Gut, dass Opas Hammer noch >100 Jahre ohne Zertifikat funktioniert.
Wie ich in der PC-Welt las, laufen einige Boot-Zertifikate ab. Ob dann noch alle Maschinen mit PC-Steuerung und verschlüsselter Festplatte so einfach starten? Wahrscheinlich schlummert das Böse im Detail. Ein Thinkpad wollte jetzt schon ein Update.
Wie ich in der PC-Welt las, laufen einige Boot-Zertifikate ab. Ob dann
noch alle Maschinen mit PC-Steuerung und verschlüsselter Festplatte so
einfach starten? Wahrscheinlich schlummert das Böse im Detail. Ein
Thinkpad wollte jetzt schon ein Update.
Nun ja, das Thema wird ja auch erst seit mehr als einem Jahr in sämtliche Medien und Gazetten rauf und runter diskutiert.
Gut, dass Opas Hammer noch >100 Jahre ohne Zertifikat funktioniert.
Mit wievielen MBit/s ist dein Hammer denn am Netz, welches Betriebssystem nutzt er, welche Malware ist dafür im Umlauf und welche persönlichen Daten speicherst du so darauf, wenn du ihn in diesem Kontext anbringst?
Hammer-Frage! Scheinbar hast Du nur einen PC, der wertlos ist.
Bisher hatte ich mit zahlreichen PCs zu tun, die Messgeräte für 100k€ und Maschinen in ähnlichen Werten steuerten. Wenn ich an deren Zukunft denke und wenn es nur im Museum ist, dann sollte man jetzt nachdenklich werden, wie schnell-verderblich unsere neue Technik ist! Der Beitrag sollte eigentlich nur ein Weckruf sein, um später nicht mit leeren Händen dazustehen.
Na ja, man muss irgendwie die Teile zum verschrotten bringen können. Auch wenn der User das nicht will.
Mein ICD3 hat bisher schön getan. Windows update, jetzt meint Windows der Treiber sei nicht gut, soll irgendwie jetzt stinken. Man kann natürlich per Hand nicht übersteuern. Also dann, ChatGPT gefragt, er meinte ich soll auf eine Partition runtertauchen und da einen oder mehrere Policy files finden und löschen. Und auch mal das in den Windows Ordner. Na ja, man darf ja dem AI nicht alles glauben, Windows Ordner war zu viel, danach kein Boot mehr. Zum Glück lösche ich Files nie, sondern bewege nur. Aber das geheime Laufwerk war ein treffer. Da 3 files gelöscht, und siehe da ICD3 tut wieder. Wird erkannt und Mplab 8 freut sich.
Ehrlich gesagt, so langsam macht das ganze IT scheiß und Embedded immer weniger Spaß so. Es gibt etwas was funktioniert, dann bitte nicht mit Absicht obsolete machen damit man etwas neues kaufen muss, was dann langsamer ist. Ich meine ich würde schon gerne neue uC-s oder Debuggers kaufen wenn die auch schneller sind.
Bisher hatte ich mit zahlreichen PCs zu tun, die Messgeräte für 100k€
und Maschinen in ähnlichen Werten steuerten.
Wer auf solchen PCs Secure Boot oder gar Bitlocker einsetzt, hat kein Mitleid verdient.
Und wer mit solchen PCs „zu tun“ hat, und von dem Problem heute in einer PC-irgendwas-Postille das erste Mal was hört, hat mit dem Thema eh nichts zu tun.
Der Beitrag
sollte eigentlich nur ein Weckruf sein, um später nicht mit leeren
Händen dazustehen.
Ich stehe nicht mit leeren Händen da, weil ich mich seitens des OS nicht derart abhängig gemacht habe.
Aber ich verstehe deine Intention – ich wollte auch nur darauf hingewiesen haben, dass der Hammer-Vergleich von mir als bescheuert wahrgenommen worden ist.
Danke für den Weckruf, das ist ja eine spannende Angelegenheit, z.B.: Wer auf seinem Dual Boot PC das Update von Linux aus macht, verliert wahrscheinlich Bitlocker-verschlüsselte Partitionen:
1
Also note that if you have a dual boot system with Microsoft Windows
2
using a TPM unlocked Bitlocker (ie automagically) then that is tied
3
to the secure boot measurements, and thus will change when the keys
4
used also change. Microsoft Windows supposedly can handle the new
5
key / measurements expected… but only if it updates the secure boot
6
keys itself, and thus updates the expected measurements to unlock
7
the Bitlocker encryption.
8
9
I suspect this will be a “fun” transition for any systems not on the
10
happy path of very recent hardware, active BIOS updates / vendor,
11
single OS boot, update managed by that OS vendor. And anyone with
12
TPM / secure boot secured encrypted disks would be wise to have
13
good backups (of the recovery keys and disk contents).
Gibt es überhaupt Firmware Updates für alte Mainboards? Die meisten Hersteller werden froh sein, dass die Leute neue Boards brauchen. Und einer hat dafür eine gute Ausrede :)
1
Hughes pointed out that at least one manufacturer has lost access to
2
the private part of its platform key (PK), which is a vendor-specific
3
key burned into the hardware when it is made. That means the platform
4
keys in the hardware need to be changed, which is uncharted water and
5
"a terrible idea from an attestation point of view". In addition, as
6
Gerd Hoffman pointed out, the KEK update process is new as well:
7
"a KEK update has never happened before so there are chances that
8
bios vendors messed up things and updating the KEK doesn't work".
Man kann sich aber schon fragen warum man hier die Zertifikate nicht unbegrenzt oder bis zum 1.1.9999 oder so ausstellt. Austauschen oder Entfernen kann man sie ja trotzdem noch, sollte mal was passieren, oder auch schon vorher. Also wozu soll das gut sein, dass das System irgendwann plötzlich nicht mehr starten kann?
Das richtet sich an die Leute,
die dann in Panik verfallen und neues kaufen.
Neues Blech kaufen geht einfach und was ist mit den wertvollen, alten, schön verschlüsselten Daten von Deiner Platte? Hochzeitsbilder, Messwerte, Briefe Finanzamt,...
Sogar beim uralten Notebook kam, nachdem ich im Thread von Oktober 2025 zur Sau gemacht wurde, aber die dort von einem netten Forenmitglied gezeigten Schritte manuell durchgezogen hatte, in Ereignisanzeige Meldung 1808.
"...Protokollname: System
Quelle: Microsoft-Windows-TPM-WMI
Datum: 01.06.2026 16:07:14
Ereignis-ID: 1808
Aufgabenkategorie:Keine
Ebene: Informationen
Dieses Gerät hat die Zertifizierungsstelle/Schlüssel für den sicheren Start aktualisiert. Diese Gerätesignaturinformationen sind hier enthalten.....
....BucketConfidenceLevel: High Confidence
UpdateType: Windows UEFI CA 2023 (DB), Option ROM CA 2023 (DB), 3P UEFI CA 2023 (DB), KEK 2023, Boot Manager (2023)..."
Wer noch ältere HW benutzt, sollte - und das ist der Notausstieg - Secure Boot disablen.
Dann bekommt er aber auch keine diesbezüglichen Extra-Rollouts von Win Update mehr.
Die BIOS-Updates würde ich nicht machen, bevor ich nicht wüsste, dass da nichts schief gehen kann.
Das Datum wurde von Juli auch wieder postponed auf Oktober. Panikmache ist nicht nötig. Man sollte nur den Systemadmins mal auf die Füße treten, die bislang für Ausfälle und kilometerlange Staus am Ticketschalter verantwortlich zeichnen, weil sie in der Vergangenheit offenbar solche Sachen auf die allzu leichte Schulter genommen hatten.
Also wozu soll das gut sein, dass das System
irgendwann plötzlich nicht mehr starten kann?
Das richtet sich an die Leute,
die dann in Panik verfallen und neues kaufen.
Wenn Secure Boot disabled ist, heißt das nicht, dass das System sich überhaupt nicht mehr starten lässt.
Soweit wird MS wohl nicht gehen, einfach abrupt den Stecker ziehen.
Kann mir nur vorstellen, dass evtl. neuere Programme und Apps. dann nicht mehr installiert werden können.
Das Datum wurde von Juli auch wieder postponed auf Oktober.
Wie würde man denn auf uralte ablaufende Zertifikate zugreifen und deren Ende hinauszögern, und auch: wenn man das könnte, warum verzögert man dann nicht bis 2039?
Kann mir nur vorstellen, dass evtl. neuere Programme und Apps. dann
nicht mehr installiert werden können.
Wenn der Rechner so alt ist, das es keine Möglichkeit mehr gibt neue Zertifikate einzuspielen, dann will und kann man keine Software mehr laufen lassen die Secureboot voraussetzt.
Wenn Secure Boot disabled ist, heißt das nicht, dass das System sich
überhaupt nicht mehr starten lässt.
Wenn das Gerät mit Bitlocker verschlüsselt wurde, was auf eigentlich alle aktuellen Installationen zutrifft, wird das System in der Tat nicht mehr starten, wenn Secure Boot deaktiviert wird.
was auf eigentlich
alle aktuellen Installationen zutrifft
Dafür sehe ich aber jeden Tag viele vorinstallierte Rechner, die zwar Secureboot aktiv haben, aber keinen Bitlocker.
Und ich rede von Dell und Lenovo und "die Person hat das Siegel gebrochen und dann ja und weiter geklickt", also nix aus irgendwelchen überbezahlten IT-Abteilungen.
Aber jemand, der SB abschalten kann, kann auch BL vorher deaktivieren.
Wenn das überhaupt erforderlich wäre, denn BL und SB erfordern ja eigentlich aktuelle Hardware, die ja auch noch Updates bekommt.
Das Problem ist also nichtexistent.
Datum zurücksetzen kann auch schön ins Auge gehen, wenn dann Dateien das falsche, alte Datum bekommen. Bei DOS ging das noch, bei Unix gabs schon mächtig Ärger. Später habe ich solche Experimente ohne Backup vermieden.
Das Datum wurde von Juli auch wieder postponed auf Oktober.
Da hast du wohl was missverstanden. Die Ablaufdaten sind Teil des Zertifikats, die kann man nicht „postponen“. Das erste läuft am 27.6. ab, weitere dann später. Und das ist unabwendbar.
Hab im pivaten Bereich noch nie etwas mit Bitlocker zu tun gehabt.
Deswegen kümmere ich mich auch nicht drum.
Beim Notebook ist zwar in der Taskleiste ein Hinweisicon, aber installiert ist Bitlocker nicht. Das ist immer noch meine Entscheidung, ob ich das haben möchte oder nicht.
(Genauso früher, ob Festplatte komprimiert werden soll oder nicht.)
Meinen PC klaut so schnell keiner, bei einem Firmennotebook wäre ich da schon vorsichtiger, und da ist das wohl auch sinnvoll.
Das ist aber ein total alter Hut. Das hatten wir von 25 Jahren schon bei den Notebooks der Außendienstmitarbeiter. Da hieß das "Encryption".
Du wärest nicht der erste, dessen Platten auf z.B. ebay auftauchen, nachdem du den Rechner zum Recycling gegeben hast. Klar – wer nichts zu verbergen hat, hat sicher auch kein Problem damit, wenn Leute in alle seine Accounts mal reingucken.
Du wärest nicht der erste, dessen Platten auf z.B. ebay auftauchen,
nachdem du den Rechner zum Recycling gegeben hast. Klar – wer nichts zu
verbergen hat, hat sicher auch kein Problem damit, wenn Leute in alle
seine Accounts mal reingucken.
Ich recycle keine unzerstörten HDDs.
Und der tolle Magnet eignet sich hervorragend für Experimente. Bei den SSDs ist Zerstörung noch einfacher. Die Standbohrmaschine tut ihre Pflicht.
Wo kommen eigentlich die ganzen Lücken trotz secure boot her?
Welche Lücken? Falls du die im geladenen OS meinst: Secure Boot hat nur den Job, die Signatur des zu ladenden Systems oder Bootloaders zu prüfen. Einen Audit des Systems führt es nicht durch und kann entsprechend auch keine Lücken darin erkennen. Es stellt im Fall von Windows quasi lediglich sicher, dass die Lücken original von Microslop stammen, und nicht etwa billige chinesische Nachbaulücken sind.
Wer stellt eigentlich sicher, das im Secureboot keine weiteren Lücken
sind?
Keiner. Die jeweiligen Entwickler geben sich dabei sicher Mühe, aber in Software ab einer bestimmten Größe sind unausweichlich Fehler, und manche davon können eine Lücke bilden.
Wer stellt eigentlich sicher, das im Secureboot keine weiteren Lücken
sind?
Was sollten diese Lücken denn bewirken?
Ohne SecureBoot wird jeder beliebige Bootloader ohne Prüfung gestartet, und hat sofort unbeschränkte Maximal-Rechte auf dem Rechner.
Mit SecureBoot wird ein "böser" Bootloader nicht gestartet.
Wenn SecureBoot eine Lücke hat, was ist das Schlimmste was passieren kann?
-> genau das was ohne SecureBoot sowieso passieren würde, nur mit mehr Aufwand für den Angreifer.
Keine Panik auf der Titanik.
Und täglich grüßt das Murmeltier.
Kommentar zu letztem Win11 Update:
Zitat:
"...Wichtig:Die von den meisten Windows-Geräten verwendeten Secure Boot-Zertifikate laufen ab Juni 2026 ab. Microsoft hat diese Zertifikate in den letzten Monaten auf Consumer- und nicht verwalteten Geschäftsgeräten aktualisiert. Geräte, die die neueren Zertifikate nicht erhalten haben, werden weiterhin normal gestartet und funktionieren normal, und Standardmäßige Windows-Updates werden weiterhin installiert. Aktualisierte Zertifikate werden in den kommenden Monaten weiterhin über Windows Update bereitgestellt.
/Zitat
BTW: Finde den Schreibfehler. So stands auf der MS-Webseite.
Geräte, die die neueren Zertifikate nicht
erhalten haben, werden weiterhin normal gestartet und funktionieren
normal, und Standardmäßige Windows-Updates werden weiterhin installiert.
OHMEINGOTT
WIRWERDENALLENICHTSTERBEN!
War der Grund für dieses ganze Gemotze in diesem Thread nicht, das Geräte mit abgelaufenen Zertifikaten nie wieder laufen werden und man sie daher auch nicht aktualisieren kann?
Und jetzt ne offizielle Meldung das alles nur ein Hoax war?
Das ist eine Sache vom TPM, das hat mit Secure Boot nur am Rande was zu tun.
Bitlocker mit Key aus dem TPM funktioniert auch ohne Secure Boot.
Berührungspunkt wäre: Das TPM kann (optional) verweigern, den Key herauszugeben, wenn z.B. die Zertifikate für SecureBoot im UEFI geändert werden(*), oder SecureBoot von "An" auf "Aus" umkonfiguriert wird.
Dann muss man halt einmal den Key eintippen.
In beiden Fällen könnte eine Software, die unsigniert vor dem Windows-Loader gestartet wird den Key abfangen, oder später aus dem RAM auslesen.
*) Passiert z.B. wenn du die neuen Microsoft-Keys unter Linux installierst, und nicht über Windows-Update.
Geräte, die die neueren Zertifikate nicht
erhalten haben, werden weiterhin normal gestartet und funktionieren
normal, und Standardmäßige Windows-Updates werden weiterhin installiert.
Das ist soweit richtig. Was MS vergessen hat zu erwähnen, ist, dass zukünftige Betriebssystemversionen, die zwangsweise mit neuen Bootloadern kommen, nicht mehr booten, wenn deren bootloader nur mit dem neuen Zertifikat kommt.
Sollte man dir mal der
Notebook klauen, können Diebe mit deinen Daten leichter hausieren gehen!
Da sind keine persönlichen Daten drauf. Wüsste nicht, was für Diebe interessant wäre. Höchstens das Notebook als solches.
Und um an ein MS-Benutzerkonto zu gelangen, benötigten sie die Zwei-Faktor Authentifizierung. Bin nicht so doof, den Recoverycode auf dem Notebook zu speichern.
Das Boot-Zertifikate ablaufen, hat auch ein Bekannter erleben duerfen, als seins herabgestuft wurde von seetuechtig auf nur noch binnengewaessertuechtig.
Sollte man dir mal der
Notebook klauen, können Diebe mit deinen Daten leichter hausieren gehen!
Lol! Ich bekomme - weil ich dem Poster eine Verschlüsselung nahe legen möchte! Und diese Leute wollen vermutlich eine Verschlüsselung verhindern. Sind das auch Politiker?
Sollte man dir mal der
Notebook klauen, können Diebe mit deinen Daten leichter hausieren gehen!
Da sind keine persönlichen Daten drauf. Wüsste nicht, was für Diebe
interessant wäre. Höchstens das Notebook als solches.
Und um an ein MS-Benutzerkonto zu gelangen, benötigten sie die
Zwei-Faktor Authentifizierung. Bin nicht so doof, den Recoverycode auf
dem Notebook zu speichern.
ciao
gustav
Brauchst du auch nicht! Es gibt ein Exploit um dennoch an den Bitlocker zu kommen. Es zum Kotzen ist, dass der nun öffentlich bekannt wurde.
Wie man sich selbst ein Bein stellt und dabei übel auf die Fresse fällt. MS arbeitet seit geraumer Zeit daran, dem selbst geschaffen Problem Herr zu werden. Mit durchwachsenem Erfolg. Der Oktober verspricht spannend zu werden.
Es ist das Gegenteil einer Lücke, eher ein unfreiwilles Maximum an Sicherheit. Wenn der PC nicht mehr startet, richtet er keinen direkten Schaden an und rückt auch keine Daten raus.
Wer sich für Details interessiert, findet in der aktuellen c't viel dazu.
Aber jemand, der SB abschalten kann, kann auch BL vorher deaktivieren.
Glück dem, der es im Rechner-Setup abschalten kann. Bei VMware Kisten sind da ein paar Hürden vorgeschaltet, nicht nur BL. Die auch schon mal auf einen Texteditor fürs Config-File rauslaufen können.
Ich kann dir nicht folgen. Die Bitlocker-Lücke Yellowkey CVE-2026-45585 wurde am 12. Mai diesen Jahres veröffentlicht. Was meinst du mit „seit vielen Jahren“?
Das es andere Lücken in Windows gibt, an deren Behebung MS schon lange rumdoktert, mag ja sein.
