Matthew Garrett, zn\u00e1m\u00fd v\u00fdvoj\u00e1\u0159 j\u00e1dra Linux, kter\u00fd v minulosti obdr\u017eel ocen\u011bn\u00ed od Nadace pro svobodn\u00fd software za sv\u016fj p\u0159\u00ednos k rozvoji svobodn\u00e9ho softwaru, hovo\u0159il o podstat\u011b mechanismu SBAT (Secure Boot Advanced Targeting), navr\u017een\u00e9ho k blokaci zranitelnost\u00ed v zav\u00e1d\u011b\u010d\u00edch bez zru\u0161en\u00ed digit\u00e1ln\u00edho podpisu, a tak\u00e9 o jeho roli v ned\u00e1vn\u00e9m incidentu s aktualizac\u00ed pro Windows, kter\u00e1 vedla k p\u0159eru\u0161en\u00ed spou\u0161t\u011bn\u00ed n\u011bkter\u00fdch distribuc\u00ed Linuxu nainstalovan\u00fdch paraleln\u011b s Windows na syst\u00e9mech se zapnut\u00fdm UEFI Secure Boot. Stru\u010dn\u011b \u0159e\u010deno, za chyby mohou jak spole\u010dnost Microsoft, kter\u00e1 aktualizaci nedostate\u010dn\u011b otestovala a aplikovala ji na syst\u00e9my, pro kter\u00e9 nebyla ur\u010dena, tak v\u00fdvoj\u00e1\u0159i n\u011bkter\u00fdch distribuc\u00ed Linuxu, kte\u0159\u00ed neaktualizovali zav\u00e1d\u011b\u010d GRUB a \u010d\u00edslo verze SBAT, kdy\u017e v GRUB byly nalezeny zranitelnosti. <\/p>\n
N\u00ed\u017ee je p\u0159eklad pozn\u00e1mky Garretta: <\/p>\n
\nP\u0159i v\u00fdvoji specifikace UEFI Secure Boot byli v\u0161ichni \u00fa\u010dastn\u00edci, \u0159ekn\u011bme, trochu naivn\u00ed. Hlavn\u00ed bezpe\u010dnostn\u00ed model Secure Boot spo\u010d\u00edv\u00e1 v tom, \u017ee ve\u0161ker\u00fd k\u00f3d, kter\u00fd se spou\u0161t\u00ed v privilegovan\u00e9m prost\u0159ed\u00ed na \u00farovni j\u00e1dra, mus\u00ed b\u00fdt p\u0159ed proveden\u00edm zkontrolov\u00e1n \u2014 firmware kontroluje zav\u00e1d\u011bc\u00ed program, zav\u00e1d\u011bc\u00ed program kontroluje j\u00e1dro, j\u00e1dro kontroluje jak\u00fdkoli dal\u0161\u00ed k\u00f3d j\u00e1dra na\u010dten\u00fd b\u011bhem b\u011bhu, a nyn\u00ed m\u00e1me d\u016fv\u011bryhodn\u00e9 prost\u0159ed\u00ed pro prosazov\u00e1n\u00ed jak\u00e9koli jin\u00e9 bezpe\u010dnostn\u00ed politiky, kterou chceme. Je z\u0159ejm\u00e9, \u017ee lid\u00e9 mohou ud\u011blat chybu, ale ve specifikaci byl p\u0159edpokl\u00e1d\u00e1n zp\u016fsob, jak odvolat podepsan\u00e9 komponenty, kter\u00e9 se uk\u00e1zaly jako nevhodn\u00e9: sta\u010d\u00ed p\u0159idat hash ned\u016fv\u011bryhodn\u00e9ho k\u00f3du do prom\u011bnn\u00e9 a pak se odm\u00edtnout na\u010d\u00edst cokoli s t\u00edmto hashem, i kdy\u017e je podeps\u00e1no d\u016fv\u011bryhodn\u00fdm kl\u00ed\u010dem. <\/p>\n
Bohu\u017eel, jak se uk\u00e1zalo, probl\u00e9m je v rozsahu. Ka\u017ed\u00e1 distribuce Linuxu, kter\u00e1 funguje v ekosyst\u00e9mu Secure Boot, generuje sv\u00e9 vlastn\u00ed spou\u0161t\u011bc\u00ed bin\u00e1rn\u00ed soubory, a ka\u017ed\u00fd z nich m\u00e1 sv\u016fj vlastn\u00ed hash. Pokud se v p\u016fvodn\u00edm k\u00f3du takov\u00e9ho spou\u0161t\u011b\u010de objev\u00ed zranitelnost, je t\u0159eba st\u00e1hnout velk\u00e9 mno\u017estv\u00ed r\u016fzn\u00fdch bin\u00e1rn\u00edch soubor\u016f. A objem pam\u011bti pro ulo\u017een\u00ed prom\u011bnn\u00e9 obsahuj\u00edc\u00ed v\u0161echny tyto hashe je omezen. Prost\u011b nebude dost m\u00edsta na p\u0159id\u00e1v\u00e1n\u00ed nov\u00e9ho souboru hash\u016f poka\u017ed\u00e9, kdy\u017e se uk\u00e1\u017ee, \u017ee GRUB (spou\u0161t\u011b\u010d napsan\u00fd p\u016fvodn\u011b v dob\u011b, kdy se neprov\u00e1d\u011bla ochrana p\u0159i spou\u0161t\u011bn\u00ed a m\u00e1 n\u011bkolik samostatn\u00fdch parser\u016f img-obr\u00e1zk\u016f, stejn\u011b jako parser font\u016f) m\u00e1 dal\u0161\u00ed mechanismus, jak umo\u017enit \u00fato\u010dn\u00edkovi, aby vykonal libovoln\u00fd k\u00f3d, proto bylo pot\u0159eba jin\u00e9 \u0159e\u0161en\u00ed. <\/p>\n
T\u00edmto \u0159e\u0161en\u00edm se stal SBAT. Celkov\u00fd koncept SBAT je pom\u011brn\u011b jednoduch\u00fd. Ka\u017ed\u00e1 d\u016fle\u017eit\u00e1 komponenta v \u0159et\u011bzci spou\u0161t\u011bn\u00ed vyhla\u0161uje bezpe\u010dnostn\u00ed genera\u010dn\u00ed \u010d\u00edslo, kter\u00e9 je zahrnuto do podepsan\u00e9ho bin\u00e1rn\u00edho souboru. Kdy\u017e je zji\u0161t\u011bna a odstran\u011bna zranitelnost, toto \u010d\u00edslo se zvy\u0161uje. Pot\u00e9 m\u016f\u017ee b\u00fdt vyd\u00e1na aktualizace, kter\u00e1 definuje minim\u00e1ln\u00ed generaci \u2014 komponenty spou\u0161t\u011bn\u00ed se pod\u00edvaj\u00ed na dal\u0161\u00ed prvek v \u0159et\u011bzci, porovnaj\u00ed jeho n\u00e1zev a \u010d\u00edslo generace s t\u011bmi, kter\u00e9 jsou ulo\u017eeny v prom\u011bnn\u00e9 firmware, a rozhodnou se, zda jej prov\u00e9st nebo ne, na z\u00e1klad\u011b toho. M\u00edsto toho, aby byly odvol\u00e1ny jednotliv\u00e9 hashe, m\u016f\u017ee b\u00fdt vyd\u00e1na jedna aktualizace, kter\u00e1 jednodu\u0161e \u0159\u00edk\u00e1: \u201eJak\u00e1koli verze GRUB s bezpe\u010dnostn\u00ed generac\u00ed pod t\u00edmto \u010d\u00edslem je pova\u017eov\u00e1na za ned\u016fv\u011bryhodnou.\u201c <\/p>\n
Pro\u010d se to tedy stalo aktu\u00e1ln\u00edm? SBAT byl vyvinut spole\u010dnost\u00ed Linux a Microsoft a Microsoft se rozhodl vydat aktualizaci pro Windows, kter\u00e1 \u0159\u00edkala syst\u00e9m\u016fm, aby ned\u016fv\u011b\u0159ovaly verz\u00edm GRUB s genera\u010dn\u00ed bezpe\u010dnost\u00ed pod ur\u010ditou \u00farovn\u00ed. To bylo u\u010din\u011bno proto, \u017ee tyto verze GRUB m\u011bly skute\u010dn\u00e9 bezpe\u010dnostn\u00ed zranitelnosti, kter\u00e9 umo\u017enily \u00fato\u010dn\u00edk\u016fm naru\u0161it \u0159et\u011bzec bezpe\u010dn\u00e9ho spou\u0161t\u011bn\u00ed Windows a vid\u011bli jsme skute\u010dn\u00e9 p\u0159\u00edklady malwaru, kter\u00fd se to sna\u017eil prov\u00e9st (Black Lotus vyu\u017e\u00edval zranitelnost ve spou\u0161t\u011b\u010di Windows, ale zranitelnost v GRUB byla stejn\u011b efektivn\u00ed). Pokud se na to d\u00edv\u00e1me \u010dist\u011b z pohledu bezpe\u010dnosti, je to zcela opr\u00e1vn\u011bn\u00e9 p\u0159\u00e1n\u00ed. <\/p>\n
Co se t\u00fd\u010de zpr\u00e1vy \u201eN\u011bco se pokazilo\u201c a nemo\u017enosti spustit syst\u00e9m jako v\u00fdsledek t\u00e9to aktualizace. Tu generuje shim, nikoli n\u011bjak\u00fd k\u00f3d od Microsoftu. Shim zohled\u0148uje aktualizace SBAT a aby nedo\u0161lo k naru\u0161en\u00ed bezpe\u010dnostn\u00edch princip\u016f p\u0159ijat\u00fdch jin\u00fdmi zav\u00e1d\u011bc\u00edmi programy v syst\u00e9mu, a\u010dkoli Microsoft vydal aktualizaci SBAT, pr\u00e1v\u011b zav\u00e1d\u011bc\u00ed program Linuxu nakonec odm\u00edt\u00e1 spustit star\u0161\u00ed verze GRUB. V\u0161echno funguje tak, jak m\u00e1. <\/p>\n
Probl\u00e9m, s n\u00edm\u017e se lid\u00e9 setkali, spo\u010d\u00edv\u00e1 v tom, \u017ee n\u011bkolik distribuc\u00ed Linuxu nevydalo verze GRUB s nov\u011bj\u0161\u00ed generac\u00ed zabezpe\u010den\u00ed, a proto jsou tyto verze GRUB pova\u017eov\u00e1ny za nezabezpe\u010den\u00e9 (je t\u0159eba poznamenat, \u017ee GRUB je podepisov\u00e1n samotn\u00fdmi distribucemi, nikoli Microsoftem, tak\u017ee zde nen\u00ed \u017e\u00e1dn\u00e1 vynucen\u00e1 zpo\u017ed\u011bn\u00ed zven\u010d\u00ed). Podle Microsoftu m\u011blo aktualizace Windows Update aplikovat aktualizaci SBAT pouze na syst\u00e9my funguj\u00edc\u00ed v\u00fdhradn\u011b s Windows, a v\u0161echny instalace s dual boot z\u016fst\u00e1valy zraniteln\u00e9 v\u016f\u010di \u00fatok\u016fm, dokud nedojde k aktualizaci GRUB a nov\u00e9ho generace SBAT instalovanou distribuc\u00ed. Bohu\u017eel, jak nyn\u00ed jasn\u00e9, to nefungovalo tak, jak bylo zam\u00fd\u0161leno, a alespo\u0148 n\u011bkter\u00e9 syst\u00e9my s dual boot aplikovaly aktualizaci, a Shim t\u00e9to distribuce odm\u00edtl spustit GRUB t\u00e9to distribuce. <\/p>\n
Jak\u00fd je z\u00e1v\u011br? Microsoft (z pochopiteln\u00fdch d\u016fvod\u016f) necht\u011bl, aby Windows bylo mo\u017en\u00e9 napadnout pomoc\u00ed zraniteln\u00e9 verze GRUB, kterou by bylo mo\u017en\u00e9 podvodn\u011b p\u0159im\u011bt k vykon\u00e1n\u00ed libovoln\u00e9ho k\u00f3du a n\u00e1sledn\u00e9mu vlo\u017een\u00ed bootkitu do j\u00e1dra Windows b\u011bhem zav\u00e1d\u011bn\u00ed. Microsoft toho dos\u00e1hl vyd\u00e1n\u00edm aktualizace Windows, kter\u00e1 aktualizovala prom\u011bnnou SBAT, ur\u010duj\u00edc\u00ed, \u017ee zraniteln\u00e9 verze GRUB by se na t\u011bchto syst\u00e9mech nem\u011bly na\u010d\u00edtat. Poskytnut\u00fd bootloader prvn\u00edho stupn\u011b, dodan\u00fd s Shim, si tuto prom\u011bnnou p\u0159e\u010detl, na\u010detl odd\u00edl SBAT z nainstalovan\u00e9 kopie GRUB, zjistil, \u017ee doch\u00e1z\u00ed ke konfliktu, a odm\u00edtl na\u010d\u00edst grub s hl\u00e1\u0161en\u00edm \"N\u011bco se \u00fapln\u011b pokazilo\". Tato aktualizace nem\u011bla b\u00fdt aplikov\u00e1na na syst\u00e9my s dvojit\u00fdm zav\u00e1d\u011bn\u00edm, ale p\u0159esto byla aplikov\u00e1na. <\/p>\n
Obecn\u011b: <\/p>\n
1) Microsoft aplikoval aktualizaci na syst\u00e9my, na kter\u00e9 nem\u011bla b\u00fdt aplikov\u00e1na <\/p>\n
2) N\u011bkter\u00e9 distribuce Linuxu neaktualizovaly bootloader GRUB a generaci zabezpe\u010den\u00ed SBAT, kdy\u017e byly v GRUB objeveny zranitelnosti. <\/p>\n
V d\u016fsledku toho n\u011bkte\u0159\u00ed lid\u00e9 nemohou na\u010d\u00edst sv\u00e9 syst\u00e9my. Mysl\u00edm, \u017ee je tu hodn\u011b vin\u00edk\u016f. Microsoft by m\u011bl prov\u00e9st v\u00edce test\u016f, aby se ujistil, \u017ee instalace s dvoj\u00edm bootov\u00e1n\u00edm mohou b\u00fdt p\u0159esn\u011b identifikov\u00e1ny. Ale tak\u00e9 distribuce, kter\u00e9 dod\u00e1vaj\u00ed podepsan\u00e9 bootloadery, by m\u011bly zajistit, \u017ee je aktualizuj\u00ed a p\u0159izp\u016fsob\u00ed generaci zabezpe\u010den\u00ed, aby odpov\u00eddaly, jinak poskytuj\u00ed \u00fato\u010dn\u00fd vektor, kter\u00fd m\u016f\u017ee b\u00fdt pou\u017eit k napaden\u00ed jin\u00fdch opera\u010dn\u00edch syst\u00e9m\u016f, a to je jak\u00fdsi naru\u0161en\u00ed ve\u0159ejn\u00e9ho smlouv\u00e1n\u00ed kolem toho v\u0161eho. <\/p>\n
Bohu\u017eel ob\u011b\u0165mi zde v\u011bt\u0161inou st\u00e1vaj\u00ed koncov\u00ed u\u017eivatel\u00e9, kte\u0159\u00ed \u010del\u00ed tomu, \u017ee se syst\u00e9m n\u00e1hle odm\u00edt\u00e1 na\u010d\u00edst opera\u010dn\u00ed syst\u00e9m, kter\u00fd cht\u011bj\u00ed na\u010d\u00edst. K tomu by nikdy nem\u011blo doj\u00edt. Nemysl\u00edm si, \u017ee pr\u016fzkum koncov\u00fdch u\u017eivatel\u016f ohledn\u011b toho, zda cht\u011bj\u00ed aktualizace syst\u00e9mu bezpe\u010dn\u00e9ho spou\u0161t\u011bn\u00ed, povede k dobr\u00e9mu v\u00fdsledku, a i kdy\u017e se m\u00edrn\u011b p\u0159ikl\u00e1n\u00edm k tomu, \u017ee bezpe\u010dn\u00e9 spou\u0161t\u011bn\u00ed UEFI nen\u00ed n\u011bco, co v\u011bt\u0161in\u011b koncov\u00fdch u\u017eivatel\u016f p\u0159in\u00e1\u0161\u00ed prosp\u011bch, je to tak\u00e9 v\u011bc, kterou nechcete zjistit po podobn\u00fdch incidentech, tak\u017ee sympatizuji s t\u00edm, \u017ee je zapnuta ve v\u00fdchoz\u00edm nastaven\u00ed, proto podporuji jej\u00ed zapnut\u00ed ve v\u00fdchoz\u00edm nastaven\u00ed a sd\u00edl\u00edm volbu Microsoftu, s v\u00fdjimkou ne\u00fasp\u011b\u0161n\u00e9ho pokusu vyhnout se aktualizaci na syst\u00e9mech s dvoj\u00edm bootov\u00e1n\u00edm. <\/p>\n
V ka\u017ed\u00e9m p\u0159\u00edpad\u011b jsem byl siln\u011b zapojen do implementace tohoto mechanismu pro Linux v roce 2012 a napsal jsem prvn\u00ed prototyp Shim (kter\u00fd je nyn\u00ed v\u00fdrazn\u011b lep\u0161\u00edm bootloaderem, podporovan\u00fdm \u0161ir\u0161\u00edm okruhem lid\u00ed, a kter\u00e9ho jsem se dotkl ji\u017e n\u011bkolik let), tak\u017ee pokud chcete n\u011bkoho jednoho obvinit, pros\u00edm, nev\u00e1hejte obvinit m\u011b. To, co m\u011blo st\u00e1t, se m\u011blo st\u00e1t, a pokud nejste Microsoft nebo distribuce Linuxu, nen\u00ed to va\u0161e vina. Omlouv\u00e1m se. <\/p><\/blockquote>\n