{"id":41110,"date":"2020-02-05T21:30:57","date_gmt":"2020-02-05T18:30:57","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/metody-otklyucheniya-zashhity-lockdown-v-ubuntu-dlya-udalyonnogo-obhoda-uefi-secure-boot"},"modified":"2020-02-05T21:30:57","modified_gmt":"2020-02-05T18:30:57","slug":"metody-otklyucheniya-zashhity-lockdown-v-ubuntu-dlya-udalyonnogo-obhoda-uefi-secure-boot","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/metody-otklyucheniya-zashhity-lockdown-v-ubuntu-dlya-udalyonnogo-obhoda-uefi-secure-boot","title":{"rendered":"Methoden zur Deaktivierung des Lockdown-Schutzes in Ubuntu f\u00fcr die Umgehung von UEFI Secure Boot","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Andrej Konovalov von Google ver\u00f6ffentlichte<\/a><\/noindex> M\u00f6glichkeit zur Fernabschaltung des Schutzes Lockdown.<\/a><\/noindex>, angeboten im Paket mit dem Linux-Kernel, der in Ubuntu bereitgestellt wird (theoretisch vorgeschlagene Methoden eine Antwort kennen sollten.<\/a><\/noindex> mit dem Fedora-Kernel und anderen Distributionen zu arbeiten, aber sie wurden nicht getestet). <\/p>\n

Lockdown beschr\u00e4nkt den Zugriff des Root-Benutzers auf den Kernel und blockiert Ausweichpfade f\u00fcr UEFI Secure Boot. Zum Beispiel wird im Lockdown-Modus der Zugriff auf \/dev\/mem, \/dev\/kmem, \/dev\/port, \/proc\/kcore, debugfs, den Debug-Modus, kprobes, mmiotrace, tracefs, BPF, PCMCIA CIS (Card Information Structure), einige ACPI-Schnittstellen und MSR-Register der CPU eingeschr\u00e4nkt, kexec_file- und kexec_load-Aufrufe werden blockiert, das Wechseln in den Ruhezustand ist untersagt, die Verwendung von DMA f\u00fcr PCI-Ger\u00e4te wird eingeschr\u00e4nkt, der Import von ACPI-Code aus EFI-Variablen ist nicht zul\u00e4ssig, und Manipulationen an Eingangs-\/Ausgangsporten, einschlie\u00dflich der \u00c4nderung der Interruptnummer und des Eingangs-\/Ausgangsports f\u00fcr den seriellen Port, sind nicht gestattet.<\/p>\n

Der Lockdown-Mechanismus wurde k\u00fcrzlich in den Hauptkern von Linux integriert. 5.4<\/a><\/noindex>, aber in den in den Distributionen gelieferten Kernen wird es weiterhin in Form von Patches implementiert oder mit Patches erg\u00e4nzt. Ein Unterschied zwischen den in den Distributionen bereitgestellten Erweiterungen und der im Kernel integrierten Implementierung ist die M\u00f6glichkeit, die bereitgestellte Sperre bei physischem Zugang zum System zu deaktivieren. <\/p>\n

In Ubuntu und Fedora gibt es die Tastenkombination Alt+SysRq+X, um Lockdown zu deaktivieren. Es wird vorausgesetzt, dass die Kombination Alt+SysRq+X nur bei physischem Zugang zum Ger\u00e4t verwendet werden kann, w\u00e4hrend ein Angreifer bei einem remote Hack und root-Zugriff nicht in der Lage ist, Lockdown zu deaktivieren und beispielsweise ein nicht signiertes Modul mit einem Rootkit in den Kernel zu laden. <\/p>\n

Andrei Konovalov hat gezeigt, dass die mit der Tastatur verbundenen Methoden zur Best\u00e4tigung der physischen Anwesenheit des Benutzers ineffektiv sind. Der einfachste Weg, Lockdown zu deaktivieren, w\u00e4re eine softwarebasierte Simulation<\/a><\/noindex> des Dr\u00fcckens von Alt+SysRq+X \u00fcber \/dev\/uinput, aber diese Option ist urspr\u00fcnglich blockiert. Dabei konnten mindestens zwei weitere Methoden zum Einsetzen von Alt+SysRq+X identifiziert werden. <\/p>\n

Die erste Methode beinhaltet die Verwendung des «sysrq-trigger» Interface \u2014 um dies zu simulieren, aktivieren Sie einfach dieses Interface, indem Sie «1» in \/proc\/sys\/kernel\/sysrq schreiben, und anschlie\u00dfend «x» in \/proc\/sysrq-trigger eingeben. Dieser Zugang ist angegeben. die Schwachstelle<\/a><\/noindex> im Dezember-Update des Ubuntu-Kernels und in Fedora 31 entdeckt. Erw\u00e4hnenswert ist, dass die Entwickler, \u00e4hnlich wie im Fall von \/dev\/uinput, urspr\u00fcnglich versucht haben,<\/a><\/noindex> diese Methode zu blockieren, aber die Blockade aufgrund von Fehlers<\/a><\/noindex> Fehlern im Code nicht funktioniert hat.<\/p>\n

Die zweite Methode bezieht sich auf die Emulation von Tastaturen \u00fcber USB\/IP<\/a><\/noindex> und das anschlie\u00dfende Senden der Sequenz Alt+SysRq+X \u00fcber eine virtuelle Tastatur. Im gelieferten Ubuntu-Kernel ist USB\/IP standardm\u00e4\u00dfig aktiviert (CONFIG_USBIP_VHCI_HCD=m und CONFIG_USBIP_CORE=m) und es sind alle notwendigen, mit digitaler Signatur versehenen Module usbip_core und vhci_hcd bereitgestellt. Ein Angreifer kann ein ein Ger\u00e4t zu schaffen, das 10\u2013100 Mal schneller arbeitet als siliziumbasierte Alternativen. Laut den Ingenieuren erm\u00f6glicht ihre Technologie<\/a><\/noindex> virtuelles USB-Ger\u00e4t, indem er<\/a><\/noindex> einen Netzwerk-Handler auf dem Loopback-Interface startet und ihn als entferntes USB-Ger\u00e4t mittels USB\/IP verbindet. \u00dcber diese Methode wurde den Entwicklern von Ubuntu berichtet, aber ein Patch wurde bisher nicht ver\u00f6ffentlicht.<\/a><\/noindex> den Ubuntu-Entwicklern, aber das Update wurde noch nicht ver\u00f6ffentlicht.<\/p>\n

<\/a><\/noindex><\/p>\n

Quelle: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0410\u043d\u0434\u0440\u0435\u0439 \u041a\u043e\u043d\u043e\u0432\u0430\u043b\u043e\u0432 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 Google \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b \u0441\u043f\u043e\u0441\u043e\u0431 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e\u0433\u043e \u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u0437\u0430\u0449\u0438\u0442\u044b Lockdown, \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u0435\u043c\u043e\u0439 \u0432 \u043f\u0430\u043a\u0435\u0442\u0435 \u0441 \u044f\u0434\u0440\u043e\u043c Linux, \u043f\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u043c\u043e\u043c \u0432 Ubuntu (\u0442\u0435\u043e\u0440\u0435\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u0440\u0435\u0434\u043b\u043e\u0436\u0435\u043d\u043d\u044b\u0435 \u043c\u0435\u0442\u043e\u0434\u044b \u0434\u043e\u043b\u0436\u043d\u044b \u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c \u0441 \u044f\u0434\u0440\u043e\u043c Fedora \u0438 \u0434\u0440\u0443\u0433\u0438\u0445 \u0434\u0438\u0441\u0442\u0440\u0438\u0431\u0443\u0442\u0438\u0432\u043e\u0432, \u043d\u043e \u043e\u043d\u0438 \u043d\u0435 \u043f\u0440\u043e\u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u044b). Lockdown \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0438\u0432\u0430\u0435\u0442 \u0434\u043e\u0441\u0442\u0443\u043f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f root \u043a \u044f\u0434\u0440\u0443 \u0438 \u0431\u043b\u043e\u043a\u0438\u0440\u0443\u0435\u0442 \u043f\u0443\u0442\u0438 \u043e\u0431\u0445\u043e\u0434\u0430 UEFI Secure Boot. \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0432 \u0440\u0435\u0436\u0438\u043c\u0435 lockdown \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u0434\u043e\u0441\u0442\u0443\u043f […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-41110","post","type-post","status-publish","format-standard","hentry"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 Methoden zum Deaktivieren des Lockdown-Schutzes in Ubuntu f\u00fcr die Umgehung von UEFI Secure Boot | ProHoster","description":"Andrey Konovalov von Google hat eine Methode ver\u00f6ffentlicht, um den Lockdown-Schutz, der im Linux-Kernel-Paket f\u00fcr Ubuntu enthalten ist, aus der Ferne zu deaktivieren (die theoretisch vorgeschlagenen Methoden sollten auch mit dem Fedora-Kernel und anderen Distributionen funktionieren, wurden jedoch nicht getestet). Der Lockdown schr\u00e4nkt den Zugriff des Root-Benutzers auf den Kernel ein und blockiert Umgehungsm\u00f6glichkeiten f\u00fcr UEFI Secure Boot. Beispielsweise wird im Lockdown-Modus der Zugriff eingeschr\u00e4nkt.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/metody-otklyucheniya-zashhity-lockdown-v-ubuntu-dlya-udalyonnogo-obhoda-uefi-secure-boot","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041c\u0435\u0442\u043e\u0434\u044b \u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u0437\u0430\u0449\u0438\u0442\u044b Lockdown \u0432 Ubuntu \u0434\u043b\u044f \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e\u0433\u043e \u043e\u0431\u0445\u043e\u0434\u0430 UEFI Secure Boot | ProHoster","og:description":"\u0410\u043d\u0434\u0440\u0435\u0439 \u041a\u043e\u043d\u043e\u0432\u0430\u043b\u043e\u0432 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 Google \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b \u0441\u043f\u043e\u0441\u043e\u0431 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e\u0433\u043e \u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u0437\u0430\u0449\u0438\u0442\u044b Lockdown, \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u0435\u043c\u043e\u0439 \u0432 \u043f\u0430\u043a\u0435\u0442\u0435 \u0441 \u044f\u0434\u0440\u043e\u043c Linux, \u043f\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u043c\u043e\u043c \u0432 Ubuntu (\u0442\u0435\u043e\u0440\u0435\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u0440\u0435\u0434\u043b\u043e\u0436\u0435\u043d\u043d\u044b\u0435 \u043c\u0435\u0442\u043e\u0434\u044b \u0434\u043e\u043b\u0436\u043d\u044b \u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c \u0441 \u044f\u0434\u0440\u043e\u043c Fedora \u0438 \u0434\u0440\u0443\u0433\u0438\u0445 \u0434\u0438\u0441\u0442\u0440\u0438\u0431\u0443\u0442\u0438\u0432\u043e\u0432, \u043d\u043e \u043e\u043d\u0438 \u043d\u0435 \u043f\u0440\u043e\u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u044b). Lockdown \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0438\u0432\u0430\u0435\u0442 \u0434\u043e\u0441\u0442\u0443\u043f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f root \u043a \u044f\u0434\u0440\u0443 \u0438 \u0431\u043b\u043e\u043a\u0438\u0440\u0443\u0435\u0442 \u043f\u0443\u0442\u0438 \u043e\u0431\u0445\u043e\u0434\u0430 UEFI Secure Boot. \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0432 \u0440\u0435\u0436\u0438\u043c\u0435 lockdown \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u0434\u043e\u0441\u0442\u0443\u043f","og:url":"https:\/\/prohoster.info\/de\/blog\/metody-otklyucheniya-zashhity-lockdown-v-ubuntu-dlya-udalyonnogo-obhoda-uefi-secure-boot","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-02-05T18:30:57+00:00","article:modified_time":"2020-02-05T18:30:57+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"41110","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 10:48:15","updated":"2022-09-28 13:36:48"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/41110","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=41110"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/41110\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=41110"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=41110"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=41110"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}