Bericht Windows 11: Systemanforderungen, Neuerungen und 1. Testversion

[lanse]

Mit was muss ich rechnen?

Damit Secure Boot dem Windows Bootloader (bootmgr.efi) vertrauen kann, ist er mit dem öffentlichen "Microsoft Windows Production PCA 2011" Key Exchange Key signiert.
(Für z. B. ubuntu-Linux ist übrigens der öffentliche - allerdings optionale - "Microsoft Corporation UEFI CA 2011"-KEK vorgesehen. Secure Boot ist also auch mit Linux möglich.)
Die KEK-Database ist im NVRAM des UEFI abgelegt. Sie lässt sich nur im Setup-Mode ohne Authentifizierung oder (alternativ - damit der Owner "seinem" UEFI am Beginn der Chain of Trust vertrauen kann) im User-Mode ändern, wenn die KEKs mit dem privaten Platform Key des OEM/Mainboard-Herstellers signiert sind. Der PK lässt sich übrigens im UEFI löschen (PK clear).
Natürlich können sowohl Microsoft als auch der OEM/Mainboard-Hersteller die KEK-Database im UEFI ändern, aber nicht individuell für eine bestimmte Hardwarekonfiguration, sondern nur global. Der Hardwaretausch ist also kein Problem! Ein UEFI-Update mit einem signierten Update File ist auch kein Problem!

Ganz anders TPM: Hier besteht eine echte (gewollte!) Hardwarebindung. Die Root Keys, die hier zur Erzeugung von Schlüsselpaaren verwendet werden, leiten sich von den Platform Configuration Registers (PCRs) ab, das sind Eigenschaften einer ganz bestimmten (individuellen) UEFI-/Bootloader-/Hardwarekonfiguration (inklusive Seriennummern). Eine BitLocker-verschlüsselte SSD kann man deshalb auf einem anderen System nicht lesen (ohne den BitLocker-Wiederherstellungsschlüssel zu kennen), selbst wenn die Konfigurationen identisch sind (die Seriennummern sind es nämlich nicht).
Die Keys werden nicht im NVRAM gespeichert, sondern direkt im TPM, und die privaten Schlüssel der Root-Key-Paare sind sogar für das OS nicht auslesbar.
Analog zu "PK clear" gibt es auch ein "TPM clear" … mein Tipp: vorher ein unverschlüsseltes Backup der BitLocker-verschlüsselten SSD erstellen.

 

[Turrican101]

.

Doch mich stört das auch, also niemand stimmt schon mal nicht.

Deswegen habe ich ja "fast niemand" geschrieben.
Und Android geht zwar ohne Konto, aber dann kann man den Appstore nicht nutzen und das werden kaum Leute haben wollen. Mit F-Droid wird Otto Normal jedenfalls nicht glücklich.

 

[.Silberfuchs.]

@wesch2000 Jupp, das ist das beste was man machen kann und sollte. MS kann einfach nicht gut kommunizieren.

Für meinen Teil bin ich froh weg von Windows zu MacOS gegangen zu sein. In Kombi mit Linux für manche Sachen. Dieses hin und her und die Basteleien die MS veranstaltet muss ich echt nicht mehr haben (Ausnahme: Spiele)

Zum Thema Sicherheit und TPM gibt es immerhin einen offiziellen Blogpost vom 25.06.2021. Unter anderem ist zu lesen:
TPM 2.0 is a critical building block for providing security with Windows Hello and BitLocker to help customers better protect their identities and data. In addition, for many enterprise customers, TPMs help facilitate Zero Trust security by providing a secure element for attesting to the health of devices.

Etwas weiter im Text heißt es noch: And for consumers, new Windows 11 devices will be passwordless by default from day one.

Nach meinem Verständnis wird Windows Hello mithilfe von TPM die Authentifizierung erleichtern, so das der Nutzer zur Anmeldung kein Passwort mehr eingeben muss. Evtl. vergleichbar mit Apple's TouchID in Zusammenarbeit mit dem T2-Chip. In der Welt von Windows dann halt TPM. Zwar kann das auch schon Windows 10 aber ist halt optional und wird mit 11 zur Pflicht. Dazu passt auch die Webcam-Pflicht für Laptops. Wird sich dann noch zeigen müssen wie sich MS das Sicherheitskonzept bei Desktop-PCs vorstellt.

Ich kann mir auch vorstellen das neue Windows 11 Geräte standardmäßig mit Bitlocker verschlüsselt sind. Dafür wäre dann auch TPM sinnvoll um nicht jedesmal das Passwort zur Entschlüsselung eingeben zu müssen. Allerdings wäre dann die Frage ob das auch für Windows 11 Home gilt. Vorher war ja Bitlocker nur Windows 10 Pro vorenthalten. Aber da auch 11 Home TPM voraussetzt wäre das denkbar.

 

[Project 2501]

Die KEK-Database ist im NVRAM des UEFI abgelegt. Sie lässt sich nur im Setup-Mode ohne Authentifizierung oder (alternativ - damit der Owner "seinem" UEFI am Beginn der Chain of Trust vertrauen kann) im User-Mode ändern, wenn die KEKs mit dem privaten Platform Key des OEM/Mainboard-Herstellers signiert sind. Der PK lässt sich übrigens im UEFI löschen (PK clear).

Bei der angeblichen Businessmarke Lenovo kann man so schell seinen Laptop bricken
https://old.reddit.com/r/archlinux/comments/eparlo/psa_dont_install_custom_secure_boot_keys_on_x1/

 

[GerryB]

Was ist denn Das mit dem Webcam-Zwang?

Will W11 jetzt die Leute ausspionieren?

 

[Carrera124]

Also je mehr man über Win 11 liest, umso sicherer bin ich mir, dass ich das auf meinen Systemen garnicht haben will. Außer ein bußchen optischen Chi-Chi sind gegenüber Win10 keine Vorteile erkennbar, dafür jede Menge Nachteile und zusätzliche Gängeleien.

 

[Turrican101]

Außer ein bußchen optischen Chi-Chi sind keine Vorteile erkennbar, dafür jede Menge Nachteile und zusätzliche Gängeleien.

Genau sowas hat man damals auch über XP schon gesagt. Und über Vista. Und 7. Und 8. Und 10.

 

[vobri]

Bis Win11 released wird dauerts eh noch und bis du von Win10 wechseln "musst" noch viel viel länger

Wenn nun Inhaber ausreichend potenter aber älterer und zu Windows 11 inkompatibler PC's nun glauben "ach ich hab ja bis Ende 2025 Zeit" stimmt dies nicht so ganz ! Man bedenke dass die User ja sicher gerne ihre bisherige Lizenz bzw. ihren Key mit nach Windows 11 nehmen möchten. Das kostenlose Upgrade ist aber - so die offizielle Ankündigung - nur ein Jahr lang (nach Release) möglich. Sprich im Herbst 2022 werden sich viele User überlegen müssen ob man vorzeitig noch taugliche Systeme entsorgt und neue Hardware (Mainboard, CPU, RAM) kauft - eben um dann das Windows-Upgrade tätigen zu können. Ob MS in den Jahren 2023 - 2025++ alte Keys noch akzeptiert bleibt rein spekulativ. Das Szenario ist doch wieder nur Geschäftemacherei zu Lasten der Umwelt und der Nachhaltigkeit.........

 

[SGCMarkus]

Als Insider ist Win 11 nun verfügbar

werds mir mal in Ruhe anschauen

 

[siggi%%44]

Yes, wird gerade runtergeladen. 👍

 

[eratte]

Windows 11 inkompatibler PC's nun glauben "ach ich hab ja bis Ende 2025 Zeit" stimmt dies nicht so ganz !

Doch da stimmt, man ist nicht zum kostenlosen Update gezwungen. Man kann sich auch eine SB/OEM für 100/130 Euro kaufen und sein Windows 10 bis Supportende weiter benutzen. Dann hat man auch nicht das "Theater" das man es mit einem MS Konto verknüpfen muss.

 

[Carrera124]

Genau sowas hat man damals auch über XP schon gesagt. Und über Vista. Und 7. Und 8. Und 10.

Also über XP und Win7 sicher nicht.

 

[cv0k]

damals auch über XP schon gesagt. Und über Vista. Und 7. Und 8. Und 10.

über XP und Win7 sicher nicht.

Doch, hat man. Und eigentlich jedesmal zurecht. Das beste Windows war 2000 Pro. Jede weitere Auflage hat (zumindest teilweise) die Benutzerfreundlichkeit verschlechtert.

 

[wesch2000]

Als Insider ist Win 11 nun verfügbar

Und wird sogar auf meinem IvyBridge installiert

 

[Christian1297]

Ich installiere es gerade als Update von Windows 10 in einer Virtual Box Installation.

 

[DerKonfigurator]

Irgendwie scheint Windows 11 ja ein Verkaufsprogramm für Dell, HP und co. zu sein anders kann ich mir die absurden System Requirements nicht erklären.

Vielleicht findet dann auch mal Manjaro und co. mehr Anklang. Linux hat sich in den letzten Jahren bzgl. Nutzbarkeit und Stabilität stark verbessert. Inzwischen kommt man sogar fast ohne Kommandozeile aus.

 

[Mahagonii]

Was ist denn Das mit dem Webcam-Zwang?

Will W11 jetzt die Leute ausspionieren?

naja hat doch jeder heutzutage eine.... wirklich neu ist das auch nicht mehr.
Man muss sie ja nicht nutzen ^^

 

[andi_sco]

So, der offizielle Download der Windows 11 Insider Preview beginnt

 

[finley]

--So vermeidet man Vollzitate--

Der Cut ist wohl notwendig um 32 Bit endgültig zu beerdigen.

 

[GerryB]

naja hat doch jeder heutzutage eine.... wirklich neu ist das auch nicht mehr.

Mein Moni hat keine Cam. Ich kauf doch jetzt net extra noch irgendwelchen Kram, den ich net brauche.