Как стать автором
Обновить

Microsoft удалила из Windows RT встроенный бэкдор, который позволяет обойти Secure Boot и установить Linux

Время на прочтение 3 мин
Количество просмотров 37K

Бэкдор также присутствует в Windows 8.1, Windows Server 2012, Windows 10 и Windows Server Core




С последним Patch Tuesday 12 июля 2016 года компания Microsoft устранила dev-бэкдор в Windows RT — в версии операционной системы Windows 8.x, портированной на устройства с 32-битными ARMv7. С его помощью разработчики и хакеры могли устанавливать на планшеты операционные системы, не одобренные Microsoft. Например, Android или GNU/Linux.

Бэкдор был внедрён программистами Microsoft на этапе разработки ОС, но после установки свежего обновления планшеты будут окончательно привязаны к Windows RT на аппаратном уровне.

Windows RT — это тупиковая операционная система, у которой нет будущего. Microsoft прекратила дальнейшую разработку. До окончания официального срока поддержки планшетов Windows RT осталось совсем недолго. Так, поддержка планшетов Surface RT заканчивается в 2017 году, а Windows RT — в 2018 году.

По этой причине настолько важной является возможность установить альтернативную операционную систему на планшеты. Для некоторых пользователей, которым планшет Windows RT достался вопреки их желанию (например, подарили на презентации или выдали на работе), возможность установки Linux была единственным способом извлечь хоть какую-то пользу из этого подарка.

Ежемесячное обновление программных продуктов Patch Tuesday традиционно проводится во второй вторник каждого месяца. В этот день выпускается кумулятивный пакет патчей за весь месяц, большая часть которых устраняет уязвимости в безопасности программ Microsoft. Вместе с последним обновлением выпущен бюллетень безопасности MS16-094, имеющий статус Important.

Протокол «безопасной загрузки» Secure Boot в UEFI (Unified Extensible Firmware Interface) BIOS проверяет сигнатуры загрузочного кода и блокирует любой загрузчик при несовпадении подписей. Таким образом, на компьютере с включенным протоколом Secure Boot невозможно запустить неавторизованный загрузчик. Подробнее о криптографических ключах и верификации кода в Secure Boot см. в статье «Немного про UEFI и Secure Boot».

На большинстве компьютеров это не является особой проблемой, потому что Secure Boot в BIOS можно отключить при наличии физического доступа к компьютеру.


Отключение Secure Boot

Но только на планшетах ARM с предустановленной Windows RT протокол Secure Boot вообще не отключается в штатном режиме.

Естественно, невозможность установить на хороший (в аппаратной части) планшет нормальную операционную систему ужасно раздражала. После длительной исследовательской работы и обратной разработки кому-то всё-таки удалось найти способ обойти процедуру «безопасной загрузки» на планшетах Windows RT с помощью специальным образом составленной политики, которая могла отключить проверку сигнатуры загрузочного кода, позволяя загружать на устройстве произвольные драйверы. Вдобавок, «злоумышленник» мог отключить проверку Secure Boot Integrity Validation для BitLocker и опции безопасности системы шифрования, говорится в бюллетене безопасности MS16-094.

К сожалению, технических подробностей о том, как именно обойти защиту Secure Boot на планшетах Windows RT, не опубликованы в открытом доступе. Известно только, что перед этим нужно отключить BitLocker.

manage-bde -protectors C: -disable

Зато точно известно, что уязвимость Secure Boot присутствует также в Windows 8.1, Windows Server 2012, Windows Server 2012 R2, Windows 10 и Windows Server Core. Для всех этих версий выпущены патчи, перечисленные в бюллетене MS16-094.


В бюллетене указано, что для применения эксплоита злоумышленник должен обладать административными привилегиями в системе или физическим доступом к устройству. Но если такой доступ есть, то с компьютером можно сделать что угодно, в том числе модифицировать системные файлы операционной системы.

Таким образом, если вы планируете установить на планшет альтернативную операционную систему, то ни в коем случае не устанавливайте обновление безопасности KB3172727. Для остальных версий Windows, наоборот, установка этого обновления настоятельно рекомендуется.

Microsoft дала понять, что несмотря на завершение разработки Windows RT, она не намерена открывать платформу для сторонних операционных систем. Это сильно подорвало бы сложившийся имидж компании. С другой стороны, и оставлять бэкдор в системе тоже нельзя, если уж о нём стало известно.
Теги:
Хабы:
+15
Комментарии 131
Комментарии Комментарии 131

Публикации

Истории

Ближайшие события

Московский туристический хакатон
Дата 23 марта – 7 апреля
Место
Москва Онлайн
Геймтон «DatsEdenSpace» от DatsTeam
Дата 5 – 6 апреля
Время 17:00 – 20:00
Место
Онлайн