Door Anoniem: Door Anoniem: Door Anoniem: Door Anoniem: Door Anoniem: Kijkend naar bedrijven waar ik werk, zijn up-to-date drivers/firmware van de hardware ook heel belangrijk.
Dus overstappen naar een ander OS zal mogelijk een gedeelte van het probleem oplossen, maar niet alles.
Ondersteuning op niet ondersteunde hardware is vaak al not done in het bedrijfsleven. (tenminste als je security serieus neemt).
Overstappen op Linux betekent dat je niet meer afhankelijk bent van de hardware leverancier want die levert alleen voor Windows drivers en niet voor Linux. Linux lost dat zelf op waardoor ook oude hardware gewoon ondersteund wordt en probleemloos en veilig kan werken.
Misschien regelt Linux een correcte werking van de hardware, maar zou het vreemd vinden als Linux ook de HP/Dell/Lenovo firmware (BIOS/UEFI) gaat updaten? (dat terwijl de leveranciers deze updates zelf ook al niet meer aanbieden).
BIOS/UEFI updates zijn ook heel belangrijk, los van het operating systeem dat erop draait.
Alleen een up-to-date operating systeem is niet voldoende, als je security serieus neemt moet je de hele keten (dus ook de hardware firmware) updaten...
Paar voorbeelden die alleen opgelost worden door een BIOS update. (oftewel alleen op ondersteunde apparaten, oude krijgen geen firmware updates meer...):
- https://www.dell.com/support/kbdoc/en-us/000220797/dsa-2024-036-security-update-for-dell-platform-bios-multiple-third-party-component-vulnerabilities
- https://www.dell.com/support/kbdoc/en-us/000217986/dsa-2023-344-security-update-for-dell-client-bios-multiple-tianocore-edk2-vulnerabilities
- https://www.dell.com/support/kbdoc/en-us/000217983/dsa-2023-364-security-update-for-dell-client-bios-for-intel-platform-update-2024-1-advisories
Dit soort firmware updates heb je ook voor HP/Lenovo en andere merken...
Lijkt mij dat Linux dit soort vulnerabilities niet oplost, andere operating systemenen ook niet (dus ook niet up-to-date W11 systeem).
Onder Linux kan je inderdaad de firmware geheel automatisch (bv met ansible) updaten. De firmware updates worden eerst geupload door een OEM or ODM leverancier naar de Linux Vendor Firmware Service. Daar wordt het ge-checked/signed etc en toegevoegd aan de metadata catalog die weer wordt gedownload door fwupdmgr of bv gnome-software GUI,
Chromebooks gebruiken niet eens BIOS/UEFI) maar Coreboot (vroeger LinuxBIOS) hetgeen een veel snellere open BIOS-implementatie is.
Ik weet dat dit via Linux kan...dat is niet het probleem.
Het gaat erom dat hardware leveranciers na 5 jaar vanaf introductie datum deze firmware updates niet meer aanbieden.
Dus een OEM leverancier zal dit dan ook niet meer naar de Linux Vendor Firmware Service.
Waar het mij om ging is dat Windows 10 end-of-life is in Oktober 2025, maar waarschijnlijk de hardware al eerder end-of-life is gegaan bij de hardware leverancier, dus waarschijnlijk al geen firmware/driver updates meer krijgt vanuit de OEM.
Dus operating systeem maakt nog geen eens meer uit in dit geval...
Zelfs al zou je een Windows 10 LTSC gebruiken die nog wel supported is, of Windows 10 ESU voor jaar erbij koopt, of over stapt op een ander OS, die hardware is allang out-of-support bij je OEM leverancier...
Operating systeem is een onderdeel in die up-to-date wilt houden, maar ook de hardware moet ondersteund zijn om nog firmware en/of drivers vanuit de OEM leverancier te krijgen.
Dus als je alleen een supported OS hebt (ongeacht welke), mis je toch nog een stukje veiligheid garantie omdat je hardware end-of-life is... (bedrijven waar ik werk is dit dus not done, moet altijd supported hardware zijn).
Nu moet je toch eens vertellen waarom je je zo druk maakt over hardware end-of-life voor pc's en of laptops? Er is geen hardware leverancier die hier een uitspraak over doet, het kan zelfs zijn dat als je net een nieuw systeem hebt aangekocht dat er geen afdoende hardware support is tenzij het server hardware betreft.
Ga zoeken op het Internet en je zult versteld staan hoe slecht support er is voor BIOS en UEFI updates voor eindgebruikers systemen.
Windows 10 systemen kunnen perfect overgezet worden op Linux en zijn dan veiliger dan dat ze ooit geweest zijn.
Omdat als je security serieus neemt niet alleen moet kijken naar het operating systeem, maar naar een hele keten. (Zero Trust), dus naar het totaal plaatje:
- Hardware Security (Je operating systeem draait hierop, als deze laag al niet in orde is, maakt het operating systeem niets uit).
- Operating System Security
- Application Security (ook je applicaties moeten up-to-date zijn en goed geconfigureerd)
- Identity
- Privacy
- Cloud Services
Eindgebruikers werken tegenwoordig overal via het internet, alleen je operating systeem up-to-date houden is niet voldoende, dus ook o.a. je hardware:
Today’s ever-evolving threats require strong alignment between hardware and software
technologies to keep users, data, and devices protected. The operating system alone cannot
defend against the wide range of tools and techniques cybercriminals use to compromise a
computer. Once they gain a foothold, intruders can be difficult to detect as they engage in
multiple nefarious activities ranging from stealing important data and credentials to implanting
malware into low-level device firmware. Once malware is installed in firmware, it becomes
difficult to identify and remove.
Dell/Lenovo/HP weet ik uit ervaring dat ze drivers/firmware updates garanderen x-aantal jaar vanaf introductie datum.
Dell/HP is dit ongeveer 5 jaar, Lenovo is dit ongeveer 7 jaar.
Veel gesprekken gehad met deze leveranciers hierover, andere leveranciers zou ik het niet weten.