Sicherer Start? Ein Microsoft-signierter Shim hebelt Secure Boot auf Firmenrechnern aus
Borrowing a Microsoft-signed shim to abuse Secure Boot on corporate hardware
Secure Boot schützt nicht davor, dass jemand ein eigenes Betriebssystem startet – es soll nur EFI-Malware abwehren. Leo Smith zeigt, wie sich das ausnutzen lässt: Man lädt ein von Microsoft signiertes Shim-Paket für Ubuntu oder Fedora herunter, signiert GRUB und Kernel mit eigenen Schlüsseln und trägt diese beim Booten über die MOK-Oberfläche ein. Auf den meisten Firmenlaptops mit vorinstallierten Drittanbieter-Zertifikaten bootet so ein beliebiges System – ganz ohne BIOS-Passwort.
Wenn ich beim MOK-Enrollment die Schlüssel selbst auswählen kann, warum sollte ich dann nicht einfach meine eigenen nehmen?
- Graziano_M
Was ich mache, ist, den Festplattenverschlüsselungs-Schlüssel gegen PCR 7 (unter anderem) zu versiegeln, sodass selbst wenn es sicher hochfährt, es die Festplatte nicht entschlüsseln kann, es sei denn, es startet mit einem GRUB, der mit einem bestimmten Schlüssel verifiziert wurde.
- huslage
Das ist kein Hack. Es funktioniert wie vorgesehen.
- p4p1
Die MOK-Registrierung von Secure Boot ermöglicht es dir, beliebige Schlüssel ohne BIOS-Passwort zu registrieren. Indem du einen von Microsoft signierten Shim aus einem Paket wie Ubuntus shim-signed ausleihst, kannst du jedes Betriebssystem auf einer Firmenmaschine booten, die Zertifikate von Drittanbietern installiert hat – was die meisten tun.