Методи за деактивиране на защитата при блокиране в Ubuntu за заобикаляне на UEFI Secure Boot от разстояние

Андрей Коновалов от Google опубликовал начин за деактивиране на защитата от разстояние Lockdownпредлагани в пакета на ядрото на Linux, доставен с Ubuntu (теоретично, предложените методи имам работят с ядрото на Fedora и други дистрибуции, но те не са тествани).

Блокирането ограничава достъпа на root потребител до ядрото и блокира UEFI Secure Boot заобикалящи пътища. Например режимът на заключване ограничава достъпа до /dev/mem, /dev/kmem, /dev/port, /proc/kcore, debugfs, kprobes debug mode, mmiotrace, tracefs, BPF, PCMCIA CIS (Card Information Structure), някои интерфейси ACPI и MSR регистри на процесора, повикванията към kexec_file и kexec_load са блокирани, преходът към режим на заспиване е забранен, използването на DMA за PCI устройства е ограничено, импортирането на ACPI код от EFI променливи е забранено, манипулации с I / O портове не са разрешени, включително промяна на номера на прекъсване и I/O порт за серийния порт.

Механизмът Lockdown наскоро беше добавен към ядрото на Linux ядрото. 5.4, но все още се прилага под формата на пачове или допълнени с пачове в ядрата, доставяни с дистрибуции. Една от разликите между добавките, предоставени в дистрибуции, и внедряването, вградено в ядрото, е възможността да се деактивира предоставеното заключване, когато има физически достъп до системата.

В Ubuntu и Fedora клавишната комбинация Alt+SysRq+X е предоставена за деактивиране на Lockdown. Разбираемо е, че комбинацията Alt+SysRq+X може да се използва само с физически достъп до устройството и в случай на отдалечено хакване и получаване на root достъп, атакуващият няма да може да деактивира Lockdown и например да зареди неподписан модул с руткит в ядрото.

Андрей Коновалов показа, че базираните на клавиатурата методи за потвърждаване на физическото присъствие на потребителя са неефективни. Най-лесният начин да деактивирате Lockdown би бил програмно симулация натискане на Alt+SysRq+X чрез /dev/uinput, но тази опция е деактивирана по подразбиране. В същото време успяхме да идентифицираме поне още два начина за заместване на Alt + SysRq + X.

Първият метод включва използването на интерфейса "sysrq-trigger" - за симулация е достатъчно да активирате този интерфейс, като напишете "1" в /proc/sys/kernel/sysrq и след това напишете "x" в /proc/sysrq- спусък. Посочена вратичка елиминиран в декемврийската актуализация на ядрото на Ubuntu и във Fedora 31. Трябва да се отбележи, че разработчиците, както в случая с /dev/uinput, първоначално се опита да блокира даден метод, но блокирането не работи поради Грешки в кода.

Вторият метод е свързан с емулация на клавиатура чрез USB/IP и след това изпращане на последователността Alt+SysRq+X от виртуалната клавиатура. USB/IP ядрото, доставено с Ubuntu, е активирано по подразбиране (CONFIG_USBIP_VHCI_HCD=m и CONFIG_USBIP_CORE=m) и осигурява цифрово подписаните модули usbip_core и vhci_hcd, необходими за работа. Нападателят може да създадете виртуално USB устройство, стартиран мрежов манипулатор на интерфейса за обратна връзка и свързването му като отдалечено USB устройство чрез USB/IP. За посочения метод докладвани Разработчици на Ubuntu, но все още не е пусната корекция.

Източник: opennet.ru