Un shim firmado por Microsoft permite eludir Secure Boot en equipos corporativos
Borrowing a Microsoft-signed shim to abuse Secure Boot on corporate hardware
Leo Smith, creador de p3ng0s, detalla cómo reutilizar el shim firmado por Microsoft que distribuyen Ubuntu, Debian o Fedora para arrancar un sistema propio en hardware con Secure Boot activo. Al inscribir una clave MOK personalizada, el gestor de arranque acepta el kernel sin validar su origen, lo que permite ejecutar un SO de ataque en máquinas corporativas sin conocer la contraseña de la BIOS. El autor publica un tutorial y lo integra en la rama V2 de su sistema.
Si puedo elegir las claves durante la inscripción MOK, ¿por qué no elegir simplemente mis propias claves? A partir de ahí es el premio gordo: arranqué mi sistema operativo en hardware que tiene Secure Boot habilitado.
- Graziano_M
Lo que hago es sellar la clave de cifrado del disco contra PCR 7 (entre otros), de modo que incluso si arranca de forma segura, a menos que arranque con grub verificado con una clave específica, no podrá descifrar el disco.
- huslage
Esto no es un hack. Funciona tal como está diseñado.
- p4p1
La inscripción de MOK de Secure Boot te permite inscribir claves arbitrarias sin contraseña de BIOS. Tomando prestado un shim firmado por Microsoft de un paquete como shim-signed de ubuntu, puedes arrancar cualquier sistema operativo en una máquina corporativa que tenga instalados certificados de terceros, cosa que la mayoría tiene.