微軟實施的調(diào)試策略催生安全啟動回避機制

E安全8月11日訊 MY123與Slipstream兩名安全研究人員已經(jīng)發(fā)現(xiàn)并協(xié)助微軟修復(fù)了一項安全漏洞，其將允許攻擊者繞開用于保護采用Windows操作系統(tǒng)設(shè)備的安全啟動系統(tǒng)。

根據(jù)微軟方面的說法，安全啟動是一項由多家PC領(lǐng)域從業(yè)企業(yè)共同開發(fā)出的安全協(xié)議，其能夠自動被納入UEFI固件以幫助用戶的計算機、筆記本乃至智能手機設(shè)備完成引導(dǎo)啟動流程。

安全啟動的出現(xiàn)最初是為了對抗bootkits。這類惡意軟件能夠篡改引導(dǎo)過程，而安全啟動的任務(wù)正是在引導(dǎo)當(dāng)中防止相關(guān)文件受到影響。

微軟親自添加問題代碼

MY123與Slipstream發(fā)現(xiàn)，在Windows 10 v1607 Redstone發(fā)布后，微軟公司添加了一種新的安全啟動策略，名為“補充（supplemental）”策略。

雙方表示，這些補充性策略的加入可用于禁用在引導(dǎo)過程中負責(zé)檢查相關(guān)執(zhí)行文件是否由微軟進行簽名加密的安全啟動功能。

此項策略允許攻擊者將安全啟動轉(zhuǎn)換為所謂“測試簽名（testsigning）”測試模式，其允許任何人以物理方式控制設(shè)備加載未簽名二進制代碼。這意味著攻擊者能夠通過這種方式接管引導(dǎo)順序并加載惡意軟件，甚至加載一套自定義操作系統(tǒng)。

存在問題的安全啟動策略只是部分殘余的調(diào)試代碼

目前可能性最高的情況是，此項策略源自Windows 10開發(fā)流程，開發(fā)人員們希望借此加載未簽名驅(qū)動程序及其它Windows 10版本。

然而，此項策略并未被正確移除，甚至仍存在于過去一年內(nèi)銷售的多款支持安全啟動固件的設(shè)備當(dāng)中。

就目前的情況看，此安全啟動策略就像是一道后門，允許第三方對原本安全的設(shè)備進行隨意訪問。

存在問題的安全啟動策略已經(jīng)泄露至網(wǎng)上

更可怕的是，已經(jīng)有人發(fā)現(xiàn)此“測試”策略被泄露至網(wǎng)上，這意味著任何人都能夠?qū)⑵浼虞d至UEFI固件當(dāng)中以繞開受保護設(shè)備中的安全啟動機制。

兩名研究人員已經(jīng)私下里將問題透露給微軟，而后者剛開始則出于某種尚不明確的理由而并不打算進行修復(fù)。

微軟公司最終改變了主意，并于7月發(fā)布了一項MS16-096（CVE-2016-3287）補丁。該補丁并不完整，而且微軟方面雖然于昨天發(fā)布了第二項補丁MS16-100（CVE-2016-3320），但尚不確定其能否修復(fù)這一問題。

作為研究員之一，Slipstream在接受采訪時表示，這第二項補丁可能仍無法徹底修復(fù)此問題。“我對第二項補丁進行了檢查，”Slipstream解釋稱。“我發(fā)現(xiàn)其回調(diào)了*某種東西*，但還不清楚具體是什么。”此問題當(dāng)前的具體狀態(tài)可能還需要一段時間才能確定。

FBI方面一直希望在主流系統(tǒng)內(nèi)安插后門

雖然并不屬于加密后門，但此問題仍被稱為一把“金鑰匙”，因為其提供了一種能夠解鎖安全設(shè)備的途徑。

在此前蘋果與FBI之間的對抗當(dāng)中，這樣的“金鑰匙”雖然無法恢復(fù)加密數(shù)據(jù)，但執(zhí)法部門卻能夠借此解決多種其它情況下的具體問題。

兩位研究人員解釋道：“關(guān)于FBI：你們也許正在閱讀本文。如果是這樣，那么你們理想中的狀況已經(jīng)出現(xiàn)，但這種利用加密后門作為‘安全金鑰匙’的作法非常糟糕！”

“你們真的還不明白？微軟采用了一套‘安全金鑰匙’系統(tǒng)，但愚蠢的微軟自己的鑰匙拱手讓人?，F(xiàn)在，你們還能靠什么說服其它廠商使用這種‘安全金鑰匙’策略？除非你們真的智力有問題……”

E句話：這個世界已無法阻擋US的偷窺欲！