Утечка мастер-ключа Microsoft скомпрометировала защиту Secure Boot
11 августа 2016 года
Группа анонимных исследователей опубликовала сведения об универсальном ключе, позволяющем разблокировать любое устройство, защищённое при помощи технологии Secure Boot и использующее загрузчик Microsoft. В том числе ключ позволяет снять блокировку с любых планшетов и смартфонов, поставляемых с ОС Windows.
Интересно, что ключ был найден в составе отладочного инструментария, который был забыт на одном из устройств. Изучение инструментария показало, что входящий в его состав ключ (Архивная копия от 29 ноября 2016 на Wayback Machine) позволяет обойти верификацию Secure Boot на уровне загрузчика Windows. Важно подчеркнуть, что это не PKI-ключ, применяемый для формирования цифровых подписей к исполняемым файлам, а ключ для отключения проверки в загрузчике, не влияющий на надёжность работы прошивок UEFI. Для пользователей подобная возможность позволяет отключить привязку к Windows и установить любую ОС на свой вкус, а для злоумышленников открывает двери для обхода системы верификации загружаемых компонентов и внедрения руткитов.
По сути, все устройства с верифицированной загрузкой Windows скомпрометированы и решить проблему выпуском обычного обновления не получается. Выявившие ключ исследователи поставили Microsoft в известность несколько месяцев назад, после чего компания Microsoft выпустила два обновления ( MS16-094, MS16-100), связанные с Secure Boot, которые, тем не менее, лишь блокировали некоторые частные случаи, но полностью не закрыли выявленный бэкдор. Устранить проблему просто не получится, так как загрузчик уже поставляется в установочных носителях, а отзыв связанного с ним ключа повлечёт за собой неработоспособность установочных образов, разделов для восстановления и резервных копий.
С учётом того, что опубликованный ключ не является штатным закрытым ключом, при помощи которого выполняется верификация, а просто позволяет обойти защиту, возникает вопрос о предназначении универсального ключа, который рассматривается как универсальный бэкдор. Судя по тому, что мастер-ключ был найден в составе отладочного инструментария, он применялся для тестирования новых сборок без верификации. При этом утечка мастер-ключа Microsoft является прекрасным уроком для спецслужб, показывающим порочность практики внедрения бэкдоров в криптосистемы. В отличие от традиционной практики генерации отладочных ключей, привязанных к конкретному устройству, в найденном ключе не был указан идентификатор устройства, что привело к возможности его применения для переопределения полного набора правил загрузчика для любых устройств.
Дополнение: Анализ ключа от Мэтью Гаррета (Matthew Garrett), ранее получившего от Фонда СПО премию за вклад в развитие свободного ПО за достижения в области обеспечения загрузки Linux на системах с UEFI Secure Boot, а также за выявление, анализ и исправление проблем, возникающих при использовании Linux на системах с прошивками UEFI. Проблема не затрагивает пользователей Secure Boot на системах, отличных от Windows. Проблема также уже решена в новых сборках Windows 10 Anniversary Update. В старых загрузчиках Microsoft может попытаться блокировать установщики правил верификации, без помещения в чёрный список всего загрузчика. Но не исключено, что найдётся способ установки правил в обход черных списков загрузчика, тогда проблема останется неисправленной. При этом опасность уязвимости частично смягчает то, что установка в загрузчик новых правил верификации требует ручных действий со стороны пользователя и затрудняет применение утекшего ключа в автоматизированных атаках.
Источники править
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.
Комментарии
Если вы хотите сообщить о проблеме в статье (например, фактическая ошибка и т. д.), пожалуйста, используйте обычную страницу обсуждения.
Комментарии на этой странице могут не соответствовать политике нейтральной точки зрения, однако, пожалуйста, придерживайтесь темы и попытайтесь избежать брани, оскорбительных или подстрекательных комментариев. Попробуйте написать такие комментарии, которые заставят задуматься, будут проницательными или спорными. Цивилизованная дискуссия и вежливый спор делают страницу комментариев дружелюбным местом. Пожалуйста, подумайте об этом.
Несколько советов по оформлению реплик:
- Новые темы начинайте, пожалуйста, снизу.
- Используйте символ звёздочки «*» в начале строки для начала новой темы. Далее пишите свой текст.
- Для ответа в начале строки укажите на одну звёздочку больше, чем в предыдущей реплике.
- Пожалуйста, подписывайте все свои сообщения, используя четыре тильды (~~~~). При предварительном просмотре и сохранении они будут автоматически заменены на ваше имя и дату.
Обращаем ваше внимание, что комментарии не предназначены для размещения ссылок на внешние ресурсы не по теме статьи, которые могут быть удалены или скрыты любым участником. Тем не менее, на странице комментариев вы можете сообщить о статьях в СМИ, которые ссылаются на эту заметку, а также о её обсуждении на сторонних ресурсах.
