Secure Boot aus der Ferne manipulierbar. Problem seit März bekannt.

Secure Boot aus der Ferne manipulierbar. Problem seit März bekannt.

Bei der aktuellen Windows 10 Version kann man seit März (oder sogar schon länger) das im UEFI integrierte Secure Boot aus der Ferne, spricht über fremde PCs/Internet abschalten. Grund hierfür ist ein von Microsoft integrierter Debug Modus. Zwar hat Microsoft bereits zwei Patches seit März veröffentlicht, die dies fixen sollten, jedoch ist die Lücke weiterhin offen.
Nachdem zwei Sicherheitsforscher das Problem im März entdeckten und Microsoft meldeten, kam nur als Rückantwort, dass nicht geplant wäre, dies zu fixen.

Hierdurch ist Secure Boot vollständig wertlos und zeigt, dass es von außen durch etwas Code umgehbar oder abschaltbar ist und keinen wirklichen Schutz vor bösartige Programme oder Angreifer bietet.
Betroffen sind auch Surface Tablets und Windows Phone Geräte.

Kardinalfehler: Microsoft setzt aus Versehen Secure Boot schachmatt | heise online

AW: Secure Boot aus der Ferne manipulierbar. Problem seit März bekannt.

Das Bild sagt mehr als tausend Worte

AW: Secure Boot aus der Ferne manipulierbar. Problem seit März bekannt.

Bei mir geht die Party seit ich heute morgen davon erzählt bekommen habe voll ab... Surface RT das ich seit Ewigkeiten nicht mehr verwendet habe, mit Linux here I come

Edit: Zeigt aber eben auch, dass Golden Keys einfach keine Antwort auf Sicherheitsfragen sind, gell FBI

AW: Secure Boot aus der Ferne manipulierbar. Problem seit März bekannt.

Naja mir war sowieso nie klar was das Secure Boot eigentlich soll.

AW: Secure Boot aus der Ferne manipulierbar. Problem seit März bekannt.

Offiziell Sicherheit, inoffiziell andere Betriebssysteme aussperren.

AW: Secure Boot aus der Ferne manipulierbar. Problem seit März bekannt.

Blizzard_Mamba schrieb:

Bei mir geht die Party seit ich heute morgen davon erzählt bekommen habe voll ab... Surface RT das ich seit Ewigkeiten nicht mehr verwendet habe, mit Linux here I come

Zum Vergrößern anklicken....

Wobei Linux auch gerade eine Lücke im TCP hat. Dort gibt es allerdings einen recht einfachen Fix: Sicherheitsforscher kapern HTTP-Verbindungen von Linux |
heise Security

AW: Secure Boot aus der Ferne manipulierbar. Problem seit März bekannt.

Wenn ich nen Trojaner oder sowas auf meine PC habe bringt doch auch Secure Boot nix
Habe bisher keinen Nutzen von diesem Secure Boot erkennen koennen, ausser dass es das nutzen von LinuX etc. manchmal erschwert

AW: Secure Boot aus der Ferne manipulierbar. Problem seit März bekannt.

Knogle schrieb:

Habe bisher keinen Nutzen von diesem Secure Boot erkennen koennen, ausser dass es das nutzen von LinuX etc. manchmal erschwert

Zum Vergrößern anklicken....

Genau das IST der Nutzen von SecureBoot.
Wer hat denn behauptet dass der Kunde da einen Nutzen hätte? Das Ding nützt Microsoft, sonst keinem.

AW: Secure Boot aus der Ferne manipulierbar. Problem seit März bekannt.

Abductee schrieb:

Offiziell Sicherheit, inoffiziell andere Betriebssysteme aussperren.

Zum Vergrößern anklicken....

Knogle schrieb:

Wenn ich nen Trojaner oder sowas auf meine PC habe bringt doch auch Secure Boot nix
Habe bisher keinen Nutzen von diesem Secure Boot erkennen koennen, ausser dass es das nutzen von LinuX etc. manchmal erschwert

Zum Vergrößern anklicken....

Komisch, dass sich zumindest der aktuelle Mint-Build bei mir problemlos nutzen ließ.
Einzig für die Nutzung von Software aus fremden Quellen (ich vermute mit meinen schmalen Linux-Kenntnissen, dass damit andere Paketquellen außer die Standardquelle von Mint gemeint sind) musste SecureBoot deaktiviert werden.

Im Idealfall - wir nehmen mal an, dass alles so klappt wie vorgesehen - verhindert bzw. erschwert SecureBoot Boot-/Rootkits (quasi alles, was vor/während Windows geladen wird) die Funktion.

Da SecureBoot bei Bedarf (also wenn der einstellige Prozentbetrag an Linux-Nutzern halt ausgerechnet eine Distribution nutzen will, die keinen SecureBoot-Kernel nutzt) deaktiviert werden kann, verstehe ich das Problem nicht. Da nehme ich lieber das (theoretische) Plus an Sicherheit bei Windows mit.

AW: Secure Boot aus der Ferne manipulierbar. Problem seit März bekannt.

Also bei mir gab es mit Secure Boot bei meinen 2011v3er Boards richitg heftige Probleme
Habe Debian installieren wollen, ging aber nicht weil es dann immer einen Secure Boot Fehler gab, bla bla das Ding unterstuetzt kein Secure Boot
Dann bin ich auf ASRock gewechselt, da kann man es deaktivieren

AW: Secure Boot aus der Ferne manipulierbar. Problem seit März bekannt.

@iGamekudan
Das sich Linux via Secure-Boot installieren hat lassen hat lange, sehr lange gedauert.
In dieser Zeit musste Secure-Boot deaktiviert werden und das konnte man nicht mal bei jedem Mainboard.
Viele OEM`s, Notebooks oder Surfaces haben einen Secure-Boot Zwang.
Damit wurde Linux ohne Übertreibung mehrere Jahre ausgesperrt.

AW: Secure Boot aus der Ferne manipulierbar. Problem seit März bekannt.

Abductee schrieb:

@iGamekudan
Das sich Linux via Secure-Boot installieren hat lassen hat lange, sehr lange gedauert.
In dieser Zeit musste Secure-Boot deaktiviert werden und das konnte man nicht mal bei jedem Mainboard.
Viele OEM`s, Notebooks oder Surfaces haben einen Secure-Boot Zwang.
Damit wurde Linux ohne Übertreibung mehrere Jahre ausgesperrt.

Zum Vergrößern anklicken....

Naja... Verzeih es mir, aber ich glaube nicht, dass der übliche Fertig-PC-Käufer ein Linux nutzt.

Übrigens konnte ich Mint offensichtlich auch mit im UEFI aktiviertem Secure Boot in einem "Non-Secure Boot"-Modus betreiben. Da wurde ich bei der Installation nach einem Kennwort gefragt, welches ich bei jedem Start eingeben sollte (musste ich komischerweise nie...) - dann erschien vor dem eigentlichen Mint-Boot dann ein Screen auf dem in etwa stand "Booting in non-Secure Boot mode". EDIT: Das ist wohl dieser Shim-Bootloader.

Und das die Surface-Geräte einen Secure Boot-Zwang haben ist mir neu, zumindest auf meinem Surface Pro 2 kann ich das problemlos abdrehen.
Wobei ich selbst hier nicht kapiere, wieso man auf einem Surface-Gerät Linux nutzen will (funktioniert da das Tatsch-Zeugs überhaupt?).

Ich habe auch eben mal gegooglet, 2013 gab es schon einige Distributionen, die mit SecureBoot nativ klar kamen - Ubuntu 12.10 und Fedora 18. Den Shim-Bootloader gibts offensichtlich schon seit Ende 2012: UEFI Secure Boot: Shim mit integriertem Microsoft-Schlussel veroffentlicht - Golem.de

Windows 8 (das erste Secure Boot-fähige Windows) kam erst zwei Monate vor dem Artikel auf den Markt. Da kann man ja jetzt nicht von Jahren reden...

Der Shim-Bootloader scheint wohl anfangs etwas problematisch gewesen zu sein, aber das lag wohl eher an den Herstellern der entsprechenden Geräte. Und da kann ich nur sagen: Dann hat man im Zweifelsfall halt keine Geräte gekauft, bei denen man Secure Boot nicht abschalten konnte.

AW: Secure Boot aus der Ferne manipulierbar. Problem seit März bekannt.

iGameKudan schrieb:

Wobei ich selbst hier nicht kapiere, wieso man auf einem Surface-Gerät Linux nutzen will (funktioniert da das Tatsch-Zeugs überhaupt?).

Zum Vergrößern anklicken....

Warum sollte es nicht gehen. Android hat doch auch einen Linux-Kernel und da stecken die Treiber drin.

Hauptproblem bei der Installation von Linux ist neben SecureBoot, wenn ein 32 Bit UEFI auf einem 64 Bit System zum Einsatz kommt. Das soll aber mit einer der kommenden Ubuntu-Versionen dann auch gehen.

AW: Secure Boot aus der Ferne manipulierbar. Problem seit März bekannt.

Abductee schrieb:

Offiziell Sicherheit, inoffiziell andere Betriebssysteme aussperren.

Zum Vergrößern anklicken....

Das geht einfacher, mit einem 32bit UEFI


Deshalb kaufe ich "günstige" Notebooks nur noch von Acer,
die Notebooks weiterhin außer der Atom Z Serie mit Linux Supporten

AW: Secure Boot aus der Ferne manipulierbar. Problem seit März bekannt.

Ich habe mich beharrlich geweigert Win 10 geschenkt zu bekommen.
Nutze noch mein Win 7 64 bit Systembuilder.
Solange ich keine Games besitze die zwingend direktx 12 benötigen,benötige ich kein Win 10!

AW: Secure Boot aus der Ferne manipulierbar. Problem seit März bekannt.

Secure Boot war für mich schon immer vollständig wertlos.
Genauso wie fast boot und rapid start - hier bootet nichts schneller, wenn es aktiviert wurde. Alles Grütze ohne Sinn!