Was hat es mit UEFI/Secure Boot auf sich? (allgemeine Frage)

[lalalu]

Hallo, Hat vielleicht jemand Erfahrungen die er teilen möchte? Ich habe eine kurze Frage:

Bin nicht mehr auf dem neuesten Stand und habe nach einer längeren Pause vom Innenleben der Thinkpads folgenden Unterschied zu früher festgestellt:

Ausführen von diverser Hard- und Software scheitert oftmals weil man dafür den sog. Secure Boot Modus deaktivieren soll und in das alte BIOS System wechseln muss (Laut meiner Recherche, hoffe das ist richtig)!

- Habe es aber bis jetzt noch nicht gemacht.

Was passiert wenn man zurück in den sog. BIOS Legacy Mode wechselt? Muss man dabei irgendwas beachten? Ist es unsicher oder kann man dabei irgendetwas schrotten?

Das neue System soll wohl u.a. verhindern daß Schadsoftware mit BIOS installiert wird, ...oder?

Und ergänzend: Habe gelesen daß das neue UEFI tatsächlich schwere Lücken haben soll, kann man als Benutzer etwas dagegen tun (vermutlich nein)?


Viele Grüße T.

 

[der_ingo]

UEFI CSM aus, damit das System im UEFI Modus bootet.
SecureBoot an, damit nicht einfach irgendwas den Bootvorgang kapern kann.
Virtualisierungsfunktionen an, damit HVCI in Windows funktionieren kann.
HVCI in Windows an, damit Malware nicht so einfach an wichtige Systemprozesse kommt.

"Komfort" wäre mir jetzt nichts bekannt. Außer dass man beim UEFI-Boot halt einfach per Shutdown Befehl direkt ins UEFI-Setup wechseln kann und manche Systeme im UEFI-Modus schneller booten.

Wobei man natürlich immer sehen muss, dass das alles auf Systemen, auf denen der vor dem PC sitzende User Adminrechte hat (egal ob mit extra Admin-User), nur begrenzt hilft. Dort wird normalerweise der User selbst die Malware ausführen, weil ihm weisgemacht wurde, dass er das will. Und dabei natürlich auch jegliche Warnungen und Sicherheitsfunktionen umgehen.

 

[mcb]

Und mal ganz blöd gefragt, was sind die supertollen "Komfort- und Sicherheitsfeatures"?

Ich war zwar nicht gefragt, aber gegen https://thunderspy.io/ "hilft" es minimal. Und unter Linux kann man im UEFI-Mode die Firmare aktualisieren ... Sonst habe ich noch keine Vorteile gefunden.

 

[ebastler]

Ich war zwar nicht gefragt, aber gegen https://thunderspy.io/ "hilft" es minimal. Und unter Linux kann man im UEFI-Mode die Firmare aktualisieren ... Sonst habe ich noch keine Vorteile gefunden.

Windows auch, die Lenovo Tools können entspannt aus dem OS raus Updates aufspielen. Bootreihenfolge aus dem OS heraus anpassen ist manchmal auch praktisch. Secureboot hat seine Vorteile, und je nach Notebook kann man glaub ich mit Fingerabdruck das Gerät booten und damit full disk encryption und OS gleich mit entsperren - weiß aber nicht, ob das dem TPM Chip oder dem UEFI zu verdanken ist. Mein T450s kanns jedenfalls nicht.

 

[mcb]

Windows auch, die Lenovo Tools können entspannt aus dem OS raus Updates aufspielen. ....

Das geht unter Windows auch im Bios-Mode. Meine Meinung: Die Vorteile von UEFI sind so viele nicht.

 

[Thinksurfer]

Da wollte ich nur mal gucken, ob mein T430s einen DVD Brenner eingebaut hat, oder ein einfaches DVD Laufwerk, gehe auf thinkwiki, klicke Neugierde halber auf bekannte Probleme und musste danach meine Kinnlade von Hand wieder hochdrücken, so geschockt war ich von dieser UEFI Sache. Dieser Thread hätte noch den Zusatz haben müssen "Zu Risiken und Nebenwirkungen sollten Newbies diesen Thread besser nicht lesen".

Einige kennen mich, als Nursurfer habe ich wenig Ahnung von nix. Wie soll denn meiner einer damit umgeh`n? Gibt bestimmt noch zig Tausend andere, die von dieser Sicherheitslücke noch nicht mal gehört haben. Hätte ich auch nicht, wenn ich nicht auf thinkwiki gewesen wäre. Was ist denn eurer Meinung nach das absolut Mindeste, was ich tun sollte? Betrifft das überhaupt jeden in allen Hardware, Software und Surffragen?

Ich stelle mir Sicherheitslücken immer so vor, jemand geht auf amazon shoppen und bedient sich meines Kontos usw. Auf dem T430s ist Linux drauf. Vielleicht hat das ja eine bestimmte (positive ?) Auswirkung, im Hinblick darauf, weil in diesem Thread immer von Windows die Rede ist.

Ich hätte dieses Posting auch komplett löschen und von vorne anfangen können, aber ich finde, das folgende passt zum obigen Text. Als ich google nach UEFI suchen ließ, kamen bereits auf der ersten Seite zahllose Treffer, wie z.B. der hier:

UEFI-Boot reparieren: Diese Möglichkeiten haben Sie

Die Reparatur des UEFI-Boots erfolgt bei vielen Windows-Versionen über ein externes Programm und ein bootfähiges Laufwerk. Mehr dazu lesen Sie hier.

www.computerbild.de

Ich will nicht behaupten, alles verstanden zu haben, vielleicht 25 %, aber es geht letztendlich anscheinend darum, dass Windows nicht mehr startet, weil der UEFI-Bootlader defekt ist, wie auch immer das passiert ist, denn (Postings) lesen ist nicht gleichzusetzen mit verstehen. Mal seh`n, vielleicht finde ich ja noch Foren- und/oder Internetlektüre, die mir das mit dem Bootlader mit einfachen Worten erklärt und warum er überhaupt Schaden nehmen kann.

 

[schoerg]

BIOS updaten?

 

[Thinksurfer]

U.a. steht hier

Wie führe ich ein BIOS-Update durch?

In diesem Wiki-Artikel erhalten Sie eine genaue Anleitung für die Durchführung eines BIOS-Updates.

wiki.inonet.com

warum ich ein Bios Update noch nie in Betracht gezogen habe. Unter Punkt 1 auf dieser Seite fängt es ja schon mal an. Ich bin sicher, Windows ist für einen Laien Mitteilungsbereiter, als Linux. Vor allem Punkt 4 ist einigermaßen Schweißperlen auf die Stirn treibend. Aber noch ist nicht aller Tage Abend. Mal sehen, was Mint zu all dem sagt.

 

[schoerg]

Du kannst auch auf der Unterseite schauen welches Modell (und Seriennummer du hast) oder gleich im BIOS. Dann kannst du da nichts falsch machen.

 

[Thinksurfer]

Danke !!

 

[der_ingo]

Einige kennen mich, als Nursurfer habe ich wenig Ahnung von nix. Wie soll denn meiner einer damit umgeh`n?

Wenn dein BIOS uralt ist, dann hat es jetzt halt diese Lücke, die seit acht Jahren bekannt ist. Offenbar hat sich niemand dran gemacht, sie auf deinem Rechner ausnutzen zu wollen.

Ich stelle mir Sicherheitslücken immer so vor, jemand geht auf amazon shoppen und bedient sich meines Kontos usw. Auf dem T430s ist Linux drauf. Vielleicht hat das ja eine bestimmte (positive ?) Auswirkung, im Hinblick darauf, weil in diesem Thread immer von Windows die Rede ist.

Eine Lücke im UEFI ist grundsätzlich unabhängig vom Betriebssystem ausnutzbar. Nur muss man natürlich zuerst einmal entweder das Gerät in die Finger bekommen oder den Nutzer dazu bringen, irgendeine Schadsoftware auszuführen, die die entsprechende Schadsoftware ins UEFI bringt.
Da sind natürlich Windows-Systeme mehr gefährdet, weil es davon mehr als 1,5 Mrd. gibt und viele davon halt von unbedarften Nutzern verwendet werden.

An zweiter Stelle muss man schauen, was die Ziele sind. Die meisten Leute, die Schadsoftware verteilen, wollen damit Geld verdienen. Das machen sie, wenn sie dir deine Daten verschlüsseln oder stehlen. Wenn sie dir den Rechner zerflashen oder irgendeine Hintertür ins UEFI bauen, ist das einerseits aufwändig und zweitens nicht lukrativ. Also ist das kein wirklich großer Markt für die Masse.

Interessant sind solche Lücken für staatliche Akteure und eingesetzt werden sie sicherlich am ehesten im Umfeld von Spionage. Vermutlich bist du da kein interessantes Ziel. Irgendwelche Normalnutzer aufwändig zu hacken, dafür interessiert sich kaum jemand. Insofern bring halt einfach mal das BIOS auf den aktuellen Stand.

Ich will nicht behaupten, alles verstanden zu haben, vielleicht 25 %, aber es geht letztendlich anscheinend darum, dass Windows nicht mehr startet, weil der UEFI-Bootlader defekt ist, wie auch immer das passiert ist, denn (Postings) lesen ist nicht gleichzusetzen mit verstehen.

An der Stelle geht es um die Software auf der Disk, die das Betriebssystem lädt. Nicht um die UEFI-Firmware des Gerätes selbst.
Und die "Tipps" sind, wie es bei dem Medium zu erwarten ist, ziemlich an den Haaren herbeigezogen. Aber wenn du Linux nutzt, betrifft dich das an der Stelle ja sowieso nicht.

 

[Thinksurfer]

Schwer verdauliche, aber ungemein hilfreiche Kost. Und zu 75 % auf Anhieb verstanden habe ich es auch. Danke für die Mühe, die du dir mit deinem Posting gemacht hast.