Matthew Garrett, a Linux kernel neves fejleszt\u0151je, aki valaha a Szabad Szoftver Alap\u00edtv\u00e1nyt\u00f3l d\u00edjat kapott a szabad szoftverek fejleszt\u00e9s\u00e9hez val\u00f3 hozz\u00e1j\u00e1rul\u00e1s\u00e9rt, besz\u00e9lt a SBAT (Secure Boot Advanced Targeting) mechanizmus l\u00e9nyeg\u00e9r\u0151l, amelyet a bet\u00f6lt\u0151programok s\u00e9r\u00fcl\u00e9kenys\u00e9geinek blokkol\u00e1s\u00e1ra hoztak l\u00e9tre an\u00e9lk\u00fcl, hogy visszavonn\u00e1k a digit\u00e1lis al\u00e1\u00edr\u00e1st, valamint a Windows legut\u00f3bbi friss\u00edt\u00e9s\u00e9vel kapcsolatos esem\u00e9nyr\u0151l, amely a Linux egyes disztrib\u00faci\u00f3inak ind\u00edt\u00e1s\u00e1nak le\u00e1ll\u00edt\u00e1s\u00e1hoz vezetett, amelyeket p\u00e1rhuzamosan telep\u00edtettek Windowszal UEFI Secure Boot enged\u00e9lyezett rendszereken. R\u00f6viden, mind a Microsoft, amely nem tesztelte teljesen a friss\u00edt\u00e9st, \u00e9s alkalmazta azt olyan rendszereken, amelyekre azt nem sz\u00e1nt\u00e1k, mind pedig n\u00e9h\u00e1ny Linux disztrib\u00faci\u00f3 fejleszt\u0151i, akik nem friss\u00edtett\u00e9k a GRUB bet\u00f6lt\u0151programot \u00e9s a SBAT gener\u00e1ci\u00f3s sz\u00e1m\u00e1t, amikor a GRUB-ban s\u00e9r\u00fcl\u00e9kenys\u00e9geket fedeztek fel, felel\u0151s a probl\u00e9m\u00e1\u00e9rt. <\/p>\n
Al\u00e1bb olvashat\u00f3 Garrett megjegyz\u00e9s\u00e9nek ford\u00edt\u00e1sa: <\/p>\n
\nAmikor az UEFI Secure Boot specifik\u00e1ci\u00f3 fejleszt\u00e9se zajlott, minden r\u00e9sztvev\u0151 kiss\u00e9 naivnak bizonyult. A Secure Boot biztons\u00e1gi modellje abban rejlik, hogy minden k\u00f3d, amely jogosults\u00e1gokkal rendelkez\u0151 k\u00f6rnyezetben, a kernel szintj\u00e9n fut, ellen\u0151rizve van a v\u00e9grehajt\u00e1s el\u0151tt \u2014 a firmware ellen\u0151rzi az ind\u00edt\u00f3t, az ind\u00edt\u00f3 ellen\u0151rzi a kernelt, a kernel ellen\u0151rzi b\u00e1rmilyen tov\u00e1bbi, fut\u00e1sid\u0151ben bet\u00f6lt\u00f6tt kernelt, \u00e9s most m\u00e1r van egy megb\u00edzhat\u00f3 k\u00f6rnyezet\u00fcnk, amely lehet\u0151v\u00e9 teszi b\u00e1rmilyen m\u00e1s biztons\u00e1gi politika \u00e9rv\u00e9nyes\u00edt\u00e9s\u00e9t, amelyet szeretn\u00e9nk. Nyilv\u00e1nval\u00f3, hogy az emberek hib\u00e1zhatnak, de a specifik\u00e1ci\u00f3 el\u0151\u00edrta az al\u00e1\u00edrt komponensek visszavon\u00e1s\u00e1nak m\u00f3dj\u00e1t, ha azok megb\u00edzhatatlannak bizonyulnak: egyszer\u0171en csak hozz\u00e1 kell adni a megb\u00edzhatatlan k\u00f3d hash-j\u00e9t egy v\u00e1ltoz\u00f3hoz, majd megtagadni b\u00e1rmi bet\u00f6lt\u00e9s\u00e9t ezzel a hashel, m\u00e9g akkor is, ha azt megb\u00edzhat\u00f3 kulcs \u00edrta al\u00e1. <\/p>\n
Sajnos, ahogy kider\u00fclt, a probl\u00e9ma a m\u00e9retben rejlik. Minden Linux disztrib\u00faci\u00f3, amely a Secure Boot \u00f6kosziszt\u00e9m\u00e1ban m\u0171k\u00f6dik, saj\u00e1t bet\u00f6lt\u0151bin\u00e1ris f\u00e1jljait gener\u00e1lja, \u00e9s mindegyiknek megvan a saj\u00e1t hash \u00e9rt\u00e9ke. Ha a bet\u00f6lt\u0151 forr\u00e1sk\u00f3dj\u00e1ban sebezhet\u0151s\u00e9get tal\u00e1lnak, akkor sz\u00e1mos k\u00fcl\u00f6nb\u00f6z\u0151 bin\u00e1ris f\u00e1jl visszavon\u00e1s\u00e1ra van sz\u00fcks\u00e9g. Az \u00f6sszes ezen hash-eket tartalmaz\u00f3 v\u00e1ltoz\u00f3 t\u00e1rol\u00e1s\u00e1ra sz\u00e1nt mem\u00f3ria mennyis\u00e9ge pedig korl\u00e1tozott. Egyszer\u0171en nem el\u00e9g a hely \u00faj hash-sorozatok hozz\u00e1ad\u00e1s\u00e1hoz, amikor kider\u00fcl, hogy a GRUB (a bet\u00f6lt\u0151, amelyet eredetileg azon id\u0151kben \u00edrtak, amikor m\u00e9g nem volt gyakorlat a bet\u00f6lt\u00e9si v\u00e9delem, \u00e9s t\u00f6bb k\u00fcl\u00f6n\u00e1ll\u00f3 img-f\u00e1jl elemz\u0151je, valamint bet\u0171t\u00edpus elemz\u0151je is volt) \u00fajabb mechanizmust k\u00edn\u00e1l a t\u00e1mad\u00f3knak, hogy lehet\u0151v\u00e9 tegy\u00e9k sz\u00e1m\u00e1ra tetsz\u0151leges k\u00f3d v\u00e9grehajt\u00e1s\u00e1t, ez\u00e9rt m\u00e1s megold\u00e1sra volt sz\u00fcks\u00e9g. <\/p>\n
Ez a megold\u00e1s a SBAT lett. A SBAT \u00e1ltal\u00e1nos koncepci\u00f3ja meglehet\u0151sen egyszer\u0171. Minden fontos komponens a bet\u00f6lt\u00e9si l\u00e1ncban bejelenti a biztons\u00e1gi gener\u00e1ci\u00f3t, amely az al\u00e1\u00edrt bin\u00e1ris f\u00e1jlba ker\u00fcl. Amikor egy sebezhet\u0151s\u00e9g felfedez\u00e9sre \u00e9s kijav\u00edt\u00e1sra ker\u00fcl, ez a gener\u00e1ci\u00f3 n\u00f6vekszik. Ezut\u00e1n ki lehet adni egy friss\u00edt\u00e9st, amely meghat\u00e1rozza a minim\u00e1lis gener\u00e1ci\u00f3t \u2014 a bet\u00f6lt\u00e9si komponensek megn\u00e9zik a l\u00e1nc k\u00f6vetkez\u0151 elem\u00e9t, \u00f6sszehasonl\u00edtj\u00e1k a nev\u00e9t \u00e9s a gener\u00e1ci\u00f3s sz\u00e1m\u00e1t a firmware v\u00e1ltoz\u00f3j\u00e1ban t\u00e1roltakkal, \u00e9s eld\u00f6ntik, hogy v\u00e9grehajts\u00e1k-e azt vagy sem. Ahelyett, hogy sok k\u00fcl\u00f6n\u00e1ll\u00f3 hasht visszavon\u00e1s\u00e1ra lenne sz\u00fcks\u00e9g, egyetlen friss\u00edt\u00e9st lehet kiadni, amely egyszer\u0171en azt mondja: \u201eB\u00e1rmely GRUB verzi\u00f3, amelynek biztons\u00e1gi gener\u00e1ci\u00f3ja alacsonyabb enn\u00e9l a sz\u00e1mn\u00e1l, megb\u00edzhatatlannak tekinthet\u0151.\u201d <\/p>\n
Mi\u00e9rt lett ez hirtelen aktu\u00e1lis? A SBAT-ot a Linux k\u00f6z\u00f6ss\u00e9g \u00e9s a Microsoft k\u00f6z\u00f6sen fejlesztette ki, \u00e9s a Microsoft \u00fagy d\u00f6nt\u00f6tt, hogy kiad egy friss\u00edt\u00e9st a Windows sz\u00e1m\u00e1ra, amely azt mondta a rendszereknek, hogy ne b\u00edzzanak a GRUB verzi\u00f3kban, amelyek biztons\u00e1gi gener\u00e1ci\u00f3ja egy adott szint alatt van. Ezt az\u00e9rt tett\u00e9k, mert ezek a GRUB verzi\u00f3k val\u00f3s biztons\u00e1gi sebezhet\u0151s\u00e9gekkel rendelkeztek, amelyek lehet\u0151v\u00e9 tett\u00e9k a t\u00e1mad\u00f3k sz\u00e1m\u00e1ra, hogy megs\u00e9rts\u00e9k a Windows biztons\u00e1gos ind\u00edt\u00e1si l\u00e1nc\u00e1t, \u00e9s l\u00e1ttunk t\u00e9nyleges p\u00e9ld\u00e1kat arra, hogy a rosszindulat\u00fa szoftverek ezt meg akart\u00e1k tenni (a Black Lotus kihaszn\u00e1lta a Windows bet\u00f6lt\u0151 sebezhet\u0151s\u00e9g\u00e9t, de a GRUB sebezhet\u0151s\u00e9ge is ugyanolyan hat\u00e9kony volt). Ha ezt tiszt\u00e1n biztons\u00e1gi szempontb\u00f3l n\u00e9zz\u00fck, teljesen \u00e9sszer\u0171 k\u00edv\u00e1ns\u00e1g. <\/p>\n
Most pedig n\u00e9zz\u00fck a \u201eValami nagyon nem stimmelt\u201d \u00fczenetet \u00e9s a friss\u00edt\u00e9s k\u00f6vetkezt\u00e9ben bek\u00f6vetkez\u0151 bet\u00f6lt\u00e9si lehetetlens\u00e9get. Ezt a shim adja ki, nem pedig valamilyen Microsoft k\u00f3d. A shim figyelembe veszi a SBAT friss\u00edt\u00e9seit, \u00e9s hogy ne s\u00e9rtse meg a rendszer m\u00e1s bet\u00f6lt\u0151i \u00e1ltal elfogadott biztons\u00e1gi elveket, \u00e9s b\u00e1r a Microsoft kiadott egy SBAT friss\u00edt\u00e9st, v\u00e9g\u00fcl a Linux ind\u00edt\u00f3ja tagadja meg a r\u00e9gebbi GRUB verzi\u00f3k ind\u00edt\u00e1s\u00e1t. Minden \u00fagy m\u0171k\u00f6dik, ahogy kell. <\/p>\n
A probl\u00e9ma, amellyel az emberek szembes\u00fcltek, az az, hogy sz\u00e1mos Linux disztrib\u00faci\u00f3 nem bocs\u00e1tott ki olyan GRUB verzi\u00f3kat, amelyek a leg\u00fajabb biztons\u00e1gi gener\u00e1ci\u00f3val rendelkeznek, ez\u00e9rt ezek a GRUB verzi\u00f3k nem biztons\u00e1gosnak sz\u00e1m\u00edtanak (meg kell jegyezni, hogy a GRUB-ot maguk a disztrib\u00faci\u00f3k \u00edrj\u00e1k al\u00e1, nem pedig a Microsoft, \u00edgy itt nincs semmif\u00e9le k\u00fcls\u0151 k\u00e9sedelem). A Microsoft sz\u00e1nd\u00e9ka szerint a Windows Update friss\u00edt\u00e9snek csak azokra a rendszerekre kellett volna vonatkoznia, amelyek csak Windows-t futtatnak, m\u00edg a kett\u0151s ind\u00edt\u00e1ssal rendelkez\u0151 telep\u00edt\u00e9sek sebezhet\u0151k maradnak a t\u00e1mad\u00e1sokkal szemben, am\u00edg az adott disztrib\u00faci\u00f3 nem friss\u00edti a GRUB-ot \u00e9s nem friss\u00edti az SBAT gener\u00e1ci\u00f3t. Sajnos, ahogy most m\u00e1r egy\u00e9rtelm\u0171, ez nem \u00fagy m\u0171k\u00f6d\u00f6tt, ahogy tervezt\u00e9k, \u00e9s legal\u00e1bbis n\u00e9h\u00e1ny kett\u0151s ind\u00edt\u00e1s\u00fa rendszer alkalmazta a friss\u00edt\u00e9st, m\u00edg ennek a disztrib\u00faci\u00f3nak a Shimje megtagadta a GRUB bet\u00f6lt\u00e9s\u00e9t. <\/p>\n
Mi az eredm\u00e9ny? A Microsoft (\u00e9rthet\u0151 okokb\u00f3l) nem akarta, hogy a Windows t\u00e1madhat\u00f3 legyen egy sebezhet\u0151 GRUB verzi\u00f3val, amelyet csal\u00e1ssal r\u00e1 tudtak volna venni, hogy v\u00e9grehajtson tetsz\u0151leges k\u00f3dot, majd bet\u00f6lts\u00f6n egy bootkitet a Windows kernel\u00e9be a rendszerind\u00edt\u00e1s sor\u00e1n. A Microsoft ezt egy Windows friss\u00edt\u00e9ssel oldotta meg, amely friss\u00edtette az SBAT v\u00e1ltoz\u00f3t, megjel\u00f6lve, hogy a sebezhet\u0151 GRUB verzi\u00f3k nem indulhatnak el ezeken a rendszereken. Az \u00e1ltal\u00e1nosan biztos\u00edtott Shim els\u0151 szakasz\u00fa bet\u00f6lt\u0151 olvasta ezt a v\u00e1ltoz\u00f3t, lek\u00e9rdezte az SBAT part\u00edci\u00f3t a telep\u00edtett GRUB p\u00e9ld\u00e1nyb\u00f3l, \u00e9s \u00e9szlelte, hogy ellentmond\u00e1sok vannak, ez\u00e9rt megtagadta a grub bet\u00f6lt\u00e9s\u00e9t a \"Valami nagyon elromlott\" \u00fczenettel. Ezt a friss\u00edt\u00e9st nem sz\u00e1nt\u00e1k a dual-boot rendszerekhez, de m\u00e9gis alkalmazt\u00e1k. <\/p>\n
\u00d6sszess\u00e9g\u00e9ben: <\/p>\n
1) A Microsoft friss\u00edt\u00e9st alkalmazott olyan rendszereken, amelyekre nem kellett volna; <\/p>\n
2) N\u00e9h\u00e1ny Linux disztrib\u00faci\u00f3 nem friss\u00edtette a GRUB bootloadert \u00e9s az SBAT biztons\u00e1gi gener\u00e1ci\u00f3t, amikor a GRUB-ban sebezhet\u0151s\u00e9geket fedeztek fel. <\/p>\n
Ennek k\u00f6vetkezt\u00e9ben egyes emberek nem tudj\u00e1k bet\u00f6lteni a rendszereiket. \u00dagy gondolom, hogy itt sok mindennek van szerepe. A Microsoftnak t\u00f6bb tesztet kellett volna v\u00e9geznie annak biztos\u00edt\u00e1sa \u00e9rdek\u00e9ben, hogy a kett\u0151s ind\u00edt\u00e1ssal rendelkez\u0151 telep\u00edt\u00e9sek pontosan azonos\u00edthat\u00f3k legyenek. De azoknak az disztrib\u00faci\u00f3knak is, amelyek al\u00e1\u00edrt bet\u00f6lt\u0151ket szolg\u00e1ltatnak, biztos\u00edtaniuk kell, hogy friss\u00edtik azokat, \u00e9s friss\u00edtik a biztons\u00e1gi gener\u00e1ci\u00f3t, hogy megfeleljenek, mert k\u00fcl\u00f6nben t\u00e1mad\u00e1si vektort biztos\u00edtanak, amelyet m\u00e1s oper\u00e1ci\u00f3s rendszerek felt\u00f6r\u00e9s\u00e9re lehet haszn\u00e1lni, \u00e9s ez egyfajta k\u00f6zszolg\u00e1ltat\u00e1si szerz\u0151d\u00e9s megs\u00e9rt\u00e9se k\u00f6r\u00fcl is van. <\/p>\n
Sajnos itt f\u0151leg a v\u00e9gfelhaszn\u00e1l\u00f3k v\u00e1lnak \u00e1ldozatokk\u00e1, akik szembes\u00fclnek azzal, hogy a rendszer hirtelen megtagadja azt az oper\u00e1ci\u00f3s rendszert, amit el akarnak ind\u00edtani. Ennek soha nem kellett volna megt\u00f6rt\u00e9nnie. Nem hiszem, hogy a v\u00e9gfelhaszn\u00e1l\u00f3k megk\u00e9rdez\u00e9se arr\u00f3l, hogy akarnak-e biztons\u00e1gos rendszerind\u00edt\u00f3 friss\u00edt\u00e9seket, j\u00f3 eredm\u00e9nyhez vezetne, \u00e9s b\u00e1r hom\u00e1lyosan hajlok arra, hogy a UEFI biztons\u00e1gos ind\u00edt\u00e1sa nem olyan dolog, ami a legt\u00f6bb v\u00e9gfelhaszn\u00e1l\u00f3nak hasznot hoz, ez egy olyan dolog, amelyet nem akar felfedezni az ilyen incidensek ut\u00e1n, ez\u00e9rt szimpatikus, hogy alap\u00e9rtelmez\u00e9s szerint be van kapcsolva, teh\u00e1t t\u00e1mogatom az alap\u00e9rtelmezett enged\u00e9lyez\u00e9s\u00e9t, \u00e9s osztom a Microsoft d\u00f6nt\u00e9s\u00e9t, kiv\u00e9ve a kett\u0151s ind\u00edt\u00e1ssal rendelkez\u0151 rendszereken v\u00e9grehajtott friss\u00edt\u00e9sek elker\u00fcl\u00e9s\u00e9nek sikertelen k\u00eds\u00e9rlet\u00e9t. <\/p>\n
Mindenesetre 2012-ben nagy r\u00e9szt vettem ennek a mechanizmusnak a megval\u00f3s\u00edt\u00e1s\u00e1ban Linux sz\u00e1m\u00e1ra, \u00e9s \u00edrtam meg az els\u0151 Shim protot\u00edpust (ami most m\u00e1r jelent\u0151sen jobb bet\u00f6lt\u0151, sz\u00e9lesebb felhaszn\u00e1l\u00f3i j\u00f6v\u0151vel, amelyhez \u00e9vek \u00f3ta nem ny\u00faltam hozz\u00e1), \u00edgy ha valakit szeretn\u00e9l megb\u00fcntetni, k\u00e9rlek, ne habozz engem megv\u00e1dolni. Ez olyan dolog, ami nem szabadott volna megt\u00f6rt\u00e9nnie, \u00e9s ha nem Microsoft vagy Linux disztrib\u00faci\u00f3, akkor nem a te hib\u00e1d. Eln\u00e9z\u00e9st k\u00e9rek. <\/p><\/blockquote>\n