Was ist der Bootloader?
Der Bootloader ist das erste Programm, das beim Einschalten eines Android-Geräts ausgeführt wird. Er initialisiert die Hardware und prüft die Authentizität des Betriebssystems, bevor er die Kontrolle an dieses übergibt. Er steuert, ob das System mit vertrauenswürdiger oder nicht vertrauenswürdiger Software booten kann.
Den Bootloader entsperren
Durch die Entsperrung des Bootloaders werden die Herstellerbeschränkungen aufgehoben und die Benutzer können benutzerdefinierte Firmware (wie ROMs, Kernel und Wiederherstellungen) flashen. Dies gewährt die volle Kontrolle über das Gerät, verringert jedoch dessen Sicherheit erheblich.
Wenn der Bootloader entsperrt ist:
- kann das Gerät kann unsignierte oder modifizierte Betriebssysteme booten.
- ist Verified Boot deaktiviert oder wird umgangen.
- wird in der Regel ein Werksreset ausgelöst, um vorhandene Daten zu schützen.
- kann der Verschlüsselungsschutz untergraben werden, wenn bösartige Software installiert wird.
Den Bootloader wieder sperren
Durch das erneute sperren des Bootloaders werden die ursprünglichen Sicherheitskontrollen wiederhergestellt:
- Das Gerät bootet nur Firmware, die vom Hersteller digital signiert ist.
- Verified Boot wird wieder aktiviert, um die Systemintegrität zu gewährleisten.
- In der Regel wird ein Werksreset durchgeführt, um alle Reste von nicht vertrauenswürdigem Code oder Daten zu entfernen.
Was Verified Boot macht
Verified Boot erzwingt eine Vertrauenskette vom Bootloader bis zum Betriebssystem. Sie stellt sicher, dass jede Phase des Bootvorgangs signiert und unverändert ist. Wenn eine Manipulation festgestellt wird:
- kann das Gerät das Booten verweigern oder eine Warnung anzeigen.
- hilft es zu verhindern, dass hartnäckige Malware während des Starts geladen wird.
- stellt es sicher, dass nur vertrauenswürdige Software auf Benutzerdaten zugreifen kann.
Sicherheit im Vergleich: Gesperrter vs. entsperrter Bootloader
| Aspekt | gesperrter Bootloader | entsperrter Bootloader |
|---|---|---|
| Boot-Integritätschecks | Verified Boot erzwingen | Umgeleitet oder deaktiviert |
| Änderung des Betriebssystems | Nicht erlaubt (nur signierte Images) | Erlaubt (kann jedes Image flashen) |
| Custom ROMs | Nicht erlaubt | erlaubt |
| Schutz vor Firmware-Manipulationen | Stark – Manipulation blockiert Boot | Schwach – modifizierte Firmware kann gebootet werden |
| Sicherheit des Verschlüsselungsschlüssels | Hoch – gebunden an Hardware- und Betriebssystemintegrität | Niedriger – kann mit modifiziertem Betriebssystem erreicht werden |
| App Security Trust | Vollständig – ermöglicht Anwendungen wie Google Wallet | Eingeschränkt – einige Anwendungen werden möglicherweise nicht ausgeführt |
| Risiko von persistenter Malware | Niedrig | Höher – bösartige Firmware kann fortbestehen |
| Geräte-Reset bei Änderung | Ja – Wiederverriegelung oder Entsperrung löscht Daten | Ja – Entsperrung löst Werksreset aus |
Kann ein entsperrter Bootloader aus der Ferne angegriffen werden?
Nicht direkt.
Ein entsperrter Bootloader an sich führt nicht zu einer Fern-Schwachstelle. Allerdings erhöht er das Risiko im Falle eines lokalen oder kettenbasierten Angriffs erheblich:
- Lokales Angriffsrisiko:
Wenn jemand physischen Zugriff auf das Gerät hat, kann er bösartige Firmware flashen, Daten extrahieren oder Sicherheitsmechanismen aushebeln. - Verstärkung eines Fernangriffs:
Wenn das Gerät aus der Ferne kompromittiert wird (über Malware oder einen Zero-Day), kann der Angreifer:- leichteren Root-Zugriff erlangen.
- persistente Malware auf Firmware-Ebene zu installieren, die andernfalls von Verified Boot auf einem gesperrten Gerät blockiert werden würde.
- die Erkennung oder den Widerstand von Standard-Sicherheitsprüfungen umgehen.
Auch wenn der entsperrte Bootloader selbst keine Sicherheitslücke darstellt, vergrößert er doch die Folgen einer Kompromittierung aus der Ferne, insbesondere in Bezug auf Persistenz und Heimlichkeit.
Bootloader-Wiederverriegelung in iodéOS
Einige Hersteller gestatten die Neusperrung des Bootloaders, andere nicht.
Die Neusperrung des Bootloaders kann eingeschränkt sein, da einige Geräte Sicherheitsmechanismen verwenden, die eine Neusperrung dauerhaft verhindern, um potenzielle Probleme zu vermeiden, wie z. B. das Zerstören des Geräts oder die Beeinträchtigung der Geräteintegrität. Darüber hinaus deaktivieren die Hersteller manchmal die Wiederverriegelung, um die Garantie zu wahren oder proprietäre Einschränkungen durchzusetzen.
Details dazu, auf welchen unserer unterstützten Geräte der Bootloader wieder gesperrt werden kann, findest du hier:
https://iode.tech/de/offiziell-von-iodeos-unterstutzte-gerate/
