Google macht sich stark für die Sicherheit von Linux. Eine Aufgabe, der sich auch Akteure jenseits der Privatwirtschaft annehmen könnten, etwa die Linux Foundation. Doch die gerät da möglicherweise in einen Interessenkonflikt.

Ein Anwender kann sein Linux absichern wie er will – noch bevor es die ersten Aktionen ausführt, waren andere Kernel mit höheren Rechten am Zug und hätten nach Belieben Hintertüren einbauen können, die das später gestartete Betriebssystem oder dessen Anwendungen niemals aufspüren können.

Wer zuerst kommt,  mahlt zuerst.

Aber das ist nie Linux, sondern zuvor im Bootprozess UEFI oder die Management Engine von  Intel. Bevor die Kontrolle an das Betriebssystem übergeht waren im Schnitt zweieinhalb andere Kernel am Zug, schätzt Google. Kernel, die vollkommen proprietär sind, aber die die alleinige und volle Kontrolle  über die Hardware hatten. Kernel, die mit vielen angreifbaren Features ausgestattet sind, darunter  Network-Stacks und Webserver und die zu ihrer Absicherung weitgehend auf das nachgewiesenermaßen  untaugliche Mittel der Geheimhaltung setzen. Kernel, die extrem komplex sind und Millionen Codezeilen umfassen und die teils einfach weiterlaufen, wenn das System längst gebootet ist. Kernel, die sich hacken  lassen und die bereits gehackt wurden. Namentlich Geheimdienste, aber auch gewöhnliche Hacker finden hier Ziele, die ihnen die vollständie Kontrolle über gekaperte Systeme versprechen. Google findet das beängstigend und

Furcht gibt Sicherheit [1]

Daher will Google dem mit seinem Projekt Nerf entgegentreten, der Non-Extensible Reduced Firmware. Pro-Linux  meldet das in der letzten Woche. Die Betonung liegt hier auf “nicht erweiterbar”. Es handelt sich um ein freies und offenes System, das  UEFI und teilweise auch die Management Engine durch einen Linux-Kernel ersetzt und sich auf unverzichtbare  Funktionen beschränkt, also beispielsweise auch keinen eigenen Webserver mitbringt. Aus der Management  Engine, die sich laut Google derzeit nicht komplett löschen lässt, werden IP-Stack und ebenfalls der Webserver entfernt. Das eliminiert viele gefährliche Angriffsvektoren und macht den Bootprozess wesentlich transparenter.

Momentan taugt die Installationsprozedur von Nerf allerdings kaum für Endanwender, außerdem birgt sie das Risiko, den Rechner schlimmstenfalls völlig unbenutzbar zu machen und von Datenverlust. Es bleibt abzuwarten, ob es jemals einen gangbaren Weg mit vertretbaren Risiken geben wird, um eine solche freie Firmware und BIOS-Alternative zu installieren. Der Versuch allein ist jedoch löblich. Nur: Warum engagiert sich da ein Unternehmen der Privatwirtschaft und nicht zum Beispiel die Linux Foundation? Eine nicht ganz unplausible Antwort lautet: UEFI und die Management Engine sind Projekte von Intel und Intel ist Platinum-Sponsor der Linux Foundation. So müsste es mithelfen, die eigenen Produkte als unsicher zu deklarieren und abzuschaffen. Vorstellbar, dass es dazu keine Lust hat.

Rück-Sichts-voll

Jens-Christoph Brendel
[1] aus Shakespeare: Hamlet I, 3. (Laertes)