Aktuell | UEFI Secure Boot mit unsicheren Schlüsseln | c't

Unsichere Schlüssel schwächen Secure Boot

In über 800 verschiedenen Typen von PCs und Mainboards stecken nicht vertrauenswürdige Kryptoschlüssel für UEFI Secure Boot.

Bei diesem UEFI-BIOS zeigt schon das BIOS-Setup einen deutlichen Hinweis auf den nicht vertrauenswürdigen Platform Key (PK).

Das grundsätzliche Problem ist seit Jahren bekannt, sein Ausmaß war es bisher aber nicht: Viele Hersteller liefern die Firmware von PCs, Notebooks und Mainboards mit unsicheren UEFI Platform Keys (PKs) aus. Das schwächt die Schutzfunktion Secure Boot. Betroffen sind laut den Experten der US-Sicherheitsfirma Binarly mehr als 800 verschiedene Modelle von Desktop-PCs, Mainboards und Notebooks, unter anderem der Firmen Acer, Dell, Fujitsu, Gigabyte, HP, Intel, Lenovo und Supermicro. Bei Tests von Mini-PCs der Firmen Mele und Zotac hatten wir über diesen Fehler schon in den c’t-Ausgaben 2/2024 und 8/2024 berichtet.

Der Platform Key dient allerdings nicht der eigentlichen Schutzfunktion von UEFI Secure Boot, nämlich der Blockade unsicherer Bootloader. Der PK soll aber die Integrität des vom Hersteller ausgelieferten UEFI-Codes nachweisen und Updates für UEFI-Variablen schützen. Ein unsicherer PK stellt somit für sich genommen nach bisherigem Kenntnisstand kein großes Sicherheitsrisiko dar. Wohl auch deshalb nennt Binarly für die „PKfail“ genannte Sicherheitslücke auch keine Risikoeinstufung nach den Kriterien für Common Vulnerabilties and Exposures (CVE). PKfail deutet aber darauf hin, dass der jeweilige Hersteller entweder das Konzept von UEFI Secure Boot nicht verstanden hat oder seine Qualitätskontrolle nicht funktioniert. Bei vielen betroffenen Produkten beließen die BIOS-Programmierer schlichtweg den vom BIOS-Zulieferer American Megatrends (AMI) für Testzwecke mitgelieferten PK im Code.