Secure Boot, TPM und die Paranoia der deutschsprachigen Linux Community

Ja 2010 wurde ein Chip gehackt. Mit Säure und Nadeln hat da ein Hacker 6 Monate herumgebastelt bis er Zugriff auf die Daten hatte.

Hier wieder der Punkt 100% Sicherheit gibt es nie. Aber nur weil meine Haustüre nicht zu 100% Einbruch-sicher ist, lasse ich deswegen Mein Bargeld ja auch nicht in einer Tüte vor der Türe stehen.

Wenn jemand dein Notebook oder Handy klaut, wird der sich nicht die Mühe machen da 6 Monate rumzubasteln.

Zitat von Tux

Und mit Microsoft ist berechtigt meinte ich das die Deine Daten entschlüsseln können.

Auch hier wäre ein Erklärung gut. Nach meinem Kenntnisstand hat Microsoft keinen "Master Key" oder sowas für Bitlocker.

Wenn du optional in den BitLocker Einstellungen angibst, dass ein Wiederherstellungsschlüssel in deinem Microsoft Account hinterlegt werden soll, dann haben sie theoretisch Zugriff auf deinen Key.

Das ist aber kein Standard-Setting sondern muss vom Benutzer ausdrücklich so konfiguriert werden.

Zitat von Tux

Oder die meiden wo man davonausgehen kann das es einen "Gerneralschlüssel" gibt, wie bei TPM.

Hast du irgendeinen Beleg dafür?

Was mich halt an der Diskussion hier stört: Wir diskutieren hier nun über Windows und was dort alles falsch oder zumindest nach Legendenerzählung falsch läuft.

Ironischerweise diskutieren wir nicht über Android oder iOS mit unzähligen Millionen von Geräten wo dieser Mechanismus auch Standard ist und offenbar absolut niemanden stört.

Was wir aber nicht tun ist über Linux zu diskutieren. Und darum geht es uns doch am Ende. Die Frage muss doch sein, wie bekommen wir es mit den verfügbaren Technologien hin das wir Daten wie eben Fingerabdrücke oder Gesundheitsdaten, etc auf Linux so sicher wie irgend möglich speichern und verwalten können.

Klar stellt sich da im Kontext die Frage, wie machen das andere Betriebssystem Hersteller wie z.b. Android oder Windows. Was daran ist gut und was daran ist weniger gut. Was können wir daraus lernen, welche Konzepte können wir übernehmen. Welche Konzepte müssten wir anpassen.

Was wir hier zurzeit tun, ist einfach rumbashen auf Microsoft. Erst darf ich hier lesen das Windows plötzlich irgendwelche Chips verlötet und danach das Microsoft offenbar Generalschlüssel hat (hier bin ich wirklich auf einen Beleg gespannt).

Wirklich konstruktiv ist davon nichts.

Gerade im Kontext von immer mehr mobilen Geräten die quasi mit GNOME oder KDE laufen und sowohl Gesundheit wie auch Biometrie dort ein mega Thema ist - sollte sich die Linux Community wirklich konstruktiver um dieses Thema kümmern.

@Tux sorry aber das ist erstens keine Argumentationsgrundlage. Entweder hat man für Behauptungen Belege oder man hat sie nicht. Und für den Generalschlüssel hast du keine geliefert bzw. sogar gerade gesagt das du keine hast - warum also die Behauptung?

Um davon abzulenken, dass du Dinge behauptest die du nicht belegen kannst lenkst du nun ab, in dem du hier ein Thema bringst das nicht mal Ansatzweise irgendwas mit dem Kontext zu tun hat.

Ich werde dein Benutzerprofil auf jedenfall blockieren und den Beitrag auch melden. Ich weiss nicht wie die Moderatoren und Admins hier dazu stehen und mit der Meldung machen, ist mir ehrlich gesagt auch egal.

Mein bester Freund ist Schweizer, obwohl er dunkelhäutig ist und keinen "typischen" Schweizer Vornamen hat. Wenn wir zusammen unterwegs sind kann ich im Alltag permanent erleben mit was für rassistischer Scheisse er sich bei den alltäglichsten Situationen im Alltag abgeben muss.

Ich brauch das in einem Linux Forum - in einem Thema wo es um Datensicherheit geht - wirklich nicht auch noch.

Zitat von nicoletta

Eine Standard Windows Installtion erfolgt default ohne Verschlüsselung.

Ich dachte wenn man Windows 11 installiert. Also quasi Clean Install wird automatisch verschlüsselt. Jedenfalls dann wenn man seine Microsoft Account Daten bei der Installation angibt (was ja inzwischen auch der Default ist).

Ich glaube nur Installationen ohne Microsoft Account sind nicht per Default verschlüsselt.

So interpretiere ich jedenfalls dieses Microsoft Support Dokument: https://support.microsoft.com/en-us/windows/…8f-7925c2a3012d

Zitat

On supported devices running Windows 10 or newer BitLocker will automatically be turned on the first time you sign into a personal Microsoft account (such as @outlook.com or @hotmail.com) or your work or school account.

BitLocker is not automatically turned on with local accounts, however you can manually turn it on in the Manage BitLocker tool.

harihegen und nicoletta klar kann man das umgehen. Ich gehe halt immer vom 0815 User aus. Und der wird hier einfach das machen was ihm gesagt wird und die Account Daten eingeben.

Ich habe kein Problem damit, das man solche Dinge umgehen kann. Wichtig und richtig finde ich halt, dass der "Default" Weg der Verschlüsselungsweg ist.

Wenn das jemand aus welchen Gründen auch immer nicht möchte ist es okay einen anderen Weg anzubieten. Aber der Standard sollte halt Verschlüsselung sein. Weil der 0815 User immer die Standard Optionen wählt und der 0815 User ist eben die Mehrheit.

harihegen mit Windows 11, gibt es auch in der Home Version eine "Geräteverschlüsselung" im Grunde ist das ein kastriertes BitLocker.

Man kann damit z.b. keine externe Laufwerke Verschlüsseln, etc, aber die die Systempartition wird damit verschlüsselt.

Was wohl auch der Grund ist, warum TPM mit Windows 11 eine "Must-Have" Vorgabe von Microsoft wurde.

harihegen hier etwas ausführlicher: https://www.security-insider.de/geraeteverschl…3c71e6afc4dfce/