Matthew Garrett, tuntud Linuxi tuuma arendaja, kes on saanud avatud l\u00e4htekoodiga tarkvara fondilt preemia oma panuse eest vabasi tarkvara arengusse, r\u00e4\u00e4kis SBAT (Secure Boot Advanced Targeting) mehhanismi olemusest, mis on loodud haavatavuste blokeerimiseks alglaadijates ilma digitaalse allkirja t\u00fchistamiseta, samuti selle rollist hiljutises Windowsi v\u00e4rskenduse intsidentsis, mis t\u00f5i kaasa teatud Linuxi distributsioonide k\u00e4ivitamise peatamise, kui need olid paigaldatud koos Windowsiga UEFI Secure Booti aktiveeritud s\u00fcsteemidesse. L\u00fchidalt \u00f6eldes on s\u00fc\u00fcdi nii Microsoft, kes ei testinud v\u00e4rskendust t\u00e4ielikult ja rakendas seda s\u00fcsteemidele, millele see ei pidanud sobima, kui ka m\u00f5ningate Linuxi distributsioonide arendajad, kes ei uuendanud GRUBi alglaadijat ja SBAT-i p\u00f5lvkonna numbrit, kui GRUBis avastati haavatavused. <\/p>\n
Allpool on Garrett'i m\u00e4rkme t\u00f5lge: <\/p>\n
\nKui UEFI Secure Boot spetsifikatsiooni koostamine algas, olid k\u00f5ik osalised, \u00fctleme, pisut naiivsed. Secure Booti peamine turvamudel seisneb selles, et kogu kood, mis k\u00e4ivitatakse privileege omavas keskkonnas, peab enne t\u00e4itmist olema kontrollitud \u2014 p\u00fcsivara kontrollib laadijat, laadija kontrollib kerneli, kernel kontrollib k\u00f5ik t\u00e4iendavad k\u00e4itatud kodeeritud koodid ja n\u00fc\u00fcd on meil usaldusv\u00e4\u00e4rne keskkond, et kehtestada igasugust muud turvapoliitikat, mida soovime. On ilmne, et inimesed v\u00f5ivad eksida, kuid spetsifikatsioonis oli ette n\u00e4htud viis allkirjastatud komponentide tagasiv\u00f5tmiseks, mis osutusid ebaausateks: lihtsalt lisage rike koodih\u00e4\u00e4lestus muutujasse ja seej\u00e4rel keelduda laadimast midagi, millel on selle h\u00e4\u00e4lestuse kood, isegi kui see on usaldusv\u00e4\u00e4rse v\u00f5tmega allkirjastatud. <\/p>\n
Kahjuks selgus, et probleem on ulatuses. Iga Linuxi distributsioon, mis t\u00f6\u00f6tab Secure Boot \u00f6kos\u00fcsteemis, genereerib oma enda k\u00e4ivitusfailid, ja igal neist on oma hash. Kui sellise k\u00e4ivitusfaili l\u00e4htekoodist avastatakse haavatavus, tuleb tagasi kutsuda suur hulk erinevaid k\u00e4ivitusfaile. Ja m\u00e4lumaht muutujale, mis sisaldab k\u00f5iki neid hase, on piiratud. Lihtsalt ei piisa ruumist, et iga kord, kui selgub, et GRUB-il (k\u00e4ivituslaadur, mis kirjutati algselt ajal, mil turvaloomine ei olnud praktikas, ja millel on mitu eraldi pildifailide parserit, samuti fondide parser) on veel \u00fcks mehhanism r\u00fcndaja jaoks, et sundida seda k\u00e4ivitama suvalist koodi, on vajalik teine lahendus. <\/p>\n
See lahendus on SBAT. SBATi \u00fcldine kontseptsioon on \u00fcsna lihtne. Iga oluline komponent k\u00e4ivitamisprotsessis kuulutab v\u00e4lja turbep\u00f5lvkonna, mis sisestatakse allkirjastatud bin\u00e4\u00e4rfaili. Kui haavatavus avastatakse ja k\u00f5rvaldatakse, t\u00f5stetakse seda p\u00f5lvkonda. Siis saab v\u00e4lja anda uuenduse, mis m\u00e4\u00e4rab minimaalset p\u00f5lvkonda \u2014 laadimiskomponendid vaatavad j\u00e4rgmisele elemendile ahelas, v\u00f5rreldes selle nime ja p\u00f5lvkonna numbrit muutujas, ja otsustavad, kas seda t\u00e4ita v\u00f5i mitte. Selle asemel, et tagasiv\u00f5tta suurt hulka \u00fcksikuid rike h\u00e4\u00e4lestusi, saab v\u00e4lja anda \u00fche uuenduse, mis lihtsalt \u00fctleb: \u201eIga versioon GRUBist, mille turbep\u00f5lvkond on alla selle numbri, loetakse usaldusv\u00e4\u00e4rseks\u201d. <\/p>\n
Kusjuures, miks see \u00e4kki aktuaalseks sai? SBAT t\u00f6\u00f6tati v\u00e4lja koos Linuxi kogukonna ja Microsoftiga, ning Microsoft otsustas v\u00e4lja anda Windowsi v\u00e4rskenduse, mis k\u00e4sitles s\u00fcsteemidele GRUB-i versioone, mille turvageneratsioon on allpool m\u00e4\u00e4ratud taset, mitte usaldama. See tehti sellep\u00e4rast, et need GRUB-i versioonid sisaldasid reaalset turvaaukude, mis lubasid kurjategijatel rikkuvalt Windowsi turvaloomise protsessi, ja me n\u00e4gime t\u00f5elisi n\u00e4iteid pahavarast, mis soovis seda teha (Black Lotus kasutas Windowsi k\u00e4ivituslaadurit, kuid haavatavus GRUB-is oli sama t\u00f5hus). Kui vaadata seda puhtalt turvalisuse seisukohalt, on see t\u00e4iesti p\u00f5hjendatud soov. <\/p>\n
N\u00fc\u00fcd, mis puutub s\u00f5numisse \u201eMidagi l\u00e4ks t\u00e4iesti valesti\u201d ja k\u00e4ivitamise v\u00f5imatuse peale seda uuendust. Selle v\u00e4ljastab shim, mitte m\u00f5ni Microsofti kood. Shim arvestab SBATi uuendusi, ja et mitte rikkuda turvap\u00f5him\u00f5tteid, mida teised laadijad s\u00fcsteemis j\u00e4rgivad, ja kuigi Microsoft on v\u00e4lja andnud SBATi uuenduse, keeldub just Linuxi laadija k\u00e4ivitamast vanemaid versioone GRUBist. K\u00f5ik t\u00f6\u00f6tab nii, nagu peab. <\/p>\n
Probleem, millega inimesed silmitsi seisavad, on see, et mitmed Linuxi distributsioonid ei ole v\u00e4lja andnud GRUB versiooni, kus on uusim turvageneratsioon, ning seet\u00f5ttu peetakse neid GRUB versioone ebaturvalisteks (tuleb m\u00e4rkida, et GRUB allkirjastavad endi distributsioonid, mitte Microsoft, seega ei ole siin v\u00e4ljastpoolt tulnud viivitust). Microsofti plaanitult pidi Windows Update rakendama SBAT uuendust ainult s\u00fcsteemidele, mis t\u00f6\u00f6tavad ainult Windowsiga, ja k\u00f5ik topeltbooteerimisseaded j\u00e4\u00e4ksid r\u00fcnnakute suhtes haavatavaks, kuni installitud distributsioon ei uuenda GRUB-i ja ei uuenda SBAT generaatorit. Kahjuks, nagu on n\u00fc\u00fcd selge, ei t\u00f6\u00f6tanud see nii nagu oli plaanitud, ja v\u00e4hemalt m\u00f5ned topeltbooteerimisseadmed rakendasid uuenduse, kuid selle distributsiooni Shim keeldus selle distributsiooni GRUB-i laadimast. <\/p>\n
Mis asi on kokkuv\u00f5te? Microsoft (ilmselt p\u00f5hjusega) ei soovinud, et Windows oleks haavatav GRUB-i n\u00f5rga versiooni suhtes, mida oleks saanud petta eemaldama k\u00e4ske ning seej\u00e4rel paigaldama Windowsi tuuma bootkite laadimise ajal. Microsoft tegi seda, vabastades Windowsi v\u00e4rskenduse, mis uuendas SBAT muutuja, m\u00e4rkides, et haavatavad GRUB-i versioonid ei tohi nendel s\u00fcsteemidel k\u00e4ivituda. Esimese etapi laadija, mille oli esitanud jaotaja, luges selle muutuja, luges SBAT jaotise paigaldatud GRUB-i koopia juurest, m\u00f5istis, et need on vastuolus, ning keeldus grub-i laadimisest, kuvades s\u00f5numi 'Midagi l\u00e4ks t\u00e4iesti valesti'. Seda v\u00e4rskendust ei pidanud rakendama kahefasiliste s\u00fcsteemide puhul, kuid see rakendati siiski. <\/p>\n
Kokkuv\u00f5ttes: <\/p>\n
1) Microsoft rakendas uuendust s\u00fcsteemidele, millele see ei pidanud rakenduma <\/p>\n
2) Teatud Linuxi distributsioonid ei uuendanud GRUB laadijat ja SBAT turvageneratsiooni, kui GRUB-is tuvastati haavatavused. <\/p>\n
M\u00f5ned kasutajad ei saa oma s\u00fcsteeme k\u00e4ivitada. Usun, et siin on palju s\u00fc\u00fcdlasi. Microsoft peaks tegema rohkem teste, et veenduda, et kahekordse k\u00e4ivitamise seadistused on \u00f5igesti m\u00e4\u00e4ratletud. Samuti peaksid jaotised, mis toimetavad sertifitseeritud boot'lid, veenduma, et nad uuendavad neid ja teevad turvageneratsiooni, et see vastaks n\u00f5uetele. Vastasel juhul pakuvad nad r\u00fcndevektori, mida saab kasutada teiste operatsioonis\u00fcsteemide h\u00e4kkimiseks, ja see on teatud m\u00f5ttes \u00fchiskondliku kokkuleppe rikkumine kogu selle asja \u00fcmber. <\/p>\n
Kahjuks on peamiselt l\u00f5ppkasutajad need, kes kannatavad, kui s\u00fcsteem keeldub ootamatult laadimast OS-i, mida nad soovivad k\u00e4ivitada. Sedasi ei peaks kunagi juhtuma. Ma ei arva, et l\u00f5ppkasutajatelt k\u00fcsima, kas nad soovivad s\u00fcsteemi turvak\u00e4ivitamise uuendusi, tooks head tulemust. Kuigi ma kalduksin arvama, et UEFI turvak\u00e4ivitamine ei too enamusele l\u00f5ppkasutajatest kasu, on see siiski asi, mida te ei taha avastada selliste juhtumite j\u00e4rel. Seet\u00f5ttu kaastunde p\u00e4rast, et see on vaikimisi aktiveeritud, toetangi selle vaikimisi lubamist ja jagan Microsofti valikut, v\u00e4lja arvatud eba\u00f5nnestunud katse v\u00e4ltida uuendusi kahekordse k\u00e4ivitamise s\u00fcsteemidel. <\/p>\n
Igal juhul olin tugevalt seotud selle mehhanismi rakendamisega Linuxis 2012. aastal ning kirjutasin esimese protot\u00fc\u00fcbi Shim (mis on t\u00e4nap\u00e4eval palju parem k\u00e4ivitaja, mida toetab laiem inimgrupp ja mida ma pole juba mitu aastat puudutanud). Nii et kui soovite kedagi s\u00fc\u00fcdistada, siis palun \u00e4rge kartke mind s\u00fc\u00fcdistada. See ei oleks pidanud juhtuma, ja kui te ei ole Microsoft v\u00f5i Linuxi jaotus, siis see ei ole teie s\u00fc\u00fc. Vabandan. <\/p><\/blockquote>\n