zu UEFI/secure boot

[alf]

schreibt Bernd Hentig im ixsoft newsletter vom 31.10.2012:

es war vermutlich kein Zufall, dass Microsoft "Windows 8" in der
Halloween-Zeit herausgebracht hat. Mit der neuesten Version versucht
der einstige Monopolist, die bisher noch existierende Vormachtstellung
seines Betriebssystems auf Notebooks und Desktop-Computern durch
Brachialmethoden zu zementieren - mit gruseligen Auswirkungen.

Wir haben die ersten Notebooks mit vorinstalliertem Windows 8 getestet.
Die schlimmsten Befürchtungen der Anhänger freier Software sind wahr
geworden: eine Installation von Linux auf solchen Geräten ist nicht
mehr vorgesehen und wird durch eine "Secure Boot" genannte Funktion des
UEFI-BIOS aktiv verhindert. Argumentiert wird hier mit höherer
Sicherheit, wenn nur vorher signierte Bootloader und Betriebssystem-
Images vom BIOS geladen werden können. Dabei wissen die meisten, dass
die größten Sicherheitslücken für Heimnutzer nicht im Bootloader,
sondern in Viren und Trojanern liegen, die man sich "on-the-fly" beim
Besuchen verseuchter Webdienste wie Chatrooms oder Download-Seiten
einfängt. Daran ändert auch "Secure Boot" rein gar nichts.

Schlimmer noch: die Seriennummer von Windows 8 wird bei den von uns
gekauften Geräten nicht mehr auf einem Etikett mitgeliefert, sondern
verschlüsselt an einer geheimen Stelle im BIOS eingebrannt. Damit ist
für normale Nutzer weder eine Übertragung von Windows-Lizenzen auf
einen anderen PC noch ein vollständiges Löschen von Windows möglich -
die ultimative Kopplung von Software und Hardware, wahrlich ein Horror-
Szenario.

Jeder mündige Computer-Käufer sollte sich fortan daher genau überlegen,
mit welcher Ausstattung er sein Notebook oder seinen PC kauft. Selbst
wenn in einiger Zeit Dualboot von Linux und Windows 8 wieder einfacher
möglich sein werden (z.B. mit allerlei Tricks wie von Microsoft
signierten Bootloadern oder auch geheimen Linux-Schlüsseln, die
Hersteller im BIOS hinterlegen), das Löschen der OEM-Windows-Lizenz bei
vorinstallierten Geräten ist nicht mehr vorgesehen und die "Microsoft-
Steuer" fest in der Hardware verankert.

Wir haben uns aus diesen Gründen dazu entschlossen, Geräte mit nicht
entfernbarer Windows-Lizenz grundsätzlich nicht anzubieten und bis zur
einheitlichen Unterstützung von "Secure Boot" durch einen nativen Linux-
Treiber auch keine Geräte im Dualboot mit Windows 8 zu verkaufen,
sofern diese Funktion nicht im BIOS problemlos abschaltbar ist.
....

[wobo]

schreibt Bernd Hentig im ixsoft newsletter vom 31.10.2012:

es war vermutlich kein Zufall, dass Microsoft "Windows 8" in der
Halloween-Zeit herausgebracht hat. Mit der neuesten Version versucht
der einstige Monopolist, die bisher noch existierende Vormachtstellung
seines Betriebssystems auf Notebooks und Desktop-Computern durch
Brachialmethoden zu zementieren - mit gruseligen Auswirkungen.

.....

Tja, da ist der gute Bernd mit einem Hersteller konfrontiert worden, der bedingungslos auf der Microsoftschiene fährt. Dass es auch anders geht, sieht man aus dem letzten Absatz, in dem er darauf hinweist, dass dieses Produkt von ixsoft nicht angeboten wird. Ich denke, dass auch andere, große Versender in DE (beispielsweise notebooks-billiger) Alternativen anbieten wird.

[alf]

Tja, da ist der gute Bernd mit einem Hersteller konfrontiert worden, der bedingungslos auf der Microsoftschiene fährt.

Wenn das der Hersteller ist, dessen Geräte ixsoft im Notebook-Bereich vorwiegend vertreibt, dürfte das Notebook-Angeboot zukünftig wohl vorerst recht mager werden.

[wobo]

Wenn das der Hersteller ist, dessen Geräte ixsoft im Notebook-Bereich vorwiegend vertreibt, dürfte das Notebook-Angeboot zukünftig wohl vorerst recht mager werden.

So wie ich Bernd kenne (seit mehreren Jahren) wird er sich wohl kaum seine Angebots-Vielfalt durch einen Hersteller kaputt machen lassen. Ist ja schließlich sein Geschäft. Werd ihm mal eine Mail schicken...

[Alf1967]

Ich habe immer gesagt, daß M$ damit andere OS ausschließen will, damit die User nur Windows benutzen können. Aber alle haben mich für bekloppt erklärt und gesagt das man Windows immer runterschmeißen und ein anderes OS installieren könnte. Wie man oben lesen kann habe ich mal wieder recht gehabt.

[man-draker]

Ich habe immer gesagt, daß M$ damit andere OS ausschließen will, damit die User nur Windows benutzen können. Aber alle haben mich für bekloppt erklärt und gesagt das man Windows immer runterschmeißen und ein anderes OS installieren könnte. Wie man oben lesen kann habe ich mal wieder recht gehabt.

Leider ist die Aussage des Newsletter-Verfassers - soweit wiedergegeben - nicht eindeutig.
Er sagt nichts darüber, ob Secure Boot im BIOS abschaltbar ist. Sollte das nicht der Fall sein, ist allerdings vom Kauf derartiger Geräte abzuraten. Diese "Nichtabschaltbarkeit" ginge dann aber nicht auf eine (bisher bekannte) Forderung seitens MS zurück.

Stichwort MS-Steuer.
Tatsächlich sind die meisten PC ohne Betriebssystem Windows inzwischen teurer als mit. Wie das?
Neben "Werbekostenzuschüssen" zahlen immer mehr Programmhersteller für die Gelegenheit "Testversionen" ihrer Software auf den Geräten unterbringen zu dürfen. So wird der vom Endkunden zu entrichtende Preis geschönt, bis er unter dem für die nackte Hardware liegt.
So kann es sich für den Endverbraucher rechnen, den PC mit Windows (und den Dreingaben) zu kaufen, die Platte zu formatieren und das Linux seiner Wahl auf zu spielen.

Die Welt ist schlecht.

[wobo]

Ich habe immer gesagt, daß M$ damit andere OS ausschließen will, damit die User nur Windows benutzen können. Aber alle haben mich für bekloppt erklärt und gesagt das man Windows immer runterschmeißen und ein anderes OS installieren könnte. Wie man oben lesen kann habe ich mal wieder recht gehabt.

Das sehe ich anders. Diese Ausschließlichkeit ist IMHO allein dem "vorauseilenden Gehorsam" dieses Herstellers zuzuordnen. Microsoft hat bisher immer klargestellt, dass man vom BIOS her die "Sicherheitsmaßnahme" abschalten können soll.

Die "Verdrahtung" der Windows-Lizenz im BIOS sehe ich hingegen weniger problematisch für Linux-Benutzer.

[wanne]

Ihr habt das etwas falsch verstanden: Secure-Boot ist nicht nicht abschaltbar. Nur ein Dualboot ist nicht mehr ohne weiteres Möglich. Sprich:
Secure-Boot an => Windows tut Linux im allgemeinen nicht.
Secure-Boot aus => Linux Tut Windows nicht.
Das 2. ist, das man nciht mehr wie gewohnt ein gerät mit Windows kaufen kann und dann die Windows-Steuer durch das weiterverkaufen des Lizenzkeys zurückbekommt. => Wenn man ein Gerät von einem Hersteller kauft, der nur mit Windows verkauft (wie Lenovo) dann zahlt man das Windows obwohl man es nie nutzt und kann es auch nicht weiterverkaufen. Das in deutschland illegale OEM wurde in die HW programmiert.

[alf]

Leider ist die Aussage des Newsletter-Verfassers - soweit wiedergegeben - nicht eindeutig.

Das sehe ich ein wenig anders, ließ doch noch mal den letzten Abschnitt des Zitats.

btw. hier ist dann noch der Rest dessen, was Bernd Hentig dazu zu sagen hat:

Es liegt in unserer Hand, wie die Computer-Landschaft der Zukunft
aussehen wird. Zeigen Sie Ihren Protest gegen das einseitig auf Windows
ausgerichtete "Secure BIOS" und die fest in der Firmware verdrahteten
Windows-Lizenzen durch Ihre Kaufentscheidung und dokumentieren Sie dies
mit Begründung z.B. durch ein Schreiben an den Hersteller, bei dem Sie
dieses Mal nicht gekauft haben.

Nur durch konsequente Unterstützung von Herstellern, die Windows 8
nicht fest in der Hardware verankern, werden wir auch zum nächsten
Halloween noch Linux-fähige Mainboards und Notebooks anbieten können.

[alf]

So kann es sich für den Endverbraucher rechnen, den PC mit Windows (und den Dreingaben) zu kaufen, die Platte zu formatieren und das Linux seiner Wahl auf zu spielen.

Mit Platte formatieren ist es wohl kaum getan, dann müsste auch noch ein nicht UEFI/secure boot BIOS her.

[alf]

Die Welt ist schlecht.

Das ist nun wahrlich keine neue Erkenntnis

[jkowalzik]

Ich habe immer gesagt, daß M$ damit andere OS ausschließen will,............

Daumen.png (20.35 KiB) 7032-mal betrachtet

Hi,hi
J.

[wobo]

Mit Platte formatieren ist es wohl kaum getan, dann müsste auch noch ein nicht UEFI/secure boot BIOS her.

Zum wiederholten Mal: das dürfte auch der Normalzustand sein: UEFI vorhanden aber abschaltbar, wie es wanne bereits schrieb und wie es auch Microsoft selbst schreibt. Wenn sich ein Hersteller diese Abschaltfunktion im BIOS spart, so ist das dessen Alleingang und keineswegs von Microsoft so angeregt, geschweige denn angewiesen.

[Alf1967]

Microsoft hat bisher immer klargestellt, dass man vom BIOS her die "Sichebenrheitsmaßnahme" abschalten können soll.

In der Öffendlichkeit, sprich Presse ect. Und wie sieht es M$-intern bzw. in der Komunikation mit den Hardwareherstellern aus? Klar das weiß keiner von uns, aber ich kann mir sehr gut vorstellen daß es da ganz anders aussieht mit der Aussagen zu dem Thema.

[wobo]

Ja, der Vorstellungskraft sind keine Grenzen gesetzt.

[alf]

das dürfte auch der Normalzustand sein: UEFI vorhanden aber abschaltbar,

ob das der Normalzustand sein wird, wird sich zeigen. Aber wie auch Bernd Hentig schreibt, genau hinsehen wie die Sache implementiert ist, und im Zweifel nicht kaufen.

[ixsoft]

Hallo,

bevor hier zahlreiche Mißverständnisse auftreten bei der Interpretation des Newsletters, 2 wichtige Erklärungen:

1. Die Zusatzsoftware auf der Windows-Partition spielt preislich gesehen keine Rolle (0 Euro). Wir konnten und können bei einigen Herstellern baugleiche Geräte einmal mit und einmal ohne Windows kaufen (ob das in Zukunft noch geht, wird sich zeigen - ich befürchte, es wird deutlich schwieriger werden). Die Versionen mit Win7 HP sind immer etwa 50 Euro brutto teurer als die gleich ausgestatteten Geräte mit DOS oder Linux bzw. ohne was drauf (daher auch der Marktpreis für recycelte OEM-Lizenzen, der sich in diesem Rahmen bewegt). Das war bisher mehr oder weniger bei allen Herstellern so, die auch "freie Geräte" angeboten haben. D.h. dass angeblich Notebooks mit Win günstiger sind als gleichartige ohne Win, da durch Werbe-SW cofinanziert, ist nur ein Gerücht.
Meistens ist es einfach so, dass die produzierten Stückzahlen für einige Geräte ohne Win deutlich geringer sind und die Rabatte der großen Elektronikanbieter (die kaufen immer hunderte wenn nicht tausende Kisten gleichzeitig) nur für die Win-Geräte greifen können - ganz einfach, weil die Nachfrage nach Geräten ohne Win in der Breite nicht da ist. Kleine Anbieter betrifft das aber fast nie, d.h. hier ist der Einkaufspreis für baugleiche Geräte ohne Win normalerweise entsprechend günstiger, die Rabatte sind gleich.
Die beigelegte OEM-SW muss sogar in einigen Fällen mit ein paar Euro bezahlt werden, wenn z.B. ein Händler diese selbst dem Gerät beilegen will.

2. Natürlich kann man Secure Boot abschalten - zumindest auf den 2 Geräten, die ich hier habe. Aber Win8 startet dann auf diesen Geräten zunächst nicht mehr, Dualboot geht also erstmal nicht out-of-the-box - und das ist ja eigentlich, was viele Kunden nach unserer Erfahrung haben (Win zum Zocken, Linux zum Surfen bzw. Online-Banking).
Ich habe auch noch keine Idee, ob man Win8 auch ohne Secure Boot starten könnte - prinzipiell muss es ja möglich sein, da es ja Kauflizenzen gibt, die man auf "normalen" Mainboards ohne UEFI BIOS installieren können soll. Aber da es bei den OEM-Geräten keine Lizenz mehr gibt (die ist ja verschlüsselt im BIOS versteckt), kann ich vermutlich nicht einfach von einem "richtigen" Installationsdatenträger neu installieren, sondern nur das voraktivierte Recovery-Image verwenden.
Selbst wenn es gelänge, diese Geräte zum Dualboot zu bewegen, von Windows befreien könnte ich die Maschine nicht mehr, d.h. ich kann weder die Lizenz zurückgeben (die gibt es ja nicht mehr, d.h. der Aufkleber existiert de-facto nicht mehr wie in früheren Versionen) und auch nicht anderweitig - z.B. auf einem Zweit-PC - verwenden. Die Geräte haben dann quasi eine integrierte Windows-Steuer, die ich genausowenig loswerden kann wie die Mehrwertsteuer. Das kann ich meinen Kunden wohl kaum vermitteln, warum die Linux-Kiste jetzt teurer sein muss als die Windows-Kiste (oder zumindest nicht billiger sein kann):?:

Ich kann mich der Meinung nur anschließen, dass diese Aktion - da sie auch mehrere Hersteller betrifft - ein koordinierter Vorstoß ist, künftig die meisten Kaufgeräte mit Zwangswindows zu koppeln und die Nutzung bzw. den Weiterverkauf von Win-OEM-Lizenzen (ein großer Markt) unmöglich zu machen. Der Schritt zu "wir erlauben nur noch Secure Boot" bzw. versehentliches Weglassen der BIOS-Option ist nur noch ein ganz kleiner. Und wie wir aus dem Optimus-Debakel ja schon gelernt haben, gar nicht mal so unwahrscheinlich. Perspektivisch hilft dann nur noch ein "freies" BIOS, um überhaupt noch Linux starten zu dürfen... ich finde das absolut erschreckend und die Auswirkungen sind im Bewusstsein der meisten Anwender noch gar nicht angekommen. Das wird wohl ein paar Jahre dauern, dann wird das Geschrei aber erfahrungsgemäß umso größer werden.

(Zur Erklärung: Bei Aufkommen von Nvidia Optimus gab es zunächst auch die Möglichkeit bei einigen Geräten, zwischen Intel oder Nvidia fest im BIOS auszuwählen. Damit konnte man dann immerhin Linux wahlweise mit Intel oder Nvidia-Graphikkarte nutzen - nicht toll, aber besser als ein schwarzer Bildschirm. In einer späteren BIOS-Version ist diese Option dann plötzlich nicht mehr vorhanden gewesen und Linux-Nutzer hatten eine Zeit lang keine Möglichkeit, den Nvidia-Chip zur Graphikausgabe zu nutzen (obwohl er heiß lief und fleissig Strom verbraucht hat). Erst durch ein paar findige Entwickler aus dem Bumblebee-Projekt hat sich das Problem Mitte 2012 etwas relativiert - ist aber immer noch nicht 100% gelöst, da die Spezifikationen zu Nvidia Optimus IMHO nur Microsoft für die eigenen Treiber vorliegen und nicht an die Linux-Entwickler weitergeleitet wurden.)

Bernd

[alf]

Vielen Dank erstmal für deine ausführlichen Erklärungen.

Ich habe auch noch keine Idee, ob man Win8 auch ohne Secure Boot starten könnte - prinzipiell muss es ja möglich sein, da es ja Kauflizenzen gibt, die man auf "normalen" Mainboards ohne UEFI BIOS installieren können soll.
Bernd

Hier habe ich aber so meine Bedenken. Ich habe mir kürzlich ein Notebook mit (natürlich) vorinstalliertem W7 zugelegt und bekam auch, wie das z.Z. üblich ist das Upgrade-Offer für W8. Dazu müsste ich dann allerdings (auf Nachfrage beim Hersteller) erstmal das BIOS flashen und für UEFI/secure boot vorbereiten. Ob dieses dann abschaltbar ist, drüber wollte/konnte man mir keine Auskunft geben.

[Phoenix]

Hallo,

Dau- mäßig gefragt:
1. wie wird das secureboot abgeschaltet? Über einen Eintrag im Bootmenü oder rein mechanisch über einen Schalter? In diesem Fall müßte es möglich sein, den Schalter kabelmäßig (...) zu überbrücken und z.B. einen elektronischen Schalter beizufügen, der angesteuert werden kann aus Bootprozeßinformationen (Grub). Dann könnte dem System bei Bedarf vorgegaukelt werden, daß secureboot an ist, obwohl das tatsächlich nicht stimmt. (Bleibt das Signal aus, kann Linux starten, kommt das Signal, kann Win starten.)
2. ist der neue Baustein (Flash?) gesteckt oder gelötet/ vergossen mit dem Motherboard?
3. Soweit ich das mitbekommen habe, gibt es 2 Linien im Linuxlager, mit dem secureboot umzugen. Zum einen, Lizenzkosten an MS abzudrücken, zum anderen, das Problem technisch zu lösen. Mal sehen, wer gewinnt.

Im Grunde ist mir das Problem vollkommen gleich, weil ich sowieso keinen WIN- zwangskonfigurierten Rechner kaufen werde. Aber was macht derjenige, der auf die neuesten Postwurfinfos hereingefallen ist, sich das allerneueste Teil mit dem Klimbim gekauft hat, und irgendwann das große Erwachen bekommt...?

Viel Spaß

Phoenix

[kamome]

Zur Abschaltbarkeit: Es wundert mich, dass es noch niemand geschrieben hat - auf ARM verlangt Microsoft, dass Secure Boot nicht abschaltbar ist!

[Phoenix]

Zur Abschaltbarkeit: Es wundert mich, dass es noch niemand geschrieben hat - auf ARM verlangt Microsoft, dass Secure Boot nicht abschaltbar ist!

Doch kamome,

das ist Allgemeinwissen mittlerweile... und nicht mehr der Rede wert. Ich weiß zwar gerade nicht, was die Besonderheit von ARM ist, aber...

Leider dauert das immer mehrere Monate bis Jahre, bis die europäischen Wettbewerbshüter wach werden- aber man kann ja mal hoffen...

Nette Grüße

Phoenix

[alf]

Ich weiß zwar gerade nicht, was die Besonderheit von ARM ist, aber...

I.d.R. sind mobile Geräte wie Smartphones, Tablets und ähnliche Spielzeuge mit ARM-CPUs bestückt. Das bedeutet also, dass man daran gehindert wird auf einem mit vorinstalliertem W8 Gerät irgendein anderes System(z.B. Android) zu installieren.

[man-draker]

Ich kann mich der Meinung nur anschließen, dass diese Aktion - da sie auch mehrere Hersteller betrifft - ein koordinierter Vorstoß ist, künftig die meisten Kaufgeräte mit Zwangswindows zu koppeln und die Nutzung bzw. den Weiterverkauf von Win-OEM-Lizenzen (ein großer Markt) unmöglich zu machen.

Der Auffassung, dass das der eigentliche Sinn der ganzen SecureBoot-Aktivitäten ist, bin ich leider auch.
Das mit dem Verdongeln von Windows-Lizenz und Gerät war mir neu, aber stößt ins gleiche Horn.

Was dann kurzfristig ausfällt ist tatsächlich: Mit Windows gekauft, Linux dazu installiert.
Das schon mal eine gewaltige Bremse gegen die weitere Verbreitung von Linux.

[jkowalzik]

Hallo,
Die Geräte haben dann quasi eine integrierte Windows-Steuer, die ich genauso wenig loswerden kann wie die Mehrwertsteuer.
Bernd

Hallo!
Dazu passend zum gestrigen Tag: ...und damit fast 500 Jahre und noch immer aktuell

„Wenn das Geld im Kasten klingt, die Seele aus dem Feuer springt.“

Es fehlt einer, der hier die richtigen Thesen an die Tür der Kartellbehörden hämmert!
Gruß
J.

[Pitti]

Es fehlt einer, der hier die richtigen Thesen an die Tür der Kartellbehörden hämmert!

Das dürften dann ein paar mehr als "nur" 95 sein.