Vor Windows 8 wird gewarnt (31c3)

[Eidolon]

http://youtu.be/nCVFHLVsk44

"Im Vortrag sollen technische und gesellschaftliche Konsequenzen der von Microsoft kontrollierten Windows-8-Secure-Boot-Architektur und mögliche Gegenmaßnahmen diskutiert werden.
Nachdem die Einführung einer Microsoft-kontrollierten Sicherheitsinfrastruktur durch politischen Widerstand lange aufgehalten werden konnte, hat Microsoft inzwischen ein weiteres Mal Fakten geschaffen. In den Hardwareanforderungen für Windows 8 wird Secure Boot verpflichtend vorausgesetzt. Andere Betriebssysteme können in der Praxis bisher nur mit technisch und rechtlich problematischen Notkonstruktionen gestartet werden.
Für die stark wachsende ARM-Prozessorwelt soll dem Nutzer sogar komplett die Kontrolle entzogen werden. Dies beinhaltet sogar eine Zwangsaktivierung und ein Verbot der Deaktivierung des Microsoft-kontrollierten Secure-Boot-Prozesses.
Was vielen lange Zeit als der bekannte Kampf zwischen Hackern und Microsoft um die freie Nutzung unserer Gerätschaften erschien, erhielt durch die politischen Entwicklungen höchste Brisanz für die gesamte Industrie. Microsoft kann und hat auch schon ohne nachvollziehbare Begründung konkurrierende Bootloader deaktiviert.
Ein Szenario, dass Microsoft (möglicherweise durch US-Regierungsdruck) die Berechtigung für die von Microsoft unterschriebene Bootloader für Linux-Distributionen zurückzieht, will man sich insbesondere für sicherheitskritische Systeme oder eingebettete Systeme nicht wirklich vorstellen.
Während deutsche Behörden darüber diskutieren, wie sehr vor Windows 8 gewarnt werden sollte, verbot China völlig die Verwendung von Windows 8 auf staatlichen Computern.
Im Vortrag sollen weitere technische und gesellschaftliche Konsequenzen vom Microsoft-kontrollierten Sicherheitsinfrastrukturen und mögliche Gegenmaßnahmen diskutiert werden."

[Botcruscher]

Das Problem liegt doch mit UEFI schon viel tiefer. Da geht schon beim anstecken der Hardware verschlüsselter Datenverkehr los. Der US Pudel Europa hofft derweil auf das abklingen der Snowden- Hysterie. Selbst China ist noch nicht konsequent genug. Jedes Stück Hardware ohne offenen Quellcode gilt als kompromittiert und gehört sofort entfernt. Bei Cisco sind die Backdoors zu 100% drin. So lange China mehr klaut lebt es sich mit dem Status Quo aber vermutlich ganz gut. Deswegen fängt es behutsam an.

[Ferengie]

Wichtigste war am Schluss oder? .. die (secure bootloader) UEFI Linux Schlüssel von Microsoft, liegen nicht bei Microsoft.

[Pennywise]

Und Android, CromeOS, OSX oder iOS Geräte sind offen? Also im Prinzip kann man davon ausgehen, dass ein fertiges System mit Windows ausgeliefert, auch die letzten Jahre nix anderes gesehen hat. Wer sich sein eigenes System zusammenbaut, ist doch von den Einschränkungen eh nicht betroffen. Also viel Wine um nix

[Lokadamus]

Also im Prinzip kann man davon ausgehen, dass ein fertiges System mit Windows ausgeliefert, auch die letzten Jahre nix anderes gesehen hat. Wer sich sein eigenes System zusammenbaut, ist doch von den Einschränkungen eh nicht betroffen. Also viel Wine um nix
http://de.wikipedia.org/wiki/Unified_Extensible_Firmware_Interface
Wenn es nach MS gehen würde, wäre Secureboot schon seit ein paar Jahren standardmäßig aktiv und das bei jedem Mobo.

Nur kurz zur Erinnerung:
http://de.wikipedia.org/wiki/Intel_Pentium_III#Seriennummer
http://de.wikipedia.org/wiki/Trusted_Platform_Module

[Eidolon]

Und Android, CromeOS, OSX oder iOS Geräte sind offen? Also im Prinzip kann man davon ausgehen, dass ein fertiges System mit Windows ausgeliefert, auch die letzten Jahre nix anderes gesehen hat. Wer sich sein eigenes System zusammenbaut, ist doch von den Einschränkungen eh nicht betroffen. Also viel Wine um nix

Aha, Du hast das Video also nicht angesehen und bellst aus Reflex weil da Windows 8 steht.

[5tyle]

Liegt das Problem nicht irgendwie an den verbauten Prozessoren und der Hardware selbst auch? Wenn Windows z.B. nur noch auf Intel-Prozessoren läuft (oder sowas in der Art) dann liegt das Problem nicht alleine bei Microsoft? vgl. auch apple

[Eidolon]

http://de.wikipedia.org/wiki/Trusted_Computing#Kritik_an_Trusted_Computing

"Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor dem Einsatz von TPM. Microsoft könne festlegen, welche Programme noch auf dem Computer installiert werden können, bereits eingerichtete Programme nachträglich unbrauchbar machen und Geheimdiensten helfen, fremde Computer zu kontrollieren. Die zuständigen Fachleute im Bundeswirtschaftsministerium, in der Bundesverwaltung und beim BSI warnen denn auch unmissverständlich vor dem Einsatz von Trusted Computing der neuen Generation in deutschen Behörden. "Durch den Verlust der vollen Oberhoheit über Informationstechnik" seien "die Sicherheitsziele (http://de.wikipedia.org/wiki/Informationssicherheit) 'Vertraulichkeit' und 'Integrität' nicht mehr gewährleistet." (Zeit-Online vom 20. August 2013, "Bundesregierung warnt vor Windows 8")
Trusted Computing als generelles Thema (also nicht spezifisch die Standardisierungsarbeit der TCG) wird teilweise sehr emotional diskutiert [3] (http://de.wikipedia.org/wiki/Trusted_Computing#cite_note-animated_short-3). Dabei werden meist die verschiedensten Vermutungen und Erwartungen, speziell auch Annahmen über mögliche Implementierungen von DRM und die Integration in das Produktspektrum von Microsoft Betriebssystemen (NGSCB) kombiniert. Die erste entsprechende Publikation, auf die dann alle Kritiker immer wieder Bezug nahmen, wurde im Jahre 2002 noch vor Erscheinung der ersten Spezifikationen von Ross Anderson veröffentlicht [4] (http://de.wikipedia.org/wiki/Trusted_Computing#cite_note-Anderson-4). Unmittelbar darauf erfolgte dann eine Richtigstellung und Zurückweisung (engl. rebuttal) [5] (http://de.wikipedia.org/wiki/Trusted_Computing#cite_note-rebuttal-5) durch die beteiligten Entwickler.
Von Kritikern wird zudem die Befürchtung geäußert, dass die Implementierung von Trusted Computing die Entwicklung von freier Software (http://de.wikipedia.org/wiki/Freie_Software), Open-Source-Software (http://de.wikipedia.org/wiki/Open_Source), Shareware (http://de.wikipedia.org/wiki/Shareware) und Freeware (http://de.wikipedia.org/wiki/Freeware) verhindern oder zumindest behindern können. Dies resultiert aus der Annahme, dass Software auf einer Trusted Platform von einer zentralen Instanz zertifiziert werden müsste und dass demzufolge weder kleinere Firmen noch Privatleute sich die hohen Kosten für die offizielle Zertifizierung (http://de.wikipedia.org/wiki/Zertifizierung) ihrer Programme leisten können. Eine solche zentrale Zertifizierungsstelle gibt es aber nicht. Entsprechende Zertifikate können aber von Dritten vergeben werden, um den Computer wiederum gegenüber anderen Drittparteien als sicher einzustufen. Dieses Szenario wäre z. B. bei Webshops oder ähnlichen Netz-geprägten Handlungen und Programmen denkbar. In jedem Fall wäre Trusted Computing eine weitere Hürde auf dem Weg des Amateurs in die Software-Entwicklung, was freien Softwareprojekten (http://de.wikipedia.org/wiki/Freie_Software), die von Freiwilligen entwickelt werden einen deutlichen Nachteil verschafft."

[Gebrechlichkeit]

Endlich, hab doch solange darauf warten muessen

http://saved.im/mtczmje4aglk/y-u-no-meme-generator-pc-gaming-y-u-no-dead-d1d601.jpg

"Hardware-Dongles" gibt es seit den 80´er oder gar laenger, nix neues bzw. dieses TPModul (http://en.wikipedia.org/wiki/Trusted_Platform_Module)hat mittlerweile jedes neues Motherboard. In Zukunt halt gleich auf der Platine geloetet.... dann fuege man noch die x86 Luecke (http://www.theverge.com/2012/6/18/3092949/security-vulnerability-x86-64-intel-processor) hinzu + UEFI.... was kommt noch?

In Zukunft kauft man sicherheithalber halt doppelt ein:

1xPC offline
1xPC online

[Eidolon]

Bin mal gespannt wann die ersten neuen PCs ohne so etwas kommen. Irgend jemand wird das bestimmt als Marktlücke erkennen. ;)

[Gebrechlichkeit]

Bin mal gespannt wann die ersten neuen PCs ohne so etwas kommen. Irgend jemand wird das bestimmt als Marktlücke erkennen. ;)

Und dann sagt Microsoft :

"Kannste vergessen! Unser top-aktuelles-hoch-produktives-fehlerfreies-Betriebsystem aka WIN10 unterstuetzt dein Motherboard net! Haste Pech gehabt, hier ein paar MB die WIN10 "kompatibel" sind :"

- ASUS Military Edition nat. fuer $500, $200 fuer das Board, 300 wegen den Royalties, Lizenzen (TPM bzw. Chip). ;)

[Eidolon]

Stört mich als Linuxnutzer (zu 90%) nun eher weniger, eher begrüße ich es. ;)

[Gebrechlichkeit]

Was wenn dieser Chip auf D.O.S* Level operiert und nur ein Internet Zugang benoetigt um mit Microsoft, NSA, SAN, SNA und der Wrestling Federation kommunizieren zu muessen? Duerfte dann ziemlich egal sein ob WIN10 oder Debian 13 auf der Platte installiert ist.

Geht doch jetzt schon via UEFI > gleich ins Internet und mit dem AsRock Support chatten... :freak: (naja theoretisch, ist nie jemand "online")
* halt nicht auf OS Ebene

[-/\-CruNcher-/\-]

Das war bei Dell geil wo die Grafikkarte beim Auswechseln nicht mehr gebootet hat weil sie kein passendes UEFI Bios hatten hehe ;)

Was durch die patches in den letzten monaten in der Windows Welt alles geknallt hat war schon interessant zu beobachten (nie war ich verzweifelter nach 3rd party problemen am suchen) und jetzt halt was im December abging ;)

Der Cyberkrieg geht in die nächste Runde und wir sind mittendrin ;)

[LoTto]

Absoluter Horror...ich kann gar nicht glauben, was da gesagt wurde. Wenn sich an den TPM-Geschichten nichts ändert, ist es tatsächlich vorbei. Kaum zu glauben, dass das in der EU kein Nachspiel haben wird. In dem Video wurde auf die Zwangsnutzung von Internetexplorer von vor einigen Jahren hingewiesen. Da wurde Microsoft auch zurechtgewiesen. Bleibt nur noch zu hoffen, dass die EU auch bei TPM eingreift.

[Pennywise]

Mhmm, ja es ist theoretisch ein Thema. Der Einsatz eines BS ist aber doch eine Frage des Vertrauens, wie auch eben die Frage woher der Schlüssel stammt. Realistisch muss man sagen, wer denn nun die Schlüssel ausstellt ist MIR egal, vertrauen kann ich auch europäischen Behörden nicht. Und auch ohne TPM war es immer möglich Daten aus dem System auf Betriebssystem Ebene unbemerkt rauszuschleusen. Oder wissen wir wirklich was alles an MS bei Windows Updates übertragen wird. Oder aber bei Google Chrome Updates usw. Auch das komplette löschen oder deaktivieren von kompletten Systemen kann ohne TPM im Kriegsfall erfolgen. Oder doch nicht? Was geht mit TPM und was ohne?

Weshalb ich das alles weniger dramatisch sehe. Sicherheit und Vertrauen gibt es nicht, es bleibt nur die Nicht-Nutzung der Systeme. Oder meint irgendwer wirklich früher war irgendwas sicherer? Einzig ein selbstcompiliertes Linux ist da eine wirkliche Alternative. Und auch da muss man dem Compiler vertrauen, denn auch der kann Mist machen.

Welche Nachteile gibt es für den User? Es kann nicht alles an Software installiert und genutzt werden? Theoretisch ja, oder praktisch auch ohne TPM wie Apple es mit iOS vormacht? Ja richtig "Es hat niemand die Absicht eine Mauer zu bauen" andere haben die aber schon stehen. Und solange es noch möglich ist Windows auch auf Systemen ohne TPM zu installieren wird das wohl nicht kommen. Windows ist ja auch eine Programmierumgebung wie soll man da verhindern, das eigene Programme laufen? Und vor allem welchen Sinn macht das? WindowsRT ist da ne andere Nummer. Es sollte auf ALLEN Systemen möglich sein mittels sideloading Programme zu installieren. Das sollte eine Forderung der EU an alle sein

[LoTto]

Für Privatanwender ist das sicher ein überschaubares Problem, aber staatliche IT? Das kann ich mir mit TPM nicht vorstellen. Dann könnte Microsoft alle Rechner mit entsprechender Hardware lahmlegen, wie gesagt.

[Avalox]

Mhmm, ja es ist theoretisch ein Thema. Der Einsatz eines BS ist aber doch eine Frage des Vertrauens

Bertolt Brecht hat mal gesagt, dass Vertrauen sich dadurch erschöpft, dass es in Anspruch genommen wird.
Microsoft hat genau dieses Vertrauen verspielt, als MS eben wegen der Ausnutzung seiner Marktmacht (Vertrauen) vor Gericht gestanden hat.
Microsoft ist eine wirtschaftende Firma und damit in einem absoluten Zielkonflikt. Zum einen im Zielkonflikt der eigenen Ziele zu ihren Kunden, wie auch im Zielkonflikt der Rechtssprechung am Ort ihres Stammhauses.
Es ist schlicht ein Risiko, Risiken werden bewertet und dann versichert so einfach ist das.

Vertrauen ist gut, Kontrolle ist besser. Du wirst sicherlich noch überrascht sein, was so alles in nächsten Zeit passieren wird.

[Pennywise]

Wie gesagt Alternative ist nur ein selbst erstelltes BS und auch Hardware dazu. Alle Firmen wollen Geld verdienen und stehen damit im Interessenkonflikt. Und auch wenn die es nicht wollen sollten, wenn, egal in welchem Land auf dieser Erde, der Geheimdienst vor der Tür steht und mitspielen will, kann keine Firma "Nein" sagen. Der mögliche Druck innerhalb des Landes könnte zu gross werden.

So muss man ganz klar sagen, es gibt keine Sicherheit. Ohne selbst eigene IT im Bereich Soft UND Hardware zu entwickeln und zwar vollumfänglich, kann sich keine Firma und schon gar kein Land dieser Welt sicher sein, dass man sicher ist. Da reicht im Zweifel, wie bei Apple aktuell, ein einfaches Thunderbolt Device (http://www.silicon.de/41607288/firmware-hack-ueber-thunderbolt-manipuliert-macbooks/) oder eine Festplatte oder ein USB Stick oder ein Router oder oder oder.

Für mich gilt, es gibt keine Sicherheit. Daher werde ich auch nicht überrascht sein ;)

[Avalox]

Wie gesagt Alternative ist nur ein selbst erstelltes BS und auch Hardware dazu. Alle Firmen wollen Geld verdienen und stehen damit im Interessenkonflikt.

Die Firmen verdienen so ihr Geld, wie sie die Möglichkeiten des Marktes festgesteckt bekommen. Unternehmungen laufen ja nicht im luftleeren Raum.

Open Source ist dort die Lösung. Relevante Schnittstellen und Komponenten müssen Open Source gelöst werden.

Eigentlich ein Mechanismus den ein Markt im harten Wettbewerb automatisch erreichen sollte und nur dadurch ausgehebelt wird, indem Marktmacht missbräuchlich eingesetzt wird.

Man sieht ja, dass Open Source Betriebssysteme überall im Feld, wo Wettbewerb besteht, sich schon lange durchgesetzt haben, nur monopolistische Märkte sind davon bisher ausgenommen.

Und natürlich stehen hinter Open Source wirtschaftende Unternehmungen, die auch ihr Geld verdienen und vermutlich auch gerne mit Arbeit von Gestern heute gerne abkassieren würden, diese Bestrebungen aber aufgrund des Wettbewerb gedeckelt werden.

Was aber erstmal als nächstes kommen wird, werden anderer Haftungskriterien für fehlerhafte Software sein.

Es ist einiges im Umbruch.

[Iamnobot]

30:35 "Wenn ich die Datenschutzschweinereien von Apple ansehe ist Microsoft wirklich ein Waisenknabe dagegen.". Schade, dass er da nicht ins Detail geht...

[SimonX]

In Zukunft kauft man sicherheithalber halt doppelt ein:

1xPC offline
1xPC online

Das am Air-Gap gearbeitet wird war ja schon mehrfach in den News.

[Coda]

Absoluter Horror...ich kann gar nicht glauben, was da gesagt wurde. Wenn sich an den TPM-Geschichten nichts ändert, ist es tatsächlich vorbei. Kaum zu glauben, dass das in der EU kein Nachspiel haben wird. In dem Video wurde auf die Zwangsnutzung von Internetexplorer von vor einigen Jahren hingewiesen. Da wurde Microsoft auch zurechtgewiesen. Bleibt nur noch zu hoffen, dass die EU auch bei TPM eingreift.
Ein TPM hat mit Secure Boot erst mal nix zu tun.

Secure Boot an sich ist auch eine wichtig und richtige Sache, weil das wenigstens Angriffe auf dieser Ebene verhindert in der sie noch schwerer nachvollziehbar sind als sonst. Es muss nur die Option da sein es aus zu schalten für Entwickler und es muss eine Zertifizierungsstelle her, die nicht von Microsoft kontrolliert wird.

Ich glaube auch, dass es Microsoft tatsächlich in erster Linie um Sicherheit geht und das Verhindern des bootens unsignierter Betriebssysteme eher ein Kollateralschaden ist.

[e.v.o]

Hier gibt es AFAIK kein Problem:
Normalerweise lässt Secure Boot sich ausschalten und somit alternative Betriebssysteme booten. Lässt sich Secure Boot nicht ausschalten, dann liegt dies eindeutig an demjenigen der das BIOS/UEFI implementiert hat. Windows 8 zertifizierte Laptops gibt es. Soweit mir bekannt, bedeutet diese Windows Zertifizierung in diesem Bereich sowieso nur das Secure Boot vorhanden und standardmäßig aktiviert sein muss.

Deshalb finde ich dieses Thema ziemlich sinnfrei. Trusted Computing ist für die älteren unter uns schon seit einer Ewigkeit ein Thema das nie korrekt angegangen wurde. Statt das ein Open Source Konsortium (von mir aus von Intel und AMD) hier voran geht, überlässt man es Firmen wie Microsoft ein ziemlich abgeschottetes System zu etablieren.

Kann ich die entsprechende Funktion abschalten: Ja.
Benötige ich diese Funktion für ein funktionierendes System: Nein
Bringt es mehr Sicherheit: Nein
Für mich gibt es erst wieder Redebedarf wenn man Secure Boot nicht mehr deaktivieren kann. Ansonsten: who gives a fuck?

Ein TPM hat mit Secure Boot erst mal nix zu tun.

Ohne TPM kein Secure Boot.

[Terrarist]

Bedenklicher als M$ ist doch eigentlich das AMI Monopol im Bios/Uefi Bereich. Wir sprechen hier über eine Firma deren Name (American Megatrends) schon US nationalistische Züge hat, neben einer Pyramide im Logo (Illuminatensymbolik!) :freak:

Vermutlich ist die gesamte IT durch Handlanger Techfirmen verseucht, wenn es um die Kooperation mit Staaten, Geheimdiensten usw. geht. Wer nicht spurt dem werden dann halt auf dem US markt Steine in den Weg gelegt.

[-/\-CruNcher-/\-]

https://www.youtube.com/watch?v=XLSli69EjsA#t=1225

Windows Phones haben anscheinend dann auch den TPM Key store, somit wird Login mit dem Phone in Corporates sicher möglich wenn das Smartphone gestohlen wird beist man sich am TPM die Zähne aus ausser die NSA ;)

Nu kann man das mit Biometrischer Erfassung wie Fingerprint, Eye und Voice für das Smartphone kombinieren ;)

[Coda]

Bringt es mehr Sicherheit: Nein
Natürlich bringt es mehr Sicherheit wenn deine Boot-Chain inklusive des Kernels kryptografisch vor Manipulation gesichert sind.

[-/\-CruNcher-/\-]

Coda es bringt auch vor allem Gesellschaftliche Veränderungen an die heute noch niemand denkt oder denken will ;)

[e.v.o]

Natürlich bringt es mehr Sicherheit wenn deine Boot-Chain inklusive des Kernels kryptografisch vor Manipulation gesichert sind.

Da stimme ich dir vollkommen zu. In seiner jetzigen Form jedoch nicht.

[aufkrawall]

Wie viele Bootkits gibt es für Windows 8.1 x64?

[Coda]

Da stimme ich dir vollkommen zu. In seiner jetzigen Form jedoch nicht.
Wieso nicht? Vorausgesetzt, dass es wirklich aktiv ist wüsste ich nicht wie du das angreifen willst.

[-/\-CruNcher-/\-]

Es gab doch schon längst demos von Russischer seite die Intels UEFI und Krypto stack erfolgreich exploitet haben.

[Cyphermaster]

Ich glaube auch, dass es Microsoft tatsächlich in erster Linie um Sicherheit geht und das Verhindern des bootens unsignierter Betriebssysteme eher ein Kollateralschaden ist.Wie bodenlos naiv bist du denn? Jeder Manager, der Gewinnchanchen seiner (börsennotierten) Firma absichtlich ungenutzt läßt, wird entweder vor den Kadi gezerrt, oder über die Aktionäre abgestraft = bye-bye gut bezahlter Job. Heißt, solange Microsoft signiert, werden sie das auch als aktiven Aussperrmechanismus benutzen, so weit die Justiz sie das läßt - und keinen Millimeter weniger. Wenn jemand von den Geheimdiensten anklopft, geht's dann darüber hinaus...

[Kriton]

Da bin ich eher bei Coda.
Selbst wenn man in Deinem Bild bleibt wäre das noch immer eine Argumentationsfrage (man könnte das z.B. als Verbesserung des brands sehen, was sich letztlich auch positiv auf den Gewinn auszahlt).

[e.v.o]

Wieso nicht? Vorausgesetzt, dass es wirklich aktiv ist wüsste ich nicht wie du das angreifen willst.
Es wurde bereits mehrfach erfolgreich angegriffen. Außerdem ist nur die Spezifikation offen gelegt. Der Rest jedoch nicht. Meine Aussage war auch und im besonderen auf diese Tatsache bezogen.

Wie bodenlos naiv bist du denn? Jeder Manager, der Gewinnchanchen seiner (börsennotierten) Firma absichtlich ungenutzt läßt, wird entweder vor den Kadi gezerrt, oder über die Aktionäre abgestraft = bye-bye gut bezahlter Job. Heißt, solange Microsoft signiert, werden sie das auch als aktiven Aussperrmechanismus benutzen, so weit die Justiz sie das läßt - und keinen Millimeter weniger. Wenn jemand von den Geheimdiensten anklopft, geht's dann darüber hinaus...
Ich sehe noch wo Microsoft das aktiv als Aussperrmechanismus nutzt. Und wie sollte denn ein Secure Boot sonst aussehen? Außerdem wird hier niemand ausgesperrt. Ich habe keinerlei Ahnung woher diese Fehlinformation kommt. Man kann Secure Boot normalerweise im BIOS/UEFI abstellen. TPM-Funktionalität steht weiterhin zur Verfügung. Das Secure Boot nicht Offen ist, ist eine andere Thematik und das finde ich genau wie TPM absolut falsch.

[DerCheaterSager]

Ich versteh von der ganzen Scheisse hier nicht ein einziges Wort, und ich habe mehrere Jahre lang erfolgreich als PC-Supporter gearbeitet. Was ihr hier labert, sind glaubs einfach Dinge, die euch nen Scheissdreck angehen, und die man getrost in den Händen von Microsoft lassen kann. Wozu sollte Europa den Amis misstrauen, wenn wir ja doch mit ihnen in den Krieg ziehen müssen, falls es mal soweit kommt? Und dass wir den Amis werden helfen müssen, das ist noch nicht mal die Schuld der Amis selber, denn ihre Feinde werden nicht lange fragen, wer jetzt hier genau autonom ist und wer nicht. Die Feinde der USA werden auch uns angreifen.

Ihr Klugscheisser würdet euch besser mal damit beschäftigen, warum man hier in eurem eigenen hochheiligen Forum nicht mal ungestraft die eigene Meinung frei äussern darf, bevor ihr hier derart grosskotzig die wahnsinnig aufgeklärten Fachidioten spielt, von derer wichtigen Diskussionen hier unser aller Heil abhängt.

[DerCheaterSager]

Ich versteh von der ganzen Scheisse hier nicht ein einziges Wort, und ich habe mehrere Jahre lang erfolgreich als PC-Supporter gearbeitet. Was ihr hier labert, sind glaubs einfach Dinge, die euch nen Scheissdreck angehen, und die man getrost in den Händen von Microsoft lassen kann. Wozu sollte Europa den Amis misstrauen, wenn wir ja doch mit ihnen in den Krieg ziehen müssen, falls es mal soweit kommt? Und dass wir den Amis werden helfen müssen, das ist noch nicht mal die Schuld der Amis selber, denn ihre Feinde werden nicht lange fragen, wer jetzt hier genau autonom ist und wer nicht. Die Feinde der USA werden auch uns angreifen.

Ihr Klugscheisser würdet euch besser mal damit beschäftigen, warum man hier in eurem eigenen hochheiligen Forum nicht mal ungestraft die eigene Meinung frei äussern darf, bevor ihr hier derart grosskotzig die wahnsinnig aufgeklärten Fachidioten spielt, von derer wichtigen Diskussionen hier unser aller Heil abhängt.

Ach und noch was: Woher zum Teufel weiss ich nur so genau, dass auch dieser Post hier sofort gelöscht werden wird?
Ich sag euch was, ihr Klugscheisser: Egal welche Scheisse noch auf euch zu kommt, ihr werdet sie allesamt wunderbar gut verdient haben. > Karma!!!

[aufkrawall]

Es wurde bereits mehrfach erfolgreich angegriffen.
Geht es auch etwas konkreter? Welche Malware genau hat das geschafft?

[Eidolon]

Ich versteh von der ganzen Scheisse hier nicht ein einziges Wort, und ich habe mehrere Jahre lang erfolgreich als PC-Supporter gearbeitet.

Hier geht es eben nicht um 0815 Windows Support...

[Kriton]

http://fc08.deviantart.net/fs70/f/2013/011/5/b/don__t_feed_the_troll___by_blag001-d5r7e47.png

[Si|encer]

Also es gibt einige Notebooks von Medion, bei denen man das CSM-Feature mal eben weg gelassen hat. Auf denen kann man dann entweder ein anderes OS überhaupt nicht installieren (es lädt einfach nicht), oder man kann es installieren, aber beim Booten bleibt der Rechner einfach kurz vorm Booten stehen.

Schon mehrfach erlebt.....

Secure Boot mag zwar für mehr Sicherheit sorgen, aber es raubt auch flexibilität.

[Eidolon]

Also es gibt einige Notebooks von Medion, bei denen man das CSM-Feature mal eben weg gelassen hat. Auf denen kann man dann entweder ein anderes OS überhaupt nicht installieren (es lädt einfach nicht), oder man kann es installieren, aber beim Booten bleibt der Rechner einfach kurz vorm Booten stehen.

Schon mehrfach erlebt.....

Secure Boot mag zwar für mehr Sicherheit sorgen, aber es raubt auch flexibilität.

Nicht nur das, ich würde mich eher fragen ob das überhaupt erlaubt ist. Denn so sind die Geräte ja quasi mit Windows verdongelt.

[fezie]

Naja manche Linux Distris haben oder arbeiten zumindest an Secure Boot Unterstützung

[Terrarist]

Aktuelle Ubuntu und Fedora Distros machen mit CSM bzw. Secure Boot keine Probleme, selbst mit einem aktuellen Z97 Asus Board getestet. Bei kleineren Distros ohne größere Firma im Rücken, könnte es schwieriger werden.

[anddill]

Die nutzen einen signierten Miniloader namens "shim", der dann bootet was immer Du willst, auch das normale Grub. Womit der ganze Secure-Mist komplett ausgehebelt ist.

[fezie]

Ich dachte beim shim muss der geladene Kernel oder grub trotzdem noch signiert sein? Also nicht direkt von MS aber trotzdem

[anddill]

Ja, aber darüber hat dann das UEFI keine Kontrolle mehr.

[StefanV]

Naja, irgendwie hab ich das Gefühl, dass einige den Beitrag nicht richtig wahrgenommen haben...

Die Kernaussage war da:
a) es ist scheiße, dass die Signatur nicht von unabhängiger Stelle kommt
b) wenn M$ mal richtig Mist macht, oder irgendwas anderes irgendwie schief läuft, ist das System im Klo und man schaut einfach nur blöd in die Röhre.

So sehr wurde Secure Boot gar nicht nieder gemacht, bis auf diese zwei Punkte...

[Eidolon]

Naja, irgendwie hab ich das Gefühl, dass einige den Beitrag nicht richtig wahrgenommen haben...

Die Kernaussage war da:
a) es ist scheiße, dass die Signatur nicht von unabhängiger Stelle kommt
b) wenn M$ mal richtig Mist macht, oder irgendwas anderes irgendwie schief läuft, ist das System im Klo und man schaut einfach nur blöd in die Röhre.

So sehr wurde Secure Boot gar nicht nieder gemacht, bis auf diese zwei Punkte...

So ist es.

[Exxtreme]

Naja, irgendwie hab ich das Gefühl, dass einige den Beitrag nicht richtig wahrgenommen haben...

Die Kernaussage war da:
a) es ist scheiße, dass die Signatur nicht von unabhängiger Stelle kommt
Es wird niemals(!) eine unabhängige Stelle geben. Ob das jetzt MS ist oder was anderes ist gehüpft wie gesprungen.

[Eidolon]

Es wird niemals(!) eine unabhängige Stelle geben. Ob das jetzt MS ist oder was anderes ist gehüpft wie gesprungen.

Könnte ja die Khronos Gruppe machen. ;)

[Exxtreme]

Könnte ja die Khronos Gruppe machen. ;)
Khronos müsste sich ausserhalb der Gerichtsbarkeit aller Staaten befinden. Ansonsten kommt ein Geheimdienst mit einem Geheimgerichtbeschluss daher und fertig ist die Chose. Da kann es gleich MS machen.

[StefanV]

Naja, irgendwie hab ich das Gefühl, dass einige den Beitrag nicht richtig wahrgenommen haben...

Die Kernaussage war da:
a) es ist scheiße, dass die Signatur nicht von unabhängiger Stelle kommt
b) wenn M$ mal richtig Mist macht, oder irgendwas anderes irgendwie schief läuft, ist das System im Klo und man schaut einfach nur blöd in die Röhre.

So sehr wurde Secure Boot gar nicht nieder gemacht, bis auf diese zwei Punkte...
Oh, sorry, einen enorm wichtigen Punkt habe ich vergessen zu erwähnen.
Und das dürft auch noch der wichtigste sein:

c) Man könnte politisch agieren und in diversen Regionen die Rechner abschießen, wenn man wollte. Zumindest ist das ein sehr wichtiger Punkt in dem Beitrag gewesen. Neben den Punkten der Unabhängigkeit und wenn was furchtbar schief läuft...

[Avalox]

Khronos müsste sich ausserhalb der Gerichtsbarkeit aller Staaten befinden. Ansonsten kommt ein Geheimdienst mit einem Geheimgerichtbeschluss daher und fertig ist die Chose. Da kann es gleich MS machen.

Nahe liegend wäre, wenn jeder(Nutzer) sein System selbst unterschreibt.

Solch ein Mechanismus benötigt eine zentrale Vertrauensstelle doch gar nicht zwangsläufig.

[Exxtreme]

Nahe liegend wäre, wenn jeder(Nutzer) sein System selbst unterschreibt.

Solch ein Mechanismus benötigt eine zentrale Vertrauensstelle doch gar nicht zwangsläufig.
Dann ist das ganze für die Katz da man per social engineering den Nutzer dazu bringen könnte den ganzen Malware-Krams zu signieren. Und als DRM-Plattform würde das überhaupt gar nicht mehr funktionieren.

[Avalox]

Dann ist das ganze für die Katz da man per social engineering den Nutzer dazu bringen könnte den ganzen Malware-Krams zu signieren. Und als DRM-Plattform würde das überhaupt gar nicht mehr funktionieren.

So bekommt er die Malware direkt vom Hersteller auf sein Gerät, das ggf. ohne etwas dagegen machen zu können.
Wer nicht weiß und nicht kann, es trotzdem gerne hätte muss halt bezahlen, dass ist immer so.

Aber mal direkt, weshalb sollte es als DRM Plattform nicht mehr funktionieren, oder Malware Tür und Tor öffnen?

Ein Hersteller stellt für einen Benutzer, mit dessen öffentlichen Schlüssel sein Betriebssystem individuell aus und dieser liest es in sein privates System mit privaten Schlüssel ein. Wo siehst du jetzt ein außerordentliches Problem, dass sich jetzt jemand mehr hinein schummeln können sollte, welcher sonst nicht der Fall wäre?

[Terrarist]

Wie gefährlich sind Hackintosh Bootloader?

[Cyphermaster]

Khronos müsste sich ausserhalb der Gerichtsbarkeit aller Staaten befinden.Ich würde es leicht anders formulieren: Die zertifizierende Stelle dürfte nicht alleine der Gerichtsbarkeit eines einzelnen Staates unterliegen.

[Exxtreme]

Aber mal direkt, weshalb sollte es als DRM Plattform nicht mehr funktionieren, oder Malware Tür und Tor öffnen?

Ein Hersteller stellt für einen Benutzer, mit dessen öffentlichen Schlüssel sein Betriebssystem individuell aus und dieser liest es in sein privates System mit privaten Schlüssel ein. Wo siehst du jetzt ein außerordentliches Problem, dass sich jetzt jemand mehr hinein schummeln können sollte, welcher sonst nicht der Fall wäre?
Das Ding funktioniert als DRM-Plattform deshalb weil das OS und Treiber vorher von Dritten zertifiziert werden. Sobald man selbst alles zertifizieren kann, kann man auch Treiber laden, die DRM umgehen indem man die Treiber vorher selbst zertifiziert. Da gab es z.B. gehackte Soundkartentreiber, die den Input auf die Platte geschrieben hatten. So ein Treiber umgeht jeden DRM-Mechanismus. Es sei denn man verhindert, dass der Nutzer so einen Treiber lädt indem man ihm keine Möglichkeit gibt die Treiber selbst zu zertifizieren.

Und bei Malware ist es ähnlich. Sobald ein Nutzer alles zertifizieren kann könnte man den Nutzer dazu bringen Malware zu zertifizieren. In dem man sie z.B. als ein nützliches Tool tarnt, welches zum Funktionieren leider ein Zertifikat braucht.

[Coda]

Es wurde bereits mehrfach erfolgreich angegriffen. Außerdem ist nur die Spezifikation offen gelegt. Der Rest jedoch nicht. Meine Aussage war auch und im besonderen auf diese Tatsache bezogen.
Nur weil Angriffe möglich waren heißt das aber nicht, dass das Konzept an sich unsinnig ist oder nicht helfen kann.

Software-Fehler kann man beheben. Das ist kein mathematisch/kryptografisches Problem.

[e.v.o]

Nur weil Angriffe möglich waren heißt das aber nicht, dass das Konzept an sich unsinnig ist oder nicht helfen kann.

Software-Fehler kann man beheben. Das ist kein mathematisch/kryptografisches Problem.

Wenn du dich batteln willst treffen wir uns an der Hauptwache :p

Ne, Spaß beiseite: Da stimme ich dir vollkommen zu bzw. habe nicht widersprochen. Secure Boot ist eine Sache die wir denke ich gerne alle haben wollen/möchten jedoch nicht in seiner jetzigen (closed) Form.

[Eidolon]

http://www.extremetech.com/extreme/201722-linuxs-worst-case-scenario-microsoft-makes-secure-boot-mandatory-locks-out-other-operating-systems

"Linux’s worst-case scenario: Windows 10 makes Secure Boot mandatory, locks out other operating systems"