UEFI 2.3.1: Secure Boot für Windows 8?

Dass die ARM-Varianten von Windows 8 zwingend auf UEFI aufsetzen und dass dieses Interface auch bei Verwendung von Festplatten mit mehr als 2 TB Kapazität erforderlich ist, hatte ich hier bereits gebloggt. Jetzt berichten heise.de und das com-magazin, dass Windows 8 die Funktion "Secure Boot" nutzen können soll, die Bestandteil der UEFI 2.3.1-Version ist.

Diese Secure Boot-Funktion soll, ähnlich wie die früher geplanten TPM-Module, den Bootvorgang absichern. So kann der Bootlader auf eine Signatur überprüft werden und nur digital signierte Bootlader werden akzeptiert. Zwischenzeitlich gibt es bereits eine Präsentation der Firma Insyde im PDF-Format zu diesem Thema. Diese Präsentation vom Juli 2011 sowie der Heise-Artikel skizzieren, was man sich darunter vorzustellen hat.

Beim Lesen wusste ich allerdings nicht, ob ich lachen oder weinen sollte. Einerseits ist Secure Boot natürlich eine schöne Möglichkeit, das Einnisten von Root-Kits zu verhindern (sofern nicht irgendwelche Sicherheitslücken bekannt werden, mit dem sich der UEFI Secure Boot aushebeln lässt). Für Firmengeräte und sicherheitsrelevante Szenarien ist dies sicherlich zu begrüßen.

Allerdings sehe ich auch sofort das "Missbrauchspotential". Ein Tablet PC mit UEFI 2.3.1, bei dem Secure Boot aktiv ist, kann nur noch Windows 8 (oder was der Hersteller zulässt) booten. Die Möglichkeit, mal ein Android, ein Linux, Megoo oder was auch immer auf der Platform auszuprobieren, ist damit verbaut. Aber es kommt noch schlimmer, wie wir bei Android gesehen haben. Stellt der Hersteller keine Updates für das Betriebssystem bereit, kann der Anwender (selbst wenn diese verfügbar sind) diese nicht auf dem Gerät installieren – denn er bräuchte einen digital signierten Bootlader. Erst kürzlich hat HTC nach vielen Anwenderprotesten angekündigt, die entsprechende Sperre, die signierte Bootlader erzwingt, auf seinen Android-Geräten künftig zu entfernen. 

Zwar ist bei Windows 8 kein Android-Update-Zyklus zu erwartet und Microsoft wird vieles in der Hand behalten. Aber momentan sehe ich mich nicht in der Lage, abzuschätzen, was für "Schweinereien" sich mit diesem Ansatz durch die Hersteller treiben lassen.

UEFI 2.3.1 ist gerade erst erschienen und heise.de schreibt korrekt im Artikel, dass bisher noch niemand eine entsprechende Implementierung vorliegen hat. Aber sowohl AMI und Phönix haben laut heise.de entsprechende UEFI-Varianten angekündigt. Hier wird man abwarten müssen, wie sich das Ganze konkret entwickelt – aber so wie ich es sehe, bin ich nicht sonderlich zuversichtlich, dass die Geräte zukünftig "offener" werden. Die Zeiten, wo man ein Stück Hardware als Experimentierplattform für verschiedene Betriebssysteme einsetzen konnte, neigen sich damit ihrem Ende zu. In den heise.de-Kommentaren gibt es zwar diese Stimme, die Hoffnung aufkeimen lässt. Aber glauben will ich es erst, wenn ich ein entsprechendes Stück Hardware in den Fingern hatte und auch überzeugt wurde, dass dieses repräsentativ für den Rest der Mainboards ist.