Microsoft署名のshimを借用して、企業ハードウェアのSecure Bootを突破する
Borrowing a Microsoft-signed shim to abuse Secure Boot on corporate hardware
Secure BootはOSの完全性を保証する仕組みにすぎず、MicrosoftがサードパーティOS向けに署名したshimとMOK登録の仕組みを悪用すれば、誰でも自分の鍵を登録して任意のOSを起動できる。pkgs.orgで配布されているMicrosoft署名済みのshim-signedパッケージを借用し、EFIパーティションを細工したUSBドライブを企業端末に挿すだけで、BIOSパスワードなしに起動できてしまう手順を解説する。
つまりSecure BootはMicrosoftの鍵が入ったBIOS上で、サードパーティ製OSを動かすために使われるものだった。ならば自分の鍵をBIOSに登録し、自分のLinuxビルドに署名すれば、それだけで動いてしまう。
HNでの議論
13- Graziano_M
私がやっているのは、ディスク暗号化キーを（とりわけ）PCR 7に封印することです。そうすれば、たとえセキュアブートで起動しても、特定のキーで検証されたgrubで起動しない限り、ディスクを復号することはできません。
- huslage
これはハックではありません。設計通りに動作しているだけです。
- p4p1
Secure BootのMOK登録では、BIOSパスワードなしで任意のキーを登録できます。Ubuntuのshim-signedのようなパッケージからMicrosoft署名のshimを借用すれば、サードパーティ証明書がインストールされている企業マシン（ほとんどのマシンがそうですが）で任意のOSを起動できます。