Methoden zum Deaktivieren des Lockdown-Schutzes in Ubuntu für den Remote-Umgang mit UEFI Secure Boot

Andrej Konovalov von Google veröffentlichte Methode zur remote Deaktivierung des Schutzes Sperrmodus, die im Paket mit dem Linux-Kernel geliefert wird, der in Ubuntu bereitgestellt wird (theoretisch vorgeschlagene Methoden wissen arbeitet auch mit dem Fedora-Kernel und anderen Distributionen, aber diese sind nicht getestet).

Lockdown schränkt den Zugriff des Benutzers root auf den Kernel ein und blockiert Wege zum Umgehen des UEFI Secure Boot. Beispielsweise wird im Lockdown-Modus der Zugriff auf /dev/mem, /dev/kmem, /dev/port, /proc/kcore, debugfs, den Debug-Modus kprobes, mmiotrace, tracefs, BPF, PCMCIA CIS (Card Information Structure), einige ACPI-Schnittstellen und CPU-MSR-Register eingeschränkt. Es werden Aufrufe kexec_file und kexec_load blockiert, der Übergang in den Schlafmodus ist untersagt, die Nutzung von DMA für PCI-Geräte ist limitiert, der Import von ACPI-Code aus EFI-Variablen ist verboten, und es sind keine Manipulationen an Ein/Ausgabe-Ports erlaubt, einschließlich der Änderung von Interrupt-Nummern und Ein/Ausgabe-Portnummern für serielle Ports.

Der Lockdown-Mechanismus wurde kürzlich in den Hauptkern von Linux aufgenommen 5.4, wird aber immer noch in den von Distritionen gelieferten Kernen in Form von Patches implementiert oder ergänzt. Ein Unterschied zwischen den in den Distritionen bereitgestellten Erweiterungen und der im Kernel integrierten Implementierung besteht darin, dass die bereitgestellte Sperre bei physischem Zugang zum System deaktiviert werden kann.

In Ubuntu und Fedora ist die Tastenkombination Alt+SysRq+X vorgesehen, um Lockdown zu deaktivieren. Es wird davon ausgegangen, dass die Kombination Alt+SysRq+X nur bei physischem Zugang zum Gerät verwendet werden kann, und im Falle eines Remote-Hacks und des Erlangens von Root-Zugriff wird der Angreifer nicht in der Lage sein, Lockdown zu deaktivieren und beispielsweise ein nicht signiertes Modul mit einem Rootkit in den Kernel zu laden.

Andrej Konovalov hat gezeigt, dass die mit der Verwendung der Tastatur verbundenen Methoden zur Bestätigung der physischen Anwesenheit des Benutzers ineffektiv sind. Der einfachste Weg, Lockdown zu deaktivieren, wäre eine softwaregestützte Simulation des Drückens von Alt+SysRq+X über /dev/uinput, aber diese Option ist von vornherein blockiert. In diesem Zusammenhang konnten mindestens zwei weitere Möglichkeiten zur Eingabe von Alt+SysRq+X identifiziert werden.

Die erste Methode besteht darin, die Schnittstelle „sysrq-trigger“ zu nutzen — um die Simulation durchzuführen, reicht es aus, diese Schnittstelle zu aktivieren, indem man „1“ in /proc/sys/kernel/sysrq schreibt und dann „x“ in /proc/sysrq-trigger. Diese Lücke behoben wurde im Dezember-Update des Kernels von Ubuntu und in Fedora 31 gefunden. Bemerkenswert ist, dass die Entwickler, ähnlich wie bei /dev/uinput, ursprünglich versucht haben Diese Methode blockieren, aber die Blockierung funktionierte nicht aufgrund von Fehler im Code.

Die zweite Methode ist mit der Emulation der Tastatur über USB/IP und dem anschließenden Senden der Sequenz Alt+SysRq+X von der virtuellen Tastatur verbunden. Im mit Ubuntu gelieferten Kernel ist USB/IP standardmäßig aktiviert (CONFIG_USBIP_VHCI_HCD=m und CONFIG_USBIP_CORE=m) und die erforderlichen signierten Module usbip_core und vhci_hcd sind verfügbar. Der Angreifer kann ein virtuelles USB-Gerät erstellen, indem er einen Netzwerk-Handler auf dem Loopback-Interface startet und ihn als entferntes USB-Gerät über USB/IP verbindet. Über die genannte Methode wurde berichtet an die Entwickler von Ubuntu, aber das Update wurde noch nicht veröffentlicht.

Quelle: opennet.ru