A kutatók szerint alacsony szintű alaplapi biztonsági kulcsok szivárogtak ki az MSI megsértésekor

Körülbelül egy hónapja írtunk arról, hogy a adatvédelmi incidens értesítés a nagy alaplapgyártó MSI által kiadott.

A cég szerint:

Az MSI a közelmúltban kibertámadást ért információs rendszerei ellen. […] Jelenleg az érintett rendszerek fokozatosan visszaálltak a normál működésre, és nincs jelentős hatással a pénzügyi üzletágra. […] Az MSI arra kéri a felhasználókat, hogy csak a hivatalos webhelyéről szerezzenek be firmware-/BIOS-frissítéseket, és ne használjanak a hivatalos webhelyen kívüli forrásból származó fájlokat.

A cég „mea culpa”-ja két nappal azután történt, hogy egy Money Message nevű kiberzsaroló banda azt állította, hogy MSI-forráskódot, BIOS-fejlesztőeszközöket és privát kulcsokat loptak el.

Akkoriban a bűnözők még visszaszámláló üzemmódban voltak, és azt állították, hogy fognak „Tegye közzé az ellopott adatokat, amikor az időzítő lejár”:

Az óra megállt

A fenti képernyőképen látható „felfedő időzítő” 2023-04-07-én, alig több mint egy hónapja lejárt, de a Money Message oldal a sötét weben egyébként változatlan a banda kezdeti közzététele óta:

Mindazonáltal a Binarly sebezhetőséget kutató cég kutatói azt állítják, hogy nemcsak a birtokukba kerültek az incidens során ellopott adatok, hanem beágyazott kriptográfiai kulcsok után is kutattak rajta, és számos találatra jutottak.

Eddig a Binarly azt állítja GitHub és a Twitter számos aláíró kulcsot kinyert a birtokában lévő adatokból, beleértve azt is, amit [2023-05-09T14:00Z] így ír le:

• 1 Intel OEM kulcs. Úgy tűnik, ezzel a gombbal 11 különböző alaplapon lehet vezérelni a firmware-hibakeresést.
• 27 kép aláíró kulcs. A Binarly azt állítja, hogy ezek a kulcsok 57 különböző MSI-alaplap firmware-frissítéseinek aláírására használhatók.
• 4 Intel Boot Guard kulcs. Ezek a kiszivárgott kulcsok nyilvánvalóan 116 különböző MSI-alaplap firmware-kódjának futásidejű ellenőrzését vezérlik.

Hardver alapú BIOS védelem

Az Intel szerint saját dokumentáció, a modern Intel alapú alaplapok több rétegű kriptográfiai biztonsággal védhetők.

Először jön BIOS Guard, amely csak a gyártó által megadott kriptográfiai kulccsal aláírt kód számára teszi lehetővé, hogy írási hozzáférést kapjon az ún. Kezdeti rendszerindítási blokk, vagy IBB.

Ahogy a neve is sugallja, az IBB az alaplapgyártó indítókódjának első komponense.

Felforgatásával a támadó nem csak a később betöltődő operációs rendszer alatti szinten biztosítaná az ellenőrzést a fertőzött számítógép felett, hanem a hivatalos EFI-be telepített firmware-segédprogramok szintje alatt is (bővített firmware interfész) lemezpartíciót, esetleg még akkor is, ha ezt a partíciót a firmware saját Secure Boot digitális aláírási rendszere védi.

Miután jön a BIOS Guard Boot Guard, amely ellenőrzi az IBB-ből betöltött kódot.

Úgy tűnik, hogy itt az ötlet az, hogy bár a BIOS Guard-nak meg kell akadályoznia a nem hivatalos firmware-frissítések azonnali frissítését azáltal, hogy megtagadja az írási hozzáférést a rosszindulatú firmware-frissítő eszközökhöz…

…nem tudja megállapítani, hogy az alaplap gyártója által „hivatalosan” aláírt firmware nem megbízható egy kiszivárgott firmware-kép-aláíró kulcs miatt.

Itt lép be a Boot Guard, amely egy második szintű tanúsítást biztosít, amelynek célja, hogy minden rendszerindításkor futási időben észlelje, hogy a rendszer olyan firmware-t futtat, amely nem engedélyezett az alaplaphoz.

Egyszer írható kulcstároló

A BIOS Guard és a Boot Guard által biztosított kriptográfiai ellenőrzés szintjének megerősítése, valamint a folyamat egy adott alaplaphoz vagy alaplapcsaládhoz való kötéséhez az általuk használt kriptográfiai kulcsok önmagukban nem tárolódnak az újraírható flash memóriában.

Meg vannak mentve, ill kifulladt, a szakzsargonban magába az alaplapba ágyazott, egyszer írható memóriába.

A szó kifulladt abból a tényből ered, hogy a tárolóáramkör nanoszkopikus „összekötő vezetékek” sorozataként épül fel, apró elektromos biztosítékok formájában.

Ezeket a kapcsolatokat érintetlenül lehet hagyni, ami azt jelenti, hogy bináris 1-ekként (vagy 0-ként, értelmezésüktől függően) vagy „lefújva” – más szóval összeolvasztva – egy egyszeri módosítással, amely véglegesen átfordítja őket. bináris 0-kba (vagy 1-ekbe).

A bitégetési folyamat kiváltását maga egy biztosíték védi, így az alaplap gyártója egyszeri lehetőséget kap ezeknek az ún. Helyszíni programozható biztosítékok.

Ez a jó hír.

Miután a BIOS Guard és a Boot Guard kriptográfiai ellenőrző kulcsok az olvasztható memóriába íródnak, azok örökre bezáródnak, és soha nem lehet felforgatni.

De a megfelelő rossz hír természetesen az, hogy ha az univerzum végéig biztonságos nyilvános kulcsoknak megfelelő privát kulcsok valaha is veszélybe kerülnek, akkor a beégetett nyilvános kulcsok soha nem frissíthető.

Hasonlóképpen, a hibakeresési szintű OEM-kulcs, amint fentebb említettük, lehetőséget biztosít az alaplap gyártója számára, hogy átvegye az irányítást a firmware felett a rendszerindítás során, beleértve az utasításonkénti megfigyelést, a viselkedésének módosítását, az adatok kémkedését és módosítását. őrzi a memóriát, és még sok más.

Elképzelhető, hogy a rendszerindítási folyamathoz való hozzáférés és a rendszerbe állítás effajta vezérlése azt a célt szolgálja, hogy segítse a fejlesztőket abban, hogy a kódot a laboratóriumban pontosan megkapják, mielőtt azt az ügyfelekhez kerülő alaplapokra égetnék.

Intel dokumentáció három hibakeresési szintet sorol fel.

Zöld A bárki számára engedélyezett hibakeresési hozzáférést jelöli, aminek nem szabad alacsony szintű titkokat felfednie, vagy lehetővé tenni a rendszerindítási folyamat módosítását.

narancs A teljes, írási-olvasási hibakeresési hozzáférést jelöli, amely olyan személy számára engedélyezett, aki rendelkezik a megfelelő szállító privát kulcsával.

Piros ugyanazt jelöli, mint a narancssárga, de az Intelhez tartozó fő privát kulcsra utal, amely bármelyik gyártó alaplapját feloldhatja.

Ahogy az Intel meglehetősen nyilvánvalóan és nyíltan kijelenti a dokumentációjában:

Feltételezhető, hogy a platformgyártó nem osztja meg [narancssárga mód] hitelesítési kulcsát semmilyen más hibakereső-készlettel.

Sajnos a Binarly azt állítja, hogy a csalók most kiszivárogtattak egy narancssárga módú gombot, amely alacsony szintű rendszerindítási hibakeresést tesz lehetővé 11 különböző alaplapon, amelyeket a HP, a Lenovo, a Star Labs, az AOPEN és a CompuLab szállít.

Vigyázz a bootkitre

A Binarly állításai tehát azt sugallják, hogy egy firmware-aláíró kulccsal és egy Boot Guard aláíró kulccsal a támadó nem csak arra tud rávenni Önt és a firmware-frissítő eszközeit, hogy először telepítsenek egy eredeti firware-frissítésnek tűnőt…

…de képes rávenni a Boot Guard védelemmel hardveresen zárolt alaplapot, hogy lehetővé tegye a rosszindulatú firmware betöltését, még akkor is, ha a frissítés magát az Initial Boot Blockot javítja.

Hasonlóképpen, ha egy ellopott számítógépet firmware-hibakereső módban tud elindítani, akkor a támadó csaló kódot futtathat vagy beültethet, titkokat nyerhet ki, vagy más módon manipulálhatja az alacsony szintű indítási folyamatot, hogy az áldozat számítógépe nem megbízható, nem biztonságos és nem biztonságos helyen maradjon. állapot.

Egyszerűen fogalmazva, elméletben legalábbis nem csak a rootkit, de a csomagtartó készlet.

A rootkitA zsargonban olyan kód, amely manipulálja az operációs rendszer kernelt, hogy megakadályozza, hogy még maga az operációs rendszer is észleljen, jelentsen vagy megakadályozzon bizonyos típusú rosszindulatú programokat.

Egyes rootkitek az operációs rendszer betöltése után aktiválhatók, jellemzően egy kernelszintű sebezhetőség kihasználásával, hogy jogosulatlan belső változtatásokat hajtsanak végre az operációs rendszer kódjában.

Más rootkitek kikerülik a kernel szintű biztonsági rés szükségességét a firmware-alapú indítási szekvencia egy részének felforgatásával, és a biztonsági hátsó ajtó aktiválását célozzák meg, mielőtt az operációs rendszer betöltődik, így veszélyeztetve a mögöttes kód egy részét, amelyen az operációs rendszer működik. a rendszer saját biztonságára támaszkodik.

És a csomagtartó készlet, lazán szólva, továbbviszi ezt a megközelítést, hogy az alacsony szintű hátsó ajtó a lehető legkorábban és a lehető legészrevehetőbbé váljon a firmware bootstrap folyamatában, talán még azelőtt, hogy a számítógép megvizsgálna és egyáltalán bármit is beolvasna a merevlemezről.

Egy ilyen szinten lefelé bootkit azt jelenti, hogy akár a teljes merevlemez törlése vagy cseréje (beleértve az ún. Kibővített firmware interfész rendszerpartíció, rövidítve EFI vagy ESP) nem elegendő a rendszer fertőtlenítéséhez.

Hasonlatként elképzelhető, hogy az operációs rendszer után betöltődő rootkit olyan, mintha egy esküdtszéket próbálnánk megvesztegetni a bűnös vádlott felmentése érdekében egy büntetőperben. (Ennek a veszélye az egyik oka annak, hogy a bűnügyi esküdtszékek általában 12, 15 vagy több tagból állnak.)

A firmware-folyamat késői szakaszában betöltődő rootkit kicsit olyan, mintha megpróbálná megvesztegetni az ügyészt vagy a főnyomozót, hogy rossz munkát végezzenek, és hagyjanak legalább néhány bizonyítási joghézagot a vétkes részek számára, amelyeken keresztül kikeveredhetnek.

A bootkit azonban inkább olyan, mintha magát a jogalkotót rávenné, hogy hatályon kívül helyezze azt a törvényt, amely alapján a vádlottat vádolják, így az ügyet, függetlenül attól, hogy milyen gondosan gyűjtötték és mutatták be a bizonyítékokat, egyáltalán ne tudjon haladni.

Mit kell tenni?

A Boot Guard nyilvános kulcsai, miután beégették az alaplapra, nem frissíthetők, így ha a hozzájuk tartozó privát kulcsok veszélybe kerültek, semmit sem tehet a probléma megoldására.

A kompromittált firmware-aláíró kulcsok visszavonhatók és lecserélhetők, ami lehetőséget ad a firmware-letöltőknek és -frissítő eszközöknek, hogy a jövőben figyelmeztessék Önt a most már nem megbízható kulccsal aláírt firmware-re, de ez nem akadályozza meg aktívan az ellopott aláíró kulcsok használatát. .

Az aláíró kulcsok elvesztése olyan, mintha egy irodaház minden emeletén és minden lakosztályában elveszítené a fizikai főkulcsot.

Minden alkalommal, amikor kicseréli az egyik feltört zárat, csökkenti a lopott kulcs hasznosságát, de hacsak és amíg nem cserélt minden egyes zárat, akkor nem oldotta meg megfelelően a biztonsági problémát.

De ha azonnal kicseréli az épület minden egyes zárát egyik napról a másikra, akkor mindenkit ki fog zárni, így nem engedheti meg, hogy a valódi bérlők és dolgozók továbbra is használhassák az irodájukat egy türelmi időre, amely alatt kicserélhetik régi kulcsaikat. újakért.

Ezért ebben az esetben a legjobb megoldás, ha szigorúan ragaszkodik az MSI eredeti tanácsához:

[O]Csak az [MSI] hivatalos webhelyéről szerezzen be firmware-/BIOS-frissítéseket, és [ne] használjon a hivatalos webhelytől eltérő forrásból származó fájlokat.

Sajnos ez a tanács valószínűleg öt nem teljesen hasznos szóban és egy felkiáltójelben áll össze.

Vigyázzatok odakint, emberek!

---

Frissítés. Az Intel PR-cége e-mailt küldött nekünk, hogy közölje velünk, hogy a vállalat „tudatában van ezeknek a jelentéseknek, és aktívan nyomoz.” Arra is kértek minket, hogy jelezzük "Az Intel Boot Guard OEM kulcsokat a rendszer gyártója állítja elő, [tehát] ezek nem Intel aláíró kulcsok." Az OEM rövidítés a rövidítése eredeti berendezés gyártója, egy kissé zavaros, de régóta bevált kifejezés, amely nem a termékbe épített egyes alkatrészek beszállítóját vagy szállítóit jelenti, hanem a teljes rendszert legyártó szállítót. Például, amikor az MSI-től vásárol egy „Intel-alaplapként” emlegetett terméket, az MSI az OEM, míg az Intel a processzorchip és esetleg más lapkakészlet-alkatrészek szállítója a késztermék középpontjában. (Ha az alaplap egy kerékpáros biztonsági kábel lenne, akkor az Intel elkészítette volna a zárat, de az OEM összehegesztette volna a kábelt, beborította volna a terméket a védőbevonatba, és kiválasztotta volna a kombinációhoz tartozó számokat.) [2023-05 -09T22:45Z]

---

• SEO által támogatott tartalom és PR terjesztés. Erősödjön még ma.
• PlatoAiStream. Web3 adatintelligencia. Felerősített tudás. Hozzáférés itt.
• A jövő pénzverése – Adryenn Ashley. Hozzáférés itt.
• Részvények vásárlása és eladása PRE-IPO társaságokban a PREIPO® segítségével. Hozzáférés itt.
• Forrás: https://nakedsecurity.sophos.com/2023/05/09/low-level-motherboard-security-keys-leaked-in-msi-breach-claim-researchers/