Сегодня 11 августа 2025
18+
MWC 2018 2018 Computex IFA 2018
реклама
Новости Software

Уязвимость PKfail в Secure Boot оказалась более распространённой, чем ожидалось

Масштабная уязвимость в системе безопасности Secure Boot, получившая название PKfail, оказалась гораздо более распространённой, чем предполагалось ранее. Проблема, названная PKfail, затрагивает банкоматы, платёжные терминалы, медицинские устройства, игровые консоли, корпоративные серверы и даже машины для голосования. Использование тестовых ключей платформы в производственных системах на протяжении более 10 лет поставило под угрозу безопасность устройств от ведущих производителей отрасли.

 Источник изображения: geralt / Pixabay

Источник изображения: geralt / Pixabay

Исследователи компании Binarly обнаружили, что количество моделей устройств, использующих скомпрометированные тестовые ключи платформы, возросло с 513 до 972. Среди затронутых производителей — Acer, Dell, Gigabyte, Intel, Supermicro, Aopen, Fornelife, Fujitsu, HP и Lenovo. Ключи, помеченные фразами «DO NOT TRUST» (НЕ ДОВЕРЯТЬ) в сертификатах, никогда не предназначались для использования в промышленных системах, однако оказались внедрены в сотни моделей устройств.

Платформенные ключи формируют криптографический якорь доверия (root-of-trust anchor) между аппаратным обеспечением и прошивкой. Они являются фундаментом для Secure Boot — отраслевого стандарта, обеспечивающего криптографическую защиту в предзагрузочной среде устройства. Интегрированный в UEFI (Unified Extensible Firmware Interface), Secure Boot использует криптографию с открытым ключом для блокировки загрузки любого кода, не подписанного предварительно одобренной цифровой подписью. Компрометация этих ключей подрывает всю цепочку безопасности, установленную Secure Boot.

Ситуация усугубилась после публикации в 2022 году на GitHub закрытой части одного из тестовых ключей. Это открыло возможность для проведения сложных атак с внедрением руткитов в UEFI устройств, защищённых Secure Boot. Количество моделей, использующих этот конкретный скомпрометированный ключ, выросло с 215 до 490. Всего исследователи выявили около 20 различных тестовых ключей, четыре из которых были обнаружены недавно.

Анализ 10 095 уникальных образов прошивок, проведённый с помощью инструмента Binarly, показал, что 8 % (791 образ) содержат непроизводственные ключи. Проблема затрагивает не только персональные компьютеры, но и медицинские устройства, игровые консоли, корпоративные серверы и критически важную инфраструктуру.

Ранее все обнаруженные ключи были получены от компании AMI, одного из трёх основных поставщиков комплектов средств разработки (SDK) программного обеспечения (ПО), которые производители устройств используют для настройки прошивки UEFI, чтобы она работала на их конкретных аппаратных конфигурациях. С июля Binarly обнаружил ключи, принадлежащие конкурентам AMI — компаниям Insyde и Phoenix. Binarly также обнаружила, что следующие три производителя также продают устройства, пострадавшие от PKfail:

  • Hardkernel Odroid-H2, Odroid-H3 и Odroid-H4
  • Beelink Mini 12 Pro
  • Minisforum HX99G

Уязвимости присвоены идентификаторы CVE-2024-8105 и VU#455367. PKfail не представляет угрозы для устройств, не использующих Secure Boot, но подрывает безопасность систем, где эта защита обязательна — например, у государственных подрядчиков и в корпоративных средах.

Источник:

Если вы заметили ошибку — выделите ее мышью и нажмите CTRL+ENTER.
Материалы по теме

window-new
Soft
Hard
Тренды 🔥
Бывший президент Blizzard предсказал, что Battlefield 6 «раздавит» Call of Duty: Black Ops 7, и все от этого выиграют 7 мин.
Создатели Delta Force анонсировали хоррор-шутер Crossfire: Rainbow — геймплейный трейлер и первые подробности 41 мин.
Раздача кооперативного боевика Guntouchables в Steam превзошла все ожидания разработчиков, но играют меньше 1 % от скачавших 58 мин.
Ubisoft проговорилась о сериале Far Cry от создателей «Фарго» и «В Филадельфии всегда солнечно» 3 ч.
VI Форум «Мой бизнес» в Архангельске: предприниматели, эксперты и представители власти обсудят рост в новых условиях 4 ч.
«Странно для публичной компании отказываться от лёгких денег»: Electronic Arts забраковала ремейк Dragon Age: Origins и ремастер трилогии 5 ч.
Открытый бета-тест Battlefield 6 стал крупнейшим в серии — шутер вошёл в топ-20 самых популярных игр Steam 15 ч.
Поумневшая Siri появится только к весне 2026 года — вместе с углубленной интеграцией сторонних приложений 19 ч.
Хакеры заполонили Facebook замаскированными в SVG-изображениях вирусами 20 ч.
ИИ в Firefox загружает CPU до предела и быстро разряжает ноутбуки, пожаловались пользователи 10-08 13:51
Продажи цифровых фотоаппаратов в России достигли максимума за пять лет 52 мин.
Honor выпустит в России ноутбук за 199 990 рублей — MagicBook Pro 16 HUNTER на флагманском Core Ultra 9 285H 2 ч.
Brookfield: в течение десяти лет мощность ИИ ЦОД вырастет на порядок, а расходы на ИИ-инфраструктуру превысят $7 трлн 2 ч.
Бывшая российская «дочка» Xerox начнёт выпускать принтеры и МФУ под собственным брендом 3 ч.
Цены на память DDR4 взлетят почти вдвое — дефицит сохранится до конца года 3 ч.
NVIDIA и AMD будут выплачивать правительству США 15 % выручки от продажи ИИ-ускорителей в Китае 4 ч.
SSD под контролем: консорциум NVM Express обновил спецификации, добавив быстрое восстановление после сбоев 4 ч.
Samsung вложит в американские фабрики чипов $50 млрд — на 35 % больше, чем планировала 4 ч.
Meta выбрала Pimco и Blue Owl для финансирования расширения ЦОД на $29 млрд 5 ч.
AWS предложила «дяде Сэму» облачные услуги на $1 млрд 5 ч.