Ovion schrieb(Und OT: wie macht sich Lenovo so in Sachen Mainboard-Firmware-Qualität (ob jetzt selbst oder extern aquiriert)?)
Schwankt. Bei den Pöbel-Notebooks (IdeaPad, SL, L) kannst du es vergessen, die Edge gehen so halb (Thinkpad-Firmware, aber beschnittene Konfigurationsoptionen), die von X/T/W-Thinkpads ist brauchbar.
Workstations… keine Ahnung. Alle ThinkCentres, die ich im Einsatz habe, sind noch aus der BIOS-Ära, und da hab ich das BIOS nie angefasst. Laufen und laufen und laufen und laufen… Im Gegensatz zu unseren Thinkstation E20 (sind ja nur Xeon-Workstations…), die sind ca. 5% Zeit offline, weil Mainboard oder sonst was defekt ist und ich auf Ersatzteile warte. Bei n=3 will ich aber nicht generalisieren (und die sind sowieso ein totaler Fuckup, von der Bestellung bis zur Verwendung…).
Ovion schriebNaja, nichts ist unknackbar, die Frage ist eher, erschwert UEFI das, was es erschweren soll, so sehr, dass es sich lohnt UEFI zu nutzen?
Secure Boot ist ein Werkzeug, und wie jedes Werkzeug kommt es darauf an, wie man es benutzt. 🙂 Festplattenverschlüsselung verschiebt das Problem nur – Malware kann immer noch über den Bootloader eingespielt werden. Bootloader-Austausch ist nicht trivial, aber auch nicht sonderlich schwer. Secure Boot verschiebt das ganze eine Stufe tiefer zur Firmware und den CAs.
Kannst du der Firmware trauen? Vielleicht. Nachdem aber nicht mal die Mainboard-Hersteller es schaffen, funktionierende Firmware zu schreiben, ist die Gefahr eines unbemerkten Firmware-Austauschs nicht
so groß (schlampig implementierte UEFI-APIs könnten eventuell Angriffsfläche bieten, k.A. wie weit das durch Secure Boot verhindert werden kann). Wenn die Firmware ausreichend durch das TPM gesichert ist, verschiebt sich das ganze noch eine Stufe weiter auf Hardware-Ebene. Dezeit sind mir keine TPM-Angriffe bekannt; alle Entitäten, die das
derzeit realistischerweise umgehen können, können dich auch legal nach Guantanamo stecken, bis du das Passwort verrätst, und kriegen dafür noch einen Friedens-Nobelpreis.
Kannst du den mitgelieferten Microsoft-CAs trauen? Nein (siehe die ganzen SSL/Codesigning-CA-Skandale der letzten drei Jahre). Glücklicherweise kannst du die komplett von deinem System entfernen.
Kannst du deiner selbst erstellten CA trauen? Hoffentlich. 😃