PureBoot
Photo von Brandi Redd auf Unsplash

Purism arbeitet seit Jahren daran, die von dem Unternehmen vertriebenen Linux Notebooks der Librem-Baureihe sicherer zu machen. Dazu entwarfen die Entwickler nach und nach mehrere Methoden und Komponenten, die sich jetzt nahtlos zu PureBoot zusammenfügen. Damit wird ein Bootprozess realisiert, in den sich kein Angreifer unbemerkt einschleichen kann, um unerkannt das System zu übernehmen.

PureBoot

In einem Blogpost stellt Purisms Sicherheitschef Kyle Rankin die einzelnen Komponenten von PureBoot und ihr Zusammenspiel zu Schutz des Bootvorgangs detailliert vor. Bei der Realsierung von PureBoot widmeten sich die Entwickler zunächst der Intel Management Engine (ME).

Intel ME

Der Controller der ME ist völlig unabhängig von der CPU und stellt einen Computer im Computer dar. Die ME hat ihr eigenes Betriebssystem und verfügt über Flashspeicher, einen internen Bus, einen Web-Server und eine Kryptographie-Engine. ME hat Zugriff auf den Hauptspeicher des Systems und über den Intel Gigabit Ethernet Controller auch auf das Netzwerk. Sie ist beim Booten, zur Laufzeit und im Schlafmodus aktiv.

Purism hat die ME zunächst neutralisiert und später bis auf wenige zum Booten unerlässliche Teile lahmgelegt. Endziel ist das komplette Entfernen der ME. Im nächsten Schritt ermöglichten die Entwickler die Verwendung der BIOS-Alternative Coreboot auf den Librem-Notebooks.

Trusted Platform Module

Der folgende Baustein war ein Trusted Platform Module (TPM), das auf den Mainboards der Notebooks fest verlötet wurde. Dort werden Sicherungsschlüssel gespeichert, die zum Ver- und Entschlüsseln von Daten nötig sind. Der Chip nimmt auch digitale Signaturen und die Kennung des Computers auf, die den Zugriff auf Netzwerke regeln. TPM-Module sind bei Business-Notebooks schon länger üblich, sind in Notebooks für Privatanwender bisher allerdings nur wenig verbreitet.

Heads

Purisms Plan in Sachen TPM war die Integration von Heads in den Chip. Heads ist eine Open Source Custom Firmware- und Betriebssystem-Konfiguration für Laptops und Server, die darauf abzielt, die physische Sicherheit und den Schutz der Daten auf dem System zu verbessern. Als bisher letzter Baustein kam im Herbst 2018 der Open Hardware USB OpenPGP-Sicherheitstoken Librem Key hinzu, der per grüner oder roter LED schnell signalisiert, ob der Bootprozess und der Kernel kompromittiert sind oder nicht.

Mit Pureboot bietet Purism ein lückenloses Sicherheitskonzept, um den Bootprozess seiner Notebooks vor Manipulationen des Bootprozesses und des Kernels zu schützen. Die einzelnen Komponenten sind in der Dokumentation von Purism näher erläutert.

Verwandte Themen

Sicherheit beim Purism Librem 5
views 599
Killswitches eines Librem NotebooksHandelsübliche Smartphones mit Android als Betriebssystem sind alles andere als sicher. Sie sind von innen wie...
Purism erklärt PureOS als konvergent
views 912
Notebook- und Smartphone-Hersteller Purism gibt in einem neuen Blogpost die vollendete Umsetzung von Konvergenz für sein Betriebssystem PureOS b...
Librem 5 Roadmap und Spezifikation geklärt
views 862
Todd Weaver, Gründer und CEO von Purism, den Entwicklern des Librem 5 Linux-Phones, meldet sich mit einem Blogpost über den Stand der Entwicklung...
Librem 5 Linux-Smartphone – Erwartung und Re...
views 2.2k
Librem 5 Basis-AppsSeit weit über einem Jahr ist das Librem 5, Purisms Linux-Smartphone nun in der Entwicklung. Dem voraus ging das Crowdfunding ...
PureOS Store für das Librem 5 basiert auf Flatpak
views 817
Quelle: PurismLetzte Woche berichtete Purism, dass das Unternehmen an einem App-Store für das im April erwartete Linux-Phone Librem 5, aber auch ...

Beitrag kommentieren