Nizko nivojski varnostni ključi matične plošče so pricurljali v MSI, trdijo raziskovalci

Pred dobrim mesecem smo pisali o a obvestilo o kršitvi podatkov izdal večji proizvajalec matičnih plošč MSI.

Družba je rekla:

MSI je pred kratkim doživel kibernetski napad na del svojih informacijskih sistemov. […] Trenutno so prizadeti sistemi postopoma spet normalno delovali, brez pomembnega vpliva na finančno poslovanje. […] MSI poziva uporabnike, naj pridobijo posodobitve vdelane programske opreme/BIOS-a samo na njegovem uradnem spletnem mestu in naj ne uporabljajo datotek iz drugih virov kot uradnega spletnega mesta.

Mea culpa podjetja je prišla dva dni po tem, ko je tolpa kibernetskega izsiljevanja z imenom Money Message trdila, da je ukradla izvorno kodo MSI, razvojna orodja za BIOS in zasebne ključe.

Takrat so bili kriminalci še vedno v načinu odštevanja in so trdili, da bodo »objavi ukradene podatke, ko poteče časovnik«:

Ura se je ustavila

»Časovnik za razkritje« na zgornjem posnetku zaslona je potekel 2023. aprila 04, pred dobrim mesecem, vendar je spletno mesto Money Message v temnem spletu sicer nespremenjeno od prve objave tolpe:

Kljub temu raziskovalci podjetja Binarly za raziskovanje ranljivosti trdijo, da niso le prišli do podatkov, ukradenih pri vdoru, ampak tudi, da so po njih iskali vdelane ključe crpyotgraphic in prišli do številnih zadetkov.

Zaenkrat se Binarly uveljavlja GitHub in Twitter da je pridobil številne podpisne ključe iz podatkov, ki jih ima, vključno s tem, kar opisuje [2023-05-09T14:00Z] kot:

• 1 Intel OEM ključ. Očitno je ta ključ mogoče uporabiti za nadzor odpravljanja napak vdelane programske opreme na 11 različnih matičnih ploščah.
• 27 ključev za podpisovanje slik. Binarly trdi, da je mogoče te ključe uporabiti za podpisovanje posodobitev vdelane programske opreme za 57 različnih matičnih plošč MSI.
• 4 tipke Intel Boot Guard. Ti razkriti ključi očitno nadzirajo preverjanje med izvajanjem kode vdelane programske opreme za 116 različnih matičnih plošč MSI.

Zaščita BIOS-a na osnovi strojne opreme

Po Intelovih lastno dokumentacijo, so sodobne matične plošče, ki temeljijo na procesorju Intel, lahko zaščitene z več plastmi kriptografske varnosti.

Prvi pride BIOS Guard, ki dovoljuje samo kodi, ki je podpisana s kriptografskim ključem, ki ga določi proizvajalec, da dobi dostop za pisanje v bliskovni pomnilnik, ki se uporablja za shranjevanje t.i. Začetni zagonski blok, ali IBB.

Kot že ime pove, je IBB mesto, kjer živi prva komponenta zagonske kode prodajalca matične plošče.

Spodkopavanje bi napadalcu omogočilo nadzor nad okuženim računalnikom ne samo na ravni pod katerim koli operacijskim sistemom, ki se pozneje naloži, ampak tudi pod ravnjo vseh pripomočkov vdelane programske opreme, nameščenih v uradnem EFI (razširjen vmesnik vdelane programske opreme) diskovna particija, morda tudi če je ta particija zaščitena z lastnim sistemom digitalnega podpisa vdelane programske opreme Secure Boot.

Potem pride BIOS Guard Boot Guard, ki preveri kodo, ki je naložena iz IBB.

Zdi se, da je tukaj ideja ta, da čeprav bi moral BIOS Guard preprečiti, da bi se neuradno posodabljala vdelana programska oprema, z zavrnitvijo pisnega dostopa lažnim orodjem za posodabljanje vdelane programske opreme ...

... ne more reči, da vdelani programski opremi, ki jo je "uradno" podpisal prodajalec matične plošče, ni mogoče zaupati zaradi razkritega ključa za podpisovanje slike vdelane programske opreme.

Tu nastopi Boot Guard, ki zagotavlja drugo raven atestiranja, katerega cilj je med izvajanjem med vsakim zagonom zaznati, da sistem izvaja vdelano programsko opremo, ki ni odobrena za vašo matično ploščo.

Shranjevanje ključev za enkratno pisanje

Da bi povečali raven kriptografskega preverjanja, ki ga zagotavljata tako BIOS Guard kot Boot Guard, in da bi povezali postopek z določeno matično ploščo ali družino matičnih plošč, kriptografski ključi, ki jih uporabljajo, sami niso shranjeni v prepisljivem bliskovnem pomnilniku.

Rešeni so oz pihano, v žargonu, v pomnilnik za enkratno pisanje, vgrajen v samo matično ploščo.

Beseda pihano izhaja iz dejstva, da je vezje za shranjevanje zgrajeno kot niz nanoskopskih "povezovalnih žic", izvedenih kot majhne električne varovalke.

Te povezave lahko ostanejo nedotaknjene, kar pomeni, da bodo prebrane kot binarne 1 (ali 0, odvisno od tega, kako se interpretirajo), ali pa bodo »razpihnjene« – spojene z drugimi besedami – v enkratni spremembi, ki jih trajno obrne. v binarne 0 (ali 1).

Sprožitev procesa zapisovanja bitov je sama zaščitena z varovalko, tako da ima prodajalec matične plošče enkratno priložnost, da nastavi vrednost teh t.i. Varovalke, ki jih je mogoče programirati na terenu.

To je dobra novica.

Ko sta ključa za kriptografsko preverjanje BIOS Guard in Boot Guard zapisana v taljivi pomnilnik, sta za vedno zaklenjena in nikoli ni mogoče podreti.

Toda ustrezna slaba novica je seveda ta, da če so zasebni ključi, ki ustrezajo tem varnim do konca vesolja javnim ključem kdaj ogroženi, bodo vžgani javni ključi nikoli ni mogoče posodobiti.

Podobno ključ OEM na ravni odpravljanja napak, kot je omenjeno zgoraj, ponuja prodajalcu matične plošče način za prevzem nadzora nad vdelano programsko opremo med zagonom, vključno z opazovanjem po navodilih po navodilih, spreminjanjem njenega vedenja, vohunjenjem in spreminjanjem podatkov ostane v spominu in še veliko več.

Kot si lahko predstavljate, je ta vrsta dostopa in nadzora nad postopkom zagona namenjena temu, da pomaga razvijalcem, da dobijo kodo neposredno v laboratoriju, preden se zažge v matične plošče, ki bodo šle strankam.

Intelove Dokumentacija navaja tri stopnje odpravljanja napak.

Zelen označuje dostop za odpravljanje napak, ki je dovoljen vsem, kar ne bi smelo razkrivati ​​nobenih skrivnosti na nizki ravni ali omogočati spreminjanja zagonskega postopka.

Oranžna označuje popoln dostop do odpravljanja napak pri branju in pisanju, ki je dovoljen nekomu, ki ima zasebni ključ ustreznega prodajalca.

Rdeča označuje isto kot oranžna, vendar se nanaša na glavni zasebni ključ, ki pripada Intelu in lahko odklene matično ploščo katerega koli vnedorja.

Kot Intel precej očitno in odkrito navaja v svoji dokumentaciji:

Predpostavlja se, da proizvajalec platforme ne bo delil svojega ključa za preverjanje pristnosti [oranžni način] z nobenim drugim nizom razhroščevalnikov.

Na žalost Binarly trdi, da so prevaranti zdaj razkrili ključ oranžnega načina, ki lahko omogoči nizkonivojsko odpravljanje napak ob zagonu na 11 različnih matičnih ploščah, ki jih dobavljajo HP, Lenovo, Star Labs, AOPEN in CompuLab.

Pazite se bootkita

Zdi se, da trditve podjetja Binarly torej kažejo, da s ključem za podpisovanje vdelane programske opreme in podpisnim ključem Boot Guard napadalec morda ne bo le uspel pretentati vas in vaših orodij za posodabljanje vdelane programske opreme, da namestite tisto, kar je videti kot pristna posodobitev vdelane programske opreme ...

... ampak lahko tudi pretentate matično ploščo, ki je bila strojno zaklenjena prek zaščite Boot Guard, da dovoli nalaganje te lažne vdelane programske opreme, tudi če posodobitev popravi sam začetni zagonski blok.

Podobno bi možnost zagona ukradenega računalnika v načinu za odpravljanje napak vdelane programske opreme lahko napadalcu omogočila zagon ali vsaditev lažne kode, ekstrahiranje skrivnosti ali kako drugače manipulira z zagonskim postopkom na nizki ravni, da pusti računalnik žrtve v nezaupljivem, nevarnem in nevarnem okolju. država.

Preprosto povedano, vsaj teoretično bi lahko končali ne samo z Rootkit, a zagonski komplet.

A Rootkit, v žargonu, je koda, ki manipulira z jedrom operacijskega sistema, da bi preprečila celo samemu operacijskemu sistemu, da bi kasneje zaznal, poročal ali preprečil nekatere vrste zlonamerne programske opreme.

Nekatere korenske komplete je mogoče aktivirati po nalaganju operacijskega sistema, običajno z izkoriščanjem ranljivosti na ravni jedra za nepooblaščene notranje spremembe same kode operacijskega sistema.

Drugi korenski kompleti se izognejo potrebi po varnostni luknji na ravni jedra tako, da izničijo del zagonskega zaporedja, ki temelji na vdelani programski opremi, s ciljem, da se varnostna stranska vrata aktivirajo, preden se operacijski sistem začne nalagati, s čimer ogrozijo del osnovne kode, na kateri deluje lastna varnost sistema.

In a zagonski komplet, ohlapno rečeno, gre ta pristop še dlje, tako da se stranska vrata na nizki ravni naložijo čim prej in čim bolj nezaznavno v procesu zagona vdelane programske opreme, morda še preden računalnik sploh pregleda in prebere kar koli s trdega diska.

Zagonski komplet na tej ravni pomeni, da celo brisanje ali zamenjava celotnega trdega diska (vključno s t.i. Razširjena sistemska particija vmesnika vdelane programske opreme, skrajšano EFI ali ESP) ni dovolj za dezinfekcijo sistema.

Kot analogijo bi si lahko zamislili rootkit, ki se naloži za operacijskim sistemom, kot da bi poskušali podkupiti poroto, da bi oprostila krivega obtoženca v kazenskem procesu. (Tveganje, da se to zgodi, je eden od razlogov, zakaj imajo kazenske porote običajno 12, 15 ali več članov.)

Rootkit, ki se naloži pozno v procesu vdelane programske opreme, je podoben poskusu podkupovanja tožilca ali glavnega preiskovalca, da bi opravil slabo delo in pustil vsaj nekaj dokaznih vrzeli, skozi katere se lahko prebijejo krivci.

Toda bootkit je bolj podoben temu, da bi zakonodajalec sam razveljavil prav zakon, po katerem je obtoženec obtožen, tako da se zadeva, ne glede na to, kako skrbno so bili dokazi zbrani in predstavljeni, sploh ne more nadaljevati.

Kaj storiti?

Javnih ključev Boot Guard, ki so enkrat vpisani v vašo matično ploščo, ni mogoče posodobiti, tako da, če so njihovi ustrezni zasebni ključi ogroženi, ne morete storiti ničesar, da bi odpravili težavo.

Ogrožene ključe za podpisovanje vdelane programske opreme je mogoče ukiniti in zamenjati, kar omogoča prenosnikom vdelane programske opreme in orodjem za posodabljanje, da vas v prihodnosti opozorijo na vdelano programsko opremo, ki je bila podpisana s ključem, ki mu zdaj ne zaupate, vendar to ne preprečuje dejavne uporabe ukradenih ključev za podpisovanje .

Izguba podpisnih ključev je podobna izgubi fizičnega glavnega ključa za vsako nadstropje in vsak apartma v poslovni stavbi.

Vsakič, ko zamenjate eno od ogroženih ključavnic, ste zmanjšali uporabnost ukradenega ključa, vendar dokler in dokler niste zamenjali vsake posamezne ključavnice, niste pravilno rešili svojega varnostnega problema.

Če pa čez noč takoj zamenjate vsako posamezno ključavnico v stavbi, boste zaklenili vse, tako da pravim najemnikom in delavcem ne boste mogli dovoliti, da bi še naprej uporabljali svoje pisarne za obdobje odloga, v katerem lahko zamenjajo svoje stare ključe. za nove.

Zato je najbolje, da se v tem primeru natančno držite MSI-jevega prvotnega nasveta:

[O]dobite posodobitve vdelane programske opreme/BIOS samo z uradne spletne strani [MSI] in [ne] uporabljajte datotek iz virov, ki niso uradna spletna stran.

Na žalost se ta nasvet verjetno skrči na pet ne povsem koristnih besed in klicaj.

Bodite previdni tam zunaj, ljudje!

---

Update. Intelovo podjetje za odnose z javnostmi nam je po e-pošti sporočilo, da podjetje "je seznanjen s temi poročili in aktivno preiskuje." Prosili so nas tudi, da opozorimo na to "Ključe Intel Boot Guard OEM ustvari proizvajalec sistema, [torej] to niso ključi za podpisovanje Intel." Kratica OEM je okrajšava za proizvajalec originalne opreme, nekoliko zmeden, a dolgo uveljavljen izraz, ki se ne nanaša na dobavitelja ali dobavitelje posameznih komponent, vgrajenih v izdelek, temveč na prodajalca, ki je izdelal celoten sistem. Na primer, ko pri MSI-ju kupite tisto, čemur bi lahko rekli »Intelova matična plošča«, je MSI OEM, medtem ko je Intel dobavitelj procesorskega čipa in morda drugih komponent nabora čipov, ki so v središču končnega izdelka. (Če bi bila vaša matična plošča varnostni kabel za kolo, bi Intel izdelal ključavnico, vendar bi proizvajalec originalne opreme zavaril kabel, prekril izdelek z zaščitnim premazom in izbral številke za kombinacijo.) [2023-05 -09T22:45Z]

---

• Distribucija vsebine in PR s pomočjo SEO. Okrepite se še danes.
• PlatoAiStream. Podatkovna inteligenca Web3. Razširjeno znanje. Dostopite tukaj.
• Kovanje prihodnosti z Adryenn Ashley. Dostopite tukaj.
• Kupujte in prodajajte delnice podjetij pred IPO s PREIPO®. Dostopite tukaj.
• vir: https://nakedsecurity.sophos.com/2023/05/09/low-level-motherboard-security-keys-leaked-in-msi-breach-claim-researchers/