שיטות להשבית את הגנת הנעילה באובונטו כדי לעקוף מרחוק את UEFI Secure Boot

אנדריי קונובלוב מגוגל פורסם דרך להשבית מרחוק את ההגנה נעילהמוצע בחבילת ליבת לינוקס שנשלחה עם אובונטו (טכניקות מוצעות באופן תיאורטי חייב עבודה עם הליבה של פדורה והפצות אחרות, אך הן אינן נבדקות).

הנעילה מגבילה את גישת משתמשי השורש לליבה וחוסמת נתיבי מעקף של UEFI Secure Boot. לדוגמה, במצב נעילה, גישה אל /dev/mem, /dev/kmem, /dev/port, /proc/kcore, debugfs, kprobes mode debug, mmiotrace, tracefs, BPF, PCMCIA CIS (מבנה מידע כרטיס), חלק ממשקים מוגבלים אוגרי ACPI ו-MSR של ה-CPU, שיחות ל-kexec_file ו-kexec_load חסומות, מצב שינה אסור, השימוש ב-DMA עבור התקני PCI מוגבל, יבוא של קוד ACPI ממשתני EFI אסור, מניפולציות עם יציאות I/O אינן מותר, כולל שינוי מספר ההפסקה ויציאת I/O עבור יציאה טורית.

מנגנון הנעילה נוסף לאחרונה לליבת לינוקס הראשית 5.4, אך בקרנלים המסופקים בהפצות הוא עדיין מיושם בצורה של טלאים או בתוספת טלאים. אחד ההבדלים בין התוספות הניתנות בערכות ההפצה לבין המימוש המובנה בקרנל הוא היכולת לבטל את הנעילה שסופקה אם יש לך גישה פיזית למערכת.

באובונטו ובפדורה, שילוב המקשים Alt+SysRq+X מסופק כדי להשבית את הנעילה. מובן שניתן להשתמש בשילוב Alt+SysRq+X רק עם גישה פיזית למכשיר, ובמקרה של פריצה מרחוק והשגת גישת שורש, התוקף לא יוכל להשבית את Lockdown ולדוגמא, לטעון מודול עם ערכת שורש שאינה מחוברת דיגיטלית לקרנל.

אנדריי קונובלוב הראה ששיטות מבוססות מקלדת לאישור נוכחות פיזית של המשתמש אינן יעילות. הדרך הפשוטה ביותר להשבית את הנעילה תהיה באופן תכנותי סימולציה לחיצה על Alt+SysRq+X דרך /dev/uinput, אך אפשרות זו חסומה בתחילה. במקביל, ניתן היה לזהות לפחות עוד שתי שיטות החלפה Alt+SysRq+X.

השיטה הראשונה כוללת שימוש בממשק "sysrq-trigger" - כדי לדמות אותו, פשוט הפעל את הממשק הזה על ידי כתיבת "1" ל-/proc/sys/kernel/sysrq, ולאחר מכן כתוב "x" ל-/proc/sysrq-trigger. פרצה אמרה חוסלו בעדכון ליבת אובונטו לדצמבר וב-Fedora 31. ראוי לציין שהמפתחים, כמו במקרה של /dev/uinput, בתחילה ניסה חסום שיטה זו, אך החסימה לא עבדה עקב שגיאות בקוד.

השיטה השנייה כוללת הדמיית מקלדת באמצעות USB/IP ולאחר מכן שליחת הרצף Alt+SysRq+X מהמקלדת הוירטואלית. ליבת ה-USB/IP הנשלחת עם אובונטו מופעלת כברירת מחדל (CONFIG_USBIP_VHCI_HCD=m ו-CONFIG_USBIP_CORE=m) ומספקת את מודולי usbip_core ו-vhci_hcd עם חתימה דיגיטלית הדרושים לפעולה. התוקף יכול создать התקן USB וירטואלי, הושק מטפל ברשת בממשק הלולאה וחיבורו כהתקן USB מרוחק באמצעות USB/IP. לגבי השיטה שצוינה דיווח למפתחי אובונטו, אך עדיין לא פורסם תיקון.

מקור: OpenNet.ru