В iVentoy беше открито вмъкване на коренов сертификат при стартиране на Windows

В инструмента iVentoy, използван за зареждане и инсталиране на произволни операционни системи по мрежата, беше открита подозрителна активност. При зареждане по мрежата на ОС Windows, инструментът вмъкваше бинарния драйвер httpdisk.sys в системата и инсталираше в системното хранилище коренов сертификат, който сам си е подписал и се използваше за заверка на драйвера с цифров подпис. 31 от 70 антивирусни пакета, в които беше проверен файлът httpdisk.sys, издадоха предупреждение за наличие на зловреден софтуер.

Тази активност беше възприета като потенциална опит за внедряване на бекдор и повдигна въпроса за доверието към отворения проект Ventoy. Ситуацията се усложни, тъй като миналата година, след инцидент с бекдор в проекта XZ, общността вече насочи вниманието си към доставката на подозрителни блобове в дървото на изходните кодове на Ventoy.

Разработчиците на NixOS предложиха да се замени Ventoy в репозитория nixpkgs с форка fnr1r (като алтернатива може да се разгледа и glim). Проектите Ventoy и iVentoy се развиват от един автор и имат сходно предназначение. Разликите са, че Ventoy е напълно отворен и е насочен към зареждане на операционни системи от USB носители, докато iVentoy е само частично отворен и е предназначен за зареждане по мрежата с използване на технологията PXE.

Към обсъждането на проблема се включи авторът на проектите Ventoy и iVentoy, който поясни, че кодът на драйвера httpdisk.sys е отворен, а самият драйвер е предназначен за монтиране в Windows дискови образи по мрежата чрез HTTP протокол, което се използва в iVentoy за получаване на сървър инсталационни данни на Windows. Вмъкването на драйвери и скриптове в системата след зареждане е документирано поведение.

Собствен сертификат, с помощта на който е подписан този драйвер, е добавен в хранилището на кореновите сертификати, за да се осигури зареждането на драйвера, заобикаляйки прилаганата в Windows система за проверка на софтуер по цифров подпис. Сертификатът се въвежда само в еднократно среда WinPE (Windows Preinstallation Environment), създавана в оперативната памет. В стационарните инсталации на Windows, разположени на диска, не са правени промени. Обявено е, че в следващото издание на iVentoy, подмяната на собствения сертификат ще бъде прекратена, тъй като за осигуряване на зареждането на драйвер ще бъде използван старт на WinPE в тестов режим.

По отношение на доставката на блобове (1, 2, 3) в Ventoy, разработчикът заяви, че тези бинарни файлове са получени директно от други открити проекти и Ventoy ги използва без промени. Готовите изпълними файлове се използват по време на настройването на стартиращите системи. Като алтернатива, се предлага да не се взимат готови сборки, а да се събират сами за релизите на Ventoy с помощта на GitHub CI.

Източник: opennet.ru