В Oracle Linux выявлены серьёзные проблемы в реализации UEFI Secure Boot

Александр Панасенко 16 Марта 2015 - 12:25

...

Компания Oracle объявила о реализации в выпуске дистрибутива Oracle Linux 7.1 возможности верификации процесса загрузки на системах с UEFI Secure Boot. Мэтью Гаррет (Matthew Garrett), один из разработчиков ядра Linux, активно занимающийся обеспечением загрузки Linux на системах с UEFI, выступилс критикой поддержки UEFI Secure Boot в Oracle Linux и указал на серьёзные проблемы с безопасностью, позволяющие выполнить произвольный код, незаверенный цифровой подписью.

Механизм UEFI Secure Boot позволяет гарантировать использование на этапе загрузки системы только оригинальных компонентов, заверенных цифровой подписью. В RHEL и Oracle Linux, при использовании UEFI Secure Boot, обеспечивается проверка загрузчика, ядра, загружаемых ядром драйверов и модулей ядра. Для обеспечения защиты от выполнения непроверенных компонентов, при загрузке с верификацией в ядре необходимо отключить ряд возможностей, таких как вызов kexec и интерфейсы, позволяющие вносить изменения в память ядра из пространства пользователя. В частности, kexec предоставляет возможность загрузки нового ядра из уже запущенного ядра Linux, что может быть использовано для обхода UEFI Secure Boot путём замены проверенного ядра на другое ядро, не снабжённое цифровой подписью, сообщает opennet.ru.

Как известно, в Oracle Linux кроме клона ядра из состава RHEL также поставляется собственный вариант ядра Unbreakable Enterprise Kernel, поддерживаемый силами Oracle. Проблема состоит в том, что цифровые подписи для обоих ядер созданы с использование одного ключа. Если в клоне ядра RHEL при загрузке в UEFI Secure Boot производится отключение опасных компонентов ядра, то в ядре Unbreakable Enterprise Kernel остаётся активен kexec, что сводит на нет всю цепочку доверия. Даже при использовании ядра RHEL в Oracle Linux, атакующий имеет возможность загрузить имеющее корректную цифровую подпись ядро Unbreakable Enterprise Kernel, а затем через kexec запустить модифицированный вариант ядра с бэкдором.

Интересно также то, что ключ для создания цифровой подписи для Oracle Linux назван "oracle301", при том, что число 301 выбрано так как ключ в RHEL тоже оканчивается на 301, но без учёта того, что 301 не имеет принципиального значения и является лишь порядковым номером сгенерированного в Red Hat ключа.

Следующая главная новость »

Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Екатерина Быстрова 28 Апреля 2025 - 11:30

ViPNet SafeBoot Корпорации Системы защиты от несанкционированного доступа Контроль целостности компьютерной системы (Контроль целостности)Средства и модули доверенной загрузки Инфотекс

Вышла версия ViPNet SafeBoot 3.2 с поддержкой ARM-платформ

Компания «ИнфоТеКС» выпустила новую версию ViPNet SafeBoot 3.2 (исполнение 2). Главное нововведение — возможность встраивания в ARM-платформы.

ViPNet SafeBoot 3 — это модуль доверенной загрузки, который сертифицирован ФСБ и ФСТЭК России и используется для проверки целостности компонентов компьютера и операционной системы на этапе загрузки.

Особое внимание в новой версии уделили ARM-платформам. Раньше заказчики часто отказывались от них, потому что было сложно пройти аттестацию рабочих мест: не хватало надёжных средств защиты на этапе загрузки ОС.

Теперь ViPNet SafeBoot 3.2 поддерживает ARM-платформы разных производителей и помогает решить эту проблему — создавая точку доверия к устройству и его системе.

Для работы на ARM-платформах ViPNet SafeBoot 3.2 требует наличия UEFI-окружения. Его можно реализовать с помощью EDK II — открытого проекта для создания UEFI-загрузчиков.

Сейчас модуль адаптирован для ARM-чипов Broadcom 2711/2837 и RockChip 3566/3568. Также добавили поддержку токенов и смарт-карт Форос и ESMART ГОСТ.

Разработчики обещают продолжать расширять список поддерживаемых ARM-платформ.