Eine groß angelegte Sicherheitsstudie kommt zu wenig erfreulichen Ergebnissen. Demnach wird eine beachtliche Anzahl von Macs mit veralteten und unsicheren EFI-Versionen betrieben. Für zahlreiche Sicherheitslücken existieren seit geraumer Zeit Exploits - teilweise schon seit Jahren (z.B. Thunderstrike und Thunderstrike 2). Das Sicherheitsunternehmen Duo Security hatte 73.000 Macs untersucht, 4,2 Prozent dieser Macs setzte auf veraltete EFI-Versionen. Dies ist teilweise Schuld von Nutzern, die keine Updates durchführen - allerdings macht Duo Security auch Apple für den Umstand verantwortlich.


Apple äußerte sich zu den Ergebnissen und betonte, die Arbeit von Duo Security zu schätzen. Firmware-Sicherheit sei für Apple ein besonders wichtiges Gebiet und man arbeite daran, ständig weitere Verbesserungen zu erzielen. Ein wesentlicher Schritt sei, dass mit High Sierra beispielsweise damit begonnen werde, die Firmware auf dem Mac einmal wöchentlich zu validieren. Das Sicherheitsfeature trägt die Bezeichnung "eficheck", allerdings ist noch nicht im Detail bekannt, was dieses Tool genau leistet. Duo Security konnte beispielsweise keine Hinweise darauf finden, ob und in welcher Form Nutzer Warnungen vor veralteter Firmware erhalten.

Vor zwei Jahren hatte Apple die Verteilung von EFI-Updates grundlegend geändert. Gab es EFI-Updates früher als eigenständige Installation, so sind die Aktualisierungen jetzt Bestandteil größerer macOS-Updates und erfordern damit nicht mehr zusätzliche Schritte des Nutzers. Wer natürlich ein Systemupdate auslässt, läuft damit auch Gefahr, neben anderen Sicherheitslücken im System auch kritische EFI-Patches auszulassen.

Laut Duo Security habe sich Apple damit aber ganz neue Probleme ins Haus geholt. Einige Mac-Modelle erhalten daher gar keine Aktualisierungen mehr, anderen Macs wurden durch Systemupdates sogar EFI-Versionen mit älterer Versionsnummer angeboten - mit dem Ergebnis, dass gar kein Update stattfand. Das System verhindert nämlich die Umstellung auf ältere Varianten. In anderen Fällen gab es schlicht gar kein EFI-Update, so Duo Security. Gründe dafür konnten nicht in Erfahrung gebracht werden. Im Windows- und Linux-Markt sei das Problem aber höchstwahrscheinlich noch viel stärker ausgeprägt, wie es in der Studie heißt. Genauere Zahlen liefere man nach. Über github veröffentlicht der Sicherheitsspezialist in Kürze auch ein aktualisiertes Tool, um den eigenen Mac überprüfen zu können.