Vlákno názorů ke zprávičce Vysoce závažné chyby v UEFI HP ohrožují milióny počítačů od Murděj Ukrutrný - Není nad starý dobrý 8086 ... :) chápu,...

Není nad starý dobrý 8086 ... :) chápu, virtualizace a tak různě. Asi trochu rýpnu ale existovaly by tyto chyba kdyby nebylo UEFI?

9. 3. 2022, 14:14 editováno autorem komentáře

Existovala by chyba Dirty Pipe nebo starší sestra Dirty Cow, když by neexistovalo Linuxové jádro ?

Sorry, ale tohle je trošku demagogie.

Jeden z důvodů zavedení UEFI byl Secure boot neco co mělo "zvýšit" bezpečnost, místo toho se tím zařídilo další místo k uložení škodlivého kódu.

S tím si dovolím nesouhlasit. Nebyl to ani zdaleka jediný důvod a doporučuji kouknout do specifikace co všechno to umí a co všechno vznikem (U)EFI bylo sjednoceno a zadefinováno. Trend bobtnání byl mimochodem pozorovatelný i u klasických BIOSů ještě před nástupem (U)EFI.

Řekl bych, že bobtnání BIOSů se nedalo s tímhle UEFI chlívkem ani vzdáleně srovnávat.

To s virtualizací nesouvisí, virtualizovat můžete i s read-only BIOSem v SPI ROM, nebo dokonce na platformách které nemají ani jedno. Mám tu RK3399 (arm šestijádro) desku, ta po zapnutí zdroje přečte a spustí u-boot z SPI flashe (read-only pokud nepřepnu jumper) a ten u-boot přečte, autentifikuje a spustí kernel z disku. Nenapadá mě cesta jak by to mohl útočník prolomit, do toho čipu fyzicky nejde zapisovat data pokud mu ten pin nespojím se zemí. Běží mi na to několik mikro VM služeb (firecracker vm).

Na PCčkách chtěli snadno rozšiřitelný firmware se spoustou funkcí, mají ho... i s riziky, které s komplexním softwarem jsou.

Představa že vás WE přes jumper spasí před vším nebezpečím je hodně naivní. I ten u-boot pravděpodobně obsahuje doposud neodhalené chyby, které například mohou značně degradovat bezpečnostní vlastnosti té autnetizace nebo ji i obejít a v takových situacích je Vám i WE jumper prd platný. WE jumper Vás uchrání před zápisem škodlivého kódu, ale to je jen zlomek útoků, které se na low-level systémy jako je BIOS dělají a ani zdaleka ne všechny vyžadují perzistenci.

Však článek je právě o persistentním útoku, proto o tom píšu. Ano, u-boot je jak řešeto, ale útočit na něj lze až po kompromitaci userspace a v takovém případě zůstane u-boot bez změny. Smažu/vyměním disk, obnovím ze zálohy, a mám jistotu že mám opět důvěryhodný systém, což se nedá říct o moderních UEFI monstrech s uživatelsky přepisovatelným firmwarem.