secure boot
- The Hit-Man
- Beiträge: 2173
- Registriert: 21.11.2004 17:01:56
- Wohnort: Menden ( Sauerland )
-
Kontaktdaten:
secure boot
Ich mußte mir einen Treiber per dkms selber bauen:
https://packages.debian.org/de/broadcom-sta-dkms
Allerdings kann dieser nur geladen werden wenn ich im BIOS das secure boot ausschalte. Der Treiber scheint wohl nicht signiert oder nicht richtig signiert zu sein. Der Treiber an sich, funktioniert auch. War für WLAN zuständig. Keine Ahnung, was sich lenovo dabei gedacht hatte denn eigentlich rennt von lenovo meist alles out-of-box.
Meine Frage ist, ist es OK, das secure boot auszuschalten?
https://packages.debian.org/de/broadcom-sta-dkms
Allerdings kann dieser nur geladen werden wenn ich im BIOS das secure boot ausschalte. Der Treiber scheint wohl nicht signiert oder nicht richtig signiert zu sein. Der Treiber an sich, funktioniert auch. War für WLAN zuständig. Keine Ahnung, was sich lenovo dabei gedacht hatte denn eigentlich rennt von lenovo meist alles out-of-box.
Meine Frage ist, ist es OK, das secure boot auszuschalten?
Wer HTML postet oder gepostetes HTML quotet oder sich gepostetes oder
gequotetes HTML beschafft, um es in Verkehr zu bringen, wird geplonkt.
damals windows, früher ubuntu, danach debian, heute arch-linux![Wink ;)](./images/smilies/icon_wink.gif)
gequotetes HTML beschafft, um es in Verkehr zu bringen, wird geplonkt.
damals windows, früher ubuntu, danach debian, heute arch-linux
![Wink ;)](./images/smilies/icon_wink.gif)
Re: secure boot
Natürlich, das ist eh überflüssig.
- cosinus
- Beiträge: 3468
- Registriert: 08.02.2016 13:44:11
- Lizenz eigener Beiträge: GNU General Public License
- Wohnort: Bremen
Re: secure boot
Klar. Auch unter Windows ist das nicht wirklich ein Sicherheitsgewinn.The Hit-Man hat geschrieben:27.01.2024 19:21:39Meine Frage ist, ist es OK, das secure boot auszuschalten?
Re: secure boot
Kommt drauf an – richtig eingesetzt (eigene Zertifikate hinterlegt und ein Unified Kernel Image (mit den Modulen) signiert) kann’s durchaus ein Sicherheitsgewinn sein. Wenn du allerdings so fragst, ist anzunehmen, dass du da selbst nichts weiter eingerichtet hast – in dem Fall hält sich der Sicherheitsverlust in Grenzen, wenn du’s abschaltest.The Hit-Man hat geschrieben:27.01.2024 19:21:39Meine Frage ist, ist es OK, das secure boot auszuschalten?
„I fought in the Vim-Emacs-War.“ Quelle
- The Hit-Man
- Beiträge: 2173
- Registriert: 21.11.2004 17:01:56
- Wohnort: Menden ( Sauerland )
-
Kontaktdaten:
Re: secure boot
Und ich dachte, das wäre jetzt mega wichtig ... Wenn das mein eigener Rechner gewesen wäre, dann hätte ich das Bios eh auf legacy gesetzt. Ich sehe in diesem UEFI, irgendwie eh keinen großen Sinn drin. Das war doch eh nur wieder ein Dingen von M$.
Wer HTML postet oder gepostetes HTML quotet oder sich gepostetes oder
gequotetes HTML beschafft, um es in Verkehr zu bringen, wird geplonkt.
damals windows, früher ubuntu, danach debian, heute arch-linux![Wink ;)](./images/smilies/icon_wink.gif)
gequotetes HTML beschafft, um es in Verkehr zu bringen, wird geplonkt.
damals windows, früher ubuntu, danach debian, heute arch-linux
![Wink ;)](./images/smilies/icon_wink.gif)
Re: secure boot
Das geht bei aktuellen Rechnern sowieso meistens nicht mehr. Mein NUC11 z.B. kennt keinen legacy Mode mehr.The Hit-Man hat geschrieben:27.01.2024 20:42:32Wenn das mein eigener Rechner gewesen wäre, dann hätte ich das Bios eh auf legacy gesetzt.
Wenn du SSDs booten willst, die größer als 2TB sind, brauchst du eine Partitionstabelle nach GPT-Schema und die kann im legacy Mode nicht gebootet werden.Ich sehe in diesem UEFI, irgendwie eh keinen großen Sinn drin.
Blödsinn. Intel hat das für die Itanium Architektur verbrochen, und die kam 2001 auf den Markt.Das war doch eh nur wieder ein Dingen von M$.
- The Hit-Man
- Beiträge: 2173
- Registriert: 21.11.2004 17:01:56
- Wohnort: Menden ( Sauerland )
-
Kontaktdaten:
Re: secure boot
Also nur wenn ich davon booten will? Weil habe an meiner Fritte eine 4 TB Platte per USB dran und die funtzt ohne Probleme.Wenn du SSDs booten willst, die größer als 2TB sind, brauchst du eine Partitionstabelle nach GPT-Schema und die kann im legacy Mode nicht gebootet werden.
Wer HTML postet oder gepostetes HTML quotet oder sich gepostetes oder
gequotetes HTML beschafft, um es in Verkehr zu bringen, wird geplonkt.
damals windows, früher ubuntu, danach debian, heute arch-linux![Wink ;)](./images/smilies/icon_wink.gif)
gequotetes HTML beschafft, um es in Verkehr zu bringen, wird geplonkt.
damals windows, früher ubuntu, danach debian, heute arch-linux
![Wink ;)](./images/smilies/icon_wink.gif)
Re: secure boot
Widerspruch: ich würd das nicht so absolut sehen. Man kann auf mittelalten Rechnern (ich hab hier AMD 3 und AMD 3+-Rechner ohne UEFI oder mit ganz frühem grottigem UEFI bei denen das funzt) jedes beliebige Laufwerk mit GPT Partitionsschema auch im Legacy-Modus booten wenn man da vorne eine kleine bios_grub-Partition spendiert. Die wird für den grub anstelle des MBR benötigt.MSfree hat geschrieben:27.01.2024 20:56:23Wenn du SSDs booten willst, die größer als 2TB sind, brauchst du eine Partitionstabelle nach GPT-Schema und die kann im legacy Mode nicht gebootet werden.
Ich hab bei allen meinen Installationen SB ausgeschaltet. Dadrunter ist auch ein Laptop der kein Legacy/CSM mehr zulässt.
- cosinus
- Beiträge: 3468
- Registriert: 08.02.2016 13:44:11
- Lizenz eigener Beiträge: GNU General Public License
- Wohnort: Bremen
Re: secure boot
Jap das stimmt, hab das nach der letzten Diskussion hier auch mal probiert. War ein alter PC (IIRC ein Q9550), definitiv kein EFI.rhHeini hat geschrieben:27.01.2024 21:08:16Widerspruch: ich würd das nicht so absolut sehen. Man kann auf mittelalten Rechnern (ich hab hier AMD 3 und AMD 3+-Rechner bei denen das funzt) jedes beliebige Laufwerk mit GPT Partitionsschema auch im Legacy-Modus booten wenn man da vorne eine kleine bios_grub-Partition spendiert. Die wird für den grub anstelle des MBR benötigt.
Ich fands nur sehr erstaunlich, dass das Debian-Setup nichts in die BIOSBOOT-Partition geschrieben hat und das System trotzdem von GPT booten konnte. Habe das mit xxd nachgeprüft. Da kamen nur Nullen. Erst als ich im installierten Debian nochmal ein grub-install eintippte, wurden da Daten reingeschrieben.
Re: secure boot
Es könnte sein das da auch das Release eine Rolle spielt, und wie der Installer konfiguriert ist. Der Installer funzt im Zweifelsfall einfach nicht. Bei einen Update der grub-Pakete oder eine Neuinstallation kommt da neuerdings ein Hinweis auf eine möglicherweise fehlende bios_grub. Ich verwende jetzt eine ganze Weile nur noch GPT weil ich dieses lineare ohne diesen Krampf über die Extended Partition vorziehe. Bin mir da aber nicht sicher ob ich da nur Datengräber umpartitioniert habe oder auch Bootlaufwerke. Ich meine nämlich das diese Meldungen über das bios_grub erst seit dem grub 2.06 kommen. Kann mich da aber auch irren.
- cosinus
- Beiträge: 3468
- Registriert: 08.02.2016 13:44:11
- Lizenz eigener Beiträge: GNU General Public License
- Wohnort: Bremen
Re: secure boot
Jo, seit Jahren nehm ich auch nur noch GPT. Keine Einschränkungen und bei Datendisks ist das auch kein Problem wenn man diese an alten Rechnern klemmt. Solange das OS nicht aus der Steinzeit ist ![Mr. Green :mrgreen:](./images/smilies/icon_mrgreen.gif)
![Mr. Green :mrgreen:](./images/smilies/icon_mrgreen.gif)
Re: secure boot
Eigentlich wurde UEFI notwendig, weil BIOS an seine Grenzen gekommen ist – dass viele Hersteller dann erstmal die Firmwares und insbesondere die UIs verkackt haben, ist ’ne andere Geschichte. Gibt aber auch Firmware-UIs, die man vom Aussehen und von der Bedienung her nicht von ’nem antiken BIOS-Setup unterscheiden kann.The Hit-Man hat geschrieben:27.01.2024 20:42:32Und ich dachte, das wäre jetzt mega wichtig ... Wenn das mein eigener Rechner gewesen wäre, dann hätte ich das Bios eh auf legacy gesetzt. Ich sehe in diesem UEFI, irgendwie eh keinen großen Sinn drin. Das war doch eh nur wieder ein Dingen von M$.
Es gibt schon ’n paar schöne Sachen, die mit UEFI und der Firmware dazu machbar sind, und es gibt auch ein paar schöne Sachen, für die man Secure Boot gebrauchen kann – wenn man etwa den TPM2-Kram nutzen will, etwa zum Absichern des Zugangs oder zum Verschlüsseln der Datenträger. Oder wenn man halt sicherstellen will, dass keiner einem an den Boot-Files rumgepfuscht hat – tatsächlich ist das ja heutzutage einer der letzten Ansatzpunkte für Manipulation an abgeschalteten Maschinen (und ja: in diesem unserem Land ist es legitim, dass jemand in einen Wohnraum einbricht und versucht, Schadsoftware auf die vorgefundenen Maschinen zu bringen – er muss nur den richtigen Arbeitgeber haben).
Aber wie gesagt: wer’s nicht braucht, der wählt halt den Weg des für ihn geringsten Aufwands, und gut – damit ist nichts verkehrt.
„I fought in the Vim-Emacs-War.“ Quelle
Re: secure boot
Hmm, da hätte ich eine Zwischenfrage: Ich betreibe ein NAS auf Hardware, die gute 20 Jahre alt ist, bis auf die HDDs. UEFI war zu der Zeit eher Zukunftsvision. Es beherbergt 3 x 4TB HDDs und ich muss also GPT-Schema fahren. Das funktioniert aber schon lange. Grub meckert zwar öfter, aber eigentlich ist das System sehr zuverlässig.MSfree hat geschrieben:27.01.2024 20:56:23Wenn du SSDs booten willst, die größer als 2TB sind, brauchst du eine Partitionstabelle nach GPT-Schema und die kann im legacy Mode nicht gebootet werden.
![Confused :?](./images/smilies/icon_confused.gif)
- cosinus
- Beiträge: 3468
- Registriert: 08.02.2016 13:44:11
- Lizenz eigener Beiträge: GNU General Public License
- Wohnort: Bremen
Re: secure boot
Das funktioniert auch wenn das System kein EFI hat. Die BIOSBOOT-Partition muss lediglich innerhalb der ersten 2 TiB sein.Draal hat geschrieben:27.01.2024 23:12:14Es beherbergt 3 x 4TB HDDs und ich muss also GPT-Schema fahren. Das funktioniert aber schon lange. Grub meckert zwar öfter, aber eigentlich ist das System sehr zuverlässig.
- Livingston
- Beiträge: 1482
- Registriert: 04.02.2007 22:52:25
- Lizenz eigener Beiträge: MIT Lizenz
- Wohnort: 127.0.0.1
Re: secure boot
Etwas technischer Hintergrund:
Mit altem BIOS-Boot und MBR hat man Partitionstabellen, die maximal 32 Bit für die Adressierung eines Festplatten-Sektors bereitstellten. Das ergibt einen Zahlenraum von 0 bis 4Gi (=4294967296). BIOS geht dabei von einer Sektorgröße von 512B aus, also 4Gi*512B=2TiB.
Ersetzt man unter BIOS den Bootloader im MBR gegen einen, der GPT kennt, fallen diese Einschränkungen weg. GPT baut auf 64Bit-Adressen auf und erlaubt daher 18Pi Sektoren. Sollte erst mal für die nächsten paar Jahre reichen.
Mit altem BIOS-Boot und MBR hat man Partitionstabellen, die maximal 32 Bit für die Adressierung eines Festplatten-Sektors bereitstellten. Das ergibt einen Zahlenraum von 0 bis 4Gi (=4294967296). BIOS geht dabei von einer Sektorgröße von 512B aus, also 4Gi*512B=2TiB.
Ersetzt man unter BIOS den Bootloader im MBR gegen einen, der GPT kennt, fallen diese Einschränkungen weg. GPT baut auf 64Bit-Adressen auf und erlaubt daher 18Pi Sektoren. Sollte erst mal für die nächsten paar Jahre reichen.
Der Hauptunterschied zwischen etwas, was möglicherweise kaputtgehen könnte und etwas, was unmöglich kaputtgehen kann, besteht darin, dass sich bei allem, was unmöglich kaputtgehen kann, falls es doch kaputtgeht, normalerweise herausstellt, dass es unmöglich zerlegt oder repariert werden kann.
Douglas Adams
Douglas Adams
- cosinus
- Beiträge: 3468
- Registriert: 08.02.2016 13:44:11
- Lizenz eigener Beiträge: GNU General Public License
- Wohnort: Bremen
Re: secure boot
Wie viele Sektoren?Livingston hat geschrieben:05.02.2024 15:02:45GPT baut auf 64Bit-Adressen auf und erlaubt daher 18Pi Sektoren.
![Mr. Green :mrgreen:](./images/smilies/icon_mrgreen.gif)
- Livingston
- Beiträge: 1482
- Registriert: 04.02.2007 22:52:25
- Lizenz eigener Beiträge: MIT Lizenz
- Wohnort: 127.0.0.1
Re: secure boot
18446744073709551616 ![Razz :P](./images/smilies/icon_razz.gif)
![Razz :P](./images/smilies/icon_razz.gif)
Der Hauptunterschied zwischen etwas, was möglicherweise kaputtgehen könnte und etwas, was unmöglich kaputtgehen kann, besteht darin, dass sich bei allem, was unmöglich kaputtgehen kann, falls es doch kaputtgeht, normalerweise herausstellt, dass es unmöglich zerlegt oder repariert werden kann.
Douglas Adams
Douglas Adams
- cosinus
- Beiträge: 3468
- Registriert: 08.02.2016 13:44:11
- Lizenz eigener Beiträge: GNU General Public License
- Wohnort: Bremen
Re: secure boot
Achso, du meinst 2 hoch 64. Aber was genau bedeutet das "Pi" in deinem Text? Normalerweise hat Pi den Wert 3.14159265…
- Livingston
- Beiträge: 1482
- Registriert: 04.02.2007 22:52:25
- Lizenz eigener Beiträge: MIT Lizenz
- Wohnort: 127.0.0.1
Re: secure boot
Pi = Pebi =2^64 im Gegensatz zu P = Peta = 10^15
Der Hauptunterschied zwischen etwas, was möglicherweise kaputtgehen könnte und etwas, was unmöglich kaputtgehen kann, besteht darin, dass sich bei allem, was unmöglich kaputtgehen kann, falls es doch kaputtgeht, normalerweise herausstellt, dass es unmöglich zerlegt oder repariert werden kann.
Douglas Adams
Douglas Adams
- cosinus
- Beiträge: 3468
- Registriert: 08.02.2016 13:44:11
- Lizenz eigener Beiträge: GNU General Public License
- Wohnort: Bremen
Re: secure boot
Steht Pebi nicht für 2^50?
2^64 Sektoren wären 2^73 Bytes, also unglaubliche 8 Zebibytes (8192 Exbibytes) …![Shocked 8O](./images/smilies/icon_eek.gif)
2^64 Sektoren wären 2^73 Bytes, also unglaubliche 8 Zebibytes (8192 Exbibytes) …
![Shocked 8O](./images/smilies/icon_eek.gif)
Zuletzt geändert von cosinus am 05.02.2024 15:53:27, insgesamt 1-mal geändert.
Re: secure boot
Knapp daneben.
Pebi ist 2^50 = 1.12e15
1e18 ist Exa und das binäre Pendant ist 2^60 = 1 Exbi
- Livingston
- Beiträge: 1482
- Registriert: 04.02.2007 22:52:25
- Lizenz eigener Beiträge: MIT Lizenz
- Wohnort: 127.0.0.1
Re: secure boot
Äh... ja
Ich war grad noch in Gedanken bei der 64-Bit-Grenze in der GPT.
Ich war grad noch in Gedanken bei der 64-Bit-Grenze in der GPT.
Der Hauptunterschied zwischen etwas, was möglicherweise kaputtgehen könnte und etwas, was unmöglich kaputtgehen kann, besteht darin, dass sich bei allem, was unmöglich kaputtgehen kann, falls es doch kaputtgeht, normalerweise herausstellt, dass es unmöglich zerlegt oder repariert werden kann.
Douglas Adams
Douglas Adams
- cosinus
- Beiträge: 3468
- Registriert: 08.02.2016 13:44:11
- Lizenz eigener Beiträge: GNU General Public License
- Wohnort: Bremen
Re: secure boot
Das ist ja auch richtig, dass man mit GPT 2 hoch 64 Sektoren adressieren kannLivingston hat geschrieben:05.02.2024 15:56:02Ich war grad noch in Gedanken bei der 64-Bit-Grenze in der GPT.
![Smile :)](./images/smilies/icon_smile.gif)
BTW: hat eigentlich schonmal jemand Laufwerke gesehen, die nativ andere Sektorengrößen haben? Also die 4k-Sektoren wurden ja 2010 bei HDDs eingeführt und diese dann als Advanced Format bezeichnet. Aber die Plattenfirmware meldete dem Controller 512-Byte-Sektoren. Mit SSDs sind wir wieder nativ bei 512 Byte?