Methoden fir de Lockdown-Schutz an Ubuntu auszeschalten fir UEFI Secure Boot op afstand ze ëmgoen

Andrey Konovalov vu Google publizéiert Wee fir de Schutz op afstand auszeschalten Sperrungugebueden am Linux Kernel Package mat Ubuntu geliwwert (Techniken theoretesch proposéiert sollt schafft mam Kernel vu Fedora an aner Verdeelungen, awer si ginn net getest).

Lockdown beschränkt de Root Benotzer Zougang zum Kernel a blockéiert UEFI Secure Boot Bypass Weeër. Zum Beispill, am Sperrmodus, Zougang zu /dev/mem, /dev/kmem, /dev/port, /proc/kcore, debugfs, kprobes Debugging Mode, mmiotrace, tracefs, BPF, PCMCIA CIS (Card Information Structure), e puer Interfaces sinn limitéiert ACPI an MSR Registere vun der CPU, Uruff un kexec_file an kexec_load si blockéiert, Schlofmodus ass verbueden, DMA Notzung fir PCI Geräter ass limitéiert, Import vum ACPI Code vun EFI Variablen ass verbueden, Manipulatiounen mat I/O Ports sinn net erlaabt, dorënner Ännerung vun der Ënnerbriechung Zuel an ech / O port fir Serien port.

De Lockdown Mechanismus gouf viru kuerzem an den Haapt Linux Kernel bäigefüügt 5.4, awer an de Kärelen, déi a Verdeelunge geliwwert ginn, gëtt et nach ëmmer a Form vu Patches implementéiert oder mat Patches ergänzt. Ee vun den Differenzen tëscht den Add-ons, déi a Verdeelungskits geliwwert ginn an der Implementatioun, déi an de Kernel agebaut ass, ass d'Fäegkeet fir déi geliwwert Sperrung auszeschalten wann Dir e kierperlechen Zougang zum System hutt.

An Ubuntu a Fedora gëtt d'Tastekombinatioun Alt + SysRq + X zur Verfügung gestallt fir de Lockdown auszeschalten. Et ass verstanen datt d'Kombinatioun Alt + SysRq + X nëmme mat kierperlechen Zougang zum Apparat benotzt ka ginn, an am Fall vu Remote Hacking a Root-Zougang ze kréien, kann den Ugräifer net de Lockdown auszeschalten an zum Beispill e lueden Modul mat engem Rootkit deen net digital an de Kernel ënnerschriwwen ass.

Den Andrey Konovalov huet gewisen datt Keyboard-baséiert Methoden fir d'physesch Präsenz vum Benotzer ze bestätegen net effikass sinn. Deen einfachste Wee fir de Lockdown auszeschalten wier Software Simulatioun dréckt Alt + SysRq + X iwwer /dev/uinput, awer dës Optioun ass am Ufank blockéiert. Zur selwechter Zäit war et méiglech op d'mannst zwou méi Methoden fir Ersatz Alt + SysRq + X z'identifizéieren.

Déi éischt Method beinhalt d'Benotzung vun der "sysrq-trigger" Interface - fir et ze simuléieren, aktivéiert just dës Interface andeems Dir "1" op /proc/sys/kernel/sysrq schreift, a schreift dann "x" op /proc/sysrq-trigger. Said Schlëff eliminéiert am Dezember Ubuntu Kernel Update an am Fedora 31. Et ass bemierkenswäert datt d'Entwéckler, wéi am Fall vun /dev/uinput, ufanks probéiert blockéiert dës Method, awer d'Blockéierung huet net geschafft wéinst Feeler am Code.

Déi zweet Method ëmfaasst Keyboard Emulatioun via USB / IP a schéckt dann d'Sequenz Alt + SysRq + X vun der virtueller Tastatur. Den USB/IP Kernel, dee mat Ubuntu geliwwert gëtt, ass par défaut aktivéiert (CONFIG_USBIP_VHCI_HCD=m an CONFIG_USBIP_CORE=m) a liwwert déi digital ënnerschriwwen usbip_core a vhci_hcd Moduler déi fir Operatioun néideg sinn. Den Ugräifer kann erschafen virtuell USB Apparat, duerch lancéiere Netzwierk Handler op der Loopback Interface a verbënnt et als Remote USB Apparat mat USB / IP. Iwwer déi spezifizéiert Method gemellt un Ubuntu Entwéckler, awer eng Fix ass nach net verëffentlecht ginn.

Source: opennet.ru