Ach so. Secure Boot wurde ja 2011 erst eingeführt. Ab da wurde das Zertifikat dann wohl einfach mit der Hardware ausgeliefert und wenn es entsprechende UEFI-Updates gab, die das implementiert haben, werden die das wohl auch mitgeliefert haben.
News Windows 11: Microsoft kann nicht alle Secure-Boot-Probleme lösen
- Ersteller PCGH_Jacky
- Erstellt am
Da hat der Nutzer es erstmalig im BIOS aktiviert und das Windows Setup hat lokal die Zertifikate eingeflasht wenn die nicht sowieso schon ab Werk vom Boardhersteller drin waren. Das ist ja kein remote Vorgang.
Wenn du Win11 neu installierst (und das Installationsmedium dafür halbwegs neu ist) haste die neuen zertifikate auch drin.
Poulton
Volt-Modder(in)
Hab ich schon bei Consumer-Gurken gesehen, dass dort über Windows Update die Bios-Updates reingekommen sind.
Schon möglich. Persönlich hab ichs noch nie gesehen bei Desktops, wobei es da wohl vorkommen kann bei OEM-Fertig-PCs (worunter deine "Gurken" sicherlich fallen) wenn die ähnlich behandelt werden wie eben die OEM-Laptops.
Bei meinem Firmending wird gefühlt alle paart Monate ein BIOS-Update automatisch im Rahmen eines Windowsupdates gemacht. Bei den ganzen Desktops die ich baue/kenne/nutze gabs sowas noch nie, aber das sind ja auch selbstgebaute Kisten und kein OEM.
Ja, viele Schwierigkeiten kommen daher, dass entweder der PK & KEK nicht über das Betriebssystem geschrieben werden kann oder Fehler im Bios/UEFI, die oft erst mit späteren Updates behoben worden sind. War bei meinem Board beispielsweise beides der Fall. Einerseits war PK & KEK gesperrt und oben drauf gab es noch einen Fehler im UEFI, der es nicht erlaubt hat den neuen KEK anzuhängen - trotz UEFI im Setup-Mode. Das letzte aktuelle UEFI hatte diesen Fehler noch immer. Workaround war dann den neuen KEK zu setzen und die Löschung aller älteren MS KEK's und des Hersteller KEK in Kauf zu nehmen - vorher eine Sicherung der Keys ist also nie ganz verkehrt.
Die Keys von MS wohl nicht. Schaut man allerdings in die Liste der DBX-Keys - die Blacklist -, findet sich eine doch relativ lange Auflistung von kompromittierten Zertifikaten. Habe da einmal eine Sicherungskopie meiner DBX von 2024 mit der aktuellen verglichen und da haben sich bei mir zunächst lediglich eine handvoll geblockter Zertifikate befunden. Die aktuelle Liste ist bei mir nun deutlich länger.
Jetzt hab ich mir das ganze Transkript angetan um festzustellen: Das wird da gar nicht berichtet. Also zumindest in der Quelle steht eben nicht dass das original MS root Zertifikat für Secure boot kompromittiert wurde.Beides.
Das Secure-Boot-Problem von Windows 11 | Bit-Rauschen 2026/13
Microsoft werkelt an der Schutzfunktionen UEFI Secure Boot herum, sodass manche Rechner nicht mehr starten: Folge 2025/13 des Podcasts Bit-Rauschen.bit-rauschen.podigee.io
Die hinterlegte Ablaufdauer ist abgelaufen, aber das ist in sich keine Kompromittierung.
Am Ende bleibt immer ein darunter liegendes root of trust welches entweder doch noch gültig sein muss, oder man bringt den neuen Schlüssel unter "Genehmigung" des alten Schlüssels ein. Letzteres ist nur ein halbherziger Sicherheitsgewinn wenn man ein echtes Problem mit dem alten Schlüssel/Zertifikat hatte. Ersteres bedeutet effektiv dass es eben doch eine Stelle ohne Ablauf geben muss.
il_dottore
Komplett-PC-Aufrüster(in)
Ist das hier ne Art Engagement Move ?
Hier wird eine Quelle kritisiert die nicht ausführlich geprüft wurde und dann nicht mal eine Quelle geliefert die den vermeintlich eigenen Kenntnisstand wiederspiegelt ? Eieiei, kein wunder das hier gefühlt mehr Mods als Mitglieder unterwegs sind.
Wenn man mal logisch überlegt würden abgelaufene Zertifikate niemals ausgetauscht wenns keinen Sicherheitskritischen Breach gibt. Das macht finanziell und effektiv keinen Sinn. Speziell weil niemals alle Breaches Publik gemacht werden um nicht schlafende Hunde zu wecken.
00:32:01: So eine Signatur ist glaube ich weniger als Kilobyte oder sowas ja?
00:32:04: Ja aber mittlerweile sind es halt... Ich glaube zuletzt waren's irgendwie sechshundert oder sowwas.
00:32:09: also vierhundert sollten es auf jeden Fall sein in dieser Sperrliste weil es halt so viele Angriffe gegeben hat und so viele verschiedene Bootloader gesperrt werden mussten.
00:32:18: Das können manche alteren Firmware gar nicht ablegen.
00:32:21: das heißt also Es gibt haufenweise Systeme draußen, die gar nicht mehr die komplette Sperrliste aufnehmen können.
00:32:29: Was jetzt nicht so schlimm ist wie gedacht weil sie sollen ja nur erlaubte Signaturen laden.
00:32:35: diese Sperlliste ist sozusagen in gewissen Sinne nur so doppelter Boden.
00:32:40: aber trotzdem also da merkt man schon das ganze Konzept hat Risse.
Zumindest bei TLS ist es so, dass die Root-Zertifikate schon auch ein Ablaufdatum haben. Der öffentliche Teil wird dann mit dem Browser oder dem OS ausgeliefert und die vertrauen dann entsprechend allem, was mit diesen Zertifikaten signiert wurde, solange sie noch gültig sind. D.h. wenn man lange genug keine Updates bekommt, fangen der Browser oder auch andere Programme, die TLS nutzen, an zu meckern, wenn man auf mit neuen Root-Zertifikaten signierte Inhalte zugreifen will.
Ähnliche Themen
