سکیور بوت مایکروسافت ۱۳ سال قابل دور زدن بود
خلاصهٔ کاملتر
استانداردی که مایکروسافت برای محافظت از ویندوز و بعد لینوکس در برابر آلودگی فرمور ساخته بود، به گزارش ESET تو ۱۳ سال از ۱۴ سال عمرش بهسادگی قابل دور زدن بوده. ماجرا از یازده تصویر فرمور شروع میشه که «شیم» نام دارن، معلوم بود مشکل دارن، ولی مایکروسافت — که مسئول امضاشونه — هیچوقت باطلشون نکرده بود.
شیمها برای این ساخته شدن که سکیور بوت به دستگاههای لینوکسی و ابزارهای جانبی هم برسه. روی ویندوز، بوتلودر امضاشدهٔ مایکروسافت تنها لنگر اعتماده و هر چیزی که موقع بوت اجرا میشه باید با همون گواهی امضا شده باشه. شیم اما یه لنگر اعتماد ثانویهست: مایکروسافت خودش رو امضا میکنه و بعد گواهی سازندهٔ برد یا نرمافزار که داخلش جاسازی شده، بقیهٔ کدها رو مجاز اعلام میکنه.
مارتین اسمولار، پژوهشگر ESET، میگه چیزی که این شیمهای قدیمی رو خطرناک میکنه یه آسیبپذیری تازه نیست: «برای دور زدن سکیور بوت اصلاً به آسیبپذیری جدید نیازی نیست. مهاجم فقط به یه نسخه از یه شیم قدیمیِ هنوز مورد اعتماد و باطلنشده و یه درک ابتدایی از نحوهٔ کار شیمها احتیاج داره.» تهدید هم ویندوز و هم لینوکس رو میگیره، چون شیم روی هر دو نصب میشه.
خطر واقعی، بوتکیته: بدافزاری که خیلی زود تو فرایند بوت بارگذاری میشه و بعد از نصب دوبارهٔ سیستمعامل یا حتی تعویض هارد هم سر جاش میمونه. سکیور بوت در ۲۰۱۲ دقیقاً برای همین تهدید معرفی شد؛ نمونههای واقعیاش هم کم نبودن، از LoJax در ۲۰۱۸ تا BlackLotus در ۲۰۲۳. بیشتر این بدافزارها به دسترسی فیزیکی کوتاه نیاز دارن — همون مدل تهدیدی که سکیور بوت موظف بوده جلوش رو بگیره.
چرا این اتفاق افتاد؟ مایکروسافت هنوز توضیحی نداده، ولی یه احتمال، پیچیدگی خود سازوکاره. دو پایگاه داده در کارن: db که گواهیها و هشهای مجاز رو نگه میداره و dbx که موارد باطلشده رو. مشکل اینه که dbx فقط ۳۲ کیلوبایت جا داره و شمردن تکتک اجزای لینوکسی توش ممکن نیست، برای همین مایکروسافت سراغ روشهای نسخهمحور مثل SBAT و شمارهٔ نسخهٔ امنیتی رفته.
به گفتهٔ اسمولار، جایی که dbx فایلها رو باطل میکنه، SBAT و SVN نسخهها رو باطل میکنن — و وقتی تو یه برنامه آسیبپذیری پیدا میشه، چیزی که باید بیرون بمونه همهٔ بیلدها تا همون نسخهٔ خرابه، که با یه شمارهٔ نسخه خیلی سادهتر از یه فهرست بلند هش بیان میشه. جالب اینکه حتی منقضیشدن گواهی امضاکنندهٔ این شیمها هم برای باطلکردنشون کافی نبوده.
فهرست CERT نشون میده بعضی از این شیمها متعلق به توزیعهای لینوکسی مثل Redhat، OpenSuse و Oracle بودن و بعضی هم بخشی از نرمافزارهای شخص ثالث. خیلیهاشون قبل از وجود محافظتهایی مثل SBAT و فهرستهای منع MOK ساخته شده بودن. کاربرهای ویندوز که وصلهٔ ژوئن رو نصب کردن دیگه آسیبپذیر نیستن؛ کاربرهای لینوکس باید سراغ سرویس فرمور توزیعشون برن. اچدی مور، منتقد قدیمی سکیور بوت، این ماجرا رو «رد محکمی بر کل مدل سکیور بوت» خونده.
نکات کلیدی:
- یازده شیم آسیبپذیر ولی امضاشده، بعضی بیش از یه دهه باطلنشده مونده بودن
- برای دور زدن سکیور بوت نیازی به آسیبپذیری تازه نبود، فقط یه کپی از فایل قدیمی
- تهدید هم ویندوز و هم لینوکس رو میگیره و به بوتکیت ماندگار ختم میشه
- ریشهٔ ماجرا پیچیدگی سازوکار ابطال و محدودیت ۳۲ کیلوبایتی dbx ـه
- مایکروسافت در وصلهٔ ژوئن باطلشون کرد؛ کاربر لینوکس باید جدا بررسی کنه
