Auf der diesjährigen FOSDEM kündigte Lennart Poettering die Weiterentwicklung der TPM-basierten Sicherheitsfunktionen in systemd an. Die Vision eines neuen Linux nimmt immer mehr Gestalt an und könnte in den nächsten Jahren für einige Distributionen einen produktiv einsetzbaren Status erreichen.
Die Überlegungen von Lennart Poettering, wie Linux den heutigen Sicherheitsanforderungen vor allem im Enterprise-Segment besser gerecht werden und standardisierte Elemente wie TPM integrieren kann, sind nicht neu. Bereits 2021 stellte Poettering die Sicherheitsarchitektur von Linux öffentlich in Frage. Das erste Ergebnis war systemd-cryptsetup, das bereits mit dem TPM PCR#7 kombiniert werden kann. Nebenbei erleichtert es auch das Entsperren mittels FIDO2, was für diejenigen, die Vorbehalte gegenüber TPM haben, nicht uninteressant sein dürfte. Die Entwicklung ist kein Alleingang von Poettering, sondern offensichtlich für seinen ehemaligen Arbeitgeber Red Hat (IBM) und seinen aktuellen Arbeitgeber Microsoft relevant. Also zwei der wichtigsten Unternehmen im kommerziellen Linux-Sektor.
Der Hintergrund sollte klar sein. Mobil und auf dem Desktop ist Linux irrelevant (nein, dass Android einen Linux-Kernel verwendet ändert daran nichts). Im Enterprise-Segment ist Linux aber erfolgreich und hier muss man zusehen, dass man auf der Höhe der Zeit bleibt und aktuelle (wir reden nun wirklich nicht von zukünftigen Bedrohungen) Sicherheitsanforderungen bedient werden. Privatanwender müssen es nicht nutzen und werden es ohne Eigeninitiative wohl auch in den nächsten Jahren nicht in ihren Distributionen finden. Selbst Entwicklungen wie systemd-homed oder systemd-cryptenroll sind letztlich noch experimentell und müssen manuell installiert werden. Schließlich ist keine Distribution gezwungen, alle systemd-Komponenten zu verwenden.
Auf der FOSDEM 2023 kündigte Poettering nun an, diesen Weg weiter zu beschreiten. Dabei soll systemd gewissermaßen ein eigenes Toolkit für TPM erhalten. Voraussetzung dafür sind die aktuellen Entwicklungen hin zu sogenannten unveränderbaren Linux-Systemen wie Fedora Silverblue, Kinoite oder die neue Entwicklungsrichtung von SUSE. Diese imagebasierten Distributionen erlauben in Kombination mit TPM die Verwendung von drei PCRs, um die Integrität des Systems zu garantieren.
Dagegen rührt sich natürlich mal wieder Widerstand. Ein Kommentar auf Heise hat das gut zusammen gefasst:
Die Kommentare gegen dieses Konzept, die ich hier lese, sind meistens emotionaler Art und weniger technisch argumentiert, kommt mir vor. Igitt systemd, igitt Lennart, igitt Microsoft. Solche Argumente finde ich nicht hilfreich noch fundiert. Wenn schon Gegenargumente, dann gut begründet machen und im besten Fall bessere Alternativen aufzeigen. Aber aus dem Rückenmark einfach nur ablehnen zeugt nicht von Substanz.
Kommentar zu FOSDEM 2023: Eine Festung mit Systemd und TPM-Chip
Eine ganze Generation von Linux-Admins hat sich meiner Ansicht nach jahrelang erfolgreich eingeredet Avantgarde zu sein und hat nun Angst, dass ihr angestaubtes Wissen sie nicht mehr bis zur Rente trägt. Tut einem natürlich menschlich leid, aber gerade im IT-Bereich sollten gefühlte Probleme keine validen Argumente darstellen. Schade ist natürlich, dass das eine oder andere valide Argument im allgemeinen FUD untergeht. Im systemd-Bereich und rund um gar nicht mehr so neue Komponenten wie secure boot oder TPM wird vor allem in Deutschland unfassbar viel Mist gestreut.
Dabei ist es doch toll, dass sich Entwickler mit diesen Themen beschäftigen und versuchen Linux weiter zu bringen. Das sind nämlich meiner Ansicht nach sehr spannende Entwicklungen und ich freue mich schon, wenn das mit modernen Distributionen wie Fedora getestet werden kann. Meiner Meinung nach stellen die Entwicklungen im Umfeld von Red Hat in den letzten Jahren die einzigen substanziellen Fortschritte für Linux dar.
