Windows 8: "Secure Boot" mit UEFI 2.3.1
Bei kĂĽnftigen Mainboards und Notebooks soll sich der Boot-Vorgang und das Laden von UEFI-Treibern kryptografisch absichern lassen.
Das 2012 erwartete Windows 8 – beziehungsweise vermutlich nur die für Bürocomputer und Firmen-Notebooks gedachten Versionen – soll die UEFI -Funktion "Secure Boot" nutzen können, die als Neuerung mit der Version 2.3.1 der UEFI-Spezifikation kam. Die Firmware-Spezialisten American Megatrends (AMI), Insyde Software und Phoenix haben schon entsprechende UEFI-Varianten angekündigt. Bisher dürften allerdings noch keine Notebooks oder PCs mit UEFI 2.3.1 auf dem Markt sein.
Secure Boot soll Computer gegen Angriffe vor dem Start des eigentlichen Betriebssystems härten. Dazu nutzt es kryptografische Methoden: So soll UEFI-2.3.1-Firmware im Secure-Boot-Modus etwa nur digital signierte EFI-Bootloader ausführen und digital signierte Gerätetreiber laden. Eine Präsentation (PDF-Datei) der Firma Insyde erklärt das Konzept. Basis ist eine Schlüsselverwaltung (Key Management Service, KMS) in Form von Software, einem per Netzwerk erreichbaren Schlüsselserver oder einem Hardware Security Module (HSM), vermutlich also einem Trusted Platform Module (TPM 1.2). So soll der EFI-Bootloader etwa auch TCG-OPAL-kompatible Festplatten mit Verschlüsselung (Self-Encrypting Drives, SEDs) entsperren können. Secure Boot funktioniert nur im UEFI-Modus, verhindert also den "Legacy Boot" im 16-Bit-Modus. Aus der Linux-Community wurde schon angemerkt, dass es für freie Betriebssysteme schwierig sein könnte, signierte Bootloader zu erzeugen.
Auf dem Entwicklerforum IDF will Intel nächste Woche die eigenen Aktivitäten bei UEFI 2.3.1 genauer erläutern; denkbar wäre eine Unterstützung mit den 2012 erwarteten Serie-7-Chipsätzen alias Panther Point. Sicherheitsfunktionen wie Trusted Execution Technology (TXT) schaltet Intel aber üblicherweise nur bei den Chipsatz-Versionen für Bürocomputer (Q67/QM67) frei.
Das Konzept von UEFI Secure Boot erinnert an Intels "Measured Launched Environment" (MLE, PDF-Datei) beziehungsweise das Konzept der Trusted Computing Group (TCG). So könnten sich möglicherweise auch Lücken im Pre-Boot Environment stopfen lassen, die externe Erweiterungsschnittstellen mit Direct Memory Access (DMA) aufreißen, etwa PCI Express (Thunderbolt) oder FireWire. Intels Virtualization Technology for Directed I/O (VT-d) bietet dazu das Konzept der DMA Protection. (ciw)
