Windows 8: Secure Boot nicht gegen Linux gedacht

Das Secure-Boot-Feature von Windows 8 sei keine Maßnahme, um Linux-Installationen zu verhindern, betont Windows-Chef Steven Sinofsky. Vielmehr solle so die Sicherheit des Betriebssystems gewährleistet werden.

Die Linux-Gemeinde war in heller Aufruhr: Matthew Garret, ein Mitarbeiter des Linux-Entwicklers Red Hat, hatte in einem Blog-Eintrag vermutet, dass die Secure Boot-Sicherheitsmaßnahme der UEFI-Firmware die Installation von Linux bzw. anderer Betriebssysteme verhindere.

Eine Funktion des BIOS-Nachfolgers UEFI (ab Version 2.3.1) blockiert den Start nicht signierter Bootloader. Wer Linux auf einem Rechner starten will, muss beachten, dass Bootloader und Linux-Kernel signiert sind. Den Schlüssel hinterlegt aber der Hardware-Hersteller. Für große Distributoren wie Oracle, Red Hat oder Suse stellt das kein Problem dar, ob das für alle Linux-Distributoren gilt, ist aber offen.


Plattform-Architektur von Windows 8
Nun hat sich Steven Sinofsky per Blog zu Wort gemeldet, um die Sache klarzustellen. "Wir führen nur Einsatzmöglichkeiten ein, die für die Kunden einen kompromisslosen Sicherheitsansatz gewährleisten sollen." Es würden nur die Vorteile neuer Technologien eingesetzt, um die Sicherheit von Windows zu optimieren.


Sinofsky zitiert in seinem Eintrag Tony Mangefeste von Microsofts Ecosystem-Team. Dieser stellte klar, dass der sichere Boot-Modus ein Protokoll von UEFI sei und nicht ein spezielles Windows-8-Feature. Der Start einer nicht signierten Software sei laut UEFI-Spezifikation möglich: Der Nutzer legt dazu ein Passwort an und wird danach gefragt, wenn die Firmware unsignierte Software oder Treiber bemerkt.

Linux-Distributoren sollten aber trotzdem sowohl Kernel als auch Bootloader signieren, um nicht jedes Mal die Passwort-Abfrage durchgehen zu müssen. Der Schlüssel wird dabei per UEFI-Anwendung auf dem Mainboard hinterlegt.



Technisch ist das alles kein Problem, rechtlich dagegen schon: Der Standard-Bootloader Grub 2 wird heute unter der GPLv3-Lizenz veröffentlicht. Diese Lizenz schreibt allerdings vor, dass Signaturschlüssel offengelegt werden müssen. Eine Grub-Installation wäre dann sogar unsicherer, weil Angreifer unbemerkt in den Bootvorgang eindringen könnten.