Hallo zusammen,
bei unserem Smartphone achten wir als sicherheitsbewusste Menschen darauf, wie lange der Hersteller Sicherheitsupdates für die Hardware bereitstellt 
Inwiefern sollte man bei der Auswahl eines Notebooks, bzw. Desktops darauf achten? Ich denke hier nicht an Updates des Betriebssystems (bekommen wir dann ja von der jeweiligen Distro), sondern an Updates für Treiber und BIOS/UEFI. Kann ich mir die Info einholen, wie lange ein bestimmter Hersteller Updates nachliefert? Welche Gefährdung besteht, wenn es keine Updates mehr gibt?
Danke schon mal vorab
Hardware hat oft Sicherheitslücken, die durch Firmware Updates entdeckt und behoben werden. Das gilt auch für Desktop Hardware.
Die Problematik von EoL Geräte ist so ziemlich die gleiche wie die im mobilen Bereich.
Das hängt vom jeweiligen Hersteller ab.
Bei Dell kann man im Online Support nachschauen wann das jeweilige Gerät EoL ist (bei Lenovo und HP meines Wissens nach auch)
MS Surface Notebooks bekommen 6 Jahre Firmware Updates.
1 „Gefällt mir“
Ja, sollte man. Auf dem Smartphone hat es aber insofern noch eine etwas stärkere Bedeutung aufgrund der erhöhten Mobilität und allem was damit einhergeht wie Diebstahlrisiko, Interaktion mit deutlich mehr WLANs, Bluetooth, Mobilfunk usw, was alles in den Bereich von Vendorupdates fällt. Aufgrund des monolithischen Designs des Linux-Kernels, ist Treibersicherheit aber generell sehr wichtig. Weil der Treiber für die Interaktion mit der Hardware zuständig sind und geteilte Speicherbereiche häufig nicht als so nicht-vertrauenswürdig behandelt werden wie es eigentlich gut wäre, bekommt die Hardware-/Firmwaresicherheit noch einmal eine andere Bedeutung.
Wirf mal einen Blick in die letzten Meldungen zu Schwachstellen in Firmware, z.B:
https://www.heise.de/news/Sicherheitsupdates-BIOS-Luecken-gefaehrden-Dell-Computer-9882510.html
Attacken sind aber nicht ohne Weiteres möglich: In einem Fall müssen Angreifer authentifiziert sein und im anderen Fall benötigen sie lokalen Zugriff auf verwundbare Computer.
oder
https://www.heise.de/news/BIOS-Update-Angreifer-koennen-Secure-Boot-auf-Alienware-Notebooks-deaktivieren-9851284.html
Für eine erfolgreiche Attacke benötigt ein lokaler Angreifer aber Dell zufolge bereits hohe Nutzerrechte. Ist das gegeben, könne er die Schutzfunktion Secure Boot umgehen und Schadcode ausführen.
Der Vergleich ist schwierig, weil bei Smartphones das System auf die jeweilige Hardware zugeschnitten ist und Updates dann Hard- und Software umfassen. Das ist bei Geräteunabhängigen Systemen nicht so - nutze ich Windows, bin ich für Treiberupdates immer noch auf den Hersteller angewiesen, unter Linux nicht. Da hab ich aus der Vergangenheit deutlich mehr Vertrauen in die Kernel-Entwickler, dass Schwachstellen auch behoben werden, als in irgendeinen Hersteller.
Dann bleibt noch die Firmware, was die Angriffsfläche schon mal deutlich verkleinert. Da gibt es bisher kaum feste Zusagen, wir lange das gepflegt wird - nicht mal bei „Marken“ wie HP oder DELL. Die Logofail-Lücke wurde dann doch relativ breit gepatcht, wo sonst nix kommt, das entscheiden die offenbar auch von Fall zu Fall.
Vendoren wie Dell, Lenovo, HPE und Co stellen selbst über die Jahre noch Updates zur Verfügung. So bekomme ich selbst noch relativ aktuelle UEFIs/BIOS für mein T Series.
Bei anderen Herstellern von Boards sieht das in der Regel leider ganz anders aus. Vor allem bei Mainboards im unteren Preissegment. Ein 500 Schleifen Mainboard, wird deutlich mehr updates bekommen als das für 80€. Das ist zumindest meine Beobachtung über die Jahre. Mein relativ neues Board bekommt monatlich Alpha und Beta updates und alle paar Monate dann eine Final vom Hersteller.
Ich finde sowas hier toll: https://www.heise.de/news/Z690-Mainboard-kommt-mit-quelloffenem-Coreboot-vorinstalliert-7549377.html
Nicht gerade günstig. Aber je nach Coreboot implementation eine schöne Sache ohne Bloat.
1 „Gefällt mir“
Alles klar, vielen dank für die Infos. Das werde ich beim Neukauf meines Notebooks auf alle Fälle mit in die Entscheidung einbeziehen.