Լեո Սմիթի Secure Boot հետազոտությունը ցույց է տալիս shim-ի փոխառությունը և MOK-ի գրանցումը

Լեո Սմիթը հրապարակել է բլոգային գրառում Secure Boot-ի հետազոտության և p3ng0s V2-ի նախատեսված տարբերակի մասին։ Գրառումը նկարագրում է, թե ինչպես Microsoft երրորդ կողմի բանալիները, shim-ը և MOK գրանցումը կարող են օգտագործվել օգտատիրոջ կողմից գրանցված բանալի ունեցող օպերացիոն համակարգ բեռնելու համար։

Secure Boot-ի մասին սխալ պատկերացումներ

Սմիթն ասում է, որ իր նախկին տեսակետն այն էր, թե Secure Boot-ը սահմանափակում է, թե որ օպերացիոն համակարգը կարող է աշխատել։ Նա նշում է, որ իրական նպատակը բեռնվող օպերացիոն համակարգի ամբողջականության ապահովումն է, այլ ոչ թե սպառողներին կամ ֆիզիկական հասանելիությանը թիրախավորումը, և որ այն նախատեսված էր EFI վնասակար ծրագրերը կանխելու համար։ Microsoft Corporation UEFI CA 2011-ը ստորագրում է երրորդ կողմի օպերացիոն համակարգերը, իսկ BIOS կարգավորումներին հասանելիություն ունեցող օգտատերերը կարող են գրանցել իրենց սեփական բանալիները։

Shim և MOK գրանցում

Գրառումը բացատրում է, որ Microsoft-ի կողմից ստորագրված shim-երը կարգավորում են բեռնման ծրագրային ապահովման փոփոխությունները, մինչդեռ բանալիները մնում են կայուն։ Եթե GRUB պատկերը ստորագրված է չճանաչված բանալիով, shim-ը ձախողվում է և բեռնվում է MOK ծրագրային ապահովման մեջ, որտեղ կարելի է ընտրել համապատասխան բանալին։ Սմիթը նշում է, որ սա ստեղծում է Secure Boot-ը միացված սարքավորումների վրա օպերացիոն համակարգ բեռնելու ճանապարհ։

Shim-երի փոխառություն և տեղադրում

Սմիթը նկարագրում է pkgs.org-ում shim-signed փաթեթներ գտնելը և Microsoft-ի կողմից ստորագրված shim փոխառելը։ Տեղադրման քայլերը ներառում են MOK բանալիների ստեղծում, միջուկի և GRUB-ի ստորագրում, EFI ֆայլերի վերանվանում, shim-ը որպես BOOTx64.EFI տեղադրելը, mmx64.efi-ի ավելացում և վկայագրի DER ձևաչափի փոխարկում։

Secure Boot-ի չարաշահում և p3ng0s

Պատրաստված կրիչով օգտատերը կարող է այն ընտրել բեռնման սարքերի ընտրացանկից, ձախողել GRUB-ի ստորագրումը, բանալին գրանցել MOK ծրագրային ապահովման միջոցով, ապա շարունակել բեռնումը։ Սմիթն ասում է նաև, որ p3ng0s օգտատերերը կարող են օգտագործել V2 ճյուղը՝ shim և MOK կառավարիչի ֆայլերը տեղադրելով overlay/airootfs/etc/p3ng0s/shim ուղու մեջ։

Աղբյուրներ՝ leosmith.wtf