{"id":119554,"date":"2024-08-21T09:43:00","date_gmt":"2024-08-21T07:43:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/oshibka-v-obnovlenii-k-windows-blokirovala-zagruzku-linux-pri-ispolzovanii-uefi-secure-boot"},"modified":"2024-08-21T09:43:00","modified_gmt":"2024-08-21T07:43:00","slug":"oshibka-v-obnovlenii-k-windows-blokirovala-zagruzku-linux-pri-ispolzovanii-uefi-secure-boot","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/oshibka-v-obnovlenii-k-windows-blokirovala-zagruzku-linux-pri-ispolzovanii-uefi-secure-boot","title":{"rendered":"B\u0142\u0105d w aktualizacji do Windows zablokowa\u0142 uruchamianie systemu Linux przy u\u017cyciu UEFI Secure Boot","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
We wtorkowym wydaniu aktualizacji systemu operacyjnego Windows odkryto problem, kt\u00f3ry uniemo\u017cliwia uruchomienie system\u00f3w Linux zainstalowanych r\u00f3wnolegle z Windows na tym samym komputerze. Przyczyn\u0105 problem\u00f3w jest poprawka skierowana na usuni\u0119cie starej luki (CVE-2022-2601) w loaderze GRUB, naprawionej w 2022 roku. Microsoft na razie nie opublikowa\u0142 \u017cadnych o\u015bwiadcze\u0144 zwi\u0105zanych z tym b\u0142\u0119dem ani go nie skomentowa\u0142. <\/p>\n
W uwagach do zmiany wskazano, \u017ce poprawka wprowadzaj\u0105ca now\u0105 polityk\u0119 SBAT (UEFI Secure Boot Advanced Targeting) ma by\u0107 stosowana tylko w systemach zainstalowanych z Windows i nie powinna dotyczy\u0107 konfiguracji z podw\u00f3jnym uruchomieniem (zmiana zablokowa\u0142a mo\u017cliwo\u015b\u0107 korzystania z obraz\u00f3w rozruchowych z przestarza\u0142ym GRUB-em w systemach, w kt\u00f3rych zainstalowany jest tylko Windows). Zaznaczone r\u00f3wnie\u017c, \u017ce zmiana mo\u017ce prowadzi\u0107 do problem\u00f3w z uruchamianiem obraz\u00f3w ISO starych system\u00f3w dostarczanych z podatn\u0105 wersj\u0105 GRUB. W praktyce problemy zaobserwowano r\u00f3wnie\u017c u u\u017cytkownik\u00f3w system\u00f3w z dual-boot, korzystaj\u0105cych z nowych dystrybucji Linux, takich jak Ubuntu 24.04 i Debian 12.6, w kt\u00f3rych luka w GRUB ju\u017c dawno zosta\u0142a naprawiona. <\/p>\n
Problem objawia si\u0119 zatrzymaniem procesu \u0142adowania z komunikatem \u201eWeryfikacja danych shim SBAT nie powiod\u0142a si\u0119: naruszenie polityki bezpiecze\u0144stwa. Co\u015b posz\u0142o bardzo \u017ale: test samoistny SBAT nie powi\u00f3d\u0142 si\u0119: naruszenie polityki bezpiecze\u0144stwa\u201d. Aby przywr\u00f3ci\u0107 prawid\u0142owe dzia\u0142anie, zaleca si\u0119 usuni\u0119cie zainstalowanych danych SBAT w UEFI, co mo\u017cna zrobi\u0107, wy\u0142\u0105czaj\u0105c Secure Boot w firmware, uruchamiaj\u0105c \u015bwie\u017c\u0105 dystrybucj\u0119 Linuxa z obs\u0142ug\u0105 UEFI Secure Boot, na przyk\u0142ad Ubuntu, i wykonuj\u0105c w konsoli polecenie \u201emokutil \u2014set-sbat-policy delete\u201d, po czym nale\u017cy zrestartowa\u0107 dystrybucj\u0119 Linuxa, aby ustawi\u0107 poprawn\u0105 polityk\u0119 SBAT. Nast\u0119pnie mo\u017cna przywr\u00f3ci\u0107 tryb Secure Boot w firmware. <\/p>\n
Mechanizm SBAT zosta\u0142 opracowany przez firm\u0119 Red Hat we wsp\u00f3\u0142pracy z Microsoftem w celu zablokowania luk w bootloaderze GRUB oraz w warstwie shim bez konieczno\u015bci wycofywania cyfrowego podpisu. SBAT polega na dodaniu do plik\u00f3w wykonywalnych komponent\u00f3w UEFI dodatkowych metadanych, kt\u00f3re zawieraj\u0105 informacje o producencie, produkcie, komponencie i wersji. Podane metadane s\u0105 podpisywane cyfrowo i mog\u0105 by\u0107 osobno uwzgl\u0119dniane na listach dozwolonych lub zabronionych komponent\u00f3w dla UEFI Secure Boot. SBAT umo\u017cliwia blokowanie u\u017cycia cyfrowego podpisu dla poszczeg\u00f3lnych numer\u00f3w wersji komponent\u00f3w bez potrzeby wycofywania kluczy dla Secure Boot. <\/p>\n
Zablokowanie luk za pomoc\u0105 SBAT nie wymaga korzystania z listy wycofanych certyfikat\u00f3w UEFI (dbx), a odbywa si\u0119 na poziomie zast\u0105pienia wewn\u0119trznego klucza do generowania podpis\u00f3w oraz aktualizacji GRUB2, shim i innych dostarczanych przez dystrybucje artefakt\u00f3w bootuj\u0105cych. Przed wdro\u017ceniem SBAT, aktualizacja listy wycofanych certyfikat\u00f3w (dbx, UEFI Revocation List) by\u0142a obowi\u0105zkowym warunkiem pe\u0142nego zablokowania luki, poniewa\u017c atakuj\u0105cy, niezale\u017cnie od u\u017cywanego systemu operacyjnego, m\u00f3g\u0142 do kompromitacji UEFI Secure Boot u\u017cy\u0107 no\u015bnika startowego ze star\u0105, podatn\u0105 wersj\u0105 GRUB2, podpisan\u0105 cyfrowo. \n \u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"