Auf so gut wie jedem einzelnen Rechner – auch unter Linux – läuft heute proprietäre Software, die unbeschränkte Rechte hat, wahrscheinlich bereits unterwandert ist und womöglich auch Kriminellen Hintertüren öffnet. Gemeint ist der komplexe Code, der den Rechner bootet oder autonom aus der Ferne zugänglich macht, wie Intels weit verbreitete Management Engine. Die Linux Foundation tut nun etwas dagegen.

Forscher von Google schockierten im letzten Jahr die Öffentlichkeit mit einer Untersuchung, derzufolge vor jedem Linux-Start wenigstens zweieinhalb andere Kernel das Heft in der Hand hatten. Sie hatten unbeschränkte Macht über die Hardware und sie laufen zum Teil sogar nach dem Booten unbemerkt weiter. Diese Kernel, die im Zuge des Bootprozesses aktiv sind, sind sehr komplex und damit anfällig. Sie unterliegen im Unterschied zu Linux keiner öffentlichen Kontrolle. Sie sind in der Lage, persistenten Code in Flashspeicher zu schreiben, der vom Betriebssystem aus nicht entdeckt und nicht entfernt werden kann. Diese Kernel enthalten komplette Netzwerkstacks, Webserver, Filesysteme und Gerätetreiber. Die Prozessoren, auf denen diese Kernel laufen, versorgen sich unter Umständen mit Batteriestrom und sind so auch bei ausgeschaltetem Rechner aktiv.

All das birgt große Gefahren. Man kann annehmen, dass Geheimdienste die Möglichkeiten bereits nutzen, um fremde Rechner auszuspionieren. Und was Geheimdienste können, das können früher oder später auch Cyberkriminelle. Einige Schwachstellen, beispielsweise in Intels Management Engine, wurden auch schon gefunden, nachdem sie zuvor jahrelang existierten. Für UEFI gilt ähnliches: Der UEFI Kernel ist annähernd so komplex wie der Linux-Kernel selber.

Wo könnte ein Ausweg sein? Google stellte damals das Projekt NERF (Non-Extensible Reduced Firmware) vor, ein freies und offenes System, das UEFI fast komplett durch einen kleinen Linux-Kernel ersetzt und so deutlich sicherer sein sollte. Die Linux Foundation – das meldete letzte Woche Pro Linux – hat nun bekanntgegeben, dass sie einen Teil vonn NERF als eigenes Projekt betreuen will. Diess Projekt heißt LinuxBoot. Es basiert auf CoreBoot und beinhaltet unter anderem ein eigenes, ganz in Go programmiertes Initramfs namens u-root. Das neue Bootsystem ist nicht nur sicherer, sondern soll auch sehr viel schneller sein als UEFI. Das größte Problem ist derzeit noch die mangelnde Hardwareunterstützung, denn es funktioniert nur mit ausgewählten Mainboards, deren Hersteller kooperationsbereit waren.

Die Vorteile der neuen Linux-basierten Firmware werden vor allem da zum Tragen kommen, wo sehr viele Maschinen zu booten sind. Das ist zum einen in der Cloud so, zum anderen im Internet of Things. Jeder der mitmachen will, ist willkommen. Zu den Firmen, die das Projekt von Anfang an unterstützen, gehören Google, Facebook, Horizon Computing Solutions und Two Sigma.

Der Anfang ist die Hälfte des Ganzen. [1]

Rück-Sichts-voll

Jens-Christoph Brendel

[1] Aristoteles: Politik V, 4