13. November 2026
Warum ein NoWayOS-Gerät keine Shell hat
Die meisten dedizierten Geräte sind Allzweckcomputer mit einer Aufgabe obenauf und allem anderen noch darunter. Wir sind den anderen Weg gegangen: jedes Gerät nur aus dem bauen, was seine Aufgabe braucht, und den Rest weglassen.
Die meisten Angriffe auf ein dediziertes Gerät zielen nicht auf die Aufgabe, die es erfüllt. Sie zielen auf den Rest des Computers, auf dem es läuft: die Shell, die für die Wartung dringeblieben ist, den Fernzugriffsdienst, den niemand abgeschaltet hat, den Browser hinter der Anwendung, den Desktop, der nur einen Absturz entfernt liegt.
Dieser „Rest des Computers“ ist überall. Das Gateway, das Messwerte aus einem Wasserwerk hinausträgt, das Terminal in der Leitwarte eines Stromnetzes, die Geräte, auf die sich ein Krankenhaus verlässt, das Bedienfeld an der Seite einer Maschine, der Bildschirm in einer Bahnhofshalle: Viele von ihnen laufen mit einem Allzweck-Betriebssystem, mit einer Aufgabe obenauf und allem anderen noch darunter, per Einstellung abgeschaltet. Der Kioskmodus ist die einfachste Variante. Jede Kompromittierung besteht darin, dass jemand die eine Einstellung findet, die übersehen wurde.
Stattdessen weglassen
NoWayOS fängt am anderen Ende an. Ein NoWayOS-Image enthält die Anwendung des Geräts, die Treiber, die diese Anwendung nutzt, und den seL4-Mikrokernel. Das ist die ganze Liste.
Es gibt keine Shell, in die man fallen könnte, weil nie eine eingebaut wurde. Keinen Fernzugang, für den sich ein Passwort erraten ließe. Keinen Desktop, auf den man ausbrechen könnte. Keine Browser-Engine, die auf eine bösartige Seite wartet. Eine Einstellung für Software, die nicht da ist, kann man nicht falsch setzen.
All das betrifft das Betriebssystem. Die Anwendung darüber ist etwas anderes: Sie kann ihre Nutzer anmelden und sich bei anderen Systemen anmelden, wann immer ihre Aufgabe es verlangt. Sie sitzt nur nicht auf einem Betriebssystem, an dem sich jemand anmelden kann.
Wir nennen das ein Single Purpose OS: ein Computer, der sonst nichts zu tun hat.
Und was da ist, ist abgeschottet
Weglassen ist die eine Hälfte. Jeder Teil, der bleibt (das Netzwerk, der Bildschirm, die Eingabe, die Anwendung), läuft in einer eigenen Kammer, einer Schutzdomäne in der Sprache von seL4, und erreicht nur, was ihm freigegeben wurde. Der Netzwerktreiber bewegt Pakete. Der Anzeigetreiber zeichnet. Die Anwendung spricht mit beiden über Nachrichten fester Größe.
Jede Freigabe steht in einer Datei, ein Fakt pro Zeile, und der Build schlägt fehl, wenn System und Datei nicht übereinstimmen. Das Ganze ist so gebaut, dass ein Fehler in einem Teil in diesem Teil bleibt.
„Aber wie repariert man es ohne Shell?“
Das fragen Ingenieure zuerst, und zu Recht. Am Betriebssystem eines NoWayOS-Geräts meldet man sich nicht an: Es hat keine Konten, also gibt es niemanden, als der man sich anmelden könnte. Man baut ein neues Image und ersetzt das alte. Heute heißt das, es zu bauen und auf das Board zu laden; signierte Updates, die das Gerät prüft und die sicher zurückfallen können, sind entworfen und auf dem Weg.
Dafür bekommen Sie ein Gerät, das direkt in seine eine Aufgabe startet, mit weit weniger, das zu patchen ist, und weit weniger, das sich angreifen lässt. Für die Systeme, auf denen ein Land läuft, ist genau dieser Tausch der Sinn der Sache.
Sehen Sie selbst
Die Nachweise für ein echtes NoWayOS-Image, seine Freigabedatei, seine Stückliste und sein seL4-Konfigurationsprotokoll, stehen auf unserer Sicherheitsseite. Keine Anmeldung, kein Skript. Nur die Dateien.