-
Auswirkungen der neuen Secure-Boot-Zertifikate für Linux
- Linux zertifiziert
- Gültigkeit von Signaturen und Zertifikaten
- Alt und neu bunt gemischt
UEFI Secure Boot befindet sich im Umbruch. Erstmals seit Einführung der Sicherheitsplattform sind die Zertifikate von Microsoft abgelaufen oder laufen noch vor Jahresende ab. Das hat nicht nur Auswirkungen auf Windows, sondern auch auf Linux, weil Microsoft aus praktischen Gründen auch die Bootloader der Linux-Distributionen signiert hat. Während Windows noch eine Gnadenfrist bis Oktober 2026 hat, ist das für Linux maßgebliche Secure-Boot-Zertifikat Ende Juni bereits abgelaufen. Das ist kein Grund zur Panik, denn abgelaufen bedeutet nicht automatisch ungültig.
Künftig werden die Linux-Bootloader aber nur noch mit Microsofts neuem Zertifikat signiert. Ob Linux dann noch auf Ihrem Rechner bootet, hängt mitunter davon ab, welche BIOS-Version Sie installiert haben und welche Zertifikate bereits hinterlegt wurden. Auch ob es sich um eine Parallelinstallation neben Windows handelt, spielt eine Rolle; wie das Problem von Windows-Seite angegangen wird, haben wir in der Titelstrecke zu Secure Boot ausführlich beschrieben. Dieser Artikel soll Linux-Anwendern und -Interessenten helfen, sich im aktuellen Secure-Boot-Chaos zurechtzufinden.
- Mit Secure Boot booten nur noch von Microsoft-zertifizierte Betriebssysteme – denn in den meisten UEFI-BIOS-Versionen sind nur Microsoft-Zertifikate hinterlegt.
- Damit man Linux auch bei aktivem Secure Boot starten kann, müssen die Distributoren ihre Bootloader von Microsoft signieren lassen.
- Nach 15 Jahren ist das für Linux-Bootloader verwendete Microsoft-Zertifikat nun abgelaufen. Damit Linux auch zukünftig bootet, müssen die neuen Zertifikate im BIOS hinterlegt sein.
Secure Boot soll verhindern, dass jemand den Bootloader oder den Betriebssystemkern, Windows wie Linux, kompromittieren kann. Denn ohne Secure Boot startet das Rechner-BIOS einfach alles, was sich ausführen lässt. Ein Angreifer könnte also Ihren Linux-Kernel gegen einen selbst kompilierten austauschen, der zum Beispiel sämtliche Eingaben und damit all Ihre Passwörter protokolliert – vom Entsperren der Festplatte bis hin zu Ihrem PayPal-Account. Oder eine Backdoor über das Internet öffnet. Automatisch Daten weiterleitet. Die Möglichkeiten sind vielfältig.
Das war die Leseprobe unseres heise-Plus-Artikels "Auswirkungen der neuen Secure-Boot-Zertifikate für Linux". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.
English (US) ·