Κλειδιά ασφαλείας μητρικής πλακέτας χαμηλού επιπέδου διέρρευσαν λόγω παραβίασης του MSI, ισχυρίζονται ερευνητές

Πριν από ένα μήνα περίπου, είχαμε γράψει για α κοινοποίηση παραβίασης δεδομένων που εκδόθηκε από τον σημαντικό κατασκευαστή μητρικών πλακών MSI.

Η εταιρεία είπε:

Η MSI υπέστη πρόσφατα κυβερνοεπίθεση σε μέρος των πληροφοριακών της συστημάτων. […] Επί του παρόντος, τα επηρεαζόμενα συστήματα έχουν σταδιακά επανέλθει σε κανονική λειτουργία, χωρίς σημαντικές επιπτώσεις στις χρηματοοικονομικές δραστηριότητες. […] Η MSI προτρέπει τους χρήστες να λαμβάνουν ενημερώσεις υλικολογισμικού/BIOS μόνο από τον επίσημο ιστότοπο της και να μην χρησιμοποιούν αρχεία από πηγές άλλες εκτός από τον επίσημο ιστότοπο.

Το mea culpa της εταιρείας ήρθε δύο ημέρες αφότου μια συμμορία κυβερνοεκβιαστών με το όνομα Money Message ισχυρίστηκε ότι είχε κλέψει τον πηγαίο κώδικα της MSI, τα εργαλεία ανάπτυξης του BIOS και τα ιδιωτικά κλειδιά.

Εκείνη την εποχή, οι εγκληματίες ήταν ακόμα σε λειτουργία αντίστροφης μέτρησης και ισχυρίστηκαν ότι θα το έκαναν "δημοσιεύστε κλεμμένα δεδομένα όταν λήξει το χρονόμετρο":

Το ρολόι σταμάτησε

Το "χρονόμετρο αποκάλυψης" στο παραπάνω στιγμιότυπο οθόνης έληξε στις 2023-04-07, λίγο περισσότερο από ένα μήνα πριν, αλλά ο ιστότοπος Money Message στον σκοτεινό ιστό είναι κατά τα άλλα αμετάβλητος από την αρχική ανάρτηση της συμμορίας:

Ωστόσο, οι ερευνητές της εταιρείας ερευνών ευπάθειας Binarly ισχυρίζονται όχι μόνο ότι κατέλαβαν τα δεδομένα που είχαν κλαπεί από την παραβίαση, αλλά και ότι έψαξαν μέσα από αυτά για ενσωματωμένα κρυπογραφικά κλειδιά και βρήκαν πολλές επιτυχίες.

Μέχρι στιγμής, η Binarly διεκδικεί Github και Twitter να έχει εξαγάγει πολυάριθμα κλειδιά υπογραφής από τα δεδομένα που έχει στην κατοχή της, συμπεριλαμβανομένων αυτών που περιγράφει [2023-05-09T14:00Z] ως:

• 1 κλειδί Intel OEM. Προφανώς, αυτό το κλειδί μπορεί να χρησιμοποιηθεί για τον έλεγχο του εντοπισμού σφαλμάτων υλικολογισμικού σε 11 διαφορετικές μητρικές πλακέτες.
• 27 κλειδιά υπογραφής εικόνας. Η Binarly ισχυρίζεται ότι αυτά τα κλειδιά μπορούν να χρησιμοποιηθούν για την υπογραφή ενημερώσεων υλικολογισμικού για 57 διαφορετικές μητρικές πλακέτες MSI.
• 4 κλειδιά Intel Boot Guard. Αυτά τα κλειδιά που διέρρευσαν προφανώς ελέγχουν την επαλήθευση χρόνου εκτέλεσης του κώδικα υλικολογισμικού για 116 διαφορετικές μητρικές πλακέτες MSI.

Προστασία BIOS με βάση το υλικό

Σύμφωνα με την Intel δική τεκμηρίωση, οι σύγχρονες μητρικές πλακέτες που βασίζονται στην Intel μπορούν να προστατεύονται από πολλαπλά επίπεδα κρυπτογραφικής ασφάλειας.

Πρώτα έρχεται BIOS Guard, το οποίο επιτρέπει μόνο στον κώδικα που είναι υπογεγραμμένος με ένα κρυπτογραφικό κλειδί που καθορίζεται από τον κατασκευαστή να αποκτήσει πρόσβαση εγγραφής στη μνήμη flash που χρησιμοποιείται για την αποθήκευση των λεγόμενων Αρχικό μπλοκ εκκίνησης, ή IBB.

Όπως υποδηλώνει το όνομα, το IBB είναι το μέρος όπου ζει το πρώτο στοιχείο του κώδικα εκκίνησης του προμηθευτή της μητρικής πλακέτας.

Η ανατροπή του θα έδινε σε έναν εισβολέα τον έλεγχο ενός μολυσμένου υπολογιστή όχι μόνο σε επίπεδο χαμηλότερο από οποιοδήποτε λειτουργικό σύστημα που φορτώνεται αργότερα, αλλά και κάτω από το επίπεδο οποιωνδήποτε βοηθητικών προγραμμάτων υλικολογισμικού που είναι εγκατεστημένα στο επίσημο EFI (εκτεταμένη διεπαφή υλικολογισμικού) διαμέρισμα δίσκου, πιθανώς ακόμα κι αν αυτό το διαμέρισμα προστατεύεται από το σύστημα ψηφιακής υπογραφής Secure Boot του ίδιου του υλικολογισμικού.

Μετά το BIOS Guard έρχεται Προστατευτικό μπότας, το οποίο επαληθεύει τον κωδικό που έχει φορτωθεί από το IBB.

Η ιδέα εδώ φαίνεται να είναι ότι, παρόλο που το BIOS Guard θα πρέπει να αποτρέψει την εμφάνιση οποιωνδήποτε ανεπίσημων ενημερώσεων υλικολογισμικού από την πρώτη θέση, αρνούμενοι την πρόσβαση εγγραφής σε αδίστακτα εργαλεία ενημέρωσης υλικολογισμικού…

…δεν μπορεί να πει ότι το υλικολογισμικό που έχει υπογραφεί «επίσημα» από τον πωλητή της μητρικής πλακέτας δεν μπορεί να είναι αξιόπιστο λόγω ενός κλειδιού υπογραφής εικόνας υλικολογισμικού που διέρρευσε.

Εκεί παρεμβαίνει το Boot Guard, παρέχοντας ένα δεύτερο επίπεδο βεβαίωσης που στοχεύει να ανιχνεύσει, κατά την εκτέλεση κατά τη διάρκεια κάθε εκκίνησης, ότι το σύστημα εκτελεί υλικολογισμικό που δεν είναι εγκεκριμένο για τη μητρική σας πλακέτα.

Αποθήκευση κλειδιού μίας φοράς εγγραφής

Για να ενισχυθεί το επίπεδο κρυπτογραφικής επαλήθευσης που παρέχεται από το BIOS Guard και το Boot Guard και για να συνδεθεί η διαδικασία με μια συγκεκριμένη οικογένεια μητρικής ή μητρικής πλακέτας, τα κρυπτογραφικά κλειδιά που χρησιμοποιούν δεν αποθηκεύονται τα ίδια σε επανεγγράψιμη μνήμη flash.

Έχουν σωθεί, ή ανοιγμένος, στην ορολογία, στη μνήμη εγγραφής μίας φοράς που είναι ενσωματωμένη στην ίδια τη μητρική πλακέτα.

Η λεξη ανοιγμένος προέρχεται από το γεγονός ότι το κύκλωμα αποθήκευσης είναι κατασκευασμένο ως μια σειρά από νανοσκοπικά «καλώδια σύνδεσης» που υλοποιούνται ως μικροσκοπικές ηλεκτρικές ασφάλειες.

Αυτές οι συνδέσεις μπορούν να παραμείνουν ανέπαφες, πράγμα που σημαίνει ότι θα διαβαστούν ως δυαδικά 1 (ή 0, ανάλογα με τον τρόπο ερμηνείας τους) ή "φουσκωμένα" - συγχωνευμένα με άλλα λόγια - σε μια τροποποίηση μίας λήψης που τις ανατρέπει μόνιμα σε δυαδικά 0 (ή 1).

Η ενεργοποίηση της διαδικασίας καύσης bit προστατεύεται από μόνη της από μια ασφάλεια, επομένως ο προμηθευτής μητρικής πλακέτας έχει μια εφάπαξ ευκαιρία να ορίσει την τιμή αυτών των λεγόμενων Προγραμματιζόμενες ασφάλειες πεδίου.

Αυτά είναι τα καλά νέα.

Μόλις τα κλειδιά επαλήθευσης κρυπτογράφησης BIOS Guard και Boot Guard εγγραφούν στην εύτηκτη μνήμη, κλειδώνονται για πάντα και δεν μπορεί ποτέ να ανατραπεί.

Αλλά τα αντίστοιχα κακά νέα, φυσικά, είναι ότι εάν τα ιδιωτικά κλειδιά που αντιστοιχούν σε αυτά τα ασφαλή δημόσια κλειδιά μέχρι το τέλος του κόσμου διακυβευτούν ποτέ, τα καμένα δημόσια κλειδιά δεν μπορεί ποτέ να ενημερωθεί.

Ομοίως, ένα κλειδί OEM σε επίπεδο εντοπισμού σφαλμάτων, όπως αναφέρθηκε παραπάνω, παρέχει στον προμηθευτή μητρικής πλακέτας έναν τρόπο να αναλάβει τον έλεγχο του υλικολογισμικού καθώς εκκινείται, συμπεριλαμβανομένης της παρακολούθησης του με οδηγίες, της προσαρμογής της συμπεριφοράς του, της κατασκοπείας και της τροποποίησης των δεδομένων κρατάει στη μνήμη, και πολλά άλλα.

Όπως μπορείτε να φανταστείτε, αυτού του είδους η πρόσβαση και ο έλεγχος της διαδικασίας εκκίνησης έχει σκοπό να βοηθήσει τους προγραμματιστές να αποκτήσουν τον κώδικα απευθείας στο εργαστήριο, προτού καεί σε μητρικές πλακέτες που θα πάνε στους πελάτες.

Της Intel τεκμηρίωση παραθέτει τρία επίπεδα εντοπισμού σφαλμάτων.

Πράσινο υποδηλώνει την πρόσβαση εντοπισμού σφαλμάτων που επιτρέπεται σε οποιονδήποτε, η οποία δεν υποτίθεται ότι αποκαλύπτει μυστικά χαμηλού επιπέδου ή ότι επιτρέπει την τροποποίηση της διαδικασίας εκκίνησης.

Πορτοκαλί υποδηλώνει πλήρη, ανάγνωση-εγγραφή πρόσβασης εντοπισμού σφαλμάτων που επιτρέπεται σε κάποιον που έχει το ιδιωτικό κλειδί του αντίστοιχου προμηθευτή.

Red υποδηλώνει το ίδιο με το πορτοκαλί, αλλά αναφέρεται σε ένα κύριο ιδιωτικό κλειδί που ανήκει στην Intel που μπορεί να ξεκλειδώσει τη μητρική πλακέτα οποιασδήποτε vnedor.

Όπως δηλώνει η Intel μάλλον προφανώς και ωμά στην τεκμηρίωσή της:

Υποτίθεται ότι ο Κατασκευαστής της Πλατφόρμας δεν θα μοιραστεί το κλειδί ελέγχου ταυτότητας [Πορτοκαλί Λειτουργία] με οποιοδήποτε άλλο σύνολο προγραμμάτων εντοπισμού σφαλμάτων.

Δυστυχώς, η Binarly ισχυρίζεται ότι οι απατεώνες διέρρευσαν τώρα ένα κλειδί Orange Mode που μπορεί να ενεργοποιήσει τον εντοπισμό σφαλμάτων σε χαμηλό επίπεδο χρόνου εκκίνησης σε 11 διαφορετικές μητρικές που παρέχονται από την HP, τη Lenovo, την Star Labs, την AOPEN και την CompuLab.

Προσοχή στο bootkit

Επομένως, οι ισχυρισμοί του Binarly φαίνεται να υποδηλώνουν ότι με ένα κλειδί υπογραφής υλικολογισμικού και ένα κλειδί υπογραφής Boot Guard, ένας εισβολέας μπορεί όχι μόνο να μπορεί να εξαπατήσει εσάς και τα εργαλεία ενημέρωσης υλικολογισμικού σας για να εγκαταστήσετε κάτι που μοιάζει με γνήσια ενημέρωση υλικολογισμικού στην πρώτη θέση…

…αλλά και να μπορείτε να ξεγελάσετε μια μητρική πλακέτα που έχει κλειδωθεί από υλικό μέσω της προστασίας Boot Guard ώστε να επιτρέψει τη φόρτωση αυτού του αδίστακτου υλικολογισμικού, ακόμα κι αν η ενημέρωση διορθώσει το ίδιο το Initial Boot Block.

Ομοίως, η δυνατότητα εκκίνησης ενός κλεμμένου υπολογιστή σε λειτουργία εντοπισμού σφαλμάτων υλικολογισμικού θα μπορούσε να επιτρέψει σε έναν εισβολέα να εκτελέσει ή να εμφυτεύσει αδίστακτους κώδικα, να εξάγει μυστικά ή με άλλον τρόπο να χειραγωγήσει τη διαδικασία εκκίνησης χαμηλού επιπέδου για να αφήσει τον υπολογιστή του θύματος σε αναξιόπιστο, ανασφαλή και ανασφαλή κατάσταση.

Με απλά λόγια, θα μπορούσατε, θεωρητικά τουλάχιστον, να καταλήξετε όχι μόνο με α rootkit, Αλλά εκκίνηση.

A rootkit, στην ορολογία, είναι κώδικας που χειρίζεται τον πυρήνα του λειτουργικού συστήματος προκειμένου να αποτρέψει ακόμη και το ίδιο το λειτουργικό σύστημα να εντοπίσει, να αναφέρει ή να αποτρέψει ορισμένους τύπους κακόβουλου λογισμικού αργότερα.

Ορισμένα rootkits μπορούν να ενεργοποιηθούν μετά τη φόρτωση του λειτουργικού συστήματος, συνήθως με την εκμετάλλευση μιας ευπάθειας σε επίπεδο πυρήνα για την πραγματοποίηση μη εξουσιοδοτημένων εσωτερικών αλλαγών στον ίδιο τον κώδικα του λειτουργικού συστήματος.

Άλλα rootkits παρακάμπτουν την ανάγκη για μια τρύπα ασφαλείας σε επίπεδο πυρήνα, ανατρέποντας μέρος της ακολουθίας εκκίνησης που βασίζεται σε υλικολογισμικό, με στόχο να ενεργοποιηθεί ένα backdoor ασφαλείας πριν αρχίσει να φορτώνεται το λειτουργικό σύστημα, θέτοντας έτσι σε κίνδυνο κάποιο από τον υποκείμενο κώδικα στον οποίο λειτουργεί στηρίζεται στην ασφάλεια του ίδιου του συστήματος.

Και ένα εκκίνησηΤο , χαλαρά μιλώντας, προχωρά ακόμη περισσότερο αυτή την προσέγγιση, έτσι ώστε η κερκόπορτα χαμηλού επιπέδου να φορτώνεται όσο το δυνατόν νωρίτερα και όσο το δυνατόν πιο μη ανιχνεύσιμα στη διαδικασία εκκίνησης του υλικολογισμικού, ίσως ακόμη και πριν ο υπολογιστής εξετάσει και διαβάσει τίποτα από τον σκληρό δίσκο.

Ένα bootkit σε αυτό το επίπεδο σημαίνει ότι ακόμη και το σκούπισμα ή η αντικατάσταση ολόκληρου του σκληρού σας δίσκου (συμπεριλαμβανομένου του λεγόμενου Εκτεταμένο διαμέρισμα συστήματος διεπαφής υλικολογισμικού, συντομογραφία EFI ή ESP) δεν αρκεί για την απολύμανση του συστήματος.

Ως αναλογία, θα μπορούσατε να σκεφτείτε ένα rootkit που φορτώνεται μετά το λειτουργικό σύστημα σαν να προσπαθεί να δωροδοκήσει ένα ένορκο για να αθωώσει έναν ένοχο κατηγορούμενο σε μια ποινική δίκη. (Ο κίνδυνος να συμβεί αυτό είναι ένας λόγος για τον οποίο τα ποινικά δικαστήρια έχουν συνήθως 12, 15 ή περισσότερα μέλη.)

Ένα rootkit που φορτώνεται αργά στη διαδικασία του υλικολογισμικού είναι λίγο σαν να προσπαθείς να δωροδοκήσεις τον εισαγγελέα ή τον επικεφαλής ανακριτή για να κάνει μια κακή δουλειά και να αφήσει τουλάχιστον μερικά αποδεικτικά κενά για να ξεπεράσουν τα ένοχα μέρη.

Αλλά ένα bootkit μοιάζει περισσότερο με το να βάζεις τον ίδιο τον νομοθέτη να καταργήσει τον ίδιο τον νόμο βάσει του οποίου κατηγορείται ο κατηγορούμενος, έτσι ώστε η υπόθεση, ανεξάρτητα από το πόσο προσεκτικά συγκεντρώθηκαν και παρουσιάστηκαν τα αποδεικτικά στοιχεία, να μην μπορεί να προχωρήσει καθόλου.

Τι να κάνω;

Τα δημόσια κλειδιά του Boot Guard, αφού εγγραφούν στη μητρική σας πλακέτα, δεν μπορούν να ενημερωθούν, επομένως εάν τα αντίστοιχα ιδιωτικά κλειδιά τους παραβιαστούν, δεν μπορείτε να κάνετε τίποτα για να διορθώσετε το πρόβλημα.

Τα παραβιασμένα κλειδιά υπογραφής υλικολογισμικού μπορούν να αποσυρθούν και να αντικατασταθούν, γεγονός που δίνει στους χρήστες λήψης υλικολογισμικού και στα εργαλεία ενημέρωσης την ευκαιρία να σας προειδοποιήσουν στο μέλλον σχετικά με το υλικολογισμικό που έχει υπογραφεί με ένα πλέον μη αξιόπιστο κλειδί, αλλά αυτό δεν εμποδίζει ενεργά τη χρήση των κλεμμένων κλειδιών υπογραφής .

Η απώλεια κλειδιών υπογραφής είναι λίγο σαν να χάνετε το φυσικό κύριο κλειδί σε κάθε όροφο και κάθε σουίτα σε ένα κτίριο γραφείων.

Κάθε φορά που αλλάζετε μία από τις παραβιασμένες κλειδαριές, μειώνετε τη χρησιμότητα του κλεμμένου κλειδιού, αλλά εκτός εάν και μέχρι να αλλάξετε κάθε κλειδαριά, δεν έχετε λύσει σωστά το πρόβλημα ασφαλείας σας.

Αλλά αν αντικαταστήσετε αμέσως κάθε κλειδαριά στο κτίριο κατά τη διάρκεια της νύχτας, θα κλειδώσετε όλους, έτσι δεν θα μπορείτε να επιτρέψετε σε γνήσιους ενοικιαστές και εργαζόμενους να συνεχίσουν να χρησιμοποιούν τα γραφεία τους για μια περίοδο χάριτος κατά τη διάρκεια της οποίας θα μπορούν να αλλάζουν τα παλιά τους κλειδιά για καινούργια.

Επομένως, το καλύτερο στοίχημά σας σε αυτήν την περίπτωση είναι να τηρήσετε πιστά την αρχική συμβουλή της MSI:

[O]λαμβάνετε ενημερώσεις υλικολογισμικού/BIOS μόνο από τον επίσημο ιστότοπο της [MSI] και [μην] χρησιμοποιείτε αρχεία από πηγές διαφορετικές από τον επίσημο ιστότοπο.

Δυστυχώς, αυτή η συμβουλή συνοψίζεται πιθανώς σε πέντε όχι εντελώς χρήσιμες λέξεις και ένα θαυμαστικό.

Να είστε προσεκτικοί εκεί έξω, παιδιά!

---

Ενημέρωση. Η εταιρεία δημοσίων σχέσεων της Intel μας έστειλε email για να μας πει ότι η εταιρεία «έχει γνώση αυτών των εκθέσεων και ερευνά ενεργά». Μας ζήτησαν επίσης να το επισημάνουμε "Τα κλειδιά OEM Intel Boot Guard δημιουργούνται από τον κατασκευαστή του συστήματος, [άρα] δεν είναι κλειδιά υπογραφής Intel." Η συντομογραφία OEM είναι συντομογραφία κατασκευαστής αρχικού εξοπλισμού, ένας ελαφρώς συγκεχυμένος αλλά καθιερωμένος όρος που δεν αναφέρεται στον προμηθευτή ή τους προμηθευτές των μεμονωμένων εξαρτημάτων που είναι ενσωματωμένα σε ένα προϊόν, αλλά στον πωλητή που κατασκεύασε το πλήρες σύστημα. Για παράδειγμα, όταν αγοράζετε αυτό που θα μπορούσατε να αναφέρετε ως "μητρική πλακέτα Intel" από την MSI, η MSI είναι ο OEM, ενώ η Intel είναι ο προμηθευτής του τσιπ επεξεργαστή, και ίσως άλλων στοιχείων chipset, στην καρδιά του τελικού προϊόντος. (Εάν η μητρική σας ήταν καλώδιο ασφαλείας ποδηλάτου, τότε η Intel θα είχε φτιάξει την κλειδαριά, αλλά ο OEM θα είχε συγκολλήσει το καλώδιο, θα είχε καλύψει το προϊόν με την προστατευτική του επίστρωση και θα είχε επιλέξει τους αριθμούς για τον συνδυασμό.) [2023-05 -09T22:45Z]

---

• SEO Powered Content & PR Distribution. Ενισχύστε σήμερα.
• PlatoAiStream. Web3 Data Intelligence. Ενισχύθηκε η γνώση. Πρόσβαση εδώ.
• Minting the Future με την Adryenn Ashley. Πρόσβαση εδώ.
• Αγορά και πώληση μετοχών σε εταιρείες PRE-IPO με το PREIPO®. Πρόσβαση εδώ.
• πηγή: https://nakedsecurity.sophos.com/2023/05/09/low-level-motherboard-security-keys-leaked-in-msi-breach-claim-researchers/