Aus Sicherheitsgründen ist es ratsam neben dem regelmäßigen Aktualisieren des Betriebssystems und der dazugehörigen Anwendungssoftware auch die (Hardware-)Firmware seines Rechners aktuell zu halten. Unter Linux nutze ich hierfür fwupd mit Gnome Firmware als GUI. Im Normalfall erfordern die Firmware-Updates einen Neustart, bei welchem dann die fwupd-EFI-Datei anstelle des Betriebssystems geladen wird. Wer wie ich UEFI-Secure-Boot mit eigenen Schlüsseln (Keys) verwendet, muss hierzu jedoch sicherstellen, dass diese fwupd-EFI-Datei entsprechend mit dem eigenen Secure-Boot-Key signiert ist. Wie ich das unter Arch Linux bewerkstelligt habe, erfahrt in diesem Beitrag.
fwupd: Firmware aktualisieren mit aktiviertem Secure Boot und eigenen Secure-Boot-Schlüsseln
Linux: Firmware-Sicherheit mittels fwupd auf Basis der HSI-Spezifikation überprüfen
Für Linux-Systeme gibt es mit fwupd eine einfache Möglichkeit, die Firmware des eigenen Rechners zu aktualisieren. Voraussetzung ist, dass der jeweilige Hersteller des eigenen Rechners über LVFS die entsprechenden Firmware-Aktualisierungen bereitstellt.
Zusätzlich haben die Entwickler hinter LVFS/fwupd die sogenannte Host Security ID Specification (HSI) entwickelt. Diese Spezifikation definiert gewisse Bedingungen, die ein System bzw. die dazugehörige Firmware erfüllen muss, um einen bestimmten Grad - von HSI:0 (unsicher) bis HSI:5 (nachweislich sicher) - an Sicherheit zu gewährleisten. Um das eigene System zu überprüfen, stellt fwupd einen entsprechenden Konsolenbefehl bereit, welcher euch dann übersichtlich die Ergebnisse der Überprüfungen anzeigt und euch mitteilt, welchen Grad an Sicherheit euer System aufweist.