Bezpečnostní problém PKFail v ekosystému UEFI

Binarly REsearch upozorňuje na bezpečnostní problém PKFail (YouTube) v ekosystému UEFI. Stovky modelů zařízení používají pro Secure Boot testovací Platform Key vygenerovaný American Megatrends International (AMI) a jeho privátní část byla při úniku dat prozrazena. Do milionů zařízení (seznam v pdf) po celém světě tak útočníci mohou do Secure Bootu vložit podepsaný malware. Otestovat firmware si lze na stránce pk.fail. Ukázka PoC na Linuxu na Windows na YouTube.

26.7.2024 05:11 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[Peter Golis]

Škoda že tá ukážka Proof of Concept zahŕňa pridanie svojho kľúča do UEFI, a nie podpísanie kódu tým uniknutým kľúčom.

Nemáte niekto link na ten uniknutý kľúč? Ak máte, tak sa tým nechváľte.

[X]

10 let stara vec a ktere si "radoby security" firma honi triko..

[Peter Golis]

Pri tom honení trička spomínali že sa tým kľúčom stále podpisujú nejaké biosy. Námatkou vyberám napríklad nejaký Acer z 2024-03-26, Dell Inspiron z 2024-06-13, nejaký Gigabyte 2024-06-18 a kopec iných značiek aj s modelmi. To je pri názve vydavateľa certifikátu dosť humorné, najmä ak ten názov obsahuje “DO NOT TRUST” alebo “DO NOTSHIP“.

[X]

Tak pardon, tohle je dalsi leak, toho sameho klice(??) z githubu.

[Peter Golis]

Microsoft mal kľúč s CN=DO NOT TRUST - AMI Test PK?

Keby si si to prečítal, tak teraz nevyzeráš jak blbec.

[X]

Je to ten stejny, nebo neni?

[Peter Golis]

Tak ukáž meno vydavateľa toho kľúča čo si linkoval, a zabudol že tam ten kľúč nie je.

[X]

Zdoj, zdroj na puvodni unik z roku 2013. Nechce se mi verit, ze to po deseti letech porad nekdo pouziva v produkcnim firmware a ted to uniklo znova, ten samy klic/firma, tentokrat na githubu. WTF?

[Peter Golis]

Tie čo teraz unikli majú trochu o dosť veľa novšiu validitu, takže nie sú zhodné. Boli vytvorené až dlho po tom úniku.

Zhodné je len to, že výrobcovia stále pchajú do finálnych zariadení uvoľnených na trh aj vývojárske/testovacie podpisové kľúče, a nakladajú s nimi dosť ležérne.

Opakujúci sa incident je automaticky definovaný ako problém.

[X]

Stejna firma, novejsi testovaci klice. Ok. Akorat k tomuhle se udelalo takove to moderni divadlo..

[Peter Golis]

Podľa teba robí AMI tie firmware pre všetkých spomenutých výrobcov? To by im stačilo robiť jeden univerzálny FW aby neplytvali ľudskými zdrojmi. Menovite by stačilo dodať referenčný UEFI od firmy Intel (Tiano), a to bez takýchto modifikácií.

[X]

Podle toho FTP to dodavaji pro kazdou architekturu referencni implementsci, ale testovaci klic je stejny. Divim se, ze v te zprave uvadeji prcni pripad az z roku 2018. Pritom ocividne prvni prusvih je uz z roku 2013.

[Peter Golis]

Tak to z toho ftp stiahni, keď server neexistuje.

[Hazarder]

Ke mne mohou utocnici vlozit malware klidne nepodepsany, mam secure boot vypnuty. Ale zatim se tak nestalo.

[uefi]

No toto se ale už stalo. Microsoftu ukradli klíče a v Asii se distribuoval upravený firmware. Třeba tak, že Ti přišla aktualizace od výrobce, kde byl malware.

[nadtržítko]

Proto Redhat rika, nebootujte efi, bootujte rovnou linux kernel!

[uefi]

Potom ale absolutně netušíš, jak EFI pracuje. Nebo se jen ztrapňuješ nepovedeným trollením. Prvně převezme kontrolu malware v EFI, potom je teprve na řadě to tvé jadérko.

[Pitipitipaa]

Tak bud mas boomerske znalosti nebo ignorujes uefi trendy ty. Zadne uefi nepotrebujes a tedy ani zadny malwer nechytis. Vse co umi uefi umi i kernel a odvede stejnou praci a jeste to bude i rychlejsi.

[petr_p]

To platí leda tak na nějaké malé armové desce. Rozhodně ne na IBM/PC platformě, kde mezi Linuxem a železem je firmware se svým system management modem a ACPI rozhraním. Tam si Linux nedokáže nakonfigurovat ani DRAM, ani zapnout procesor. Je to taky důvod, proč IBM/PC převálcovalo všechny ostatní typy osobních počítačů. Protože operační systém dostane relativně jednotné rozhraní k již inicializovanému hardwaru a nemusí se topit ve sračkách, které tam výrobci čipů a integrátoři do základních desek udělali a které stále produkují, jak dokazuje tato zprávička.

[Peter Golis]

Vypnúť ani zapnúť?

# grep -c ^processor /proc/cpuinfo 
8
# echo "0" > /sys/devices/system/cpu/cpu5/online
# grep -c ^processor /proc/cpuinfo 
7
# echo "1" > /sys/devices/system/cpu/cpu5/online
# grep -c ^processor /proc/cpuinfo 
8
# 

[petr_p]

Tohle ale ten procesor nevypíná. Pouze odstěhuje tasklety, přes local APIC povypíná přerušení a nakonec vypne APIC zápisem do spurious vector interrupt „registru“, což je místo v paměti sdílené s firmwarem (vizte řetěz volání od __cpu_disable() do apic_soft_disable() ve stromě arch/x86) . Co se děje potom, je vůle boží^Wfirmwaru, který v SMM zjistí změnu na onom paměťovém místě a provede platformě závislé kroky, které zná jen výrobce procesoru a chipsetu. Často je nezná ani výrobce desky, protože on sám přebírá patřičný kód jako binární blob od nich.

[Peter Golis]

Aha, takže ty by si chcel aby ti po príkaze eject vyskočilo CPU alebo RAM z pätice/slotu, poprípade s parametrom -t aby sa ti zasunuli do slotu. Už ťa chápem.

[petr_p]

Nechápeš. Je rozdíl mezi přestat používat a vypnout. Je rozdíl mezi dělá to operační systém a dělá to firmware.

[Peter Golis]

A pri štarte ten procesor nenaštartuje:
[Sun Jul 28 09:59:24 2024] smpboot: Booting Node 0 Processor 5 APIC 0x3

[petr_p]

Nenastartuje, protože nově zapnutý procesor nemá paměť. SEC fáze UEFI musí nejprve přeprogramovat cache procesoru, aby fungovala bez DRAM, pak se do cache překopíruje, pak osahá SPD DRAM (to je důvod, proč firmware v sobě má zakompilovanou databázi modelů DRAM) a nakonfiguruje DRAM, pak naprogramuje IOMMU, zapne writeback u cache, čímž se nechá překopírovat do DRAM atd. Linux z toho nic nedělá, protože od toho je firmware. Linux pak jen přes APIC naprogramuje přerušení pro další SMP jádra.

[Peter Golis]

Ak ten popis chápem správne, tak by počítač nenaštartoval ak sa doň dá pamäť novšieho typu ako bola k dispozícii v čase keď vznikala doska. To by vysvetľovalo aj tzv. list kompatibilných RAM.

No, ale to je praxou vyvrátené.

[RealJ]

Peter, nepoustej se do diskusi kdyz o dane problematice vis uplny hovno. petr_p ma samozrejme pravdu.

[Peter Golis]

Má pravdu len v tom, že prvotnú inicializáciu robí pochopiteľne firmware. Zvyšok jeho tvrdení je blbosť. A že tých tvrdení má plno, to je fakt.

[k3dAR]

[...]Zadne uefi nepotrebujes a tedy ani zadny malwer nechytis. Vse co umi uefi umi i kernel[...]

a ten kernel so do RAM natahne telepaticky?

[uefi]

Tak ty jsi neměl argumenty a nahlásil můj příspěvek ke smazání? Ubohé.

[Hazarder]

Tak toho bych se nebal. To by ta aktualizace od vyrobce musela prijit a vykopnout dvere, protoze tady je Slackware, tady se aktualizuje jen kdyz reknu, a ja kolikrat nereknu cele roky.

[RealJ]

Ty ani o tom ze jiz nejaky malware netusis….

[BFU]

Nefunguje ta stranka kde se to testuje. Namisto velkeho tlacitka testovat je tam ze tam neco treba nahrat.