Windows 8: Mehr Sicherheit mit Nebenwirkungen

Windows 8 verspricht deutlich mehr Sicherheit. Geplant ist die Funktion Secure Boot, die den Start unsignierter Bootloader auf Mainboards und Netbooks mit UEFI-Versionen ab 2.3.1 blockiert. Damit kann Linux nur noch starten, wenn es die erforderlichen Signaturen aufweist und diese ausdrücklich für jeden einzelnen PC durch den Anwender genehmigt wird. Windows will sich damit vor Zugriffen mit anderen Betriebssystemen schützen. So soll beispielsweise kein Angreifer mehr Daten über einen USB-Stick herunterladen können. Secure Boot soll zudem Manipulationen und Infektionen am Code des Betriebssystems erkennen.

Der Linux-Entwickler Matthew Garrett sieht das sehr kritisch. Er befürchtet, dass UEFI Secure Boot die Installation von Linux auf derart geschützten Systemen verhindert. Secure Boot verlangt nämlich für jede Firm- und Software, die für den Boot-Prozess nötig ist, Signaturen vertrauenswürdiger Certificate Authorities (Trusted CAs). Die einzige zertifizierungsfreie Ausnahme ist der Bootloader selbst. Garrett zweifelt an der Bereitschaft der PC-Hersteller, künftig Schlüssel für signierte Linux-Software in der UEFI-Firmware ihrer Produkte bereitzustellen.

Er rechnet schon beim Bootloader Grub 2 mit Problemen, weil dieser unter der Lizenz GPLv3 steht. Diese verlangt nämlich die Veröffentlichung solcher Schlüssel. Dann müsste wahrscheinlich auch der Linux-Kernel signiert werden. Aber gerade das erfordert bei individuell kompilierten Kernels zusätzlich einen enormen Aufwand.

Geplant ist auch eine Vollverschlüsselung von Festplatten über TCG Opal oder BitLocker. Das könnte eine weitere Schwierigkeit für den Start alternativer Betriebssysteme sein, wenn der Bootloader selbstverschlüsselnde Laufwerke hat, um einen Schlüssel zu übergeben. Denn dazu müsste jedes Betriebssystem erst mal eine entsprechende Funktion einbauen.

Garrett verweist auf eine PowerPoint-Präsentation, die auf der Windows-Entwicklerkonferenz Build vorgeführt wurde. Danach könne davon ausgegangen werden, dass sämtliche Client-Systeme Secure Boot mit UEFI unterstützen müssen. Zudem müsse diese Funktion in manchen Fällen extra aktiviert werden.

Der Experte gibt auch zu bedenken, dass UEFI-taugliche Systeme bisher wenigstens optional ein Compatibility Support Module (CSM) laden können. Das ermöglicht den Start von Betriebssystemen schon im BIOS-Modus. Denn nur so kann ein 32-Bit-Windows installiert werden. Die reguläre Installation im UEFI-Modus ist nur mit den x64-Versionen von Windows seit Vista möglich.

Unklar sind auch die Bedingungen unter denen sich dann noch mehrere Betriebssysteme auf die gleiche Festplatte installieren lassen. Es gibt schließlich welche, die im UEFI- und andere, die im BIOS-Modus gestartet werden. Besonders die Parallelinstallation bei Notebooks, Tablets und anderen Geräten, die nur einen Massenspeicher haben, könnten damit Schwierigkeiten haben.

Uodate (24.09.2011): Inzwischen hat Microsoft zu den Befürchtungen Stellung genommen. In einem Blogbeitrag schreibt der Microsoft Mitarbeiter Tony Mangefeste: "Secure Boot soll andere Betriebssysteme nicht aussperren. Es handelt sich nur um eine Methode, mit der sich die Echtheit von Komponenten prüfen lässt".