ميٿيو گيريٽ، هڪ مشهور ڪرنل ڊولپر Linux، جنهن کي هڪ ڀيرو فري سافٽ ويئر فائونڊيشن کان مفت سافٽ ويئر جي ترقي ۾ سندس تعاون لاءِ ايوارڊ مليو هو، SBAT (سيڪيور بوٽ ايڊوانسڊ ٽارگيٽنگ) ميڪانيزم جي جوهر بابت ڳالهايو، جيڪو ڊجيٽل دستخط کي رد ڪرڻ کان سواءِ بوٽ لوڊر ۾ ڪمزورين کي بلاڪ ڪرڻ لاءِ ٺاهيو ويو آهي، انهي سان گڏ اپڊيٽ سان تازي واقعي ۾ ان جو ڪردار. Windows، جنهن جي ڪري ڪجهه ورڇ لوڊ ٿيڻ بند ٿي ويا Linux، سان متوازي ۾ نصب ٿيل Windows UEFI سيڪيور بوٽ فعال ٿيل سسٽم تي. مختصر ۾، ٻئي Microsoft، جنهن اپڊيٽ کي مڪمل طور تي جانچ نه ڪيو ۽ ان کي انهن سسٽم تي لاڳو ڪيو جيڪي ان کي نه هجڻ گهرجن، ۽ ڪجهه تقسيم جا ڊولپر ذميوار آهن. Linux، جنهن GRUB بوٽ لوڊر ۽ SBAT جنريشن نمبر کي اپڊيٽ نه ڪيو جڏهن GRUB ۾ ڪمزوريون دريافت ٿيون.
هيٺ گيريٽ جي نوٽ جو ترجمو آهي:
جڏهن UEFI سيڪيور بوٽ وضاحت تيار ڪئي پئي وڃي، ته هر ڪو ملوث هو، اچو ته، ٿورو سادو هو. بنيادي سيڪيور بوٽ سيڪيورٽي ماڊل اهو آهي ته ڪرنل سطح تي هڪ مراعات يافته ماحول ۾ هلندڙ سڀني ڪوڊ کي عمل ڪرڻ کان اڳ تصديق ڪرڻ گهرجي - فرم ويئر بوٽ لوڊر جي تصديق ڪري ٿو، بوٽ لوڊر ڪرنل جي تصديق ڪري ٿو، ڪرنل رن ٽائم تي لوڊ ٿيل ڪنهن به اضافي ڪرنل ڪوڊ جي تصديق ڪري ٿو، ۽ هاڻي اسان وٽ هڪ قابل اعتماد ماحول آهي جيڪو اسان چاهيون ٿا ڪنهن به ٻئي سيڪيورٽي پاليسي کي لاڳو ڪرڻ لاءِ. ظاهر آهي، ماڻهو خراب ڪري سگهن ٿا، پر وضاحت ۾ دستخط ٿيل حصن کي رد ڪرڻ جو هڪ طريقو شامل هو جيڪي غير قابل اعتماد مليا هئا: صرف غير قابل اعتماد ڪوڊ جي هيش کي هڪ متغير ۾ شامل ڪريو ۽ پوءِ ان هيش سان ڪنهن به شيءِ کي بوٽ ڪرڻ کان انڪار ڪريو، جيتوڻيڪ اهو هڪ قابل اعتماد ڪي سان دستخط ٿيل هجي.
بدقسمتي سان، اهو ظاهر ٿئي ٿو ته مسئلو پيماني جو آهي. هر ورڇ Linux، جيڪو سيڪيور بوٽ ايڪو سسٽم اندر ڪم ڪري ٿو، پنهنجو بوٽ لوڊر بائنري ٺاهي ٿو، هر هڪ پنهنجي هيش سان. جيڪڏهن اهڙي بوٽ لوڊر جي سورس ڪوڊ ۾ ڪا ڪمزوري دريافت ٿئي ٿي، ته وڏي تعداد ۾ مختلف بائنري کي واپس وٺڻ گهرجي. انهن سڀني هيشز تي مشتمل هڪ متغير کي محفوظ ڪرڻ لاءِ ميموري اسپيس محدود آهي. هر وقت جڏهن GRUB (هڪ بوٽ لوڊر اصل ۾ پري-سيڪيور بوٽ دور ۾ لکيل هو، ڪيترن ئي الڳ .img پارسر ۽ هڪ فونٽ پارسر سان) کي حملي آور لاءِ من ماني ڪوڊ تي عمل ڪرڻ لاءِ هڪ ٻيو ميڪانيزم مليو آهي، ته پوءِ هڪ ٻئي حل جي ضرورت هئي.
هي حل SBAT هو. SBAT جو عام تصور بلڪل سادو آهي. بوٽ چين ۾ هر اهم جزو هڪ سيڪيورٽي نسل جو اعلان ڪري ٿو، جيڪو دستخط ٿيل بائنري ۾ شامل آهي. جڏهن هڪ ڪمزوري دريافت ڪئي ويندي آهي ۽ درست ڪئي ويندي آهي، ته هن نسل کي وڌايو ويندو آهي. پوءِ هڪ اپڊيٽ جاري ڪري سگهجي ٿو جيڪو گهٽ ۾ گهٽ نسل جي وضاحت ڪري ٿو - بوٽ اجزاء زنجير ۾ ايندڙ عنصر کي ڏسندا، ان جي نالي ۽ نسل نمبر جو مقابلو فرم ويئر متغير ۾ محفوظ ٿيلن سان ڪندا، ۽ فيصلو ڪندا ته ان جي بنياد تي ان کي عمل ۾ آڻڻ يا نه. انفرادي هيش جي وڏي تعداد کي رد ڪرڻ جي بدران، هڪ واحد اپڊيٽ جاري ڪري سگهجي ٿو جيڪو صرف اهو چوي ٿو، "GRUB جو ڪو به نسخو جنهن ۾ هن نمبر کان گهٽ سيڪيورٽي نسل آهي ان کي ناقابل اعتبار سمجهيو ويندو آهي."
هي اوچتو ڇو لاڳاپيل ٿي ويو؟ SBAT ڪميونٽي پاران گڏجي تيار ڪيو ويو. Linux ۽ مائڪروسوفٽ ۽ مائڪروسوفٽ هڪ اپڊيٽ جاري ڪرڻ جو فيصلو ڪيو Windows، جيڪو سسٽم کي ٻڌائي ٿو ته هڪ خاص سطح کان هيٺ سيڪيورٽي نسل سان GRUB ورجن تي ڀروسو نه ڪن. اهو ان ڪري ڪيو ويو ڇاڪاڻ ته انهن GRUB ورجن ۾ حقيقي سيڪيورٽي ڪمزوريون هيون جيڪي حملي آورن کي محفوظ بوٽ چين کي ٽوڙڻ جي اجازت ڏين ٿيون. Windows، ۽ اسان مالويئر جا حقيقي مثال ڏٺا آهن جيڪي اهو ڪرڻ چاهيندا هئا (بليڪ لوٽس بوٽ لوڊر ۾ هڪ ڪمزوري جو استحصال ڪيو) Windows، پر GRUB جي ڪمزوري بلڪل اثرائتي هئي). خالص سيڪيورٽي جي نقطي نظر کان، هي هڪ مڪمل طور تي جائز خواهش آهي.
هاڻي، "ڪجهه سنجيده غلط ٿيو" پيغام ۽ هن اپڊيٽ جي نتيجي ۾ بوٽ نه ٿيڻ جي حوالي سان، اهو شيم آهي جيڪو ان کي آئوٽ پُٽ ڪري رهيو آهي، مائڪروسافٽ جو ڪو ڪوڊ نه. شيم SBAT اپڊيٽس کي حساب ۾ رکي ٿو، ۽ سسٽم ۾ ٻين بوٽ لوڊرز پاران اختيار ڪيل سيڪيورٽي اصولن جي ڀڃڪڙي نه ڪرڻ لاءِ، ۽ جيتوڻيڪ مائڪروسافٽ هڪ SBAT اپڊيٽ جاري ڪئي آهي، اهو بوٽ لوڊر آهي جيڪو ذميوار آهي. Linux نتيجي طور، اهو GRUB جي پراڻن ورزن کي لانچ ڪرڻ کان انڪار ڪري ٿو. هر شيءِ جيئن گهرجي تيئن ڪم ڪري ٿي.
ماڻهن کي جيڪو مسئلو درپيش آيو آهي اهو آهي ته گهڻيون ورڇون Linux GRUB جا ورجن نئين نسل جي سيڪيورٽي سان جاري نه ڪيا آهن، ۽ تنهن ڪري GRUB جا اهي ورجن غير محفوظ سمجهيا وڃن ٿا (اهو نوٽ ڪرڻ جي قابل آهي ته GRUB پاڻ تقسيم پاران دستخط ٿيل آهي، نه ته Microsoft، تنهنڪري هتي ڪو به ٻاهرين طور تي متعارف ٿيل وقفو ناهي). مائڪروسوفٽ جي منصوبي مطابق، تازه ڪاري Windows اپڊيٽ صرف هلندڙ سسٽم تي SBAT اپڊيٽ لاڳو ڪرڻي هئي Windows، ۽ ڪا به ڊبل بوٽ انسٽاليشن حملي لاءِ ڪمزور رهندي جيستائين انسٽال ٿيل ڊسٽريبيوشن GRUB ۽ SBAT جنريشن کي اپڊيٽ نه ڪندو. بدقسمتي سان، جيئن هاڻي واضح آهي، اهو ارادي مطابق ڪم نه ڪيو، ۽ گهٽ ۾ گهٽ ڪجهه ڊبل بوٽ سسٽم اپڊيٽ لاڳو ڪيو، ۽ ڊسٽريبيوشن جي شيم GRUB لوڊ ڪرڻ کان انڪار ڪيو.
اصل ڳالهه ڇا آهي؟ مائڪروسوفٽ (واضح سببن جي ڪري) نه چاهيو هو Windows GRUB جي هڪ ڪمزور ورزن کي استعمال ڪندي حملو ڪري سگهجي ٿو، جنهن کي بنا ڪنهن شڪ جي ڪوڊ کي هلائڻ ۽ پوءِ ڪنيل ۾ بوٽ ڪٽ داخل ڪرڻ لاءِ فريب ڏئي سگهجي ٿو. Windows بوٽ دوران. مائڪروسوفٽ هڪ اپڊيٽ جاري ڪندي اهو ڪيو Windows، جنهن SBAT متغير کي اپڊيٽ ڪيو ته جيئن اهو ظاهر ٿئي ته GRUB جا ڪمزور نسخا انهن سسٽم تي بوٽ نه ٿيڻ گهرجن. شيم ڊسٽريبيوشن پاران مهيا ڪيل پهرين اسٽيج بوٽ لوڊر هن متغير کي پڙهيو، GRUB جي انسٽال ٿيل ڪاپي مان SBAT ورهاڱي کي پڙهيو، محسوس ڪيو ته اهي تڪرار ۾ آهن، ۽ GRUB کي "ڪجهه سنجيده غلط ٿي ويو" پيغام سان لوڊ ڪرڻ کان انڪار ڪيو. هي اپڊيٽ ڊبل بوٽ سسٽم تي لاڳو ڪرڻ جو ارادو نه هو، پر اهو ڪنهن به طرح لاڳو ڪيو ويو.
عام طور تي:
1) مائڪروسافٽ اپڊيٽ انهن سسٽمن تي لاڳو ڪئي جن تي ان کي لاڳو نه ڪرڻ گهرجي ها.
2) ڪجھ ورڇ Linux جڏهن GRUB ۾ ڪمزوريون دريافت ٿيون ته GRUB بوٽ لوڊر ۽ SBAT سيڪيورٽي جنريشن کي اپڊيٽ نه ڪيو.
نتيجي طور، ڪجهه ماڻهو پنهنجا سسٽم بوٽ نٿا ڪري سگهن. مون کي لڳي ٿو ته هتي تمام گهڻو الزام آهي. مائڪروسافٽ کي وڌيڪ جاچ ڪرڻ گهرجي ها ته جيئن ڊبل بوٽ تنصيب کي صحيح طور تي ڳولي سگهجي. پر تقسيم جيڪي دستخط ٿيل بوٽ لوڊرز فراهم ڪن ٿيون انهن کي اهو پڻ يقيني بڻائڻ گهرجي ته اهي انهن کي اپڊيٽ ڪن ۽ سيڪيورٽي نسل کي اپڊيٽ رکن، ڇاڪاڻ ته ٻي صورت ۾، اهي هڪ حملو ویکٹر فراهم ڪن ٿا جيڪو ٻين آپريٽنگ سسٽم کي سمجهوتو ڪرڻ لاءِ استعمال ٿي سگهي ٿو، ۽ اهو هن سڀني جي چوڌاري سماجي معاهدي جي خلاف ورزي آهي.
بدقسمتي سان، هتي متاثرين گهڻو ڪري آخري استعمال ڪندڙ آهن جيڪي اوچتو انهن جي سسٽم کي او ايس بوٽ ڪرڻ کان انڪار ڪندي ڏسندا آهن جيڪي اهي چاهيندا آهن. اهو ڪڏهن به نه ٿيڻ گهرجي. مون کي نه ٿو لڳي ته پولنگ جي آخر استعمال ڪندڙن کي ته ڇا اهي محفوظ بوٽ اپڊيٽ چاهين ٿا هڪ سٺو نتيجو ڏيندو، ۽ جڏهن ته مان مبهم طور تي يقين ڪرڻ لاءِ مائل آهيان ته UEFI محفوظ بوٽ ڪجهه اهڙو ناهي جيڪو گهڻن آخري استعمال ڪندڙن کي فائدو ڏئي ٿو، اهو پڻ ڪجهه آهي جيڪو توهان هن قسم جي واقعي کان پوءِ دريافت ڪرڻ نٿا چاهيو. تنهن ڪري، مان ان کي ڊفالٽ طور تي فعال ڪرڻ لاءِ همدرد آهيان، ۽ مان ان کي ڊفالٽ طور تي فعال ڪرڻ جي حمايت ڪريان ٿو، ۽ مان Microsoft جي پسند سان متفق آهيان، سواءِ ڊبل بوٽ سسٽم تي اپڊيٽ کان بچڻ جي بدقسمتي ڪوشش جي.
ڪنهن به صورت ۾، مان هن ميڪانيزم جي نفاذ ۾ تمام گهڻو شامل هوس Linux 2012 ۾ ۽ شيم جو پهريون پروٽوٽائپ لکيو (جيڪو هاڻي هڪ تمام بهتر بوٽ لوڊر آهي، جنهن کي ماڻهن جي هڪ وسيع رينج جي مدد حاصل آهي، ۽ جنهن کي مون ڪيترن سالن کان هٿ نه لڳايو آهي)، تنهن ڪري جيڪڏهن توهان ڪنهن کي الزام ڏيڻ چاهيو ٿا، ته مهرباني ڪري مون کي الزام ڏيڻ لاءِ آزاد محسوس ڪريو. هي ڪجهه آهي جيڪو نه ٿيڻ گهرجي ها، ۽ جيستائين توهان مائڪروسافٽ يا ڊسٽرو نه آهيو Linux، ته پوءِ اهو توهان جو قصور ناهي. مان معافي وٺان ٿو.
جو ذريعو: opennet.ru
