Die Firma Minix aus Hongkong liefert den Mini-PC NEO Z64W mit vorinstalliertem Windows 8.1 oder Windows 10 aus. Die Update-Funktion von Windows 10 sorgte zumindest bei einigen dieser Rechner für einen Totalausfall: Sie installiert ohne Zutun der Nutzer ein falsches UEFI-BIOS, mit dem der NEO Z64W nicht mehr startet.
Nach einer Analyse der Firma Minix steckt die falsche Firmware in einem Windows-Update-Paket namens "Techvision Corp. Ltd. driver update for System Firmware". Dieses hat anscheinend die chinesische Firma Techvision, die unter anderem Windows-Tablets herstellt, bei Microsoft für das Windows-Update eingereicht.
Die Firmware, ein 32-Bit-UEFI-BIOS von AMI, ist wohl ebenfalls für Systeme mit Intel Atom Z3735F (Bay Trail-T) gedacht. Sowohl Minix als auch Techvision scheinen dieselbe Standard-ID des AMI-BIOS unverändert belassen zu haben, weshalb das Firmware-Update-Tool nicht zwischen den Systemen unterscheiden kann. Offenbar stecken im Techvision-BIOS aber Einstellungen, mit denen der Minix NEO Z64W nicht booten kann.
Wohl nur Minix betroffen
Nach Informationen von heise online sind derzeit keine anderen Systeme mit Bay-Trail-Technik beziehungsweise Atom Z3735F von dem Firmware-Update-Fehler unter Windows 10 betroffen. Nach Informationen im Minix-Supportforum liefert Windows Update das falsche Firmware-Update auch nicht mehr aus.
Minix überlegt derzeit, wie betroffene Systeme repariert oder ausgetauscht werden können. Der SPI-Flash-Chip mit dem (UEFI-)BIOS-Code ist fest verlötet.
Firmware-Update per Windows Update
Die Firmware-Update-Funktion für Tablets per Windows Update hatte Microsoft mit Windows 8 eingeführt. Diese "System and device firmware updates via a firmware driver package" waren ursprünglich vor allem für die mittlerweile ausgestorbenen Windows-RT-Tablets mit ARM-SoCs gedacht. Intels Bay-Trail-Plattform mit Tablet-SoCs wie dem Atom Z3735F zielte auf ähnliche Tablets, bloß mit x86-Mikroarchitektur.
Für diese "Always-On"-Systeme, die genau wie Android- und iOS-Tablets ständig empfangsbereit sind – etwa für Push-Nachrichten via WLAN, UMTS oder LTE –, hat Microsoft besonders scharfe Vorgaben gemacht: Hier ist UEFI Secure Boot etwa nicht abschaltbar und etwaige JTAG-Anschlüsse für den Zugriff auf die Hardware müssen bei Seriengeräten deaktiviert sein. Treiber sollen möglichst per Windows Update eingespielt werden, um Sicherheitslücken und Installationsfehler zu vermeiden. Durch kryptografische Signaturen und Hardware-IDs lässt sich das theoretisch auch realisieren.
Lücke im (Update-)System
Die schönste Theorie nützt aber wenig, wenn die Hardware-Hersteller patzen. Die Firma Minix hatte vor dem Einsatz des Atom Z3735F möglicherweise wenig Erfahrung mit x86- und Windows-Technik: Das Unternehmen lieferte vorher unter anderem Android-Sticks und Streaming-Boxen mit ARM-SoCs.
Intel verkauft den Atom Z3735F, der im Prinzip auch 64-Bit-Code ausführen kann, offenbar besonders billig: Er taucht schon in Geräten für weniger als 100 Euro inklusive RAM, Flash-Speicher und Windows-Lizenz auf, in Tablets auch inklusive Akku und Bildschirm. Offiziell unterstützt der Atom Z3735F maximal 2 GByte RAM. Der Chip steckt auch in Billig-Notebooks und HDMI-Stick-PCs.
Billig mit Einschränkungen
Praktisch alle Billigrechner mit dem Atom Z3735F verwenden ein 32-Bit-UEFI-BIOS ohne Compatibility Support Module (CSM), welches BIOS-Kompatibilität herstellen könnte. Deshalb lässt sich kein 64-Bit-Windows installieren und auch die Linux-Installation ist schwierig. Der Atom Z3735F kann eigentlich problemlos auch mit einem 64-Bit-UEFI starten, wie Intel selbst beim HDMI-Stick-PC mit vorinstalliertem Ubuntu zeigt.
Dass die meisten Geräte mit Atom Z3735F trotzdem ein 32-Bit-UEFI-BIOS verwenden, deutet darauf hin, dass Intel es für solche Geräte empfiehlt oder mit dem Zulieferer AMI besonders geringe Lizenzgebühren ausgehandelt hat. Für solche Tablets, Notebooks und Mini-PCs mit auch sonst beschränktem Funktionsumfang erhalten die jeweiligen Hersteller auch die Windows-8- und Windows-10-Lizenzen besonders günstig.
Quelle: Windows-Update macht Minix-PC unbrauchbar | heise online