Bitte nachholen! Ich mache es euch mal extra einfach, wer trotzdem noch Fragen hat, fragt bitte jemand anders, die News ist nix für euch.

... sowohl der Quellcode zu AMIs BIOS-Firmware als auch der dazu passende private Signierschlüssel für AMIs UEFI-Secure-Boot für Intels „Ivy Bridge“-Plattform liegen. ...

Ja genau. Da hat grundsätzlich jeder Zugriff auf alles.
Was hier wieder für ein Blödsinn erzählt wird ist echt unglaublich. Es lohnt sich schon gar nicht mehr auf all den Käse hier einzugehen.

In welchem Verhältnis der Sicherheitsgewinn durch UEFI die Risiken durch UEFI Leaks ausgleicht muß jeder für sich entscheiden.
Das BIOS hat Routinen implementiert um z.B. Dateisysteme zu lesen und zu schreiben und ist relativ einfach und vom Anwender unbemerkt um weitere Funktionen erweiterbar? Muß ich doch direkt mal nachsehen ... öhm nee doch nicht.
Aber deine nächsten Sätze sind dann wieder richtig, 100% ACK.

bleiben wir mal beim Worst-Case,
wie kann man sich bis zur Klärung/ zum Update schützen? (außer raus aus dem Internet)?

Board ohne UEFI verwenden, zumindest bei AMI ist jetzt ein Problem bekannt. Ob andere UEFI Varianten nicht auch schon geleakt wurden wird man nicht unbedingt erfahren. Prinzipiell gilt, nur was man nicht hat kann einem keinen Ärger machen, in diesem Fall UEFI.

Ist die Frage, ob das nicht auch einfach Schadensbegrenzung ist.
Mittlerweile dürften sich ja so einige das Zeug gezogen haben und außerdem schreibt AMI dort, dass Kunden(in diesem Fall Mainboardhersteller) einen anderen Key für Releases verwenden sollen, ob die das auch machen, ist eine andere Frage.

Das dort ein aktueller Source stand ist IMO das weitaus größere Problem. Keys lassen sich ändern, das Security by Obscurity Konzept ist gerade gefallen und wird jetzt eine Menge Nacharbeit erforderlich machen die kaum eine Firma bezahlen dürfte, geht doch nur um Kunden.
Erinnert mich gerade an den HL2 Leak und das Statement von Valve zu den dadurch Notwendig gewordenen Maßnahmen, und da ging es nur um ein Computerspiel.

...
Dort steht: Angennommen, der Vendor hält sich an die Vorgaben von AMI. dann sollte der private Schlussel keinen praktischen Nutzen haben.
...

Haha, der war gut

@Luxuspur
Arbeitest du für AMI oder die Firma die den Leak hatte? Verstehe grad nicht warum du hier Unwissen verbreitest, hilf mir da mal bitte.

 

[Luxuspur]

@Luxuspur
Arbeitest du für AMI oder die Firma die den Leak hatte? Verstehe grad nicht warum du hier Unwissen verbreitest, hilf mir da mal bitte.

Welches Unwissen?

UEFI automatisches Update ... kann ich bei meinem deaktivieren oder einstellen das er erst benachrichtigt oder vollautomatisch ... hast das nicht liegts an den Freigaben des Boardherstellers ob er dir das zulässt oder nicht!
(desweiteren habe ich nirgends geschrieben das sich dies nicht umgehen liese!)

Viren fängt man sich nicht einfach so ein!

und mir ist auch noch kein DriveBy untergekommen der ohne Lücke funktionierte und ein System infizieren konnte!

also was verstehst du da nicht?

zur anderen Frage Nein ich arbeite für niemanden anderen ich bin schon lange dem Status Lohnsklave entronnen!

 

[vander]

@Luxuspur
dem status arroganz fröhnst du aber ganz gerne. ich würd den teil angehen, so schaffst du dir keinen respekt.
greez

Er wird schon einen Grund für die Auswahl seines Nicks gehabt haben

Welches Unwissen?
...
Viren fängt man sich nicht einfach so ein!

und mir ist auch noch kein DriveBy untergekommen der ohne Lücke funktionierte und ein System infizieren konnte!
...

Ok, das du mein vorheriges Postings aufgrund der Menge an Zitaten und Text offenbar nicht lesen magst, hier nochmal der für dich relevante Text.

... sowohl der Quellcode zu AMIs BIOS-Firmware als auch der dazu passende private Signierschlüssel für AMIs UEFI-Secure-Boot für Intels „Ivy Bridge“-Plattform liegen. ...

Ich ergänze das nochmal um den Kommentar das Exploits(du nennst sie Lücken) und Drive by Downloads ja irgendwie entwickelt werden müssen. Dazu eignet sich so ein Originalquellcode ganz hervorragend, hab ich mal gelesen.
Achja, ich möchte mich dafür entschuldigen das ich Unwissen gesagt habe, das stimmt so nicht. Ich meinte Halbwissen.

 

[sysrq]

Der Code ist vom Februar 2012..

 

[Chesterfield]

haltet mal den ball flach , klar ist es ein risiko. alles ist iwie immer ein risiko im netz das sollte jedem klar sein. aber panik zu schieben und uefi zu verfluchen waere mit einer einzigen meldung etwas verfrueht !!!

 

[ohman]

Ich finde es wirklich erstaunlich wieviele Poster erstmal schreiben müssen ohne den Artikel gelesen bzw. verstanden zu haben. Bitte nachholen! Ich mache es euch mal extra einfach, wer trotzdem noch Fragen hat, fragt bitte jemand anders, die News ist nix für euch.

1. Ich habe die News gelesen und ich bin offensichtlich nicht mit der Meinung alleine, dass da nicht drin steht in wie fern diese Sicherheitslücke dem User gefährlich werden kann.

2. Deine Erklärung erklärt überhaupt nichts.

3. Jede News ist für jeden der sie liest.

4. Die Fragen gingen an alle. Wenn sie dich stören, lies drüber hinweg. Das ist nicht dein Frage und Antwortthread hier.

5. Was glaubst du wer du bist hier Befehle zu erteilen!?

 

[Micha45]

Wäre es bitte möglich, hier auch mal durchgehend sachlich über solche Themen zu diskutieren?
Ewig dieser Zickenkrieg zwischen Ahnungslosen und Leuten, die Ahnung vorgeben.

Mich, einem der Ahnungslosen, der in Besitz eines UEFI-Mainboards ist, würde es brennend interessieren, ob durch diesen Vorfall die Sicherheit meines Systems akut gefährdet ist. Und wenn ja, was ich aktuell dagegen tun kann.
Die automatische UEFI-Updatefunktion habe ich bereits deaktiviert.

 

[tree-snake]

Nur Dateien/Pogramme öffnen denen du absolut vertraust und immer schön den Autostart leer haben^^

 

[Dystop1an]

War UEFI SecureBoot nichtmal dazu gedacht, die PC's sicherer zu machen? Das war wohl ein schuss in den Ofen.

 

[Fonce]

<Ironie>Hat natürlich niemand mit gerechnet das die Schlüssel an die Öffentlichkeit gelangen</Ironie>

 

[Kasmopaya]

So schauts aus, Win 8 und Secure Boot, ein weiterer Schlag ins Gesicht für PC User. Aufzwingen, Daten verkaufen, abschotten. Der gleiche Trend fast überall.

Außer natürlich wir haben ein Wörtchen mit zureden, DRM frei, 4,25 Millionen, yes Baby: http://www.kickstarter.com/projects/inxile/torment-tides-of-numenera

 

[vander]

Ich tippe mal auf übermüdet. In der IT Branche sind 8 Stunden Jobs eine Seltenheit - entweder hat man gar nix zu tun oder viel zu viel

Das digitale IT Leben, an und aus.

...
2. Deine Erklärung erklärt überhaupt nichts.
...
5. Was glaubst du wer du bist hier Befehle zu erteilen!?

Offenbar liest du meine Posting so aufmerksam wie den Artikel, aber zumindest hast du dir diesen Teil sofort angenommen
Teenager in der Flegelphase

Wäre es bitte möglich, hier auch mal durchgehend sachlich über solche Themen zu diskutieren?
Ewig dieser Zickenkrieg zwischen Ahnungslosen und Leuten, die Ahnung vorgeben.

Mich, einem der Ahnungslosen, der in Besitz eines UEFI-Mainboards ist, würde es brennend interessieren, ob durch diesen Vorfall die Sicherheit meines Systems akut gefährdet ist. Und wenn ja, was ich aktuell dagegen tun kann.
Die automatische UEFI-Updatefunktion habe ich bereits deaktiviert.

Da du so direkt fragst, kriegst du ne direkte Antwort. Nein, momentan sicher noch nicht. Später u.U. vielleicht.

...
Und ist es nicht gerade Linux die offenen Quellcode als besonders sicher einstuft? ... so werden da jetzt Lücken auch schneller aufgedeckt!
Als wenn nen Virenprogger dazu noch nen Quellcode bräuchte ... das machts in einfacher ... aber behindern täte es ihn ohne Quellcode auch nicht! Reverse Engineering ist dir ein Begriff oder?
...

Zwischen Open Source und nem geleakten closed Source gibt es schon noch ein paar kleine Unterschiede, besonders was die Motivation freier Programmierer oder auch Hacker angeht den selbigen zu analysieren.
Übrigens, schubs mich hier mal nicht in die Linux Ecke. Open Source und RE sind nicht vom OS abhängig.

...
TPM TCP ... alles Vorgänger die mehr oder weniger gescheitert sind ... man muss es nur lange genug unter neuem Namen bringen das es der User schluckt.

Die ganzen Projekte sind weder gescheitert noch grundsätzlich schlecht. Es wird erst dann ein Problem wenn dem Besitzer des PC nicht mehr erlaubt wird die installierte Schlüssel/Zertifikatsbasis selber zu managen. Leider ist das der derzeitige Stand.
So gesehen könnten bei dem Source Leak auch ein paar interessante Hacks herauskommen, warten wir's ab.

...
Außer natürlich wir haben ein Wörtchen mit zureden, DRM frei, 4,25 Millionen, yes Baby: http://www.kickstarter.com/projects/inxile/torment-tides-of-numenera

Ich dachte schon es gibt nen Kickstarter zu nem OpenBIOS Project, ist aber nur ein Spiel.

 

[etking]

Secure Boot ist eine sinnlose Funktion, die im Fehlerfall extreme Probleme und wahrscheinlich auch neue, extrem komplexe Sicherheitslücken schafft. Und warum sollte man wollen, dass nur noch signierte Software booten kann, das bringt doch nur Aufwand und Nachteile.

Die einzigen Nutznießer sind Microsoft oder andere Firmen, die ihren Rechner verdongeln wollen. Oder jetzt auch Kriminelle, die das ungerechtfertigte Vertrauen in die für außenstehende kaum durchschaubare Sicherheitstechnologie missbrauchen können.