Vlákno názorů ke zprávičce Základní desky Gigabyte obsahují ve firmwaru zadní vrátka (aktualizováno) od Zdeno Sekerák - Softvér sa pri tomto procese pripája na tri...

Softvér sa pri tomto procese pripája na tri stránky, ktoré nie sú riadne zabezpečené. Dve z týchto stránok prijímajú protokol HTTPS, ktorý však nie je správne implementovaný, zatiaľ čo tretia stránka je založená na protokole HTTP.

nadhera

To neznamená, že případný stažený soubor nezkontroluje nějak jinak. Repozitáře linuxových distribucí jsou taky běžně na nedůvěryhodných (provozuje to kdejaký ISP, univerzita…) mirrorech dostupných přes HTTP a přitom se stažené balíčky ověřují podpisem distribuce. Naopak je takové ověřování lepší, protože jakmile máte víc než jeden server, tak v podstatě potřebujete nějakou CDN, a té nechcete věřit, že nebude obsah podvrhovat.

(pozn. nezkoumal jsem jestli to opravdu (ne)kontroluje, jen píšu, že stahování aktualizací přes HTTP neznamená automaticky problém)

2. 6. 2023, 14:02 editováno autorem komentáře

Okrem toho výskumníci zistili, že spoločnosť Gigabyte nevykonáva žiadne overovanie podpisov pre stiahnuté súbory, čo by mohlo zabrániť inštalácii škodlivých alebo falšovaných súborov.

https://zive.aktuality.sk/clanok/UpNurjy/popredny-vyrobca-vyriesil-problem-ktory-ohrozoval-stovky-jeho-zakladnych-dosiek/

V tom originálním článku píšou hned po sobě že to není podepsané, ale vlastně je podepsané, ale že přece i s tím hrozí útoky že výrobce někomu podepíše malware.

The firmware does not implement any cryptographic digital signature verification or any other validation over the executables. The dropped executable and the normally-downloaded Gigabyte tools do have a Gigabyte cryptographic signature that satisfies the code signing requirements of Microsoft Windows, but this does little to offset malicious use, especially if exploited using Living-off-the-Land techniques (like in the recent alert regarding Volt Typhoon attackers).