Една от най-важните защити на Windows се оказа пробита от почти 15 години

Една от основните технологии за сигурност на компютрите Windows, се оказа с голям проблем, като изследователи разкриха, че механизмът Secure Boot на Microsoft е бил уязвим за заобикаляне през по-голямата част от съществуването си, съобщава Ars technica. Според подробен анализ на ESET, катастрофалният провал на Secure Boot не произтича от нов zero-day експлойт. Вместо това, той е резултат от административен и структурен провал: неотменени криптографски ключове.

„Shim“ е малък, подписан от Microsoft компонент за зареждане, предназначен да помогне на алтернативни операционни системи, предимно различни дистрибуции на Linux, да се стартират на UEFI-съвместим хардуер, без да задействат защитите на Secure Boot. През годините многократно са откривани уязвимости в тези shim-ове. Според ESET Microsoft не е отменил няколко остарели, подписани от Microsoft shim-а, които са останали надеждни за Secure Boot, въпреки че съдържат известни уязвимости.

Тъй като тези по-стари компоненти все още са разпознавани като легитимни, нападателите с администраторски права са могли да ги използват, за да заобиколят напълно защитите на Secure Boot. Съобщава се, че проблемът е засегнал технологията през приблизително 13 от 14-те ѝ години съществуване.

Естественият въпрос е: защо Microsoft просто не отмени тези ключове преди години? Отговорът се крие в хаотичната и деликатна реалност на управлението на глобална компютърна екосистема.

Отмяната на сертификати изисква актуализации на UEFI/BIOS на системата. Ако Microsoft внезапно добави в черния списък тези по-стари шимове без внимателна координация, милиони по-стари компютри, системи с двойно зареждане и Linux-базирани машини по целия свят биха отказали да се зареждат.

Освен това, много производители на дънни платки спират да пускат актуализации на BIOS за по-стар или по-евтин хардуер, оставяйки тези машини постоянно незащитени. Следователно, Microsoft реши да отложи изключването им, за да предотврати блокирането на системи, обаче оставайки широко отворена врата за повече от десетилетие.

За щастие, новоразкритият проблем не означава, че хакерите могат да компрометират всеки компютър с Windows. Използването на уязвимостта обикновено изисква нападателят вече да е получил достъп на администраторско ниво до системата. С други думи, Secure Boot не е началната точка на влизане.

Вместо това, той може да позволи на хакерите, които вече са компрометирали машина, да деактивират една от най-силните ѝ защити и да инсталират зловреден софтуер, способен да оцелее при преинсталиране на операционната система. Откритието е важно, защото Secure Boot служи като един от основните слоеве на съвременната компютърна сигурност. Той защитава не само Windows, но и много Linux дистрибуции и корпоративни среди, които разчитат на UEFI.

За обикновените потребители най-добрият начин на действие остава лесен: инсталирайте актуализациите за сигурност на Windows своевременно, поддържайте фърмуера на дънната платка (BIOS/UEFI) актуален, когато производителите пускат нови версии и избягвайте деактивирането на Secure Boot, освен ако не е абсолютно необходимо.