Kritik an der Firmware-Politik der Open Source Foundation

Ariadne Conill, Schöpferin des Audacious-Musikplayers, Initiatorin des IRCv3-Protokolls und Leiterin des Alpine-Sicherheitsteams LinuxAriadna kritisierte die Richtlinien der Open Source Foundation (OSF) zu proprietärer Firmware und Mikrocode sowie die Regeln der Initiative „Respect Your Freedom“, die Geräte zertifizieren soll, die den Anforderungen an Datenschutz und Nutzerfreiheit entsprechen. Laut Ariadna beschränkt die OSF-Richtlinie die Nutzer auf veraltete Hardware, verleitet Hersteller, die eine Zertifizierung anstreben, zu unnötig komplexen Hardwarearchitekturen, behindert die Entwicklung freier Alternativen zu proprietärer Firmware und erschwert die Anwendung angemessener Sicherheitsmaßnahmen.

Das Problem liegt darin, dass das „Respect Your Freedom“-Zertifikat nur für Geräte erhältlich ist, deren mitgelieferte Software kostenlos sein muss, einschließlich der über die Haupt-CPU geladenen Firmware. Gleichzeitig kann die auf zusätzlichen eingebetteten Prozessoren verwendete Firmware geschützt bleiben, sofern sie nach der Auslieferung des Geräts keine Updates erfordert. Beispielsweise muss das Gerät mit einem kostenlosen BIOS ausgeliefert werden, der vom Chipsatz in die CPU geladene Mikrocode, die Firmware für die E/A-Geräte und die Konfiguration der internen FPGA-Verbindungen können jedoch geschützt bleiben.

Es entsteht die Situation, dass das Gerät kein Zertifikat der FOSS Foundation erhalten kann, wenn während des Initialisierungsprozesses durch das Betriebssystem proprietäre Firmware geladen wird. Wird die Firmware für dieselben Zwecke jedoch von einem separaten Chip geladen, kann das Gerät zertifiziert werden. Dieser Ansatz gilt als fehlerhaft, da im ersten Fall die Firmware sichtbar ist, der Benutzer das Laden kontrolliert, davon Kenntnis hat, ein unabhängiges Sicherheitsaudit durchführen und, falls ein kostenloses Analogon erscheint, dieses problemlos austauschen kann. Im zweiten Fall ist die Firmware eine schwer überprüfbare Blackbox, von der der Benutzer möglicherweise nicht einmal weiß und fälschlicherweise glaubt, die gesamte Software unter seiner Kontrolle zu haben.

Als Beispiel für Manipulationen zur Erlangung eines „Respects Your Freedom“-Zertifikats wird das Smartphone Librem 5 genannt. Um das FOSS-Konformitätslabel für Marketingzwecke zu erhalten und zu nutzen, verwendeten dessen Entwickler einen separaten Prozessor zur Initialisierung der Hardware und zum Laden der Firmware. Nach Abschluss der Initialisierungsphase wurde die Steuerung auf die Haupt-CPU übertragen und der Hilfsprozessor deaktiviert. Dadurch hätte das Zertifikat zwar formal erlangt werden können, da Kernel und BIOS keine Binärblobs geladen hatten, aber abgesehen von unnötigen Komplikationen hätte sich nichts geändert. Interessanterweise erwiesen sich all diese Komplikationen letztendlich als vergeblich, und Purism konnte das Zertifikat nie erhalten.

Die Empfehlungen der Free Software Foundation zur Verwendung des Kernels führen auch zu Sicherheits- und Stabilitätsproblemen. Linux Libre- und Libreboot-Firmware, bereinigt von in die Hardware geladenen Blobs. Die Befolgung dieser Empfehlungen kann zu verschiedenen Fehlfunktionen führen, und das Ausblenden von Warnungen bezüglich notwendiger Firmware-Updates kann ungepatchte Fehler und potenzielle Sicherheitsprobleme zur Folge haben (beispielsweise bleibt das System ohne Firmware-Update anfällig für Meltdown- und Spectre-Angriffe). Firmware-Updates zu deaktivieren erscheint absurd, da die eingebettete Version derselben Firmware, die Schwachstellen und ungepatchte Fehler enthält, bei der Chip-Initialisierung geladen wird.

Eine weitere Beschwerde betrifft die Unmöglichkeit, für moderne Geräte ein „Respect Your Freedom“-Zertifikat zu erhalten (das neueste Modell zertifizierter Laptops stammt aus dem Jahr 2009). Die Zertifizierung neuerer Geräte wird durch Technologien wie Intel ME erschwert. Beispielsweise verfügt der Framework-Laptop über eine offene Firmware und zielt auf volle Benutzerkontrolle ab. Es ist jedoch unwahrscheinlich, dass die FOSS Foundation dies jemals empfehlen wird, da Intel-Prozessoren mit Intel-ME-Technologie verwendet werden (um die Intel Management Engine zu deaktivieren, können Sie alle Intel-ME-Module aus der Firmware entfernen, die nicht mit der anfänglichen Initialisierung der CPU zusammenhängen, und den Hauptcontroller von Intel ME mithilfe einer nicht dokumentierten Option deaktivieren, wie dies bei System76 und Purism in ihren Laptops der Fall ist).

Ein weiteres Beispiel ist der Novena-Laptop, der gemäß den Prinzipien von Open Hardware entwickelt und mit Open-Source-Treibern und -Firmware geliefert wurde. Da die GPU und das WLAN im Freescale i.MX 6 SoC das Laden von Blobs erforderten, obwohl sich noch keine fertigen kostenlosen Versionen dieser Blobs in der Entwicklung befanden, verlangte die FOSS Foundation für die Novena-Zertifizierung die mechanische Deaktivierung dieser Komponenten. Schließlich wurden kostenlose Ersatzkomponenten entwickelt und den Benutzern zur Verfügung gestellt, doch die Zertifizierung hätte den Benutzern die Möglichkeit genommen, diese zu nutzen, da die GPU und das WLAN, für die es zum Zeitpunkt der Zertifizierung keine kostenlose Firmware gab, bei Lieferung mit einem „Respect Your Freedom“-Zertifikat physisch deaktiviert werden mussten. Daher weigerte sich der Novena-Entwickler, sich der „Respect Your Freedom“-Zertifizierung zu unterziehen, und die Benutzer erhielten ein vollwertiges und kein abgespecktes Gerät.

Source: opennet.ru