Matthew Garrett, tuntud Linuxi tuumikaarendaja, kes on saanud avatud l\u00e4htekoodiga tarkvara fondilt auhinna oma panuse eest, r\u00e4\u00e4kis SBAT (Secure Boot Advanced Targeting) mehhanismi olemusest, mille eesm\u00e4rk on takistada haavatavusi buutimisprotsessis ilma digitaalse allkirja t\u00fchistamiseta, samuti selle rollist hiljutises Windowsi uuenduse intsidendis, mis viis mitmete Linuxi distributsioonide l\u00f5petamiseni, kui need olid paigaldatud koos Windowsiga UEFI Secure Boot'iga s\u00fcsteemides. L\u00fchidalt \u00f6eldes on s\u00fc\u00fcdi nii Microsoft, kes ei testinud uut versiooni p\u00f5hjalikult ja rakendas seda s\u00fcsteemidele, kuhu see ei pidanud minema, kui ka mitmete Linuxi distributsioonide arendajad, kes ei uuendanud GRUB'i buutijat ja SBAT'i versiooninumbrit, kui GRUB'is avastati haavatavused. <\/p>\n
Allpool on Garrett'i m\u00e4rkme t\u00f5lge: <\/p>\n
\nUEFI Secure Boot spetsifikatsiooni v\u00e4ljat\u00f6\u00f6tamisel olid k\u00f5ik osalised, \u00fctleme nii, et natuke naiivsed. Secure Booti peamine turvamudel seisneb selles, et kogu kood, mis k\u00e4ivitatakse privileege omavas keskkonnas tuumatasemel, peab enne t\u00e4itmist olema kinnitatud \u2014 p\u00fcsivara kontrollib k\u00e4ivitajat, k\u00e4ivitaja kontrollib tuuma, tuum kontrollib igasugust t\u00e4iendavat koodi, mis k\u00e4ivitatakse k\u00e4itamise ajal, ja n\u00fc\u00fcd on meil usaldusv\u00e4\u00e4rne keskkond, et rakendada igasuguseid turvapoliitikaid, mida soovime. On selge, et inimesed v\u00f5ivad eksida, kuid spetsifikatsioonis oli ette n\u00e4htud viis allkirjastatud komponentide t\u00fchistamiseks, mis on osutunud usaldusv\u00e4\u00e4rseteks: lihtsalt lisage vale koodi r\u00e4siv\u00e4li muutuja juurde ja siis keelduda mis tahes selle r\u00e4siv\u00e4ljaga allalaadimisega, isegi kui see on allkirjastatud usaldusv\u00e4\u00e4rse v\u00f5tmega. <\/p>\n
Kahjuks selgus, et probleem on ulatuslik. Iga Linuxi distributsioon, mis t\u00f6\u00f6tab Secure Boot \u00f6kos\u00fcsteemis, genereerib omaenda laadimisfailide binaarfailid ja iga\u00fchel neist on oma hash. Kui sellise laadimisprogrammi l\u00e4htekoodist avastatakse turvaviga, tuleb tagasi kutsuda suur hulk erinevaid binaarfailide versioone. Kuid m\u00e4lu, mis on ette n\u00e4htud muutujale, mis sisaldab k\u00f5iki neid hashe, on piiratud. Lihtsalt ei j\u00e4tku ruumi igakord, kui selgub, et GRUB'il (laadimisprogramm, mis kirjutati algselt ajal, mil buude kaitsmine ei olnud veel praktikas, ja millel on mitu eraldi img-piltide parsijat ning ka fondide parsija) on veel \u00fcks mehhanism r\u00fcndajale, et sundida seda t\u00e4itma k\u00e4ske, seet\u00f5ttu oli vajalik teine lahendus. <\/p>\n
Selle lahenduse nimi on SBAT. SBATi \u00fcldine kontseptsioon on \u00fcsna lihtne. Iga oluline komponent k\u00e4ivitusprotsessis kuulutab v\u00e4lja turbeversiooni, mis sisaldub allkirjastatud binaarfailis. Kui haavatavus avastatakse ja k\u00f5rvaldatakse, suurendatakse seda versiooni. Seej\u00e4rel saab v\u00e4lja anda uuenduse, mis m\u00e4\u00e4ratleb minimaalset versiooni \u2014 laadimis komponendid vaatavad j\u00e4rgmise elemendi ahelas, v\u00f5rreldes selle nime ja versiooni number neid, mis on salvestatud p\u00fcsivara muutuja, ja otsustavad, kas seda t\u00e4ita v\u00f5i mitte, tuginedes sellele. Selle asemel, et tagasi kutsuda suuri hulk individuaalseid r\u00e4sim\u00e4rke, saab v\u00e4lja anda \u00fche uuenduse, mis lihtsalt \u00fctleb: \u201eIga GRUB versioon, mille turbeversioon on allpool seda numbrit, loetakse usaldamatuks.\u201d <\/p>\n
Miks see siis \u00e4kki aktuaalseks muutus? SBAT t\u00f6\u00f6tati v\u00e4lja koost\u00f6\u00f6s Linuxi ja Microsofti kogukonnaga, ning Microsoft otsustas vabastada Windowsi v\u00e4rskenduse, mis k\u00e4skis s\u00fcsteemidel mitte usaldada GRUB versioone, mille turvageneraator oli madalamal tasemel. See tehti selle t\u00f5ttu, et need GRUB versioonid omasid reaalseid turvaauke, mis v\u00f5imaldasid kurjategijatel rikkuda Windowsi turvakihti, ja oleme n\u00e4inud reaalseid n\u00e4iteid pahavara, mis soovis seda teha (Black Lotus kasutas Windowsi laadija haavatavust, kuid GRUB-i haavatavus oli sama efektiivne). Kui sellele puhtalt turvalisuse aspektist vaadata, on see t\u00e4iesti m\u00f5istetav soov. <\/p>\n
N\u00fc\u00fcd, mis puudutab teadet \u201eMidagi l\u00e4ks t\u00f5eliselt valesti\u201d ja selle uuenduse t\u00f5ttu laadimise v\u00f5imatust. Selle genereerib shim, mitte m\u00f5ni Microsofti kood. Shim arvestab SBAT uuendust, ja et mitte rikkuda teiste k\u00e4ivitajate s\u00fcsteemis kehtestatud turvapoliitikat, kuigi Microsoft on SBAT uuenduse v\u00e4lja andnud, keeldub Linuxi k\u00e4ivitusprotsess vanade GRUB versioonide k\u00e4ivitamisest. K\u00f5ik toimib nagu peab. <\/p>\n
Inimene on silmitsi seisnud probleemiga, et mitmed Linuxi distributsioonid ei ole v\u00e4lja andnud uuematele turvageneratsioonidele vastavaid GRUB versioone, seet\u00f5ttu peetakse neid GRUB versioone ebaturvalisteks (t\u00e4helepanuv\u00e4\u00e4rne on, et GRUB allkirjastavad ise distributsioonid, mitte Microsoft, mist\u00f5ttu ei ole siin mingit v\u00e4ljastpoolt tulnud mahaj\u00e4\u00e4must). Microsofti kavatsus oli, et Windows Update rakendab SBAT uuendust ainult s\u00fcsteemidele, mis t\u00f6\u00f6tavad ainu\u00fcksi Windowsiga, ning k\u00f5ik topeltbuutimise seadistused j\u00e4\u00e4ksid r\u00fcndamistele avatud seni, kuni installitud distributsioon uuendab GRUB-i ja SBAT-i p\u00f5lvkonda. Kahjuks, nagu n\u00fc\u00fcdsel ajal on selge, ei t\u00f6\u00f6tanud see nii, nagu oli plaanitud, ja v\u00e4hemalt m\u00f5nede topeltbuutimise seadistustega s\u00fcsteemide puhul rakendati uuendus, samas kui selle distributsiooni Shim keeldus selle distributsiooni GRUB-i laadimisest. <\/p>\n
Mis on tulemuseks? Microsoft (arusaadavatel p\u00f5hjustel) ei soovinud, et Windows oleks kahjustatava GRUB-i versiooni kaudu r\u00fcnnatav, mille v\u00f5iks valeandmetega k\u00e4ivitada ja seej\u00e4rel sisestada Windowsi kernelisse bootkiti k\u00e4ivitamise ajal. Microsoft saavutas selle, vabastades Windowsi v\u00e4rskenduse, mis uuendas SBAT-muutujat, \u00f6eldes, et kahjustatavad GRUB-i versioonid ei tohiks neid s\u00fcsteeme laadida. Tootja Shim esimeses etapis laadimisprogramm luges selle muutuja, luges SBAT-osa installitud GRUB-i koopiast, m\u00f5istis, et need on vastuolus ja keeldus grub-i laadimist, andes teada \"Midagi on t\u00e4iesti valesti\". Seda v\u00e4rskendust ei pidanud rakendama kaheastmelistele s\u00fcsteemidele, kuid see rakendati siiski. <\/p>\n
\u00dcldiselt: <\/p>\n
1) Microsoft rakendas v\u00e4rskenduse s\u00fcsteemidele, kellele see ei pidanud kehtima <\/p>\n
2) M\u00f5ned Linuxi distributsioonid ei uuendanud GRUB laadijat ja SBAT turvaseadet, kui GRUB-is avastati haavatavusi. <\/p>\n
M\u00f5ned inimesed ei saa oma s\u00fcsteeme k\u00e4ivitada. Arvan, et siin on palju s\u00fc\u00fcdlasi. Microsoft peaks tegema rohkem teste, et veenduda, et kahekordse k\u00e4ivitamise seadistusi saab \u00f5igesti tuvastada. Kuid ka jaotused, mis tarnivad allkirjastatud alglaadijat, peavad veenduma, et nad uuendavad neid ja ajakohastavad turvageneratsiooni, et need vastaksid, kuna vastasel juhul pakuvad nad r\u00fcnnakuvektori, mida saab kasutada teiste operatsioonis\u00fcsteemide rikkumiseks, ja see on omamoodi avaliku lepingu rikkumine k\u00f5igi nende suhtes. <\/p>\n
Kahjuks on siin peamiselt kannatajateks l\u00f5ppkasutajad, kes seisavad silmitsi olukorraga, kus s\u00fcsteem keeldub ootamatult laadimast soovitud operatsioonis\u00fcsteemi. Seda ei tohiks kunagi juhtuda. Ma ei arva, et l\u00f5ppkasutajate k\u00fcsitlus selle kohta, kas nad soovivad turvalise k\u00e4ivitamise s\u00fcsteemuuendusi, toob head tulemust ning kuigi ma olen h\u00e4guselt kaldunud arvama, et UEFI turvaline k\u00e4ivitamine ei ole midagi, mis looks kasu enamikule l\u00f5ppkasutajatest, on see ka asi, mille avastamine p\u00e4rast selliseid s\u00fcndmusi ei oleks soovitav. Seet\u00f5ttu kaastundan, et see on vaikimisi lubatud, ning toetan selle vaikimisi lubamist, jagades Microsofti valikuid, v\u00e4lja arvatud eba\u00f5nnestunud katse v\u00e4ltida uuendust kahekordse k\u00e4ivitamise s\u00fcsteemides. <\/p>\n
Igal juhul oli mul 2012. aastal Linuxi jaoks selle mehhanismi elluviimisega palju tegemist ja ma kirjutasin esimese Shim protot\u00fc\u00fcbi (mis on n\u00fc\u00fcd oluliselt parem laadija, mida toetab laiem inimeste ring ja mida ma ei ole juba mitu aastat puudutanud), nii et kui soovite kedagi s\u00fc\u00fcdistada, siis palun \u00e4rge kartke mind s\u00fc\u00fcdistada. See on asi, mida ei oleks pidanud juhtuma, ja kui te ei ole Microsoft v\u00f5i Linuxi distributsioon, pole see teie s\u00fc\u00fc. Vabandust. <\/p><\/blockquote>\n