Matthew Garrett, nj\u00eb zhvillues i njohur i kernel-it Linux, i cili ka marr\u00eb \u00e7mimin nga Fondi i Softuerit t\u00eb Hapur p\u00ebr kontributin e tij n\u00eb zhvillimin e softuerit t\u00eb lir\u00eb, shpjegoi thelbin e mekanizmit SBAT (Secure Boot Advanced Targeting), i krijuar p\u00ebr t\u00eb bllokuar vulnerabilitetet n\u00eb bootloader pa anulluar n\u00ebnshkrimin digjital, si dhe rolin e tij n\u00eb incidentin e fundit me nj\u00eb p\u00ebrdit\u00ebsim p\u00ebr Windows, i cili \u00e7oi n\u00eb nd\u00ebrprerjen e ngarkimit t\u00eb disa distribuconve Linux t\u00eb instaluara paralelisht me Windows n\u00eb sisteme q\u00eb kishin aktivizuar UEFI Secure Boot. N\u00ebse flasim shkurt, fajtor\u00ebt jan\u00eb si kompania Microsoft, e cila nuk e testoi plot\u00ebsisht p\u00ebrdit\u00ebsimin dhe e aplikoi at\u00eb n\u00eb sisteme t\u00eb cilave nuk duhej t'i aplikohej, ashtu edhe zhvilluesit e disa distribuconve Linux, t\u00eb cil\u00ebt nuk e p\u00ebrdit\u00ebsuan bootloader-in GRUB dhe numrin e gjenerat\u00ebs SBAT, kur n\u00eb GRUB u zbuluan vulnerabilitete. <\/p>\n
M\u00eb posht\u00eb \u00ebsht\u00eb p\u00ebrkthimi i sh\u00ebnimit t\u00eb Garrett: <\/p>\n
\nKur zhvillohej specifikimi UEFI Secure Boot, t\u00eb gjith\u00eb pjes\u00ebmarr\u00ebsit ishin, t\u00eb themi, pak naiv\u00eb. Modeli kryesor i siguris\u00eb s\u00eb Secure Boot \u00ebsht\u00eb se t\u00eb gjitha kodet q\u00eb ekzekutohen n\u00eb nj\u00eb mjedis t\u00eb privilegjuar n\u00eb nivelin e b\u00ebrtham\u00ebs duhet t\u00eb verifikohen p\u00ebrpara ekzekutimit \u2014 firmware-a kontrollon bootloader-in, bootloader-i kontrollon b\u00ebrtham\u00ebn, b\u00ebrthama verifikon \u00e7do kod shtes\u00eb t\u00eb ngarkuar gjat\u00eb ekzekutimit t\u00eb b\u00ebrtham\u00ebs, dhe tani kemi nj\u00eb mjedis t\u00eb besuesh\u00ebm p\u00ebr t\u00eb imponuar \u00e7do politik\u00eb tjet\u00ebr sigurie q\u00eb d\u00ebshirojm\u00eb. Sigurisht, njer\u00ebzit mund t\u00eb gabojn\u00eb, por n\u00eb specifikim u parashikua nj\u00eb m\u00ebnyr\u00eb p\u00ebr t\u00eb t\u00ebrhequr komponent\u00ebt e n\u00ebnshkruar q\u00eb u treguan t\u00eb pasigurt: thjesht shtoni hash-in e kodit t\u00eb paq\u00ebndruesh\u00ebm n\u00eb nj\u00eb variab\u00ebl, dhe pastaj refuzoni t\u00eb ngarkoni \u00e7far\u00ebdo q\u00eb ka k\u00ebt\u00eb hash, edhe n\u00ebse \u00ebsht\u00eb n\u00ebnshkruar me nj\u00eb \u00e7el\u00ebs t\u00eb besuesh\u00ebm. <\/p>\n
Fatkeq\u00ebsisht, si\u00e7 u zbulua, problemi \u00ebsht\u00eb n\u00eb p\u00ebrmasa. \u00c7do distribucion Linux q\u00eb funksionon n\u00eb ekosistemin e Secure Boot gjeneron skedar\u00eb binar\u00eb bootloader-i t\u00eb vetin, dhe secili prej tyre ka hash-in e vet. N\u00ebse n\u00eb kodin burimor t\u00eb atij bootloader-i zbulohet nj\u00eb vulnerabilitet, duhet t\u00eb anullohen nj\u00eb num\u00ebr i madh i skedar\u00ebve binar\u00eb t\u00eb ndrysh\u00ebm. Dhe hapsira p\u00ebr t\u00eb ruajtur variablen q\u00eb p\u00ebrmban t\u00eb gjith\u00eb k\u00ebto hash-e \u00ebsht\u00eb e kufizuar. Thjesht nuk ka hap\u00ebsir\u00eb p\u00ebr t\u00eb shtuar nj\u00eb grup t\u00eb ri hash-esh \u00e7do her\u00eb q\u00eb zbulohet se GRUB (bootloader-i, i shkruar fillimisht n\u00eb nj\u00eb koh\u00eb kur mbrojtja nga ngarkimi nuk praktikoheshte, dhe me disa parser t\u00eb ve\u00e7ant\u00eb img-file, si dhe parser fontesh) ka nj\u00eb mekaniz\u00ebm tjet\u00ebr p\u00ebr nj\u00eb sulmues p\u00ebr ta detyruar at\u00eb t\u00eb ekzekutoj\u00eb kod t\u00eb rast\u00ebsish\u00ebm, prandaj ishte e nevojshme nj\u00eb zgjidhje tjet\u00ebr. <\/p>\n
Ky zgjidhje ishte SBAT. Koncepti i p\u00ebrgjithsh\u00ebm i SBAT-it \u00ebsht\u00eb mjaft i thjesht\u00eb. \u00c7do komponent i r\u00ebnd\u00ebsish\u00ebm n\u00eb zinxhirin e ngarkimit shpall gjenerat\u00ebn e siguris\u00eb, q\u00eb p\u00ebrfshihet n\u00eb skedarin binar t\u00eb n\u00ebnshkruar. Kur zbulohet dhe korrigjohet nj\u00eb dob\u00ebsi, kjo gjenerat\u00eb rritet. M\u00eb pas mund t\u00eb publikoni nj\u00eb p\u00ebrdit\u00ebsim q\u00eb p\u00ebrcakton gjenerat\u00ebn minimale \u2014 komponent\u00ebt e ngarkimit do t\u00eb shikojn\u00eb n\u00eb elementin tjet\u00ebr n\u00eb zinxhir, do t\u00eb krahasojn\u00eb emrin dhe numrin e gjenerat\u00ebs me ato q\u00eb ruhet n\u00eb variablin e firmware-it, dhe do t\u00eb vendosin n\u00ebse ta ekzekutojn\u00eb apo jo, duke u bazuar n\u00eb k\u00ebt\u00eb. N\u00eb vend q\u00eb t\u00eb t\u00ebrhiqni nj\u00eb num\u00ebr t\u00eb madh t\u00eb ayr\u0131 hash-eve, mund t\u00eb publikoni nj\u00eb p\u00ebrdit\u00ebsim t\u00eb vet\u00ebm q\u00eb thot\u00eb: \u2018\u00c7do version i GRUB-it me gjenerat\u00ebn e siguris\u00eb posht\u00eb k\u00ebtij numri konsiderohet i pasigurt\u2019. <\/p>\n
Por pse kjo u b\u00eb e r\u00ebnd\u00ebsishme papritur? SBAT u zhvillua n\u00eb bashk\u00ebpunim me komunitetin Linux dhe Microsoft, dhe Microsoft vendosi t\u00eb l\u00ebshoj\u00eb nj\u00eb p\u00ebrdit\u00ebsim p\u00ebr Windows, i cili u thoshte sistemeve t\u00eb mos besonin versionet e GRUB me gjenerat\u00eb sigurie m\u00eb t\u00eb ul\u00ebt se nj\u00eb nivel t\u00eb caktuar. Kjo u b\u00eb sepse k\u00ebto versione t\u00eb GRUB kishin vulnerabilitete reale n\u00eb siguri q\u00eb lejonin kriminel\u00ebt t\u00eb thyhen zinxhirin e ngarkimit t\u00eb sigurt t\u00eb Windows, dhe ne kemi par\u00eb shembuj real\u00eb t\u00eb malware q\u00eb donte t\u00eb b\u00ebnte k\u00ebt\u00eb (Black Lotus shfryt\u00ebzoi nj\u00eb vulnerabilitet n\u00eb bootloader-in e Windows, por vulnerabiliteti n\u00eb GRUB ishte po aq efektiv). N\u00ebse e shikoni k\u00ebt\u00eb vet\u00ebm nga k\u00ebndv\u00ebshtrimi i siguris\u00eb, kjo \u00ebsht\u00eb nj\u00eb d\u00ebshir\u00eb plot\u00ebsisht t\u00eb arsyeshme. <\/p>\n
Tani, sa i p\u00ebrket mesazhit \u2018Di\u00e7ka ka shkuar krejt ndryshe\u2019 dhe pamund\u00ebsis\u00eb p\u00ebr t\u00eb ngarkuar si rezultat i k\u00ebtij p\u00ebrdit\u00ebsimi. Ky mesazh jepet nga shim, e jo nga ndonj\u00eb kod nga Microsoft. Shim merr parasysh p\u00ebrdit\u00ebsimet SBAT, dhe, p\u00ebr t\u00eb mos shkelur principet e siguris\u00eb, t\u00eb pranuara nga ngarkuesit e tjer\u00eb n\u00eb sistem, dhe, ndon\u00ebse Microsoft publikoi nj\u00eb p\u00ebrdit\u00ebsim SBAT, pik\u00ebrisht ngarkuesi Linux si rezultat refuzon t\u00eb ngarkoj\u00eb versionet e vjetra t\u00eb GRUB. T\u00eb gjitha funksionon ashtu si\u00e7 duhet. <\/p>\n
Problemi me t\u00eb cilin njer\u00ebzit u p\u00ebrball\u00ebn \u00ebsht\u00eb se disa shp\u00ebrndarje t\u00eb Linux-it nuk l\u00ebshuan versione t\u00eb GRUB me nj\u00eb brez m\u00eb t\u00eb ri t\u00eb siguris\u00eb, dhe prandaj k\u00ebto versione GRUB konsiderohen t\u00eb pasigurta (duhet t\u00eb theksohet se GRUB n\u00ebnshkruhet nga vet\u00eb shp\u00ebrndarjet, dhe jo nga Microsoft, k\u00ebshtu q\u00eb nuk ka ndonj\u00eb vones\u00eb t\u00eb sjell\u00eb nga jasht\u00eb). Q\u00ebllimi i Microsoft-it ishte q\u00eb p\u00ebrdit\u00ebsimi i Windows Update t\u00eb aplikonte p\u00ebrdit\u00ebsimin SBAT vet\u00ebm p\u00ebr sistemet q\u00eb punojn\u00eb vet\u00ebm me Windows, nd\u00ebrsa \u00e7do instalim me dy ngarkesa do t\u00eb mbetej i ndjesh\u00ebm ndaj sulmeve derisa shp\u00ebrndarja e instaluar t\u00eb azhurnonte GRUB dhe t\u00eb p\u00ebrdit\u00ebsonte brezin SBAT. Fatkeq\u00ebsisht, si\u00e7 \u00ebsht\u00eb b\u00ebr\u00eb e qart\u00eb tani, kjo nuk funksionoi si\u00e7 ishte parashikuar, dhe, t\u00eb pakt\u00ebn, disa sisteme me dy ngarkesa aplikuan p\u00ebrdit\u00ebsimin, nd\u00ebrsa Shim i k\u00ebsaj shp\u00ebrndarjeje refuzoi t\u00eb ngarkonte GRUB t\u00eb k\u00ebsaj shp\u00ebrndarjeje. <\/p>\n
\u00c7far\u00eb \u00ebsht\u00eb p\u00ebrfundimi? Microsoft (p\u00ebr arsye kuptimplota) nuk donte q\u00eb Windows t\u00eb ishte i preksh\u00ebm nga nj\u00eb version i cenuesh\u00ebm i GRUB, i cili mund t\u00eb manipulonte p\u00ebr t\u00eb ekzekutuar kod t\u00eb arbitrsh\u00ebm dhe m\u00eb pas t\u00eb integronte nj\u00eb bootkit n\u00eb b\u00ebrtham\u00ebn e Windows gjat\u00eb ngarkimit. Microsoft e realizoi k\u00ebt\u00eb duke publikuar nj\u00eb p\u00ebrdit\u00ebsim p\u00ebr Windows, i cili p\u00ebrmir\u00ebsoi ndryshoren SBAT, duke treguar se versionet e cenueshme t\u00eb GRUB nuk duhet t\u00eb ngarkoheshin n\u00eb k\u00ebto sisteme. Shkarkuesi i faz\u00ebs fillestare i ofruar nga distribucioni lexonte k\u00ebt\u00eb ndryshore, lexonte seksionin SBAT nga kopja e instaluar e GRUB, e kuptonte q\u00eb ata kishin konflikte dhe refuzonte t\u00eb ngarkonte grub me mesazhin \"Di\u00e7ka shkoi keq\". Ky p\u00ebrdit\u00ebsim nuk duhej t\u00eb aplikohej n\u00eb sistemet me ngarkim t\u00eb dyfisht\u00eb, por gjithsesi u aplikua. <\/p>\n
N\u00eb p\u00ebrgjith\u00ebsi: <\/p>\n
1) Microsoft aplikoi p\u00ebrdit\u00ebsimin n\u00eb sistemet ku nuk duhej t\u00eb aplikonte <\/p>\n
2) Disa shp\u00ebrndarje t\u00eb Linux-it nuk e azhurnuan bootloader-in GRUB dhe brezin e siguris\u00eb SBAT kur u zbuluan ndjeshm\u00ebri n\u00eb GRUB. <\/p>\n
Si rezultat, disa njer\u00ebz nuk mund t\u00eb ngarkojn\u00eb sistemet e tyre. Mendoj se ka shum\u00eb fajtor\u00eb n\u00eb k\u00ebt\u00eb rast. Microsoft do t\u00eb duhej t\u00eb b\u00ebnte m\u00eb shum\u00eb teste p\u00ebr t\u00eb siguruar q\u00eb instalimet me dy ngarkesa mund t\u00eb identifikoheshin sakt\u00ebsisht. Por gjithashtu shp\u00ebrndarjet q\u00eb ofrojn\u00eb bootloaders t\u00eb n\u00ebnshkruar duhet t\u00eb sigurojn\u00eb q\u00eb t'i azhurnojn\u00eb ato dhe t\u00eb p\u00ebrdit\u00ebsojn\u00eb brezin e siguris\u00eb p\u00ebr t'u p\u00ebrputhur, sepse ndryshe ato ofrojn\u00eb nj\u00eb vektor sulmi q\u00eb mund t\u00eb p\u00ebrdoret p\u00ebr t\u00eb hakuar sisteme t\u00eb tjera operative, dhe kjo \u00ebsht\u00eb nj\u00eb lloj shkeljeje e marr\u00ebveshjes s\u00eb p\u00ebrgjithshme p\u00ebr rreth nj\u00eb gj\u00ebje t\u00eb till\u00eb. <\/p>\n
Fatkeq\u00ebsisht, viktimat k\u00ebtu jan\u00eb kryesisht p\u00ebrdoruesit final\u00eb q\u00eb jan\u00eb p\u00ebrballur me faktin se sistemi refuzon papritur t\u00eb ngarkoj\u00eb sistemin operativ q\u00eb ata duan t\u00eb ngarkojn\u00eb. Kjo nuk duhet t\u00eb ndodhte kurr\u00eb. Nuk mendoj se nj\u00eb anket\u00eb e p\u00ebrdoruesve final\u00eb n\u00ebse ata duan p\u00ebrdit\u00ebsime t\u00eb siguris\u00eb n\u00eb ngarkim do t\u00eb ket\u00eb nj\u00eb rezultat t\u00eb mir\u00eb, dhe ndon\u00ebse un\u00eb si duket jem pak i prirur n\u00eb mendimin se ngarkimi i sigurt UEFI nuk \u00ebsht\u00eb di\u00e7ka q\u00eb sjell p\u00ebrfitim p\u00ebr shumic\u00ebn e p\u00ebrdoruesve, \u00ebsht\u00eb gjithashtu nj\u00eb gj\u00eb q\u00eb nuk d\u00ebshiron ta zbulosh pas incidenteve t\u00eb tilla, prandaj ndjej se \u00ebsht\u00eb e mir\u00eb q\u00eb ai \u00ebsht\u00eb aktivizuar ndryshe, k\u00ebshtu q\u00eb p\u00ebrkrah vendimin e Microsoft-it, p\u00ebrve\u00e7 nj\u00eb p\u00ebrpjekjeje t\u00eb d\u00ebshtuar p\u00ebr t\u00eb shmangur p\u00ebrdit\u00ebsimin n\u00eb sistemet me dy ngarkesa. <\/p>\n
N\u00eb \u00e7do rast, un\u00eb kam qen\u00eb shum\u00eb i p\u00ebrfshir\u00eb n\u00eb zbatimin e k\u00ebtij mekanizmi p\u00ebr Linux n\u00eb vitin 2012 dhe kam shkruar prototipin e par\u00eb Shim (i cili tani \u00ebsht\u00eb nj\u00eb bootloader shum\u00eb m\u00eb i mir\u00eb, mb\u00ebshtetur nga nj\u00eb gam\u00eb m\u00eb e gjer\u00eb njer\u00ebzish, dhe nuk e kam prekur p\u00ebr disa vjet), k\u00ebshtu q\u00eb n\u00ebse d\u00ebshiron t\u00eb akuzosh dik\u00eb, mos hezito t\u00eb m\u00eb akuzosh mua. Kjo \u00ebsht\u00eb di\u00e7ka q\u00eb nuk duhej t\u00eb ndodhte, dhe n\u00ebse nuk je Microsoft ose nj\u00eb shp\u00ebrndarje Linux, at\u00ebher\u00eb nuk \u00ebsht\u00eb faji yt. M\u00eb fal. <\/p><\/blockquote>\n