neprihlásený
|
Streda, 16. októbra 2024, dnes má meniny Vladimíra |
|
Na stovkách MSI dosiek nie je Secure Boot bezpečný
Značky:
bezpečnosťPC
DSL.sk, 17.1.2023
|
|
Na mnohých desktopových základných doskách od výrobcu MSI v štandardnom nastavení nefunguje technológia UEFI Secure Boot tak ako by mala a hoci je zapnutá, dovoľuje nabootovať aj operačné systémy nepodpísané dôveryhodným kľúčom.
Aktuálne na to upozornil Dawid Potocki.
Dôvodom nie je technická chyba ale zlé štandardné nastavenie Secure Boot, keď vo firmvéri týchto dosiek je štandardne nastavená politika Always Execute znamenajúca vždy spúšťať kód nielen pre Option ROM ale aj pre fixné a vymeniteľné médiá. Pri tejto politike sa ROM a bootloader operačného systému spustí vždy aj keď nie je korektne podpísaný pre Secure Boot.
UEFI Secure Boot pri štarte počítača overuje kryptograficky zabezpečený podpis spúšťaného kódu a dovoľuje spustenie iba autorizovaného kódu. Cieľom tejto technológie je tak najmä zabrániť škodlivému kódu alebo útočnikovi trvalo infikovať počítač a operačný systém. Secure Boot overuje spúšťaný bootloader a ten by zase mal spustiť iba podpísané jadro operačného systému a to by malo prípadne načítavať iba podpísané moduly.
Problém na doskách MSI je možné napraviť zmenením nastavení Secure Boot na vlastné a následne zmenou politiky na Deny Execute.
Potocki najskôr problém identifikoval na niekoľkých základných doskách od MSI. Následne analyzoval firmvér pre mnohé ďalšie dosky od MSI a zlé štandardné nastavenie identifikoval na stovkách modelov základných dosiek MSI. Problém sa nevyskytuje len na niekoľkých modeloch.
Problém evidentne nebol prítomný na MSI doskách vždy, štandardné nastavenie sa pre viacero dosiek zmenilo v novších verziách firmvéru. Prvé firmvéry, v ktorých Potocki identifikoval zlé nastavenia, sú zrejme zo septembra 2021.
Najnovšie články:
Diskusia:
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Pohoda
Od reg.: MackoPu1
|
Pridané:
18.1.2023 6:49
Kto si neskontroluje nastavenie biosu tak mu na tom asi nazalezi.
|
|
Re: Pohoda
Od: OriginalnyKoumak
|
Pridané:
18.1.2023 8:27
Vacsina wannabe technikov povazuje instalaciu OS odklepanim 'next' za odbornu cinnost a instalacia ovladacov, zmena systemovych a bezpecnostnych nastaveni, alebo vytvorenie uzivatelskeho konta povazuju za nieco uletene a staromodne, takze necakaj od nich, ze dokazu chapat jednotlive polozky hoci aj v okryplenom phoenix biose ako mavaju niektore znackove PC.
Ked takto funguju technici ponukajuci svoje sluzby nielen v nakupnych centrach, ale aj zazmluvnenych firmach, tak necakaj, ze obyvajneho bezneho uzivatela vobec napadne pozret do BIOSu, alebo ze mu vobec nieco vravi nejake uefi.
|
|
Re: Pohoda
Od: qwertyuiop1
|
Pridané:
18.1.2023 13:43
Ako vzniklo to ocakavanie, ze tito ludia budu nieco vyladovat? Bootuje to, ok, pokial je to v defaulte, je to ok, lebo je to bezpecna volba, ze vsetko bude fungovat. Mozno nie uplne optimalne, ale pobezi to.
Predstav si, ze ten clovek nieco nastavi, co potom pouzivatelovi bude v niecom prekazat. Bude to ten zly technik, co nevedel co tam nieco posteloval, nie zakaznik, ktory si nevedel specifikovat, co chce a nechce. Robil by som to presne tak isto, co najblizsie k defaultu.
|
|
Re: Pohoda
Od: OriginalnyKoumak
|
Pridané:
19.1.2023 9:16
Chod do politiky, vies sa vykrucat ako paragraf a dokonale obhajovat pripadnu neschopnost a nevedomost. :)
Defaultne nastavenia su vzdy optimalizovane iba na maximalnu HW a SW kompatibilitu, aby vobec stroj dokazal nabehnut a vyrobca PC mohol potom spravne nastavit vsetko podla potreby do optimalu.
Je to podobne ako nudzovy rezim na niektorych autach - umoznuju ti nastartovat a ist s motorom urcitou rychlostou a vykonom, nezavisle od kvality benzinu, kvalite oleja a teploty vody, resp. chladenia, proste len tak, aby si dosiel do servisu alebo na bezpecne odstavisko.
|
|
Re: Pohoda
Od: ffdf
|
Pridané:
19.1.2023 21:43
Veru drísta ako nejaký drístič! :-)
|
|
Re: Pohoda
Od reg.: Sheep
|
Pridané:
20.1.2023 7:14
Buďme realisti - ak robíš ako technik pre niekoho niečo, riešiš tu požiadavku ktorú od teba chcú, ak pracuješ vo firme a požadujú aby si im PC robil aj s nastavením secure boot tak to urobíš, ak nie tak to nechaš na default. Ak máš v robote pripraviť niekoľko desiatok nových PC tak nebudeš kontrolovať všetky nastavenia pre prípad že ,čo ak'. Niesom sice PC technik ale mojou rukou prešlo niekoľko stoviek počítačov a jediné čo som so secure boot kedy riešil je DISABLE. Príde mi táto funkcia ako zbytočne veľa bezpečnosti, zachvíľu sa ti nespláchne WC lebo nejaká firma ti nato nedá certifikát.
|
|
Beznu BFU
Od: mmichalll
|
Pridané:
18.1.2023 6:58
Bezny BFU do BIOSu resp UEFI ani nelezie.
Co mu nastavia pri kupe pc/notasu tam necha...
Prve co spravim ked osadim dosku a zapnem je ze prehladam cely bios co kde je a pomenim par nastaveni co treba.
Secure boot je inak len otrava ktora spomaluje spustenie pc/notasu
|
|
Re: Beznu BFU
Od: meheh
|
Pridané:
18.1.2023 19:00
ze Secure Boot spomaluje spustanie systemu? kolko mikrosekund uz len moze trvat ten check?
|
|
Re: Beznu BFU
Od: testerovac
|
Pridané:
19.1.2023 11:28
Mna by toto tiez zaujimalo, bohuzial moja vzorka zakladnych dosiek roznych vyrobcov zostala na cisle 2 a nemozem teda povedat ze by u Asusu ten boot trval dlhsie/kratsie nez u Gigabyte so Secure Boot. Ale POST pre SATA zariadenia uz ide do niekolko sekund. Kto sa ponahla nech si dava PC do spiaceho rezimu.
|
|
ultraradikálny ohľaduplnizmus
Od: syntaxterrorXXX,. X
|
Pridané:
19.1.2023 11:46
Nejde o sekundy, ale ak niekto vytvára zbrusu nový OS s nejakým bleeding edge polohovacím zariadením, takže klávesnicu ani myš jednoducho nemá(napríklad i z náboženských dôvodov), tak ten Secure Boot priekazne v EFI nemá ako vypnúť.
|
|
ultraumiernený pacifizmus
Od: syntaxterrorXXX,. X
|
Pridané:
18.1.2023 8:29
V dobe kamennej rovnaký kokoti poskakovali okolo ustralopiteka, že nemúže štiepať nôž z pazúrika, kým si preň priekazne nescertifikuje bezpečné puzdro, až kým nevzniklo slovné spojenie po ubití tupým predmetom.
|
|
No ale
Od: pozorovateľ
|
Pridané:
18.1.2023 8:30
To tu už ozaj nikto nič negarantuje?
|
|
Re: No ale toto...
Od reg.: ujo horar
|
Pridané:
18.1.2023 12:24
NIE !
|
|
Re: No ale
Od: lenja
|
Pridané:
18.1.2023 15:25
Áno.
|
|
ultraradikálny objasňovačizmus
Od: syntaxterrorXXX,. X
|
Pridané:
18.1.2023 15:43
Možno to garantuje len tu, tu a tu, ale pre samostatné tu priekazne už nie.
|
|
Re: No ale
Od: ffdf
|
Pridané:
19.1.2023 21:42
iba Gargantua!
|
|
Je to dobrá zimná ponuka.
Od: Konšpirátor
|
Pridané:
18.1.2023 8:53
V našich zemepisných šírkach tradičný konzument inklinuje skôr k doskám Asus série B.
|
|
muhahahaaaa
Od: bubak z bubakova
|
Pridané:
18.1.2023 9:13
BIOS? Co to je?
Vas Apple user... :P
|
|
Re: muhahahaaaa
Od: OriginalnyKoumak
|
Pridané:
18.1.2023 9:29
Drz stlacene pri zapnuti tlacitka command, option, O aj F, uvidis tvoje moznosti v ramci MAC...
Pri MAC standartny BIOS nie je, lebo to bol povodne navrhnuty system pre neschopnych amikov, co su schopni susit macku v mikrovlnke, dokial ich na to neupozornili, ze to zabija.
|
|
Re: muhahahaaaa
Od: qwertyuiop1
|
Pridané:
18.1.2023 13:40
PowerPC Macy mali OpenFirmware. Ten obsahoval interpreter jazyka Forth a REPL k nemu. Velke casti firmware boli napisane vo Forthe a dali sa pekne prezerat, co a ako robia; svojho casu som si takto pozeral, ake DHCP tagy potrebuje dostat a co v nich, aby bootoval zo siete bez kupovania serveru od Apple.
Ano, userom to na oci nebolo vyhadzovane, ale bolo to tam. Dnes UEFI shell je vo firmware len na niektorych pocitacoch, alebo si ho clovek musi priniest sam. Pritom je to stale len zlomok z toho, co vedel REPL Forthu.
|
|
ultraradikálny objasňovačizmus
Od: syntaxterrorXXX,. X
|
Pridané:
18.1.2023 9:33
Niečo mimo oberučného meča, nakoľko nevyžaduje súčasne priekazne mačkať “Command,” “Option,” “0” a “F”.
|
|
Re: ultraradikálny objasňovačizmus
Od: Záhadológ
|
Pridané:
18.1.2023 10:15
Divoká honba náleží do skupiny E501. Kategorie E označuje příběhy o zemřelých, podkategorie E500 příběhy o přízračné armádě.
|
|
ultraradikálny gamerizmus
Od: syntaxterrorXXX,. X
|
Pridané:
18.1.2023 10:45
Chronickú masturbáciu si ale nastavil napríklad i Witcher priekazne ako tentative.
|
|
Desivé, tajomné, a hrôzostrašné historky a príhody, pre agrárnicko- krestansko- demokratickú mládež, (pre členov strany, len za 6,6 grajciarov rakusko- česko-slovenských)
Od: Lyta Hochbatnica
|
Pridané:
18.1.2023 19:35
a do akej kategorie by sa zaradila príhoda o 3 mrtvých bielých kočkách, o sne v dalšom sne, sne o dívke spadnutej do hlbokej studne, strašne sa trasúcom starom otcovi, v posteli, a o lžičkách, a nožíkoch zabodnutých do vysokého, velmi vysokého stropu ?
|
|
Re: Desivé, tajomné, a hrôzostrašné historky a príhody, pre agrárnicko- krestansko- demokratickú mládež, (pre členov strany, len za 6,6 grajciarov rakusko- česko-slovenských)
Od reg.: MackoPu1
|
Pridané:
18.1.2023 21:26
Lsd ?
|
|
Re: Desivé, tajomné, a hrôzostrašné historky a príhody, pre agrárnicko- krestansko- demokratickú mládež, (pre členov strany, len za 6,6 grajciarov rakusko- česko-slovenských)
Od: ffdf
|
Pridané:
19.1.2023 21:39
To skôr na Stopex! minimálne 20 tabletiek!
|
|
Re: muhahahaaaa
Od: Reikii
|
Pridané:
18.1.2023 12:02
BIOS = Best iOS ... proste najlepsia verzia operacneho systemu od Apple
|
|
sdadasdas
Od: dasdasdas
|
Pridané:
18.1.2023 10:05
Kto by to povedal, ze tieto uzavrete CPU a systemy na doskach derave a plne backdoorov? Ktoze by to len mohol cakat? Kto?
Ked raz niekto vyrobi open source CPU tak tym dostanu vsetci tito statni posluhovaci kopanec do gul
|
|
Win 7 SP2 64b - na M.2 NVMe 980 Pro 1 TB - už beží
Od: Lyta Hochbatnica
|
Pridané:
18.1.2023 12:52
sa mi to, ovšemže, podarilo takmer hned, - well, resp. na 2-3 pokus, za 2 - 3 hodky všetjko komplet hotovo..
(z 1.usb kluča - tam nejak nesadli ovladače, - resp.sa to zadrhlo, zaseklo (úplne, úplne na samom konci celej inštalacie, už ked sa mala "otvorit do Plochy", na načítaní, /overovaní, sprocesovaní *disk.sys
aktualizace, zápis, prepis registrô..ä )
som skusil (takmer) tú istú inštalačku, (takmer) stejný Win, ale z iného zdroja, na inom usb, - a šlo to!
a BIOS-e, /UEFI ? - tie priam študujem, priam aj celé hodiny, hej ajž zbytočne moc dlho, a detailne, ale
zatial som sa stretol asi s 2 - 3 položkami, čo mi neboli úplne jasné, hned že očo_ide..
|
Pridať komentár
|
|
|
|