Σε αυτό που θα μπορούσε να θεωρηθεί απολύτως ένα λαμπερό παράδειγμα ακριβώς γιατί τα χρυσά κλειδιά που προσφέρουν ένα backdoor σε ασφαλείς υπηρεσίες δεν θα έπρεπε να υπάρχουν, η Microsoft κατά λάθος διαρρεύσει το κύριο κλειδί στο σύστημα Secure Boot.
Η διαρροή ενδεχομένως ξεκλειδώνει όλες τις συσκευές με την τεχνολογία Microsoft Secure Boot που έχουν εγκατασταθεί, καταργώντας την κατάσταση κλειδώματος του λειτουργικού τους συστήματος, επιτρέποντας στους χρήστες να εγκαταστήσουν τα δικά τους λειτουργικά συστήματα και εφαρμογές στη θέση εκείνων που ορίζονται από τον τεχνοτροπία Redmond.
Η διαρροή δεν πρέπει να θέτει σε κίνδυνο την ασφάλεια της συσκευής σας - θεωρητικά. Αλλά θα ανοίξει τις γραμμές για εναλλακτικά λειτουργικά συστήματα και άλλες εφαρμογές που προηγουμένως δεν θα δούλευαν σε ένα σύστημα Secure Boot.
Πώς θα ανταποκριθεί η Microsoft σε αυτό; Μια απλή ενημέρωση για την αλλαγή κάθε κλειδιού βάσης Secure Boot; Ή είναι απλά πολύ αργά, η ζημιά γίνεται;
Ας ρίξουμε μια καλή ματιά σε αυτό που σημαίνει η διαρροή Secure Boot για εσάς και τις συσκευές σας.
Τι είναι η ασφαλή εκκίνηση;
"Το Secure Boot σας βοηθά να βεβαιωθείτε ότι ο υπολογιστής σας εκκινεί μόνο χρησιμοποιώντας firmware που εμπιστεύεται ο κατασκευαστής"
Το Microsoft Secure Boot έφτασε με τα Windows 8 και έχει σχεδιαστεί για να αποτρέψει τους κακόβουλους χειριστές να εγκαθιστούν εφαρμογές. Τι είναι το UEFI και πώς σας κρατά πιο ασφαλή; Τι είναι το UEFI και πώς σας κρατά πιο ασφαλή; Διαβάστε περισσότερα ή οποιαδήποτε μη εξουσιοδοτημένα λειτουργικά συστήματα από τη φόρτωση ή την πραγματοποίηση αλλαγών κατά τη διαδικασία εκκίνησης του συστήματος. Όταν έφτασε, υπήρχαν ανησυχίες ότι η εισαγωγή του θα περιόριζε σοβαρά την ικανότητα σε συστήματα διπλής ή πολλαπλής εκκίνησης της Microsoft. Τελικά, αυτό ήταν σε μεγάλο βαθμό αβάσιμο - ή λύσεις που βρέθηκαν.
Καθώς το Secure Boot βασίζεται στην προδιαγραφή UEFI (Unified Extensible Firmware Interface). Τι είναι το UEFI και πώς σας προστατεύει περισσότερο; Τι είναι το UEFI και πώς σας κρατά πιο ασφαλή; Διαβάστε περισσότερα για να παρέχει βασικές εγκαταστάσεις κρυπτογράφησης, έλεγχο ταυτότητας δικτύου και υπογραφή οδηγού, παρέχοντας σύγχρονα συστήματα με ένα άλλο επίπεδο προστασίας από τα rootkits και τα κακόβουλα προγράμματα χαμηλού επιπέδου.
Windows 10 UEFI
Η Microsoft ήθελε να ενισχύσει την "προστασία" που προσφέρει η UEFI στα Windows 10.
Για να προωθήσει αυτή τη διαδικασία, η Microsoft ενημέρωσε τους κατασκευαστές πριν από την απελευθέρωση των Windows 10 ότι η επιλογή να καταργηθεί η δυνατότητα απενεργοποίησης της Ασφαλούς εκκίνησης ήταν στα χέρια τους. Το Linux δεν θα δουλεύει περισσότερο στο μέλλον των Windows 10 Hardware; Το Linux δεν θα δουλέψει περισσότερο στο μελλοντικό υλικό των Windows 10; Το Secure Boot μπορεί να αποτρέψει ορισμένες διανομές Linux από την εκκίνηση. Στις επερχόμενες συσκευές των Windows 10, οι κατασκευαστές μπορούν να καταργήσουν την επιλογή να απενεργοποιήσουν την Ασφαλής εκκίνηση. Αυτό θα επηρεάσει το Linux Mint και αρκετές άλλες δημοφιλείς διανομές. Διαβάστε περισσότερα, κλείνοντας αποτελεσματικά το λειτουργικό σύστημα σε εκείνο με τον οποίο έρχεται ένας υπολογιστής. Αξίζει να σημειωθεί ότι η Microsoft δεν προώθησε άμεσα την πρωτοβουλία αυτή (τουλάχιστον όχι πλήρως δημόσια), αλλά όπως εξηγεί ο Peter Bright από την Ars Technica, οι αλλαγές στους υπάρχοντες κανόνες του UEFI πριν από την ημερομηνία κυκλοφορίας των Windows 10 κατέστησαν δυνατή:
"Σε αυτή την περίπτωση, μπορούμε να προβλέψουμε τις μηχανές κατασκευής OEM που δεν θα προσφέρουν εύκολο τρόπο για την εκκίνηση των αυτο-χτισμένων λειτουργικών συστημάτων ή όλου του λειτουργικού συστήματος που δεν διαθέτει τις κατάλληλες ψηφιακές υπογραφές."
Ενώ υπάρχουν αναμφισβήτητα πολυάριθμες επιτραπέζιες υπολογιστές και φορητοί υπολογιστές προς πώληση με ξεκλείδωτες ρυθμίσεις UEFI, αυτό θα μπορούσε να αποδειχθεί ένα άλλο εμπόδιο για όσους επιθυμούν να δοκιμάσουν μια εναλλακτική λύση στο λειτουργικό τους σύστημα Windows.
Ακόμα ένα δρόμο μπλοκ για το Linux υποστηρίζει να εργάζονται γύρω ... αναστεναγμό .
Και τώρα η ασφαλή εκκίνηση είναι μόνιμα ξεκλειδωμένη;
Μόνιμα, δεν είμαι τόσο σίγουρος. Αλλά για το διάστημα αυτό, το Secure Boot μπορεί να ξεκλειδωθεί. Εδώ είναι τι συνέβη.
Το Secure Boot βρίσκεται στο θάνατό του.
Γράψιμο έρχεται αύριο ή Τετάρτη.
- slipstream / RoL (@ TheWack0lian) στις 8 Αυγούστου 2016
Ξέρω ότι αναφερθώ σε ένα σούπερ-duper κλειδί τύπου σκελετού που ξεκλειδώνει κάθε κλειδαριά σε ολόκληρο το σύμπαν της Microsoft UEFI Secure Boot ... αλλά στην πραγματικότητα καταλήγει σε ποιες πολιτικές έχετε υπογράψει στο σύστημά σας.
Ασφαλής εκκίνηση απενεργοποίηση δυαδική διέρρευσε. Τι είναι πιο ενοχλητικό για τη Microsoft; https://t.co/n0fGr7pwdo
- Μυθικά θηρία (@ Mythic_Beasts) 10 Αυγούστου 2016
Το Secure Boot λειτουργεί σε συνδυασμό με συγκεκριμένες πολιτικές, διαβάστηκε και ανταποκρίθηκε πλήρως από τον διαχειριστή εκκίνησης των Windows Πώς να λύσετε τα περισσότερα προβλήματα εκκίνησης των Windows Πώς να λύσετε τα περισσότερα προβλήματα εκκίνησης των Windows Ο υπολογιστής σας των Windows δεν ξεκινάει εκκίνηση; Θα μπορούσε να οφείλεται σε σφάλμα υλικού, λογισμικού ή υλικολογισμικού. Δείτε πώς μπορείτε να διαγνώσετε και να διορθώσετε αυτά τα προβλήματα. Διαβάστε περισσότερα . Οι πολιτικές συμβουλεύουν τον διαχειριστή εκκίνησης να διατηρεί ενεργοποιημένη την Ασφαλής εκκίνηση. Ωστόσο, η Microsoft δημιούργησε μία πολιτική που έχει σχεδιαστεί για να επιτρέπει στους προγραμματιστές να δοκιμάζουν το λειτουργικό σύστημα χωρίς να χρειάζεται να υπογράφουν ψηφιακά κάθε έκδοση. Αυτό ακυρώνει αποτελεσματικά το Secure Boot, απενεργοποιώντας τους πρόωρους ελέγχους του συστήματος κατά τη διάρκεια της διαδικασίας εκκίνησης. Οι ερευνητές ασφαλείας, MY123 και Slipstream, τεκμηρίωσαν τα ευρήματά τους (σε μια πραγματικά ευχάριστη ιστοσελίδα):
"Κατά την ανάπτυξη των Windows 10 v1607 'Redstone', η MS πρόσθεσε ένα νέο τύπο ασφαλούς πολιτικής εκκίνησης. Συγκεκριμένα, οι «συμπληρωματικές» πολιτικές που βρίσκονται στο διαμέρισμα EFIESP (και όχι σε μια UEFI μεταβλητή) και οι ρυθμίσεις τους συγχωνεύονται, ανάλογα με τις συνθήκες (συγκεκριμένα, ότι υπάρχει κάποια πολιτική "ενεργοποίησης" φορτωμένο).
Η bootmgr.efi της Redstone φορτώνει πρώτα τις πολιτικές "κληρονομιάς" (δηλαδή μια πολιτική από τις μεταβλητές UEFI). Σε μια συγκεκριμένη χρονική στιγμή στο redstone dev, δεν πραγματοποίησε περαιτέρω ελέγχους πέραν των ελέγχων υπογραφής / deviceID. (Αυτό έχει αλλάξει τώρα, αλλά βλέπετε πώς η αλλαγή είναι ηλίθια) Μετά τη φόρτωση της πολιτικής "κληρονομιάς" ή μιας βασικής πολιτικής από το διαμέρισμα EFIESP, φορτώνει, ελέγχει και συγχωνεύει στις συμπληρωματικές πολιτικές.
Δείτε το ζήτημα εδώ; Αν όχι, επιτρέψτε μου να σας το γράψω καθαρό και καθαρό. Η "συμπληρωματική" πολιτική περιέχει νέα στοιχεία, για τις συνθήκες συγχώνευσης. Αυτές οι συνθήκες είναι (καλά, μια φορά) ανεξέλεγκτες από το bootmgr κατά τη φόρτωση μιας πολιτικής παλαιού τύπου. Και bootmgr του win10 v1511 και νωρίτερα σίγουρα δεν ξέρει γι 'αυτούς. Για αυτούς τους bootmgrs, μόλις φορτώθηκε σε μια πλήρως έγκυρη, υπογεγραμμένη πολιτική. "
Δεν κάνει καλή ανάγνωση για τη Microsoft. Σημαίνει αποτελεσματικά την πολιτική για τον εντοπισμό σφαλμάτων που έχει σχεδιαστεί για να επιτρέψει στους προγραμματιστές - και μόνο οι προγραμματιστές - να αναστείλουν τη διαδικασία υπογραφής, είναι ανοικτή σε οποιονδήποτε με μια λιανική έκδοση των Windows 10. Και ότι η πολιτική αυτή έχει διαρρεύσει στο Internet.
Θυμηθείτε το iPhone San Bernardino;
"Μπορείτε να δείτε την ειρωνεία. Επίσης, η ειρωνεία σ 'αυτό το ΚΜ μας έδωσε αρκετά ωραία "χρυσά κλειδιά" (όπως θα έλεγε το FBI) για να χρησιμοποιήσουμε για το σκοπό αυτό :)
Σχετικά με το FBI: διαβάζεις αυτό; Εάν είστε, τότε αυτό είναι ένα τέλειο παράδειγμα πραγματικού κόσμου για το γιατί η ιδέα σας για backdoor cryptosystems με ένα "ασφαλές χρυσό κλειδί" είναι πολύ κακό! Πιο έξυπνοι άνθρωποι από μένα σας το έχουν πει για τόσο πολύ καιρό, φαίνεται ότι έχετε τα δάχτυλά σας στα αυτιά σας. Εσύ σοβαρά δεν καταλαβαίνεις ακόμα; Η Microsoft υλοποίησε ένα σύστημα "ασφαλές χρυσό κλειδί". Και τα χρυσά κλειδιά απελευθερώθηκαν από την ίδια τη βλακεία της MS. Τώρα, τι συμβαίνει εάν πείτε σε όλους να κάνουν ένα σύστημα "ασφαλές χρυσό κλειδί"; Ας ελπίσουμε ότι μπορείτε να προσθέσετε 2 + 2 ... "
Για εκείνους τους υποστηρικτές κρυπτογράφησης, αυτό ήταν μια στιγμή για όλα τα πράγματα, που ελπίζουμε ότι θα παράσχουμε κάποια απαιτούμενη σαφήνεια για τις υπηρεσίες επιβολής του νόμου και τους κυβερνητικούς αξιωματούχους. Τα χρυσά backdoors δεν θα παραμείνουν ποτέ κρυμμένα. Η NSA μετριάζει τη στάση της στο Snowden Whistleblower Edward Snowden και ο John DeLong του NSA εμφανίστηκε στο χρονοδιάγραμμα για ένα αήττητο φεγγάρι, ενώ δεν υπήρχε συζήτηση, φαίνεται ότι η NSA δεν χρωματίζει πλέον το Snowden ως προδότη, αλλά και όσους ενδιαφέρονται να σπρώξουν και να τραβήξουν την τεχνολογία και τον υποκείμενο κωδικό της.
Εξετάστε το iPhone του San Bernardino ...
"Έχουμε μεγάλο σεβασμό για τους επαγγελματίες του FBI και πιστεύουμε ότι οι προθέσεις τους είναι καλές. Μέχρι στιγμής, έχουμε κάνει ό, τι είναι τόσο μέσα στην εξουσία μας όσο και μέσα στο νόμο για να τους βοηθήσουμε. Αλλά τώρα η αμερικανική κυβέρνηση μας ζήτησε κάτι που απλά δεν έχουμε και κάτι που θεωρούμε υπερβολικά επικίνδυνο για τη δημιουργία. Μας ζήτησαν να χτίσουμε ένα backdoor στο iPhone Τι είναι το πιο ασφαλές λειτουργικό σύστημα κινητής τηλεφωνίας; Ποιο είναι το πιο ασφαλές λειτουργικό σύστημα κινητής τηλεφωνίας; Μάχη για τον τίτλο του πιο ασφαλούς κινητού λειτουργικού συστήματος, έχουμε: Android, BlackBerry, Ubuntu, Windows Phone και iOS. Ποιο λειτουργικό σύστημα είναι το καλύτερο στο να κρατάτε το δικό του κατά των online επιθέσεων; Διαβάστε περισσότερα ."
Η μπάλα στηρίζεται με τη Microsoft
Όπως ανέφερα, αυτό δεν θα έπρεπε πραγματικά να θέσει έναν τεράστιο κίνδυνο για την ασφάλεια των προσωπικών σας συσκευών και η Microsoft δημοσίευσε μια δήλωση που υποβαθμίζει τη σημασία της διαρροής Secure Boot:
"Η τεχνική jailbreak που περιγράφεται στην έκθεση των ερευνητών στις 10 Αυγούστου δεν ισχύει για τα επιτραπέζια ή επιχειρησιακά συστήματα Η / Υ. Απαιτεί φυσική πρόσβαση και δικαιώματα διαχειριστή σε συσκευές ARM και RT και δεν θέτει σε κίνδυνο την προστασία από κρυπτογράφηση. "
Εκτός από αυτό, κυκλοφόρησαν βιαστικά ένα Δελτίο Ασφαλείας της Microsoft με την ονομασία "Σημαντικό". Αυτό θα λύσει την ευπάθεια μόλις εγκατασταθεί. Ωστόσο, δεν θα χρειαστεί να εγκαταστήσετε μια έκδοση των Windows 10 χωρίς την εφαρμογή της ενημερωμένης έκδοσης κώδικα.
Το Secure Boot είναι σχεδόν σίγουρα νεκρό.
- Longhorn (@never_released) στις 8 Αυγούστου 2016
Χρυσά Κλειδιά
Δυστυχώς, αυτό είναι απίθανο να οδηγήσει σε μια νέα γκάφα των συσκευών της Microsoft που χρησιμοποιούν διανομές Linux. Θέλω να πω ότι θα υπάρξουν κάποια επιχειρηματικά άτομα που θα δοκιμάσουν το χρόνο, αλλά για την πλειονότητα των ατόμων, αυτό θα είναι απλά ένα άλλο σφάλμα ασφαλείας που τους πέρασε.
Δεν θα έπρεπε.
Το να μην δίνεις βλασφημία για τα διαγράμματα Linux στα δισκία της Microsoft είναι ένα πράγμα, σίγουρο. Αλλά οι ευρύτερες συνέπειες ενός χρυσού κλειδιού που διαρρέει στον δημόσιο τομέα για να ξεκλειδώσετε δυνητικά εκατομμύρια συσκευές είναι κάτι άλλο.
Πριν από δύο χρόνια, η Washington Post έκανε μια συζήτηση για συρρίκνωση της κρυπτογράφησης, προτείνοντας ότι ενώ τα δεδομένα μας θα έπρεπε προφανώς να είναι εκτός ορίων για τους χάκερ, ίσως η Google και η Apple et al θα πρέπει να έχουν ασφαλές χρυσό κλειδί. Σε μια εξαιρετική κριτική για το λόγο ακριβώς που πρόκειται για μια «λανθασμένη και επικίνδυνη πρόταση», ο συν-δημιουργός του Keybase, Christ Coyne, εξηγεί με σαφήνεια ότι «τίμιοι, καλοί άνθρωποι απειλούνται από οποιοδήποτε backdoor που παρακάμπτει τους δικούς τους κωδικούς πρόσβασης».
Θα πρέπει όλοι να προσπαθούμε για το μέγιστο δυνατό επίπεδο προσωπικής ασφάλειας Ξεκινήστε το έτος off right με έναν προσωπικό έλεγχο ασφάλειας Ξεκινήστε το έτος off right με έναν προσωπικό έλεγχο ασφαλείας Είναι ώρα να κάνετε σχέδια για το νέο έτος, όπως η εξασφάλιση της προσωπικής σας ασφάλειας είναι επάνω ξύνω. Ακολουθούν τα 10 βήματα που πρέπει να λάβετε για να ενημερώσετε τα πάντα χρησιμοποιώντας τον υπολογιστή, το τηλέφωνο ή το tablet σας. Διαβάστε περισσότερα, μην καταφέρετε να το αποδυναμώσετε με την πρώτη ευκαιρία. Επειδή όπως είδαμε σε πολλές περιπτώσεις, τα κλειδιά τύπου σκελετού super-duper θα καταλήξουν σε λάθος χέρια.
Και όταν το κάνουν, παίζουμε όλοι ένα επικίνδυνο παιχνίδι αντιδραστικής άμυνας, είτε θέλουμε είτε όχι.
Πρέπει οι μεγάλες εταιρείες τεχνολογίας να δημιουργήσουν backdoors στις υπηρεσίες τους; Ή θα πρέπει οι κυβερνητικές υπηρεσίες και άλλες υπηρεσίες να σκεφτούν τη δική τους επιχείρηση και να επικεντρωθούν στη διατήρηση της ασφάλειας;
Εικόνα Πίστωση: ΟλλανδίαScenery / Shutterstock, Κωνσταντίνος Pankin / Shutterstock