Исследователь обходит Secure Boot на корпоративных ноутбуках, «позаимствовав» подписанный Microsoft shim
Borrowing a Microsoft-signed shim to abuse Secure Boot on corporate hardware
Автор разбирает, как на самом деле работает Secure Boot: он проверяет лишь наличие подписи загрузчика в базе, а не блокирует конкретную ОС. Взяв из репозиториев Linux подписанный Microsoft shim и менеджер MOK, можно подписать собственный загрузчик и ядро своими ключами, загрузить их через экран регистрации MOK на машине с включённым Secure Boot — без пароля BIOS. Техника проверена на корпоративном железе с предустановленными сторонними сертификатами Microsoft.
Если я могу просто зарегистрировать собственные ключи, в чём же тогда безопасность?
- Graziano_M
Что я делаю, так это привязываю ключ шифрования диска к PCR 7 (среди прочих), так что даже если он безопасно загрузится, то без загрузки через grub, проверенный конкретным ключом, он не сможет расшифровать диск.
- huslage
Это не взлом. Это работает как задумано.
- p4p1
Регистрация MOK в Secure Boot позволяет вам зарегистрировать произвольные ключи без пароля BIOS. Взяв shim с подписью Microsoft из такого пакета, как shim-signed в Ubuntu, вы можете загрузить любую ОС на корпоративной машине, где установлены сторонние сертификаты — а они установлены на большинстве.