iPon Hírek

Microsoft Secure Boot: kiszivárgott kulcs, óriási veszély?

Dátum | 2016. 08. 12.
Szerző | J.o.k.e.r
Csoport | SZOFTVER

A napokban egy furcsa esetre derült fény, amely miatt veszélyben lehetnek a Secure Boot funkciót használó számítógépek, okostelefonok és táblák, ugyanis kiszivárgott egy úgynevezett „aranykulcs”, ami segít a Secure Boot funkció megkerülésében. Ez több szempontból is rossz hír, viszont a jelek szerint mégsem akkora a baj, mint elsőre tűnt – ennek részletezése előtt azonban néhány dolgot feltétlenül tisztázni kell Secure Boot ügyben.
Mint ismeretes, a Secure Boot az UEFI (Universal Extensible Firmware) részét képezi, bevezetése pedig a Windows 8 megjelenésével egy időben kezdődött meg. A Secure Boot funkció lényege, hogy segítségével biztosítható az adott operációs rendszer biztonságos indítása, így a kártékony kódok alacsony szintű telepítése megakadályozható, cserébe viszont nincs mód másfajta OS telepítésére sem. A funkció összességében hasznosnak tekinthető, igaz, egyes készülékeknél bosszúságot is okozhat, ugyanis Windows helyett nem lehet Androidot vagy Linuxot telepíteni, mert a rendszer le van zárva. Igen ám, de van egy kiskapu, amit eredetileg a fejlesztők számára készítettek: ennek segítségével megkerülhető a Secure Boot védelem, így bármilyen operációs rendszer kerülhet az adott rendszerre, nem muszáj Windowst használni, cserébe viszont rootkitek és egyéb kártékony szoftverek bekerülésére is lehet esély. A fejlesztőknek szánt kiskapu kinyitásához megfelelő kulcsra van szükség, ami egy ideig titkos volt, ám sajnos kiszivárgott.
Belépés a kiskapun
A problémát két biztonságtechnikai kutató vette észre, akik március és április folyamán már jelezték a Microsoft szakembereinek, hogy jó lenne bezárni a veszélyes kiskaput, ám a cég első körben nem mutatott különösebb érdeklődést az ügy iránt. A helyzet később változott, ennek eredményeként már két frissítés is érkezett annak érdekében, hogy a biztonsági rést befoltozzák, ám sem a júliusi, sem az augusztusi frissítés nem jelent 100%-os gyógyírt a problémára – majd csak a szeptemberben érkező javítás hozhat megnyugtató eredményt. A Microsoft azóta hivatalosan is reagált a problémára. A szóvivő elmondása szerint a kiszivárgott kulcs nem jelent veszélyt az asztali- és üzleti számítógépekre. Az ARM és RT eszközök esetében sem túl nagy a probléma, mert a „sebezhetőség” kiaknázásához fizikailag is hozzá kell férnie a támadónak az eszközhöz, valamint adminisztrátori jogkört kell szereznie – az adattitkosítással kapcsolatos védelem pedig ezzel a módszerrel sem iktatható ki. Így vagy úgy, az ügy remek példája annak, miért nem feltétlenül érdemes egy efféle rendszerbe hátsó ajtót építeni – vagy legalábbis jobban kell vigyázni a kulcsra, ha már elengedhetetlenül szükséges az ilyesmi.
Új hozzászólás írásához előbb jelentkezz be!

Eddigi hozzászólások

9. Dr.Sharkoo...
2016.08.12. 15:38
Örömteli lenne, ha a címek nem fordulnának az általános szennylapok megfogalmazási irányába.
"Microsoft Secure Boot: kiszivárgott kulcs, óriási veszély?"
És a második mondatban megcáfolja:
"Ez több szempontból is rossz hír, viszont a jelek szerint mégsem akkora a baj, mint elsőre tűnt"
Most akkor óriási a baj vagy mégsem?
 
Válasz írásához előbb jelentkezz be!
8. Asagrim Dr.Sh...
2016.08.12. 15:43
Tesz egy állítást, majd feltesz egy kérdést, második mondatban meg válaszol rá.

Nem látok én itt semmi kivetnivalót.
 
Válasz írásához előbb jelentkezz be!
7. mullerdavi...
2016.08.12. 15:46
Érdemes elolvasni a twitteren is belinkelt leírást mi történt: https://rol.im/securegoldenkeyboot/

Nem a kulcs szivárgott ki, hanem egy policy. Nem is volt semmilyen hátsó ajtó eredetileg. Ezeket a policykat lehet használni, hogy egyes funkciókat a bootmgrben ki-be kapcsoljanak például a testsigning (nem ms által aláírt efi betöltése). Ez fejlesztéskor remekül jön. Ezek a speciális policyk egy-egy eszközhöz voltak kötve, ha eltért az azonosító, nem működtek.
Az MS az új Windows 1607 fejlesztésénél egy extra kiegészítő policy betöltését is lehetővé tette az alap policy mellett, azzal összeolvasztva. Ki is adtak egy aláírt kiegészítő policyt, mellyel a bootmgr-en is engedték a testsign-t. (Ezeknek alá kell lennie írva az MS által)
A probléma ott van, hogy ha valaki ezt a kiegészítő policyt simán (nem kiegészítőként) használja, mivel nincs megkötés az eszközre, így lehetővé válik bármely gépen, bármely efi futtatása.
Másik probléma, hogy ezt nem igazán lehet javítani. Egy frissített bootmgrben benne van az ellenőrzés ami ezt megakadályozza, de ki lehet cserélni a bootmgrt egy régebbire, és az ugyan úgy el fogja fogadni a policyt, be tud tölteni bármilyen EFIt.

Szóval ezért van a "golden key" idézőjelben, nem egy kriptokulcs szivárgott ki, csak aláírtak egy rossz policyt.

Ennek ellenére igen is kihasználható a probléma (fizikai hozzáférés nélkül is), és nem is igazán javítható új kulcsok generálása nélkül, ami viszont azt hozza maga után, hogy a régi telepítők és rendszerek nem képesek elindulni Secure Bootal utána.

Szerintem a probléma nagyobb mint amit a cikk sugall, de még akkor sem feltétlenül vészes. Ezen kívül sok előnye is lehet (Surface RTn linux?). Javítsatok ki ha tévedek.
 
Válasz írásához előbb jelentkezz be!
6. Dr.Sharkoo... Asagr...
2016.08.12. 15:50
Az óriási veszély és rokonszemves kifejezéseinek használata tipikusan kattintásvadász címeket alkotnak.
Ha valaki azt látja egy címben, hogy óriási veszély, akkor biztos rá fog kattintani, de el olvasni már nem hiszem, hogy el fogja.
It oldal révén kicsit kevésbé átlagosan is lehetne fogalmazni.
 
Válasz írásához előbb jelentkezz be!
5. prohlep
2016.08.12. 22:16
Secure Boot megkerülése, titkos kapu kinyitása nem szükséges ahhoz, hogy Windows-nál biztonságosabb rendszert telepítsünk a gépeinkre.

Debian és Ubuntu saját gyakorlatomban, de sejtem más linux is simán fölmegy Secure Boot üzemmódban. És biztonságosabbak a Windows-nál. Ezen nem-windows-ok nélkül béna kacsa lenne a mai informatikai környzetünk.
 
Válasz írásához előbb jelentkezz be!
4. mullerdavi... prohl...
2016.08.12. 22:27
Vendor függő. Ha a kulcs benne van, akkor megy minden további nélkül. Például a Surface RT-nél nincsen így.
. Minden feladathoz megvan az ahhoz illő oprendszer. Mindenre nem jó a Windows. Azzal viszont vitatkoznék, hogy melyik *nix/etc OS biztonságosabb a Windowsnál. (Természetesen ez a topic nem erre való)
 
Válasz írásához előbb jelentkezz be!
3. bodocz70
2016.08.13. 11:56
Reméljük a kulcs kiszivárogtatása nem az MS akaratával történt. Mert a veszélyre hivatkozva a végén még lehetetlenné teszi más oprendszerek telepítését (pl. linux). Sajnos ez bevett gyakorlat a közvélemény manipulálása után "jogosan" módosítanak a boot-on.
 
Válasz írásához előbb jelentkezz be!
2. Smooth44 Asagr...
2016.08.15. 12:37
Igen, ez a hatásvadászat, ami az ócska, egyszótagú pletykalapokra (volt) jellemző (de ma már kb minden, eddig értelmesebb tartalommal operáló lapnál is egyre elterjedtebb).
Szerintem egy ilyen oldalon sem azért fogják a cikket olvasni, mert a címben egy celeb neve vagy egy lehetséges katasztrófa előjelei szerepelnek.
 
Válasz írásához előbb jelentkezz be!
1. KatonaKM Asagr...
2016.08.15. 20:23
Kedvelem a kommentjeidet, de most igaza van.
Legközelebb a "Vasalóval verte agyon a pedofil sztárjátékos a hűtőbe szorult focistafeleséget, de utána olyan történt, amin elhidalsz TOP10" címmel jelenhetnének meg, de bízom az önkontrollban a szerkesztőség részéről.

Időben szóltunk IPON
 
Válasz írásához előbb jelentkezz be!