Сегодня 28 августа 2025
18+
MWC 2018 2018 Computex IFA 2018
реклама
Новости Software

Secure Boot оказалась скомпрометирована на более чем 200 моделях ПК крупных производителей, и это только начало

Эксперты по вопросам кибербезопасности компании Binarly обнаружили, что используемый в прошивках UEFI протокол Secure Boot скомпрометирован на более чем 200 моделей ПК и серверов крупнейших мировых производителей. Причиной проблемы называется безответственное отношение производителей к управлению криптографическими ключами, обеспечивающими защиту Secure Boot.

 Источник изображения: Pete Linforth / pixabay.com

Источник изображения: Pete Linforth / pixabay.com

Технология Secure Boot стала отраслевым стандартом в 2012 году, когда сформировалось понимание, что может появиться вредоносное ПО, способное заражать BIOS набор низкоуровневых микропрограмм, которые выполняются до загрузки операционной системы. Накануне исследователи из компании Binarly объявили, что протокол Secure Boot полностью скомпрометирован на более чем 200 моделях компьютеров, выпускаемых под марками Acer, Dell, Gigabyte, Intel и Supermicro, потому что в 2022 году в одном из репозиториев GitHub был скомпрометирован криптографический ключ, обеспечивающий доверие между аппаратной частью компьютера и работающей на ней прошивкой. Исследователи Binarly обнаружили утечку в январе 2023 года.

Вскоре стало ясно, что под угрозой ещё более 300 моделей компьютеров от практически всех крупных производителей — был обнаружен ещё 21 ключ с пометками «DO NOT SHIP» («не отгружать») и «DO NOT TRUST» («не доверять»). Эти ключи созданы компанией AMI (American Megatrends Incorporated) — одним из трёх крупнейших разработчиков ПО, с помощью которого производители оборудования создают собственные прошивки UEFI для конкретных конфигураций. Пометки указывают, что эти ключи не предназначались для использования в серийно выпускаемой продукции — они поставлялись AMI актуальным или потенциальным клиентам для тестирования, но в действительности использовались на продукции в серийном производстве. Проблема коснулась Aopen, Foremelife, Fujitsu, HP, Lenovo и Supermicro.

 Источник изображения: Gerd Altmann / pixabay.com

Источник изображения: Gerd Altmann / pixabay.com

Эксперты по безопасности рекомендуют, чтобы эти криптографические ключи были уникальными для каждой линейки продукции или как минимум для каждого производителя. А в идеале их следует даже время от времени менять. В реальности обнаруженные Binarly ключи использовались более чем десятком различных производителей более десяти лет. Идентичные тестовые ключи обнаруживались как в потребительских ПК, так и в серверах; и по меньшей мере один использовался тремя разными производителями. Компания озаглавила своё открытие PKfail, чтобы подчеркнуть неспособность всей отрасли обеспечить должное управление ключами шифрования, в результате чего возникла угроза для всей цепочки поставок. Обход защиты Secure Boot означает возможность запускать любые исполняемые файлы на уязвимой машине ещё до загрузки ОС.

Инциденты меньших масштабов отмечались и раньше. В 2016 году в продукции Lenovo был обнаружен ключ AMI с пометкой «DO NOT TRUST» — тогда была зарегистрирована уязвимость CVE-2016-5242. В прошлом году хакеры группировки Money Message похитили два ключа MSI, из-за чего под угрозой оказались 57 моделей ноутбуков компании. Ресурс Ars Technica направил в упомянутые в связи с PKfail компании запросы и получил ответы не от всех. Только в Supermicro заявили, что решили проблему, выпустив обновления BIOS. В Intel, HP, Lenovo и Fujitsu дали очень похожие ответы, отметив, что потенциально уязвимая продукция уже снята с производства, продаж и больше не поддерживается. Полный список уязвимой продукции Binarly опубликовала на GitHub.

Источник:

Если вы заметили ошибку — выделите ее мышью и нажмите CTRL+ENTER.
Материалы по теме

window-new
Soft
Hard
Тренды 🔥
Windows 11 научилась передавать стереозвук на Bluetooth-наушники во время звонков 2 ч.
Хакер сделал конкурента ChatGPT соучастником вымогательской кампании: ИИ искал уязвимости и писал угрозы 3 ч.
Microsoft открыла облачный стриминг игр для подписчиков Xbox Game Pass Standard и Game Pass Core, но пока не всех 3 ч.
Psychonauts 2, Stardew Valley и Viewfinder: Sony подтвердила линейку игр PS Plus на сентябрь 5 ч.
Google открыла доступ к Vids для всех: ИИ-видеоредактор стал бесплатным, но не без ограничений 7 ч.
Миссия выполнима: ИИ-агент Google самостоятельно нашёл критическую уязвимость в браузере Chrome 7 ч.
Gears of War: Reloaded стартовала в Steam со «смешанными» отзывами и худшим пиковым онлайном среди игр серии 7 ч.
Twitch снова оштрафован в России: на этот раз почти на 62 млн рублей 8 ч.
Приложение «Лэтуаль» начало массово ломать iPhone после обновления 8 ч.
Вдохновлённый Doom и Half-Life научно-фантастический шутер Moros Protocol стал новой жертвой Hollow Knight: Silksong 8 ч.
288 E-ядер и 576 Мбайт L3-кеша: Intel поделилась подробностями о Xeon 7 Clearwater Forest 5 мин.
Новая статья: Обзор смартфона HUAWEI Pura 80 Pro: разумный флагман с мощнейшей камерой 2 ч.
Антиэлектромобильная политика Трампа разогнала продажи электрокаров в США до рекорда 7 ч.
Phison сняла с себя ответственность за сбои SSD после обновления Windows 11 7 ч.
Sony усилила проверку качества и приняла другие меры, чтобы провал Xperia 1 VII не повторился 7 ч.
В Nothing оправдались за скандал с чужими фотографиями на Phone (3) — всё свалили на человеческий фактор 8 ч.
Meta потратит миллионы долларов, чтобы будущее ИИ решали «правильные» политики 8 ч.
Rapidus запустит самое быстрое в мире производство 2-нм чипов — от проекта до кристалла всего за две недели 8 ч.
Дональд Трамп заявил, что ИИ ЦОД Meta в Луизиане будет стоить $50 млрд, а не $10 млрд 9 ч.
Sandisk выпустила быстрые SSD WD Blue SN5100 — до 4 Тбайт и до 44 % быстрее предшественников 10 ч.