Po napadení MSI zveřejněn soukromý klíč Intel OEM

Nedávno proběhl kyberútok na společnost MSI. Za útokem stál ransomwarový gang Money Message. MSI mu pravděpodobně nezaplatila a část ukradených dat byla zveřejněna. Mimo jiné soukromý klíč Intel OEM. Obejít tak lze Intel Boot Guard.

7.5.2023 09:00 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[Peter Golis]

Zaujímalo by ma, ako sa dostal súkromný podpisový kľúč firmy Intel do firmy MSI, a na aký účel tam bol využívaný.

[PetebLazar]

To spíše vypadá, že šlo o privátní klič k certifikátu vydaného Intelem pro konkrétního OEM partnera (MSI), aby tento mohl podepisovat své vlastní komponenty (zajištěn řetězec důvěry).

Jelikož certifikáty všech partnerů budou patrně podepsány jednou Intel CA je otázkou zda se při validaci u komponent kontroluje (vendor/CommonName), podle zmiňovaného je možné jej potenciálně zneužít u ostatních OEM (to by naznačovalo, že nikoli).

Na revokační list se zde asi nehraje, v případě jeho uplatnění by asi přestala fungovat existující zařízení s komponentami revokovaným certifikátem v minulosti podepsanými.

[Peter Golis]

Na tom twiterovom linku sa priamo íše:

Leaked Intel BootGuard keys from MSI are affecting many different device vendors, including @Intel , @Lenovo, @Supermicro_SMCI, and many others industry-wide.

Takže buď to bol priamo kľúč Intelu (ktorý v MSI nemal čo hľadať), alebo implementácia vo všetkých vymenovaných a veľa ostatných pre-boot environmentoch nedodržala bezpečnostné štandardy.

Ale skôr mi to pripadá ako fabulovanie polopravdy keďže detaily o úniku nezverejnili ani z firmy MSI a ani z firmy Intel. Ale máme senzačnú novinku.

[hm]

hele kamos jse te neco ptal :o :o

[Slavko]

Myslím, že pod pojmom kľúč Intel, nemusí byť myslený kľúč firmy Intel, ale kľúč, ktorý akceptuje ten BootGuard procesora Intel. Ale zdá sa, že vo výsledku je to úplne jedno.

Otázkou ostáva, koľko takých kľúčov už uniklo iným spôsobom/firmám, len sa tým zatiaľ nikto nepochválil.

Hoci mi je jasné, že sú situácie, keď sa zabrániť fyzickému prístupu utočníka dá len ťažko, ale toto "riešenie" zjavne bezpečne iba znie...

[Peter Golis]

pod pojmom kľúč Intel, nemusí byť myslený kľúč firmy Intel, ale kľúč, ktorý akceptuje ten BootGuard procesora Intel

Prekrásny oxymorón.

[J]

Co je na tom oxymoron? Je naprosto bezne, ze zarizeni firmy xyz duveruje certifikatum firmy abc. Nebo jak by jsi chtel zabezpecit treba secure boot sveho OS na zarizeni od vyrobce NNN?

[hm]

proc cekas vod nekoho kdo ma na svem pc ubuntu velike znalosti ????

[Slavko]

Nebo jak by jsi chtel zabezpecit treba secure boot sveho OS na zarizeni od vyrobce NNN?

Vlastným kľúčom. Veď ktorý kľúč už môže byť dôveryhodnejší (pre mňa) ako môj vlastný?

Vlastným kľúčom si podpíšem OS, ktorý si zvolím a nainštalujem. Ak túto operáciu delegujem na tretiu stranu, tak to nie je o bezpečnosti, ale o viere v ňu...

[J]

A ten tvuj vlastni klic se dostane do toho hw jak? Doma si to muzes nahrat treba z usb. Ale jak to chces resit u 5M pocitacu?

[PetebLazar]

Od určitého levelu zabezpečení by privátní klíč neměl existovat v externí podobě, ale měl by být pouze uvnitř zařízení umožňujícího podepisování bez možnosti dostat jej ven. Tato zařízení mají často ochranu proti fyzickému vniknutí, kdy při změně tlaku v prostoru paměťového čipu (v němž jsou klíče uloženy) se tento automaticky zalije kyselinou. Bývalý kolega, který měl tato řešení v jedné nejmenované společnosti na starosti si stěžoval, že z tohoto důvodu to s ním na prezentace nemůže letět (musí to za ním dorazit jinými dopravními prostředky).

[plostenka]

Od urciteho levelu zabezpeceni se nesikanuje uzivatel (nesmis litat, nesmis na hory, nesmis...), ale na pritomnost m z n klicu. SPoF, anyone?

[J]

Kyselaina je blbost. Gemalto koupilo Safenet, Thales koupil Gemalto a tim se svet HSM minimalizoval na jedno mizerne reseni. Predpokladam, ze to co uniklo byl intermediate certifikat MSI podepsany intelem. A jelikoz naprosta vetsina vyvojaru je neschopna implementovat overovani certifikatu spravne tak se obvykle koukaj na jmeno certifikatu Root CA nebo pripadne intermediate CA. Mlatit je nemuzes, vyhodit je taky nemuzes (dostanes stejnou bandu), tak co s tim?

[hm]

mas jse jeste co ucit sherloku

[hm]

kdovi jaky luniks ma ve svem pc???? at vodpovi

[plostenka]

MSI: Poslete nam klic od IME at muzeme podepsat nas firmware
Intel: Tady mate verejny klic
MSI: S tim to nefunguje
Intel: Tak zkuste tenhle...