neprihlásený Streda, 16. októbra 2024, dnes má meniny Vladimíra
Na stovkách MSI dosiek nie je Secure Boot bezpečný

Značky: bezpečnosťPC

DSL.sk, 17.1.2023


Na mnohých desktopových základných doskách od výrobcu MSI v štandardnom nastavení nefunguje technológia UEFI Secure Boot tak ako by mala a hoci je zapnutá, dovoľuje nabootovať aj operačné systémy nepodpísané dôveryhodným kľúčom.

Aktuálne na to upozornil Dawid Potocki.

Dôvodom nie je technická chyba ale zlé štandardné nastavenie Secure Boot, keď vo firmvéri týchto dosiek je štandardne nastavená politika Always Execute znamenajúca vždy spúšťať kód nielen pre Option ROM ale aj pre fixné a vymeniteľné médiá. Pri tejto politike sa ROM a bootloader operačného systému spustí vždy aj keď nie je korektne podpísaný pre Secure Boot.

UEFI Secure Boot pri štarte počítača overuje kryptograficky zabezpečený podpis spúšťaného kódu a dovoľuje spustenie iba autorizovaného kódu. Cieľom tejto technológie je tak najmä zabrániť škodlivému kódu alebo útočnikovi trvalo infikovať počítač a operačný systém. Secure Boot overuje spúšťaný bootloader a ten by zase mal spustiť iba podpísané jadro operačného systému a to by malo prípadne načítavať iba podpísané moduly.

Problém na doskách MSI je možné napraviť zmenením nastavení Secure Boot na vlastné a následne zmenou politiky na Deny Execute.

Potocki najskôr problém identifikoval na niekoľkých základných doskách od MSI. Následne analyzoval firmvér pre mnohé ďalšie dosky od MSI a zlé štandardné nastavenie identifikoval na stovkách modelov základných dosiek MSI. Problém sa nevyskytuje len na niekoľkých modeloch.

Problém evidentne nebol prítomný na MSI doskách vždy, štandardné nastavenie sa pre viacero dosiek zmenilo v novších verziách firmvéru. Prvé firmvéry, v ktorých Potocki identifikoval zlé nastavenia, sú zrejme zo septembra 2021.


      Zdieľaj na Twitteri



Najnovšie články:

Po raste majú ceny SSD zase klesnúť
Apple navrhuje skrátiť platnosť SSL certifikátov pre servery na maximálne 45 dní
Trailer druhej série postapokalyptického seriálu od Apple
Windows 10 má pred sebou posledný rok podpory
Sonda k Európe úspešne odštartovala
Český Turris výkonný prenosný router zrušil, kvôli zdraženiu komponentov
Vydaná nová verzia distribuovaného súborového systému Ceph 19
SpaceX úspešne zachytila prvý stupeň Starship na prvý pokus, video
Česi neuvedú nový Turris router ani tento rok
Ďalší let Starship má byť zajtra, SpaceX sa pokúsi rampou zachytiť prvý stupeň


Diskusia:
                               
 

Kto si neskontroluje nastavenie biosu tak mu na tom asi nazalezi.
Odpovedať Známka: 6.0 Hodnotiť:
 

Vacsina wannabe technikov povazuje instalaciu OS odklepanim 'next' za odbornu cinnost a instalacia ovladacov, zmena systemovych a bezpecnostnych nastaveni, alebo vytvorenie uzivatelskeho konta povazuju za nieco uletene a staromodne, takze necakaj od nich, ze dokazu chapat jednotlive polozky hoci aj v okryplenom phoenix biose ako mavaju niektore znackove PC.
Ked takto funguju technici ponukajuci svoje sluzby nielen v nakupnych centrach, ale aj zazmluvnenych firmach, tak necakaj, ze obyvajneho bezneho uzivatela vobec napadne pozret do BIOSu, alebo ze mu vobec nieco vravi nejake uefi.
Odpovedať Známka: 5.0 Hodnotiť:
 

Ako vzniklo to ocakavanie, ze tito ludia budu nieco vyladovat? Bootuje to, ok, pokial je to v defaulte, je to ok, lebo je to bezpecna volba, ze vsetko bude fungovat. Mozno nie uplne optimalne, ale pobezi to.

Predstav si, ze ten clovek nieco nastavi, co potom pouzivatelovi bude v niecom prekazat. Bude to ten zly technik, co nevedel co tam nieco posteloval, nie zakaznik, ktory si nevedel specifikovat, co chce a nechce. Robil by som to presne tak isto, co najblizsie k defaultu.
Odpovedať Známka: 3.3 Hodnotiť:
 

Chod do politiky, vies sa vykrucat ako paragraf a dokonale obhajovat pripadnu neschopnost a nevedomost. :)

Defaultne nastavenia su vzdy optimalizovane iba na maximalnu HW a SW kompatibilitu, aby vobec stroj dokazal nabehnut a vyrobca PC mohol potom spravne nastavit vsetko podla potreby do optimalu.
Je to podobne ako nudzovy rezim na niektorych autach - umoznuju ti nastartovat a ist s motorom urcitou rychlostou a vykonom, nezavisle od kvality benzinu, kvalite oleja a teploty vody, resp. chladenia, proste len tak, aby si dosiel do servisu alebo na bezpecne odstavisko.
Odpovedať Hodnotiť:
 

Veru drísta ako nejaký drístič! :-)
Odpovedať Hodnotiť:
 

Buďme realisti - ak robíš ako technik pre niekoho niečo, riešiš tu požiadavku ktorú od teba chcú, ak pracuješ vo firme a požadujú aby si im PC robil aj s nastavením secure boot tak to urobíš, ak nie tak to nechaš na default. Ak máš v robote pripraviť niekoľko desiatok nových PC tak nebudeš kontrolovať všetky nastavenia pre prípad že ,čo ak'. Niesom sice PC technik ale mojou rukou prešlo niekoľko stoviek počítačov a jediné čo som so secure boot kedy riešil je DISABLE. Príde mi táto funkcia ako zbytočne veľa bezpečnosti, zachvíľu sa ti nespláchne WC lebo nejaká firma ti nato nedá certifikát.
Odpovedať Hodnotiť:
 

Bezny BFU do BIOSu resp UEFI ani nelezie.
Co mu nastavia pri kupe pc/notasu tam necha...

Prve co spravim ked osadim dosku a zapnem je ze prehladam cely bios co kde je a pomenim par nastaveni co treba.
Secure boot je inak len otrava ktora spomaluje spustenie pc/notasu
Odpovedať Známka: 5.0 Hodnotiť:
 

ze Secure Boot spomaluje spustanie systemu? kolko mikrosekund uz len moze trvat ten check?
Odpovedať Známka: 6.7 Hodnotiť:
 

Mna by toto tiez zaujimalo, bohuzial moja vzorka zakladnych dosiek roznych vyrobcov zostala na cisle 2 a nemozem teda povedat ze by u Asusu ten boot trval dlhsie/kratsie nez u Gigabyte so Secure Boot. Ale POST pre SATA zariadenia uz ide do niekolko sekund. Kto sa ponahla nech si dava PC do spiaceho rezimu.
Odpovedať Hodnotiť:
 

Nejde o sekundy, ale ak niekto vytvára zbrusu nový OS s nejakým bleeding edge polohovacím zariadením, takže klávesnicu ani myš jednoducho nemá(napríklad i z náboženských dôvodov), tak ten Secure Boot priekazne v EFI nemá ako vypnúť.
Odpovedať Hodnotiť:
 

V dobe kamennej rovnaký kokoti poskakovali okolo ustralopiteka, že nemúže štiepať nôž z pazúrika, kým si preň priekazne nescertifikuje bezpečné puzdro, až kým nevzniklo slovné spojenie po ubití tupým predmetom.
Odpovedať Známka: 3.6 Hodnotiť:
 

To tu už ozaj nikto nič negarantuje?
Odpovedať Známka: 6.0 Hodnotiť:
 

NIE !
Odpovedať Hodnotiť:
 

Áno.
Odpovedať Hodnotiť:
 

Možno to garantuje len tu, tu a tu, ale pre samostatné tu priekazne už nie.
Odpovedať Známka: 10.0 Hodnotiť:
 

iba Gargantua!
Odpovedať Hodnotiť:
 

V našich zemepisných šírkach tradičný konzument inklinuje skôr k doskám Asus série B.
Odpovedať Hodnotiť:
 

BIOS? Co to je?
Vas Apple user... :P

Odpovedať Známka: -8.8 Hodnotiť:
 

Drz stlacene pri zapnuti tlacitka command, option, O aj F, uvidis tvoje moznosti v ramci MAC...
Pri MAC standartny BIOS nie je, lebo to bol povodne navrhnuty system pre neschopnych amikov, co su schopni susit macku v mikrovlnke, dokial ich na to neupozornili, ze to zabija.
Odpovedať Známka: 10.0 Hodnotiť:
 

PowerPC Macy mali OpenFirmware. Ten obsahoval interpreter jazyka Forth a REPL k nemu. Velke casti firmware boli napisane vo Forthe a dali sa pekne prezerat, co a ako robia; svojho casu som si takto pozeral, ake DHCP tagy potrebuje dostat a co v nich, aby bootoval zo siete bez kupovania serveru od Apple.

Ano, userom to na oci nebolo vyhadzovane, ale bolo to tam. Dnes UEFI shell je vo firmware len na niektorych pocitacoch, alebo si ho clovek musi priniest sam. Pritom je to stale len zlomok z toho, co vedel REPL Forthu.
Odpovedať Známka: 10.0 Hodnotiť:
 

Niečo mimo oberučného meča, nakoľko nevyžaduje súčasne priekazne mačkať “Command,” “Option,” “0” a “F”.
Odpovedať Známka: -1.4 Hodnotiť:
 

Divoká honba náleží do skupiny E501. Kategorie E označuje příběhy o zemřelých, podkategorie E500 příběhy o přízračné armádě.


Odpovedať Známka: 3.3 Hodnotiť:
 

Chronickú masturbáciu si ale nastavil napríklad i Witcher priekazne ako tentative.
Odpovedať Známka: 6.0 Hodnotiť:
 

a do akej kategorie by sa zaradila príhoda o 3 mrtvých bielých kočkách, o sne v dalšom sne, sne o dívke spadnutej do hlbokej studne, strašne sa trasúcom starom otcovi, v posteli, a o lžičkách, a nožíkoch zabodnutých do vysokého, velmi vysokého stropu ?
Odpovedať Hodnotiť:
 

Lsd ?
Odpovedať Hodnotiť:
 

To skôr na Stopex! minimálne 20 tabletiek!
Odpovedať Hodnotiť:
 

BIOS = Best iOS ... proste najlepsia verzia operacneho systemu od Apple
Odpovedať Známka: 2.0 Hodnotiť:
 

Kto by to povedal, ze tieto uzavrete CPU a systemy na doskach derave a plne backdoorov? Ktoze by to len mohol cakat? Kto?

Ked raz niekto vyrobi open source CPU tak tym dostanu vsetci tito statni posluhovaci kopanec do gul
Odpovedať Známka: 0.0 Hodnotiť:
 

sa mi to, ovšemže, podarilo takmer hned, - well, resp. na 2-3 pokus, za 2 - 3 hodky všetjko komplet hotovo..

(z 1.usb kluča - tam nejak nesadli ovladače, - resp.sa to zadrhlo, zaseklo (úplne, úplne na samom konci celej inštalacie, už ked sa mala "otvorit do Plochy", na načítaní, /overovaní, sprocesovaní *disk.sys
aktualizace, zápis, prepis registrô..ä )


som skusil (takmer) tú istú inštalačku, (takmer) stejný Win, ale z iného zdroja, na inom usb, - a šlo to!

a BIOS-e, /UEFI ? - tie priam študujem, priam aj celé hodiny, hej ajž zbytočne moc dlho, a detailne, ale
zatial som sa stretol asi s 2 - 3 položkami, čo mi neboli úplne jasné, hned že očo_ide..
Odpovedať Známka: -7.1 Hodnotiť:

Pridať komentár