Matthew Garrett, um renomado desenvolvedor do n\u00facleo Linux que recebeu um pr\u00eamio da Free Software Foundation por suas contribui\u00e7\u00f5es ao software livre, explicou sobre a mec\u00e2nica do SBAT (Secure Boot Advanced Targeting), criada para bloquear vulnerabilidades no carregador sem revogar a assinatura digital, e tamb\u00e9m sobre seu papel no recente incidente relacionado a uma atualiza\u00e7\u00e3o do Windows, que resultou na interrup\u00e7\u00e3o da inicializa\u00e7\u00e3o de algumas distribui\u00e7\u00f5es Linux instaladas ao lado do Windows em sistemas com UEFI Secure Boot ativado. Em resumo, a responsabilidade \u00e9 tanto da Microsoft, que n\u00e3o testou adequadamente a atualiza\u00e7\u00e3o e a aplicou em sistemas para os quais n\u00e3o deveria ter sido aplicada, quanto dos desenvolvedores de algumas distribui\u00e7\u00f5es Linux que n\u00e3o atualizaram o carregador GRUB e a vers\u00e3o do SBAT quando vulnerabilidades foram descobertas no GRUB. <\/p>\n
Abaixo est\u00e1 a tradu\u00e7\u00e3o da observa\u00e7\u00e3o de Garrett: <\/p>\n
\nQuando a especifica\u00e7\u00e3o do UEFI Secure Boot estava sendo desenvolvida, todos os seus participantes eram, digamos, um pouco ing\u00eanuos. O modelo principal de seguran\u00e7a do Secure Boot \u00e9 que todo o c\u00f3digo executado em um ambiente privilegiado no n\u00edvel do kernel deve ser verificado antes da execu\u00e7\u00e3o \u2014 o firmware verifica o carregador de inicializa\u00e7\u00e3o, o carregador verifica o kernel, o kernel verifica qualquer c\u00f3digo adicional carregado em execu\u00e7\u00e3o, e agora temos um ambiente confi\u00e1vel para impor qualquer outra pol\u00edtica de seguran\u00e7a que desejamos. \u00c9 \u00f3bvio que as pessoas podem errar, mas a especifica\u00e7\u00e3o previa uma maneira de revogar componentes assinados que se mostrassem n\u00e3o confi\u00e1veis: basta adicionar o hash do c\u00f3digo n\u00e3o confi\u00e1vel a uma vari\u00e1vel e, em seguida, recusar-se a carregar qualquer coisa com esse hash, mesmo que seja assinada por uma chave confi\u00e1vel. <\/p>\n
Infelizmente, como se descobriu, o problema est\u00e1 na escala. Cada distribui\u00e7\u00e3o Linux que opera dentro do ecossistema Secure Boot gera seus pr\u00f3prios arquivos bin\u00e1rios de inicializa\u00e7\u00e3o, e cada um deles tem seu pr\u00f3prio hash. Se uma vulnerabilidade for encontrada no c\u00f3digo-fonte desse inicializador, ser\u00e1 necess\u00e1rio revogar um grande n\u00famero de arquivos bin\u00e1rios diferentes. E o espa\u00e7o de mem\u00f3ria dispon\u00edvel para armazenar a vari\u00e1vel que cont\u00e9m todos esses hashes \u00e9 limitado. Simplesmente n\u00e3o haver\u00e1 espa\u00e7o suficiente para adicionar um novo conjunto de hashes sempre que se descobrir que o GRUB (o inicializador, originalmente escrito em uma \u00e9poca em que a prote\u00e7\u00e3o de inicializa\u00e7\u00e3o n\u00e3o era praticada e que possui v\u00e1rios analisadores separados de imagens img, assim como um analisador de fontes) tem mais um mecanismo para que um atacante possa for\u00e7\u00e1-lo a executar c\u00f3digo arbitr\u00e1rio, portanto, foi necess\u00e1ria uma outra solu\u00e7\u00e3o. <\/p>\n
A solu\u00e7\u00e3o para isso foi o SBAT. O conceito geral do SBAT \u00e9 bastante simples. Cada componente importante na cadeia de inicializa\u00e7\u00e3o declara uma gera\u00e7\u00e3o de seguran\u00e7a, que \u00e9 inclu\u00edda no arquivo bin\u00e1rio assinado. Quando uma vulnerabilidade \u00e9 descoberta e corrigida, essa gera\u00e7\u00e3o \u00e9 aumentada. Ent\u00e3o, pode-se lan\u00e7ar uma atualiza\u00e7\u00e3o que define a gera\u00e7\u00e3o m\u00ednima \u2014 os componentes de inicializa\u00e7\u00e3o verificar\u00e3o o pr\u00f3ximo item na cadeia, comparar\u00e3o seu nome e n\u00famero de gera\u00e7\u00e3o com aqueles armazenados na vari\u00e1vel de firmware e decidir\u00e3o se devem execut\u00e1-lo ou n\u00e3o, com base nisso. Em vez de revogar uma grande quantidade de hashes individuais, pode-se lan\u00e7ar uma \u00fanica atualiza\u00e7\u00e3o que simplesmente diz: 'Qualquer vers\u00e3o do GRUB com uma gera\u00e7\u00e3o de seguran\u00e7a inferior a esse n\u00famero \u00e9 considerada n\u00e3o confi\u00e1vel'. <\/p>\n
Por que isso se tornou relevante de repente? O SBAT foi desenvolvido em conjunto pela comunidade Linux e pela Microsoft, e a Microsoft decidiu lan\u00e7ar uma atualiza\u00e7\u00e3o para o Windows que instru\u00eda os sistemas a n\u00e3o confiarem em vers\u00f5es do GRUB com gera\u00e7\u00e3o de seguran\u00e7a abaixo de um determinado n\u00edvel. Isso foi feito porque essas vers\u00f5es do GRUB tinham vulnerabilidades reais de seguran\u00e7a que permitiram que invasores comprometesse a cadeia de inicializa\u00e7\u00e3o segura do Windows, e vimos exemplos reais de malware que queria fazer isso (o Black Lotus explorou uma vulnerabilidade no inicializador do Windows, mas a vulnerabilidade no GRUB era igualmente eficaz). Se olharmos para isso puramente do ponto de vista da seguran\u00e7a, \u00e9 um desejo plenamente v\u00e1lido. <\/p>\n
Agora, quanto \u00e0 mensagem 'Algo deu muito errado' e \u00e0 impossibilidade de inicializar como resultado dessa atualiza\u00e7\u00e3o. Essa mensagem \u00e9 gerada pelo shim, e n\u00e3o por algum c\u00f3digo da Microsoft. O shim considera as atualiza\u00e7\u00f5es do SBAT e, para n\u00e3o violar os princ\u00edpios de seguran\u00e7a aceitos por outros carregadores no sistema, e embora a Microsoft tamb\u00e9m tenha lan\u00e7ado uma atualiza\u00e7\u00e3o do SBAT, foi o carregador Linux que, como resultado, se recusa a iniciar vers\u00f5es antigas do GRUB. Tudo funciona como deveria. <\/p>\n
O problema que as pessoas enfrentaram \u00e9 que v\u00e1rias distribui\u00e7\u00f5es do Linux n\u00e3o lan\u00e7aram vers\u00f5es do GRUB com a nova gera\u00e7\u00e3o de seguran\u00e7a, e, portanto, essas vers\u00f5es do GRUB s\u00e3o consideradas inseguras (\u00e9 importante notar que o GRUB \u00e9 assinado pelas pr\u00f3prias distribui\u00e7\u00f5es, e n\u00e3o pela Microsoft, ent\u00e3o n\u00e3o h\u00e1 atrasos impostos externamente). A inten\u00e7\u00e3o da Microsoft era que a atualiza\u00e7\u00e3o do Windows aplicasse a atualiza\u00e7\u00e3o SBAT apenas a sistemas que operam exclusivamente com Windows, e qualquer instala\u00e7\u00e3o com inicializa\u00e7\u00e3o dupla continuaria vulner\u00e1vel a ataques at\u00e9 que a distribui\u00e7\u00e3o instalada atualizasse o GRUB e a nova gera\u00e7\u00e3o SBAT. Infelizmente, como agora est\u00e1 evidente, isso n\u00e3o funcionou como deveria, e pelo menos alguns sistemas com inicializa\u00e7\u00e3o dupla aplicaram a atualiza\u00e7\u00e3o, enquanto o shim dessa distribui\u00e7\u00e3o se recusou a carregar o GRUB dessa distribui\u00e7\u00e3o. <\/p>\n
Qual \u00e9 a conclus\u00e3o? A Microsoft (por raz\u00f5es compreens\u00edveis) n\u00e3o queria que o Windows pudesse ser atacado por meio de uma vers\u00e3o vulner\u00e1vel do GRUB, que poderia ser enganada para executar c\u00f3digo arbitr\u00e1rio e, em seguida, injetar um bootkit no n\u00facleo do Windows durante a inicializa\u00e7\u00e3o. A Microsoft conseguiu isso lan\u00e7ando uma atualiza\u00e7\u00e3o do Windows que atualizou a vari\u00e1vel SBAT, indicando que vers\u00f5es vulner\u00e1veis do GRUB n\u00e3o deveriam ser inicializadas nesses sistemas. O carregador de primeiro est\u00e1gio fornecido pela distribui\u00e7\u00e3o lia essa vari\u00e1vel, verificava a se\u00e7\u00e3o SBAT da c\u00f3pia instalada do GRUB, entendia que havia um conflito e se recusava a carregar o grub com a mensagem \"Algo deu muito errado\". Esta atualiza\u00e7\u00e3o n\u00e3o deveria ser aplicada a sistemas com inicializa\u00e7\u00e3o dupla, mas ainda assim foi. <\/p>\n
Em resumo: <\/p>\n
1) A Microsoft aplicou a atualiza\u00e7\u00e3o a sistemas para os quais ela n\u00e3o deveria ter sido aplicada. <\/p>\n
2) Algumas distribui\u00e7\u00f5es Linux n\u00e3o atualizaram o carregador GRUB e a gera\u00e7\u00e3o de seguran\u00e7a SBAT, quando vulnerabilidades foram descobertas no GRUB. <\/p>\n
Como resultado, algumas pessoas n\u00e3o conseguem inicializar seus sistemas. Acredito que h\u00e1 muitos culpados aqui. A Microsoft deveria ter realizado mais testes para garantir que as instala\u00e7\u00f5es de dual boot possam ser identificadas corretamente. Mas as distribui\u00e7\u00f5es que fornecem carregadores assinados tamb\u00e9m devem garantir que os atualizem e fa\u00e7am a atualiza\u00e7\u00e3o de seguran\u00e7a para se adequar, porque, caso contr\u00e1rio, elas fornecem um vetor de ataque que pode ser usado para invadir outros sistemas operacionais, e isso \u00e9 uma esp\u00e9cie de viola\u00e7\u00e3o do contrato social em torno de tudo isso. <\/p>\n
Infelizmente, as v\u00edtimas aqui s\u00e3o principalmente os usu\u00e1rios finais, que se deparam com o fato de que o sistema de repente se recusa a inicializar o sistema operacional que eles desejam carregar. Isso nunca deveria ter acontecido. N\u00e3o acho que uma pesquisa com os usu\u00e1rios finais sobre se eles desejam atualiza\u00e7\u00f5es de sistema de inicializa\u00e7\u00e3o segura levar\u00e1 a um bom resultado, e embora eu tenda a achar que a inicializa\u00e7\u00e3o segura UEFI n\u00e3o traz benef\u00edcios para a maioria dos usu\u00e1rios finais, tamb\u00e9m \u00e9 uma coisa que voc\u00ea n\u00e3o quer descobrir ap\u00f3s incidentes como esse, ent\u00e3o simpatizo com o fato de que ela esteja habilitada por padr\u00e3o, por isso apoio que ela esteja habilitada por padr\u00e3o, e compartilho a escolha da Microsoft, exceto pela tentativa malsucedida de evitar atualiza\u00e7\u00f5es em sistemas com dual boot. <\/p>\n
De qualquer forma, estive muito envolvido na implementa\u00e7\u00e3o desse mecanismo para Linux em 2012 e escrevi o primeiro prot\u00f3tipo do Shim (que agora \u00e9 um carregador significativamente melhor, suportado por um p\u00fablico mais amplo, e que n\u00e3o toquei h\u00e1 v\u00e1rios anos), ent\u00e3o, se voc\u00ea quiser culpar uma \u00fanica pessoa, sinta-se \u00e0 vontade para me culpar. Isso n\u00e3o deveria ter acontecido, e se voc\u00ea n\u00e3o for a Microsoft ou uma distribui\u00e7\u00e3o Linux, ent\u00e3o n\u00e3o \u00e9 sua culpa. Pe\u00e7o desculpas. <\/p><\/blockquote>\n