Matthew Garrett, nj\u00eb zhvillues i njohur i b\u00ebrtham\u00ebs Linux, i cili ndonj\u00ebher\u00eb ka marr\u00eb \u00e7mime nga Fondi i Kodit t\u00eb Lir\u00eb p\u00ebr kontributin e tij n\u00eb zhvillimin e softuerit t\u00eb lir\u00eb, shpjegoi thelbin e mekanizmit SBAT (Secure Boot Advanced Targeting), i krijuar p\u00ebr t\u00eb bllokuar dob\u00ebsit\u00eb n\u00eb bootloader pa anulluar n\u00ebnshkrimin digjital, si dhe rolin e tij n\u00eb incidentin e fundit me p\u00ebrdit\u00ebsimin p\u00ebr Windows, i cili \u00e7oi n\u00eb nd\u00ebrprerjen e ngarkimit t\u00eb disa distribucioneve Linux, t\u00eb instaluara paralelisht me Windows n\u00eb sisteme q\u00eb kishin aktivizuar UEFI Secure Boot. N\u00eb p\u00ebrmbledhje, fajin e kan\u00eb si kompania Microsoft, e cila nuk e kishte testuar plot\u00ebsisht p\u00ebrdit\u00ebsimin dhe e kishte aplikuar at\u00eb n\u00eb sisteme ku nuk duhej aplikuar, ashtu si dhe zhvilluesit e disa distribucioneve Linux, t\u00eb cil\u00ebt nuk e kishin p\u00ebrdit\u00ebsuar bootloader-in GRUB dhe versionin e SBAT, kur n\u00eb GRUB u gjet\u00ebn dob\u00ebsi. <\/p>\n
M\u00eb posht\u00eb \u00ebsht\u00eb p\u00ebrkthimi i sh\u00ebnimit t\u00eb Garrett: <\/p>\n
\nKur u hartua specifikimi i UEFI Secure Boot, t\u00eb gjith\u00eb pjes\u00ebmarr\u00ebsit ishin, le t\u00eb themi, pak naiv\u00eb. Modeli kryesor i siguris\u00eb s\u00eb Secure Boot \u00ebsht\u00eb q\u00eb \u00e7do kod q\u00eb ekzekutohet n\u00eb nj\u00eb ambient t\u00eb privilegjuar n\u00eb nivelin e b\u00ebrtham\u00ebs duhet t\u00eb kontrollohet para se t\u00eb ekzekutohet \u2014 firmware kontrollon bootloader-in, bootloader-i kontrollon b\u00ebrtham\u00ebn, b\u00ebrthama kontrollon \u00e7do kod t\u00eb ngarkuar n\u00eb koh\u00eb reale, dhe tani kemi nj\u00eb ambient t\u00eb besuesh\u00ebm p\u00ebr t\u00eb imponuar \u00e7do politik\u00eb tjet\u00ebr sigurie q\u00eb duam. \u00cbsht\u00eb evidente q\u00eb njer\u00ebzit mund t\u00eb gabojn\u00eb, por n\u00eb specifikim ishte parashikuar nj\u00eb m\u00ebnyr\u00eb p\u00ebr t\u00eb t\u00ebrhequr komponent\u00ebt e n\u00ebnshkruar q\u00eb rezultonin t\u00eb pabesuesh\u00ebm: thjesht shtoni hash-in e kodit t\u00eb pabesuesh\u00ebm n\u00eb variab\u00ebl dhe pastaj refuzoni t\u00eb ngarkoni \u00e7do gj\u00eb me at\u00eb hash, edhe n\u00ebse \u00ebsht\u00eb n\u00ebnshkruar me nj\u00eb \u00e7el\u00ebs t\u00eb besuesh\u00ebm. <\/p>\n
Fatkeq\u00ebsisht, si\u00e7 doli, problemi \u00ebsht\u00eb n\u00eb shkall\u00eb. \u00c7do shp\u00ebrndarje Linux q\u00eb operon n\u00eb ekosistemin e Secure Boot gjeneron skedar\u00eb binary t\u00eb ngarkuesit t\u00eb vet, dhe \u00e7do nj\u00eb prej tyre ka hash-in e tij. N\u00ebse zbulohet nj\u00eb cenueshm\u00ebri n\u00eb kodin burimor t\u00eb nj\u00eb ngarkuesi t\u00eb till\u00eb, duhet t\u00eb t\u00ebrhiqen nj\u00eb num\u00ebr i madh skedar\u00ebsh binary t\u00eb ndrysh\u00ebm. Dhe hap\u00ebsira p\u00ebr t\u00eb ruajtur ndryshoren q\u00eb p\u00ebrmban t\u00eb gjith\u00eb k\u00ebto hash-e \u00ebsht\u00eb e kufizuar. Thjesht nuk do t\u00eb mjaftoj\u00eb vend p\u00ebr t\u00eb shtuar nj\u00eb grup t\u00eb ri hash-esh \u00e7do her\u00eb q\u00eb zbulohet se GRUB (ngarkuesi, i shkruar fillimisht n\u00eb nj\u00eb koh\u00eb kur mbrojtja e ngarkes\u00ebs nuk ishte praktikuar, dhe q\u00eb ka disa parser\u00eb t\u00eb ve\u00e7ant\u00eb p\u00ebr imazhet img, si dhe nj\u00eb parser p\u00ebr fonte) ka nj\u00eb tjet\u00ebr mekaniz\u00ebm p\u00ebr nj\u00eb sulmues p\u00ebr ta b\u00ebr\u00eb ta ekzekutoj\u00eb kodin e tij t\u00eb mir\u00ebfillt\u00eb, dhe prandaj ishte e nevojshme nj\u00eb zgjidhje tjet\u00ebr. <\/p>\n
Ky zgjidhje ishte SBAT. Koncepti i p\u00ebrgjithsh\u00ebm i SBAT-it \u00ebsht\u00eb mjaft i thjesht\u00eb. \u00c7do komponent i r\u00ebnd\u00ebsish\u00ebm n\u00eb zinxhirin e ngarkes\u00ebs deklaron gjenerat\u00ebn e siguris\u00eb, e cila hyjhet n\u00eb skedarin binar t\u00eb n\u00ebnshkruar. Kur zbulohet dhe rregullohet nj\u00eb dob\u00ebsi, ajo gjenerat\u00eb rritet. M\u00eb pas mund t\u00eb publikohet nj\u00eb p\u00ebrdit\u00ebsim q\u00eb p\u00ebrcakton gjenerat\u00ebn minimale \u2014 komponent\u00ebt e ngarkes\u00ebs do t\u00eb shikojn\u00eb elementin tjet\u00ebr n\u00eb zinxhir, do t\u00eb krahasojn\u00eb emrin dhe numrin e gjenerat\u00ebs me ato q\u00eb ruhen n\u00eb variabl\u00ebn e firmware-it dhe do t\u00eb vendosin n\u00ebse ta ekzekutojn\u00eb apo jo, bazuar n\u00eb k\u00ebt\u00eb. N\u00eb vend q\u00eb t\u00eb t\u00ebrheqin nj\u00eb num\u00ebr t\u00eb madh hash-esh individual, mund t\u00eb publikohet nj\u00eb p\u00ebrdit\u00ebsim i vet\u00ebm q\u00eb thot\u00eb: '\u00c7do version i GRUB-it me nj\u00eb gjenerat\u00eb sigurie m\u00eb t\u00eb ul\u00ebt se ky num\u00ebr konsiderohet i pabesuesh\u00ebm'. <\/p>\n
Pse u b\u00eb kjo papritur e r\u00ebnd\u00ebsishme? SBAT u zhvillua nga bashk\u00ebsia Linux dhe Microsoft, dhe Microsoft vendosi t\u00eb l\u00ebshoj\u00eb nj\u00eb p\u00ebrdit\u00ebsim p\u00ebr Windows q\u00eb u thoshte sistemeve t\u00eb mos i besojn\u00eb versionet e GRUB me brez sigurie n\u00ebn nj\u00eb nivel t\u00eb caktuar. Kjo u b\u00eb sepse k\u00ebto versione t\u00eb GRUB kishin reale cenueshm\u00ebri n\u00eb siguri q\u00eb lejonin sulmuesit t\u00eb thyjn\u00eb zinxhirin e ngarkes\u00ebs s\u00eb sigurt t\u00eb Windows, dhe kemi par\u00eb shembuj t\u00eb v\u00ebrtet\u00eb t\u00eb malware q\u00eb donte ta b\u00ebnte k\u00ebt\u00eb (Black Lotus p\u00ebrdori nj\u00eb cenueshm\u00ebri n\u00eb ngarkuesin e Windows, por cenueshm\u00ebria n\u00eb GRUB ishte po aq efektive). N\u00ebse e shohim k\u00ebt\u00eb thjesht nga pik\u00ebpamja e siguris\u00eb, kjo \u00ebsht\u00eb nj\u00eb d\u00ebshir\u00eb plot\u00ebsisht legjitime. <\/p>\n
Tani, p\u00ebrsa i p\u00ebrket mesazhit 'Di\u00e7ka shkoi krejt\u00ebsisht keq' dhe pamund\u00ebsis\u00eb p\u00ebr t\u00eb ngarkuar si rezultat i k\u00ebtij p\u00ebrdit\u00ebsimi. Ai shfaqet nga shim, jo nga ndonj\u00eb kod nga Microsoft. Shim merr parasysh p\u00ebrdit\u00ebsimet e SBAT-it dhe, p\u00ebr t\u00eb mos shkelur parimet e siguris\u00eb t\u00eb pranuara nga bootloader t\u00eb tjer\u00eb n\u00eb sistem, dhe, ndon\u00ebse Microsoft ka publikuar nj\u00eb p\u00ebrdit\u00ebsim SBAT, pik\u00ebrisht bootloader Linux n\u00eb rezultat refuzon t\u00eb ekzekutoj\u00eb versionet e vjetra t\u00eb GRUB-it. T\u00eb gjitha punon ashtu si\u00e7 duhet. <\/p>\n
Problemi me t\u00eb cilin p\u00ebrballen njer\u00ebzit \u00ebsht\u00eb se disa distribucione Linux nuk kan\u00eb l\u00ebshuar versione GRUB me nj\u00eb brez m\u00eb t\u00eb ri t\u00eb siguris\u00eb, dhe prandaj k\u00ebto versione GRUB konsiderohen t\u00eb pasigurta (duhet theksuar se GRUB n\u00ebnshkruhet nga vet\u00eb distribucionet dhe jo nga Microsoft, k\u00ebshtu q\u00eb nuk ka ndonj\u00eb vones\u00eb t\u00eb sjell\u00eb nga jasht\u00eb). Nga ana e Microsoft, p\u00ebrdit\u00ebsimi i Windows Update duhej t\u00eb aplikonte p\u00ebrdit\u00ebsimin SBAT vet\u00ebm p\u00ebr sistemet q\u00eb punojn\u00eb vet\u00ebm me Windows, nd\u00ebrsa \u00e7do instalim me dy ngarkesa do t\u00eb mbetej i pambrojtur nga sulmet derisa distribucioni i instaluar t\u00eb p\u00ebrdit\u00ebsonte GRUB dhe t\u00eb rifreskonte brez t\u00eb SBAT. Fatkeq\u00ebsisht, si\u00e7 \u00ebsht\u00eb e dukshme tani, kjo nuk ka funksionuar ashtu si\u00e7 ishte menduar, dhe s\u00eb paku disa sisteme me dy ngarkesa zbatuan p\u00ebrdit\u00ebsimin, por Shim i k\u00ebtij distribucioni refuzoi t\u00eb ngarkonte GRUB e k\u00ebtij distribucioni. <\/p>\n
Cili \u00ebsht\u00eb p\u00ebrfundimi? Microsoft (p\u00ebr arsye t\u00eb kuptueshme) nuk donte q\u00eb Windows t\u00eb mund t\u00eb sulmohej nga nj\u00eb version i cenuesh\u00ebm i GRUB-it, i cili mund t\u00eb manipulohej p\u00ebr t\u00eb ekzekutuar kod t\u00eb rast\u00ebsish\u00ebm dhe pastaj t\u00eb krijonte nj\u00eb bootkit n\u00eb b\u00ebrtham\u00ebn e Windows gjat\u00eb ngarkimit. Microsoft e arriti k\u00ebt\u00eb duke l\u00ebshuar nj\u00eb p\u00ebrdit\u00ebsim t\u00eb Windows-it, i cili azhurnoi ndryshoren SBAT, duke treguar se versionet e cenueshme t\u00eb GRUB-it nuk duhet t\u00eb ngarkoheshin n\u00eb k\u00ebto sisteme. Hulumtuesi i ofruar nga distribuimi Shim lexoi k\u00ebt\u00eb ndryshore, lexoi seksionin SBAT nga kopja e instaluar e GRUB-it, kuptoi se ata ishin n\u00eb konflikt dhe refuzoi t\u00eb ngarkonte grub me mesazhin \"Di\u00e7ka ka shkuar shum\u00eb keq\". Kjo p\u00ebrdit\u00ebsim nuk duhet t\u00eb aplikohej p\u00ebr sistemet me ngarkim t\u00eb dyfisht\u00eb, por megjithat\u00eb u aplikua. <\/p>\n
N\u00eb p\u00ebrgjith\u00ebsi: <\/p>\n
1) Microsoft e aplikoi p\u00ebrdit\u00ebsimin n\u00eb sistemet ku nuk duhej t\u00eb aplikohej <\/p>\n
2) Disa distribucione Linux nuk e p\u00ebrdit\u00ebsuan bootloaderin GRUB dhe brezine siguris\u00eb SBAT, kur u zbuluan dob\u00ebsi n\u00eb GRUB. <\/p>\n
Si p\u00ebrfundim, disa njer\u00ebz nuk mund t\u00eb ngarkojn\u00eb sistemet e tyre. Mendoj se ka shum\u00eb fajtor\u00eb k\u00ebtu. Microsoft duhej t\u00eb kishte b\u00ebr\u00eb m\u00eb shum\u00eb teste p\u00ebr t'u siguruar se instalimet me dy ngarkesa mund t\u00eb identifikohen sakt\u00eb. Por edhe distribucionet q\u00eb ofrojn\u00eb bootloader t\u00eb n\u00ebnshkruar duhet t\u00eb sigurohen q\u00eb t'i p\u00ebrdit\u00ebsojn\u00eb ato dhe t\u00eb p\u00ebrmir\u00ebsojn\u00eb gjenerat\u00ebn e siguris\u00eb p\u00ebr t'iu p\u00ebrshtatur, sepse ndryshe ata ofrojn\u00eb nj\u00eb vektor sulmi q\u00eb mund t\u00eb p\u00ebrdoret p\u00ebr t\u00eb hakuar sisteme t\u00eb tjera operative, dhe kjo \u00ebsht\u00eb nj\u00eb lloj shkeljeje e kontrat\u00ebs publike rreth t\u00eb gjith\u00eb k\u00ebsaj. <\/p>\n
Fatkeq\u00ebsisht, viktimat k\u00ebtu jan\u00eb kryesisht p\u00ebrdoruesit p\u00ebrfundimtar\u00eb, t\u00eb cil\u00ebt p\u00ebrballen me faktin se sistemi papritur refuzon t\u00eb ngarkoj\u00eb at\u00eb OS q\u00eb ata duan t\u00eb ngarkojn\u00eb. Kjo kurr\u00eb nuk duhet t\u00eb ndodh\u00eb. Nuk mendoj se nj\u00eb anket\u00eb p\u00ebr p\u00ebrdoruesit p\u00ebrfundimtar\u00eb n\u00ebse ata duan p\u00ebrdit\u00ebsime t\u00eb siguris\u00eb s\u00eb ngarkes\u00ebs do t\u00eb jap\u00eb nj\u00eb rezultat t\u00eb mir\u00eb, dhe ndon\u00ebse pak e pranoj q\u00eb ngarkesa e sigurt UEFI nuk \u00ebsht\u00eb di\u00e7ka q\u00eb i sjell dobi shumic\u00ebs s\u00eb p\u00ebrdoruesve p\u00ebrfundimtar\u00eb, gjithashtu \u00ebsht\u00eb di\u00e7ka q\u00eb nuk d\u00ebshiron ta zbulojn\u00eb pas incidenteve t\u00eb tilla, prandaj simpatizoj me faktin q\u00eb \u00ebsht\u00eb e aktivizuar p\u00ebrpar\u00ebsisht, prandaj mb\u00ebshtes aktivizimin e saj p\u00ebrpar\u00ebsisht dhe ndaj zgjedhjen e Microsoft, p\u00ebrve\u00e7 p\u00ebrpjekjes d\u00ebshtake p\u00ebr t\u00eb shmangur p\u00ebrdit\u00ebsimin n\u00eb sistemet me dy ngarkesa. <\/p>\n
N\u00eb \u00e7do rast, kam qen\u00eb shum\u00eb i angazhuar n\u00eb implementimin e k\u00ebtij mekanizmi p\u00ebr Linux n\u00eb vitin 2012 dhe kam shkruar prototipin e par\u00eb Shim (i cili tani \u00ebsht\u00eb nj\u00eb ngarkues shum\u00eb m\u00eb i mir\u00eb, i mb\u00ebshtetur nga nj\u00eb grup m\u00eb t\u00eb gjer\u00eb njer\u00ebzish, dhe t\u00eb cilin nuk e kam prekur p\u00ebr disa vjet), prandaj n\u00ebse d\u00ebshironi t\u00eb akuzoni dik\u00eb, ju lutem mos hezitoni t\u00eb m\u00eb akuzoni mua. Kjo \u00ebsht\u00eb di\u00e7ka q\u00eb nuk duhej t\u00eb kishte ndodhur, dhe n\u00ebse nuk jeni Microsoft ose distribucion Linux, at\u00ebher\u00eb nuk \u00ebsht\u00eb faji juaj. M\u00eb vjen keq. <\/p><\/blockquote>\n