Was Sie schon immer über SecureBoot wissen wollten - TUXEDO Computers

Immer wieder erreichen uns Fragen, was SecureBoot ist und warum es bei TUXEDO standardmäßig deaktiviert ist. SecureBoot ist ein Konzept, das insbesondere bei Nutzern, die zum ersten Mal damit in Berührung kommen, oft für Verwirrung sorgt. Viele fragen sich, ob diese Technologie wirklich notwendig ist und welchen Einfluss sie auf die Nutzung von Linux hat.

In der Praxis bietet SecureBoot sowohl Vorteile als auch Einschränkungen. Eine häufige Annahme ist, dass SecureBoot unbedingt notwendig sei, um die Sicherheit eines Systems zu gewährleisten. Dabei handelt es sich jedoch nur um eine zusätzliche Schutzmaßnahme, die dafür sorgt, dass nur vertrauenswürdige Software beim Starten des Systems ausgeführt wird.

Bei TUXEDO Computers haben wir uns bewusst dafür entschieden, SecureBoot standardmäßig zu deaktivieren. Unser Ziel ist es, unseren Nutzern maximale Flexibilität und Kontrolle zu ermöglichen, insbesondere im Hinblick auf die Installation von Linux und anderen Open-Source-Betriebssystemen, bei denen SecureBoot manchmal zu Komplikationen führen kann.

FAQ zu SecureBoot

Was ist SecureBoot?

SecureBoot ist eine Sicherheitsfunktion, die von Microsoft entwickelt wurde und ab 2012 mit UEFI-Version 2.3.1 erstmals für Windows 8 ausgeliefert wurde. SecureBoot soll die Unversehrtheit des Bootloaders und des Kernels schützen. Bis einschließlich Windows 10 war SecureBoot optional, bei Windows 11 gilt es als Voraussetzung, was aber bisher von Microsoft noch nicht erzwungen wird.

Wie funktioniert SecureBoot?

SecureBoot arbeitet mit kryptografischen Signaturen. Jedes Programm, das von der UEFI-Firmware geladen wird, enthält eine Signatur. Bevor die Firmware die Ausführung zulässt, überprüft sie, ob das Programm vertrauenswürdig ist, indem sie die Signatur verifiziert. So sorgt SecureBoot dafür, dass beim Start von Linux Boot-Manager, Kernel und Kernel-Module aus einer vertrauenswürdigen Quelle stammen und verhindert, dass nicht vertrauenswürdige Programme ausgeführt werden.

SecureBoot und Linux

Damit Linux mit SecureBoot lauffähig ist, müssen die entsprechenden Komponenten direkt oder indirekt von einem im UEFI hinterlegten Zertifikat (in der Regel von Microsoft) oder einem händisch eingetragenen Zertifikat signiert sein. TUXEDO OS verwendet derzeit den zweiten Ansatz. Die Schritte, um SecureBoot mit TUXEDO OS zu nutzen, beschreiben wir im Folgenden.

Voraussetzungen für SecureBoot auf Ihrem TUXEDO

Wir aktivieren SecureBoot derzeit noch nicht, da wir auf ein von Microsoft signiertes Shim mit eingebettetem TUXEDO-Zertifikat warten. Im Zusammenhang mit SecureBoot ist ein Shim ein einfaches Softwarepaket, das als First-Stage-Bootloader auf UEFI-Systemen eingesetzt werden kann und dort einen signierten Bootloader nachlädt. Es ermöglicht zudem das einfache Nachladen und Verwalten von eigenen Zertifikaten (Machine Owner Keys MOKs), die dann permanent gespeichert werden, mit einer für alle Systeme identischen Oberfläche.

TUXEDO OS mit SecureBoot

Um SecureBoot mit TUXEDO OS unter Verwendung unseres selbst-signierten Zertifikats nutzen zu können, sind derzeit einige manuelle Schritte nötig:

Schritt 1: Benötigte Pakete

Standardmäßig ist das Paket shim-signed unter TUXEDO OS bereits vorinstalliert. Überprüfen Sie dies, installieren Sie es gegebenenfalls nach und starten Sie das System neu.

Schritt 2: Zertifikat importieren

Laden Sie das Zertifikat von unserer GitHub-Instanz herunter und importieren Sie es als Machine Owner Key (MOK). Neben dem Sudo-Passwort werden Sie nach einem Einmal-Passwort gefragt, das Sie zur Sicherheit wiederholen müssen.

sudo mokutil --import TUXEDO_Computers_GmbH_Secure_Boot_Signing.crt

Schritt 3: Zertifikat importieren

Damit unser Treiberpaket tuxedo-drivers in den Vorgang eingebunden werden kann, müssen Sie ein MOK für DKMS importieren. Bevor Sie das tun, stellen Sie sicher, dass das Verzeichnis /var/lib/shim-signed/mok/MOK.der auf Ihrem System existiert. Ist das nicht der Fall, erzeugen Sie es mit dem Befehl:

sudo update-secureboot-policy --new-key

Sie müssen danach alle DKMS-Pakete neu installieren, damit die jeweiligen Module mit dem neuen Schlüssel signiert werden. Welche Pakete das sind, verrät Ihnen der Befehl:

dkms status

Nun folgt der Import, Auch hierbei wird erneut das Einmal-Passwort abgefragt.

sudo mokutil --import /var/lib/shim-signed/mok/MOK.der

Schritt 4: MokManager konfigurieren

Mit dem folgenden Befehl stellen Sie sicher, dass der Schlüssel nach dem Neustart im MokManager angezeigt wird. Wird dort nichts angezeigt, hat der Import nicht funktioniert.

sudo mokutil --list-new

Um sicherzustellen, dass der MOKManager beim nächsten Neustart ausreichend lang angezeigt wird, schalten Sie dessen Timeout ab:

sudo mokutil --timeout -1

Schritt 5: SecureBoot aktivieren

Der nun anstehende Neustart öffnet den MOKManager, in dem Sie Enroll MOK auswählen und im nächsten Fenster auf den Schlüssel klicken können, um das Zertifikat zu sehen.

Danach starten Sie das System neu. Nun können Sie beim nächsten Neustart ins BIOS/UEFI wechseln und SecureBoot aktivieren.

Schritt 6: Zertifikat managen

Überprüfen Sie den Status von SecureBoot im Terminal jederzeit mit folgendem Befehl:

sudo mokutil --sb-state

Möchten Sie ein Zertifikat aus dem MOK entfernen, nutzen Sie den folgenden Befehl:

sudo mokutil --delete TUXEDO_Computers_GmbH_Secure_Boot_Signing.crt

Für eine Übersicht weiterer Befehle zur Verwaltung des MOK und des Zertifikats geben Sie einfach ein:

mokutil -h