Exploiter les chargeurs de démarrage signés pour contourner le démarrage sécurisé UEFI

Version russe de cet article.
Le firmware des cartes mères PC modernes suit les spécifications UEFI depuis 2010. En 2013, une nouvelle technologie appelée Secure Boot est apparue, destinée à empêcher l'installation et l'exécution des bootkits . Le démarrage sécurisé empêche l'exécution de code de programme non signé ou non approuvé (programmes .efi et chargeurs de démarrage du système d'exploitation, micrologiciel matériel supplémentaire comme la carte vidéo et les OPROM de carte réseau).
Le démarrage sécurisé peut être désactivé sur n'importe quelle carte mère commerciale, mais une condition obligatoire pour changer son état est la présence physique de l'utilisateur sur l'ordinateur. Il est nécessaire d'entrer les paramètres UEFI au démarrage de l'ordinateur, et ce n'est qu'alors qu'il est possible de modifier les paramètres de démarrage sécurisé.

La plupart des cartes mères n'incluent que les clés Microsoft de confiance, ce qui oblige les fournisseurs de logiciels de démarrage à demander à Microsoft de signer leurs chargeurs de démarrage. Ce processus comprend une procédure d'audit de code et la justification de la nécessité de signer leur fichier avec une clé de confiance globale s'ils souhaitent que le disque ou la clé USB fonctionne en mode Secure Boot sans ajouter manuellement leur clé sur chaque ordinateur.
Les distributions Linux, les hyperviseurs, les disques de démarrage antivirus, les auteurs de logiciels de récupération informatique doivent tous signer leurs chargeurs de démarrage dans Microsoft.

Je voulais créer un lecteur flash USB amorçable avec divers logiciels de récupération d'ordinateur qui démarreraient sans désactiver le démarrage sécurisé. Voyons comment cela peut être réalisé.

Chargeurs de démarrage signés de chargeurs de démarrage

Donc, pour démarrer Linux avec Secure Boot activé, vous avez besoin d'un chargeur de démarrage signé. Microsoft interdit de signer un logiciel sous licence GPLv3 en raison de la règle de licence de restriction de tivoisation , donc GRUB ne peut pas être signé .
Pour résoudre ce problème, Linux Foundation a publié PreLoader et Matthew Garrett a créé des petits chargeurs de démarrage qui vérifient la signature ou le hachage d'un fichier unique et l'exécutent. PreLoader et shim n'utilisent pas le magasin de certificats UEFI db , mais contiennent une base de données de hachages autorisés (PreLoader) ou de certificats (shim) à l'intérieur du fichier exécutable.
Les deux programmes, en plus d'exécuter automatiquement des fichiers de confiance, vous permettent d'exécuter tous les programmes non approuvés en mode Secure Boot, mais nécessitent la présence physique de l'utilisateur. Lorsqu'il est exécuté pour la première fois, vous devez sélectionner un certificat à ajouter ou le fichier à hacher dans l'interface graphique, après quoi les données sont ajoutées dans une variable NVRAM spéciale sur la carte mère qui n'est pas accessible depuis le système d'exploitation chargé . Les fichiers ne sont approuvés que pour ces préchargeurs, pas pour Secure Boot en général, et ne peuvent toujours pas être chargés sans PreLoader ou shim.


Démarrage non autorisé du logiciel avec shim.

Toutes les distributions Linux populaires modernes utilisent shim en raison de la prise en charge des certificats, ce qui facilite la mise à jour du chargeur de démarrage principal sans intervention de l'utilisateur. En général, shim est utilisé pour exécuter GRUB2 - le chargeur de démarrage le plus populaire sous Linux.

GRUB2

Pour éviter les abus signés du chargeur de démarrage avec des intentions malveillantes, Red Hat a créé des correctifs pour GRUB2 qui bloquent les fonctions "dangereuses" lorsque le démarrage sécurisé est activé: insmod / rmmod, appleloader, linux (remplacé par linuxefi), multiboot, xnu, memrw, iorw. Le module chainloader, qui charge des fichiers .efi arbitraires, a introduit son propre chargeur interne .efi (PE) personnalisé sans utiliser les fonctions UEFI LoadImage / StartImage, ainsi que le code de validation des fichiers chargés via shim, afin de préserver la possibilité de charger des fichiers approuvés par shim mais non approuvés en termes d'UEFI. On ne sait pas exactement pourquoi cette méthode est préférable - UEFI permet de redéfinir (accrocher) les fonctions de vérification UEFI, c'est ainsi que PreLoader fonctionne, et en effet, la fonction très shim est présente mais désactivée par défaut.

Quoi qu'il en soit, l'utilisation du GRUB signé d'une distribution Linux ne répond pas à nos besoins. Il existe deux façons de créer un lecteur flash de démarrage universel qui ne nécessiterait pas l'ajout des clés de chaque fichier exécutable aux fichiers approuvés:

• Utilisez GRUB modded avec chargeur EFI interne, sans verticalisation de signature numérique ni restrictions de module;
• Utilisez un préchargeur personnalisé (le second) qui accroche les fonctions de verticalisation des fichiers UEFI (EFI_SECURITY_ARCH_PROTOCOL.FileAuthenticationState, EFI_SECURITY2_ARCH_PROTOCOL.FileAuthentication)

La deuxième méthode est préférable car un logiciel exécuté peut charger et démarrer un autre logiciel, par exemple, le shell UEFI peut exécuter n'importe quel programme. La première méthode ne fournit pas cela, permettant uniquement à GRUB d'exécuter des fichiers arbitraires. Modifions PreLoader en supprimant toutes les fonctionnalités inutiles et le code de vérification des correctifs pour tout autoriser.

L'architecture du disque est la suivante:

______ ______ ______ ╱│ │ ╱│ │ ╱│ │ /_│ │ → /_│ │ → /_│ │ │ │ → │ │ → │ │ │ EFI │ → │ EFI │ → │ EFI │ │_______│ │_______│ │_______│ BOOTX64.efi grubx64.efi grubx64_real.efi (shim) (FileAuthentication (GRUB2) override) ↓↓↓ ↑ ↑ ______ ↑ ╱│ │ ║ /_│ │ ║ │ │ ═══════════╝ │ EFI │ │_______│ MokManager.efi (Key enrolling tool) 

C'est ainsi que Super UEFIinSecureBoot Disk a été créé.

Le disque Super UEFIinSecureBoot est une image amorçable avec le chargeur de démarrage GRUB2 conçu pour être utilisé comme base pour la récupération de lecteurs flash USB.

Fonctionnalité clé: le disque est entièrement fonctionnel avec le mode de démarrage sécurisé UEFI activé. Il peut lancer n'importe quel système d'exploitation ou fichier .efi, même avec une signature non fiable, invalide ou manquante.

Le disque peut être utilisé pour exécuter diverses distributions Live Linux, environnement WinPE, démarrage réseau, sans désactiver le mode Secure Boot dans les paramètres UEFI, ce qui peut être pratique pour effectuer la maintenance du PC et des ordinateurs portables de quelqu'un d'autre, par exemple, avec les paramètres UEFI verrouillés avec un mot de passe.

L'image contient 3 composants: pré-chargeur de shims de Fedora (signé avec la clé Microsoft qui est pré-installée dans la plupart des cartes mères et ordinateurs portables), Linux Foundation PreLoader modifié (désactive la vérification de la signature numérique des fichiers exécutés) et chargeur GRUB2 modifié.

Au premier démarrage, il est nécessaire de sélectionner le certificat à l'aide de MokManager (démarre automatiquement), après quoi tout fonctionnera comme avec Secure Boot désactivé - GRUB charge tout fichier .efi non signé ou noyau Linux, les programmes EFI exécutés peuvent charger tout autre exécutable non fiable ou les pilotes.

Pour démontrer les fonctions du disque, l'image contient Super Grub Disk (un ensemble de scripts pour rechercher et exécuter le système d'exploitation même si le chargeur de démarrage est cassé), GRUB Live ISO Multiboot (un ensemble de scripts pour charger les distributions Linux Live directement à partir du fichier ISO), One File Linux (le noyau et initrd dans un seul fichier, pour la récupération du système) et plusieurs utilitaires UEFI.

Le disque est également compatible avec UEFI sans démarrage sécurisé et avec les anciens PC avec BIOS.

Chargeurs de démarrage signés

Je me demandais s'il était possible de contourner l'inscription de la première clé de démarrage via shim. Pourrait-il y avoir un chargeur de démarrage signé qui vous permette de faire plus que ce que les auteurs attendaient?
En fait, il existe de tels chargeurs. L'un d'eux est utilisé dans Kaspersky Rescue Disk 18 - disque de démarrage du logiciel antivirus. GRUB à partir du disque vous permet de charger des modules (la commande insmod), et le module dans GRUB est juste un code exécutable. Le préchargeur sur le disque est personnalisé.

Bien sûr, vous ne pouvez pas simplement utiliser GRUB à partir du disque pour charger du code non approuvé. Il est nécessaire de modifier le module de chargeur de chaîne afin que GRUB n'utilise pas les fonctions UEFI LoadImage / StartImage, mais qu'il charge automatiquement le fichier .efi en mémoire, effectue la relocalisation, trouve le point d'entrée et y accède. Heureusement, presque tout le code nécessaire est présent dans le référentiel Red Hat GRUB Secure Boot , le seul problème - l'analyseur d'en-tête PE est manquant. GRUB obtient un en-tête analysé à partir de shim, en réponse à un appel de fonction via un protocole spécial. Cela pourrait être facilement résolu en portant le code approprié du shim ou du PreLoader vers GRUB.

C'est ainsi que Silent UEFIinSecureBoot Disk a été créé. L'architecture de disque finale se présente comme suit:

  ______ ______ ______ ╱│ │ ╱│ │ ╱│ │ /_│ │ /_│ │ → /_│ │ │ │ │ │ → │ │ │ EFI │ │ EFI │ → │ EFI │ │_______│ │_______│ │_______│ BOOTX64.efi grubx64.efi grubx64_real.efi (Kaspersky (FileAuthentication (GRUB2) Loader) override) ↓↓↓ ↑ ↑ ______ ↑ ╱│ │ ║ /_│ │ ║ │ │ ═══════════╝ │ EFI │ │_______│ fde_ld.efi + custom chain.mod (Kaspersky GRUB2) 

La fin

Dans cet article, nous avons prouvé l'existence d'un nombre insuffisant de chargeurs de démarrage fiables signés par la clé Microsoft, ce qui permet de démarrer du code non fiable en mode Secure Boot.
En utilisant les fichiers Kaspersky Rescue Disk signés, nous avons pu démarrer silencieusement tous les fichiers .efi non approuvés avec Secure Boot activé, sans avoir besoin d'ajouter un certificat à UEFI db ou shim MOK.
Ces fichiers peuvent être utilisés à la fois pour les bonnes actions (pour le démarrage à partir de lecteurs flash USB) et pour les mauvaises (pour l'installation des kits de démarrage sans le consentement du propriétaire de l'ordinateur).
Je suppose que le certificat de signature de Kaspersky bootloader ne durera pas longtemps et qu'il sera ajouté à la liste de révocation des certificats UEFI globale , qui sera installée sur les ordinateurs exécutant Windows 10 via Windows Update, brisant Kaspersky Rescue Disk 18 et Silent UEFIinSecureBoot Disk. Voyons combien de temps cela arriverait.

Téléchargement du disque Super UEFIinSecureBoot: https://github.com/ValdikSS/Super-UEFIinSecureBoot-Disk
Téléchargement silencieux du disque UEFIinSecureBoot (réseau ZeroNet Git Center ): http://127.0.0.1:43110/1KVD7PxZVke1iq4DKb4LNwuiHS4UzEAdAv/