V nástroji iVentoy, který se používá pro bootování a instalaci různých operačních systémů přes síť, byla zjištěna podezřelá aktivita. Při bootování operačního systému Windows nástroj prováděl substituci binárního ovladače httpdisk.sys do systému a instalaci svého vlastního podepsaného certifikátu do systémového úložiště kořenových certifikátů, který slouží k podepisování ovladače digitálním podpisem. 31 z 70 antivirových balíčků, ve kterých byl soubor httpdisk.sys zkontrolován, vyšlo s varováním o přítomnosti malwaru.
Taková aktivita byla vnímána jako potenciální pokus o zavedení backdooru a vyvolala otázku důvěry v otevřený projekt Ventoy. Situaci zhoršovalo, že v minulém roce po incidentu s backdoorem v projektu XZ komunita již upozornila na dodání podezřelých blobů ve stromu zdrojových textů Ventoy.
Vývojáři NixOS navrhli nahradit Ventoy v repozitáři nixpkgs forkem fnr1r (alternativně by mohl být zvážen i glim). Projekty Ventoy a iVentoy se vyvíjejí jedním autorem a mají podobné určení. Rozdíly spočívají v tom, že Ventoy je zcela otevřený a zaměřuje se na bootování operačních systémů z USB zařízení, zatímco iVentoy je pouze částečně otevřený a určený pro bootování přes síť pomocí technologie PXE.
Diskusi o problému se zúčastnil autor projektů Ventoy a iVentoy, který vysvětlil, že kód ovladače httpdisk.sys je otevřený a samotný ovladač je určen pro připojení diskových obrazů Windows přes síť pomocí protokolu HTTP, který se v iVentoy používá pro získání z serveru instalačních dat Windows. Substituce ovladačů a skriptů do systému po bootování je zdokumentované chování.
Vlastní certifikát, kterým byl tento ovladač podepsán, byl přidán do úložiště kořenových certifikátů, aby se zajistilo načítání ovladače obcházejícího aktuální ověřování digitálních podpisů prováděné systémem Windows. Certifikát byl použit pouze v jednorázovém prostředí WinPE (Windows Preinstallation Environment), které bylo vytvořeno v operační paměti. V nainstalovaných verzích Windows na disku nebyly prováděny žádné změny. Bylo oznámeno, že v příští verzi iVentoy bude používání vlastního certifikátu ukončeno, protože pro zajištění načítání ovladače bude použit testovací režim WinPE.
Pokud jde o dodávku blobů (1, 2, 3) do Ventoy, vývojář uvedl, že tyto binární soubory byly přímo získány z jiných otevřených projektů a Ventoy je používá bez jakýchkoli změn. Hotové spustitelné soubory se používají během nastavování spouštěcích systémů. Jako alternativu se doporučuje nevzít hotové sestavy, ale sestavit je pro vydání Ventoy samostatně pomocí GitHub CI.
Zdroj: opennet.ru
