Anleitungen, die zeigen, wie man TPM 2.0 und Secure Boot in Windows 11 umgeht, gibt es im Netz viele. Auch Werkzeuge, die beide Anforderungen automatisch deaktivieren, sind bereits verfügbar, etwa beim Erstellen eines Installations-USBs. Ein Teil von Microsofts Arbeit ist jedoch zu erklären, warum TPM 2.0 und Secure Boot in Windows 11 nötig sind. Genau das tut ein 17-minütiges Video von Microsoft Mechanics, das Anfang Oktober erschienen ist und beide Technologien eingehend untersucht – ein Blick lohnt sich.
Die andere Seite der Medaille
Die Entscheidung von Microsoft ist umstritten, daran zweifelt niemand. Von der sofortigen Spaltung der Nutzerbasis bis zur Empfehlung, neue Geräte zu kaufen mitten in der Halbleiterkrise: Windows 11 hat gezeigt, dass Taktgefühl und Kommunikation in Redmond weiterhin Schwächen haben. Jetzt, da das neue Betriebssystem da ist, will Microsoft seinen Nutzern die wichtigsten Gründe vermitteln, warum TPM 2.0 und Secure Boot in Windows 11 notwendig sind – oder besser gesagt „empfohlen“
Das bringt uns zu einem Video auf Microsoft Mechanics, einem offiziellen YouTube-Kanal des Unternehmens. Dort erscheint normalerweise Content für IT-Profis, aber dieses 17-minütige Video leistet gute Arbeit, um die direkten Vorteile dieser Sicherheitstechnologien einem breiteren Publikum zu beschreiben – inklusive einiger Angriffe als Demonstration.
TPM 2.0 und Secure Boot in Windows 11, von Microsoft erklärt
- Der erste Angriff nutzt die RDP-Exposition im Internet. Zuerst lokalisiert das Ziel mit Shodan, dann kommt Kali Linux zum Einsatz und schließlich nutzt Hydra einen Brute-Force-Angriff mit einer Datenbank gängiger Passwörter. Die Simulation dauert nur wenige Sekunden, aber ein Brute-Force-Angriff kann sich über Tage hinziehen und ist blind kaum praktikabel. Mit vollem Zugriff injiziert der Angreifer seine Payload.
- Der zweite Angriff zielt direkt auf ein Gerät ohne virtualisierungsbasierte Sicherheit (VBS). Mit Hilfe eines Zubehörs, das auf PCILeech basiert, gelingt es dem Angreifer, den Code zur biometrischen Authentifizierung für Fingerabdrücke zu ändern oder zu ersetzen, sodass er mit etwas so Einfachem wie einem Gummibärchen ins System gelangt. VBS macht diese Möglichkeit zunichte, indem es grundlegende Elemente (Schlüssel, Signaturen usw.) getrennt von der Standardsitzung durch Hardware isoliert. Mit aktivierter Funktion wird der Angriff neutralisiert.
- Die nächste Phase erläutert die Rolle von TPM 2.0: Es schützt Verschlüsselungsschlüssel, Benutzeranmeldeinformationen und andere sensible Daten mit einer Hardware-Barriere. Dabei erinnert das Video daran, dass viele Geräte bereits TPM 2.0 unterstützen – das Video selbst spricht von „Computer aus den letzten fünf Jahren“ –, aber die Funktion oft im UEFI deaktiviert ist. Viele Nutzer können Windows 11 ohne Probleme installieren, indem sie sie nur aktivieren.
- Die Kombination aus UEFI, Secure Boot und Trusted Boot blockiert Angriffe wie im ersten Beispiel und minimiert den Schaden, wenn das Gerät bereits kompromittiert ist. Im Video wird gezeigt, wie man Secure Boot aktiviert – was wiederum erfordert, den Legacy Mode oder CSM zu deaktivieren. Änderungen an der Startreihenfolge werden abgelehnt, und das Gerät kehrt zu einem normalen Windows-11-Login zurück.
Kleine Details
Einer der interessantesten Aspekte erscheint am Ende des Videos: Dort räumen sie im Wesentlichen ein, dass die erhöhten Sicherheitsmaßnahmen die Leistung des Geräts beeinträchtigen können – und hier kommen die neuen Chips von Intel und AMD ins Spiel. Darüber hinaus sind alle Sicherheitsanforderungen von Windows 11 unter Windows 10 optional und können vom Nutzer nach Belieben aktiviert werden.
Was die Angriffe betrifft, ist Folgendes anzumerken: Einerseits zeigen viele der von Shodan präsentierten Ergebnisse, dass RDP auf Computern mit Windows 8.1 oder älter exponiert ist – das Problem ist also nicht neu. Und andererseits ist ein Gerät, zu dem ein Angreifer physischen Zugriff hat, von vornherein als kompromittiert zu betrachten. Kurzum: Zusätzliche Informationen schaden nie, und die Idee ist, dass der Nutzer eine größere Entscheidungsmacht hat, ob er nun ein neues Gerät kaufen oder die Lebensdauer voll funktionsfähiger Hardware verlängern möchte.
Quelle: Microsoft Mechanics auf YouTube.
