{"id":41110,"date":"2020-02-05T21:30:57","date_gmt":"2020-02-05T18:30:57","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/metody-otklyucheniya-zashhity-lockdown-v-ubuntu-dlya-udalyonnogo-obhoda-uefi-secure-boot"},"modified":"2020-02-05T21:30:57","modified_gmt":"2020-02-05T18:30:57","slug":"metody-otklyucheniya-zashhity-lockdown-v-ubuntu-dlya-udalyonnogo-obhoda-uefi-secure-boot","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/metody-otklyucheniya-zashhity-lockdown-v-ubuntu-dlya-udalyonnogo-obhoda-uefi-secure-boot","title":{"rendered":"Methoden zum Deaktivieren des Lockdown-Schutzes in Ubuntu f\u00fcr den Remote-Umgang mit UEFI Secure Boot","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Andrej Konovalov von Google ver\u00f6ffentlichte<\/a><\/noindex> Methode zur remote Deaktivierung des Schutzes Sperrmodus<\/a><\/noindex>, die im Paket mit dem Linux-Kernel geliefert wird, der in Ubuntu bereitgestellt wird (theoretisch vorgeschlagene Methoden wissen<\/a><\/noindex> arbeitet auch mit dem Fedora-Kernel und anderen Distributionen, aber diese sind nicht getestet). <\/p>\n

Lockdown schr\u00e4nkt den Zugriff des Benutzers root auf den Kernel ein und blockiert Wege zum Umgehen des UEFI Secure Boot. Beispielsweise wird im Lockdown-Modus der Zugriff auf \/dev\/mem, \/dev\/kmem, \/dev\/port, \/proc\/kcore, debugfs, den Debug-Modus kprobes, mmiotrace, tracefs, BPF, PCMCIA CIS (Card Information Structure), einige ACPI-Schnittstellen und CPU-MSR-Register eingeschr\u00e4nkt. Es werden Aufrufe kexec_file und kexec_load blockiert, der \u00dcbergang in den Schlafmodus ist untersagt, die Nutzung von DMA f\u00fcr PCI-Ger\u00e4te ist limitiert, der Import von ACPI-Code aus EFI-Variablen ist verboten, und es sind keine Manipulationen an Ein\/Ausgabe-Ports erlaubt, einschlie\u00dflich der \u00c4nderung von Interrupt-Nummern und Ein\/Ausgabe-Portnummern f\u00fcr serielle Ports.<\/p>\n

Der Lockdown-Mechanismus wurde k\u00fcrzlich in den Hauptkern von Linux aufgenommen 5.4<\/a><\/noindex>, wird aber immer noch in den von Distritionen gelieferten Kernen in Form von Patches implementiert oder erg\u00e4nzt. Ein Unterschied zwischen den in den Distritionen bereitgestellten Erweiterungen und der im Kernel integrierten Implementierung besteht darin, dass die bereitgestellte Sperre bei physischem Zugang zum System deaktiviert werden kann. <\/p>\n

In Ubuntu und Fedora ist die Tastenkombination Alt+SysRq+X vorgesehen, um Lockdown zu deaktivieren. Es wird davon ausgegangen, dass die Kombination Alt+SysRq+X nur bei physischem Zugang zum Ger\u00e4t verwendet werden kann, und im Falle eines Remote-Hacks und des Erlangens von Root-Zugriff wird der Angreifer nicht in der Lage sein, Lockdown zu deaktivieren und beispielsweise ein nicht signiertes Modul mit einem Rootkit in den Kernel zu laden. <\/p>\n

Andrej Konovalov hat gezeigt, dass die mit der Verwendung der Tastatur verbundenen Methoden zur Best\u00e4tigung der physischen Anwesenheit des Benutzers ineffektiv sind. Der einfachste Weg, Lockdown zu deaktivieren, w\u00e4re eine softwaregest\u00fctzte Simulation<\/a><\/noindex> des Dr\u00fcckens von Alt+SysRq+X \u00fcber \/dev\/uinput, aber diese Option ist von vornherein blockiert. In diesem Zusammenhang konnten mindestens zwei weitere M\u00f6glichkeiten zur Eingabe von Alt+SysRq+X identifiziert werden. <\/p>\n

Die erste Methode besteht darin, das Interface «sysrq-trigger» zu verwenden \u2013 um zu simulieren, gen\u00fcgt es, dieses Interface zu aktivieren, indem «1» in \/proc\/sys\/kernel\/sysrq geschrieben wird, und dann «x» in \/proc\/sysrq-trigger zu schreiben. Das genannte Schlupfloch behoben<\/a><\/noindex> wurde im Dezember-Update des Kernels von Ubuntu und in Fedora 31 gefunden. Bemerkenswert ist, dass die Entwickler, \u00e4hnlich wie bei \/dev\/uinput, urspr\u00fcnglich versucht haben<\/a><\/noindex> Diese Methode blockieren, aber die Blockierung funktionierte nicht aufgrund von Fehler<\/a><\/noindex> im Code.<\/p>\n

Die zweite Methode ist mit der Emulation der Tastatur \u00fcber USB\/IP<\/a><\/noindex> und dem anschlie\u00dfenden Senden der Sequenz Alt+SysRq+X von der virtuellen Tastatur verbunden. Im mit Ubuntu gelieferten Kernel ist USB\/IP standardm\u00e4\u00dfig aktiviert (CONFIG_USBIP_VHCI_HCD=m und CONFIG_USBIP_CORE=m) und die erforderlichen signierten Module usbip_core und vhci_hcd sind verf\u00fcgbar. Der Angreifer kann ein<\/a><\/noindex> virtuelles USB-Ger\u00e4t erstellen, indem er<\/a><\/noindex> einen Netzwerk-Handler auf dem Loopback-Interface startet und ihn als entferntes USB-Ger\u00e4t \u00fcber USB\/IP verbindet. \u00dcber die genannte Methode wurde berichtet<\/a><\/noindex> an die Entwickler von Ubuntu, aber das Update wurde noch nicht ver\u00f6ffentlicht.<\/p>\n

<\/a><\/noindex><\/p>\n

Quelle: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0410\u043d\u0434\u0440\u0435\u0439 \u041a\u043e\u043d\u043e\u0432\u0430\u043b\u043e\u0432 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 Google \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b \u0441\u043f\u043e\u0441\u043e\u0431 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e\u0433\u043e \u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u0437\u0430\u0449\u0438\u0442\u044b Lockdown, \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u0435\u043c\u043e\u0439 \u0432 \u043f\u0430\u043a\u0435\u0442\u0435 \u0441 \u044f\u0434\u0440\u043e\u043c Linux, \u043f\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u043c\u043e\u043c \u0432 Ubuntu (\u0442\u0435\u043e\u0440\u0435\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u0440\u0435\u0434\u043b\u043e\u0436\u0435\u043d\u043d\u044b\u0435 \u043c\u0435\u0442\u043e\u0434\u044b \u0434\u043e\u043b\u0436\u043d\u044b \u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c \u0441 \u044f\u0434\u0440\u043e\u043c Fedora \u0438 \u0434\u0440\u0443\u0433\u0438\u0445 \u0434\u0438\u0441\u0442\u0440\u0438\u0431\u0443\u0442\u0438\u0432\u043e\u0432, \u043d\u043e \u043e\u043d\u0438 \u043d\u0435 \u043f\u0440\u043e\u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u044b). Lockdown \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0438\u0432\u0430\u0435\u0442 \u0434\u043e\u0441\u0442\u0443\u043f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f root \u043a \u044f\u0434\u0440\u0443 \u0438 \u0431\u043b\u043e\u043a\u0438\u0440\u0443\u0435\u0442 \u043f\u0443\u0442\u0438 \u043e\u0431\u0445\u043e\u0434\u0430 UEFI Secure Boot. \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0432 \u0440\u0435\u0436\u0438\u043c\u0435 lockdown \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u0434\u043e\u0441\u0442\u0443\u043f […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-41110","post","type-post","status-publish","format-standard","hentry"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Methoden zur Deaktivierung des Lockdown-Schutzes in Ubuntu zum Umgehen von UEFI Secure Boot | ProHoster","description":"Andrej Konovalov von Google ver\u00f6ffentlichte eine Methode zur Fernabschaltung des Schutzes","canonical_url":"https:\/\/prohoster.info\/de\/blog\/metody-otklyucheniya-zashhity-lockdown-v-ubuntu-dlya-udalyonnogo-obhoda-uefi-secure-boot","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041c\u0435\u0442\u043e\u0434\u044b \u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u0437\u0430\u0449\u0438\u0442\u044b Lockdown \u0432 Ubuntu \u0434\u043b\u044f \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e\u0433\u043e \u043e\u0431\u0445\u043e\u0434\u0430 UEFI Secure Boot | ProHoster","og:description":"\u0410\u043d\u0434\u0440\u0435\u0439 \u041a\u043e\u043d\u043e\u0432\u0430\u043b\u043e\u0432 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 Google \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b \u0441\u043f\u043e\u0441\u043e\u0431 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e\u0433\u043e \u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u0437\u0430\u0449\u0438\u0442\u044b","og:url":"https:\/\/prohoster.info\/de\/blog\/metody-otklyucheniya-zashhity-lockdown-v-ubuntu-dlya-udalyonnogo-obhoda-uefi-secure-boot","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-02-05T18:30:57+00:00","article:modified_time":"2020-02-05T18:30:57+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"41110","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 10:48:15","updated":"2022-09-28 13:36:48","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/41110","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=41110"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/41110\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=41110"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=41110"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=41110"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}