V nástroji iVentoy, ktorý sa používa na zavádzanie a inštaláciu rôznych operačných systémov cez sieť, bola zistená podozrivá aktivita. Pri zavádzaní OS Windows nástroj realizoval substitúciu binárneho ovládača httpdisk.sys do systému a inštaláciu svojho samopodpísaného certifikátu do systémového úložiska koreňových certifikátov, ktorý sa používa na podpisovanie ovládača digitálnym podpisom. 31 z 70 antivírusových balíkov, v ktorých bol súbor httpdisk.sys overený, upozornilo na prítomnosť škodlivého softvéru.
Takáto aktivita bola vnímaná ako potenciálny pokus o nasadenie backdooru a vyvolala otázku dôvery v otvorený projekt Ventoy. Situáciu zhoršovalo, že vlani po incidente s backdoorom v projekte XZ komunita už upozorňovala na distribúciu podozrivých blobov v zdrojovom kóde Ventoy.
Vývojári NixOS navrhli nahradiť Ventoy v repozitári nixpkgs forkom fnr1r (aj glim môže byť považovaný za alternatívu). Projekty Ventoy a iVentoy sa vyvíjajú jedným autorom a majú podobné zameranie. Rozdiely spočívajú v tom, že Ventoy je plne otvorený a zameraný na zavádzanie operačných systémov z USB dátových nosičov, zatiaľ čo iVentoy je len čiastočne otvorený a určený na zavádzanie cez sieť pomocou technológie PXE.
Do diskusie o probléme sa zapojil autor projektov Ventoy a iVentoy, ktorý objasnil, že kód ovládača httpdisk.sys je otvorený a samotný ovládač slúži na montovanie diskových obrazov Windows cez sieť pomocou protokolu HTTP, čo sa používa v iVentoy na získavanie inštalačných dát Windows. servera Substitúcia ovládačov a skriptov do systému po zavedení je zdokumentované správanie.
Vydaný certifikát, ktorý bol použitý na podpísanie tohto ovládača, bol pridaný do úložiska koreňových certifikátov, aby sa umožnilo načítanie ovládača obídením overovania digitálnych podpisov v systéme Windows. Certifikát bol použitý iba v jednorazovom prostredí WinPE (Windows Preinstallation Environment), vytvoreného v operačnej pamäti. Do stacionárnych inštalácií Windows na disku neboli vykonané žiadne zmeny. Tvrdí sa, že v nasledujúcej verzii iVentoy bude používanie vlastného certifikátu ukončené, pretože pre zabezpečenie načítania ovládača sa použije spustenie WinPE v testovacom režime.
Pokiaľ ide o dodávku blobov (1, 2, 3) do Ventoy, vývojár uviedol, že tieto binárne súbory boli priamo získané z iných otvorených projektov a Ventoy ich používa bez akýchkoľvek zmien. Hotové spustiteľné súbory sa používajú počas konfigurácie spúšťacích systémov. Ako alternatívu sa navrhuje nebrať hotové zostavy, ale zostavovať ich pre vydania Ventoy samostatne pomocou GitHub CI.
Zdroj: opennet.ru
