UEFI सुरक्षित बूट सुरक्षा को बायपास करने के लिए हस्ताक्षरित बूटलोडर्स का उपयोग करना

इस लेख का रूसी संस्करण।

परिचय

आधुनिक कंप्यूटर मदरबोर्ड का फर्मवेयर यूईएफआई विनिर्देश के अनुसार काम करता है, और 2013 से वे डाउनलोड किए गए कार्यक्रमों और सुरक्षित बूट ड्राइवरों की प्रमाणीकरण तकनीक का समर्थन करते हैं, जो कि कंप्यूटर को बूटकिट्स से बचाने के लिए डिज़ाइन किया गया है। सुरक्षित बूट अहस्ताक्षरित या अविश्वसनीय प्रोग्राम कोड के निष्पादन को अवरुद्ध करता है: कार्यक्रमों की .efi-files और ऑपरेटिंग सिस्टम के बूट लोडर, अतिरिक्त उपकरणों के फर्मवेयर (वीडियो कार्ड, नेटवर्क एडेप्टर)।
सुरक्षित बूट को किसी भी स्टोर मदरबोर्ड पर अक्षम किया जा सकता है, लेकिन इसकी सेटिंग्स को बदलने के लिए एक भौतिक आवश्यकता कंप्यूटर पर एक भौतिक उपस्थिति है। आपको UEFI सेटिंग्स में जाने की आवश्यकता है जब कंप्यूटर बूट होता है, और उसके बाद ही तकनीक को अक्षम करना या इसकी सेटिंग्स को बदलना संभव होगा।

अधिकांश मदरबोर्ड भरोसेमंद रूप से केवल Microsoft कुंजी के साथ आते हैं, यही कारण है कि बूट सॉफ़्टवेयर के निर्माता, बूटलोडर्स के हस्ताक्षर के लिए Microsoft से संपर्क करने के लिए मजबूर होते हैं, एक ऑडिट प्रक्रिया से गुजरते हैं, और यदि वे ड्राइव या फ्लैश ड्राइव को अनावश्यक रूप से चलाने के लिए अपनी फ़ाइल के वैश्विक हस्ताक्षर की आवश्यकता को उचित ठहराते हैं। सुरक्षित बूट अक्षम करें या मैन्युअल रूप से प्रत्येक कंप्यूटर पर अपनी कुंजी जोड़ें।
Microsoft को लिनक्स वितरण, हाइपरविजर, एंटीवायरस बूट डिस्क और कंप्यूटर रिकवरी कार्यक्रमों के डेवलपर्स के लिए बूटलोडर्स पर हस्ताक्षर करना है।

मैं विभिन्न कंप्यूटर रिकवरी सॉफ़्टवेयर के साथ एक बूट करने योग्य USB फ्लैश ड्राइव बनाना चाहता था जो सुरक्षित बूट को अक्षम किए बिना बूट होगा। आइए देखें कि इसे कैसे लागू किया जा सकता है।

डाउनलोड किए गए बूटलोडर डाउनलोडर

तो, सुरक्षित बूट सक्षम के साथ लिनक्स को बूट करने के लिए, आपको एक हस्ताक्षरित बूटलोडर की आवश्यकता है। Microsoft ने लाइसेंस के नियमों द्वारा tivoization के निषेध के कारण GPLv3 के तहत लाइसेंस प्राप्त सॉफ्टवेयर पर हस्ताक्षर करने पर प्रतिबंध लगा दिया है, इसलिए GRUB हस्ताक्षर नहीं कर पाएगा ।
जवाब में, लिनक्स फाउंडेशन ने प्रीलाडर को जारी किया, और मैथ्यू गैरेट ने शिम - छोटे बूटलोडर्स को लिखा, जो अगले डाउनलोड फ़ाइल के हस्ताक्षर या हैश को सत्यापित करते हैं। PreLoader और शिम UEFI db प्रमाणपत्र का उपयोग नहीं करते हैं, लेकिन स्वयं के अंदर अनुमत हैश (PreLoader) या प्रमाणपत्र (शिम) का एक डेटाबेस होता है।
दोनों प्रोग्राम, स्वचालित रूप से विश्वसनीय फ़ाइलों को डाउनलोड करने के अलावा, आपको सुरक्षित बूट मोड में किसी भी पहले से तैयार की गई फ़ाइलों को डाउनलोड करने की अनुमति देते हैं, लेकिन उपयोगकर्ता की भौतिक उपस्थिति की आवश्यकता होती है: पहली शुरुआत में, आपको ग्राफ़िकल इंटरफ़ेस में जोड़े गए प्रमाणपत्र या हैश फ़ाइल का चयन करने की आवश्यकता होती है, जिसके बाद डेटा एक विशेष NVRAM चर में दर्ज किया जाता है एक मदरबोर्ड जो लोडेड ऑपरेटिंग सिस्टम से बदलाव के लिए उपलब्ध नहीं है। फ़ाइलें केवल इन प्रीलोडर्स के लिए भरोसेमंद हो जाती हैं, और सामान्य रूप से सिक्योर बूट के लिए नहीं, और आप वैसे भी PreLoader / शिम के बिना उन्हें नहीं चला सकते हैं।


शिम के माध्यम से पहली बार एक अविश्वसनीय कार्यक्रम शुरू करते समय क्रियाओं की आवश्यकता होती है।

सभी मौजूदा लोकप्रिय लिनक्स वितरण प्रमाणपत्र समर्थन के कारण शिम का उपयोग करते हैं, जो उपयोगकर्ता इंटरैक्शन की आवश्यकता के बिना अगले बूटलोडर को अपडेट करना आसान बनाता है। आमतौर पर, शिम का उपयोग लिनक्स पर सबसे लोकप्रिय बूटलोडर GRUB2 को चलाने के लिए किया जाता है।

GRUB2

कुछ वितरण किट के हस्ताक्षर किए गए बूटलोडर की मदद से हमलावरों को चुपचाप व्यापार करने से रोकने के लिए, Red Hat ने GRUB2 के लिए पैच को "खतरनाक" कार्यों को रोक दिया जब सुरक्षित बूट सक्षम किया गया था: insmod / rmmod, appleloader, linux (linuxefi द्वारा प्रतिस्थापित), मल्टीबूट, xnu, मेम्रव। iorw। चेन लोडर मॉड्यूल, जो मनमाने ढंग से .efi फ़ाइलों को लोड करता है, अपने स्वयं के .efi (PE) लोडर के साथ पूरक था, बिना UEFI LoadImage / StartImage कमांड का उपयोग किए, साथ ही शिम के माध्यम से डाउनलोड की गई फ़ाइलों का सत्यापन कोड, ताकि फ़ाइलों को डाउनलोड करने की क्षमता शिम के लिए विश्वसनीय हो, लेकिन भरोसेमंद न हो। UEFI के संदर्भ में। उन्होंने ऐसा क्यों किया जो स्पष्ट नहीं है; यूईएफआई आपको डाउनलोड की गई छवियों की जांच करने के फ़ंक्शन को फिर से परिभाषित करने (हुक) की अनुमति देता है, यह है कि कैसे PreLoader काम करता है, और स्वयं शिम का ऐसा फ़ंक्शन होता है , लेकिन यह डिफ़ॉल्ट रूप से अक्षम है।

एक तरह से या दूसरे, कुछ लिनक्स वितरण से एक हस्ताक्षरित GRUB का उपयोग करने में विफल हो जाएगा। एक सार्वभौमिक बूट करने योग्य USB फ्लैश ड्राइव बनाने के दो तरीके हैं, जिन्हें भरोसेमंद लोगों को प्रत्येक डाउनलोड की गई फ़ाइल की कुंजी जोड़ने की आवश्यकता नहीं है:

• डिजिटल हस्ताक्षर की जाँच के बिना, और अवरुद्ध मॉड्यूल के बिना, एक संशोधित GRUB का उपयोग करना जो EFI फ़ाइलों को अपने आप डाउनलोड करता है;
• UEFI डिजिटल हस्ताक्षर सत्यापन कार्यों (EFI_SECURITY_ARCH_PROTOCOL.FileAuthenticationState, EFI_SECURITY2_AREC_PROTOCOL.FileAuthentication) को ओवरराइड करने वाले अपने स्वयं के प्रीलोडर (दूसरे) का उपयोग करना

दूसरा विकल्प बेहतर है - डाउनलोड किए गए अविश्वसनीय प्रोग्राम भी अविश्वसनीय प्रोग्राम डाउनलोड करने में सक्षम होंगे (उदाहरण के लिए, आप यूईएफआई शेल के माध्यम से फ़ाइलें डाउनलोड कर सकते हैं), और पहले संस्करण में, केवल GRUB ही सब कुछ डाउनलोड कर सकते हैं। हम PreLoader को संशोधित करते हैं , इसमें से अतिरिक्त कोड निकालते हैं और किसी भी फाइल को लॉन्च करने की अनुमति देते हैं।

कुल, फ्लैश ड्राइव की वास्तुकला इस प्रकार है:

______ ______ ______ ╱│ │ ╱│ │ ╱│ │ /_│ │ → /_│ │ → /_│ │ │ │ → │ │ → │ │ │ EFI │ → │ EFI │ → │ EFI │ │_______│ │_______│ │_______│ BOOTX64.efi grubx64.efi grubx64_real.efi (shim) (FileAuthentication (GRUB2) override) ↓↓↓ ↑ ↑ ______ ↑ ╱│ │ ║ /_│ │ ║ │ │ ═══════════╝ │ EFI │ │_______│ MokManager.efi (Key enrolling tool) 

तो Super UEFIinSecureBoot Disk था ।

सुपर UEFIinSecureBoot डिस्क - GRUB2 बूटलोडर के साथ एक डिस्क छवि, जिसे UEFI सिक्योर बूट मोड में आसानी से अहस्ताक्षरित ओफ़ि-प्रोग्राम और ऑपरेटिंग सिस्टम चलाने के लिए डिज़ाइन किया गया है।

मदरबोर्ड की सेटिंग्स में सिक्योर बूट को अक्षम किए बिना, विभिन्न लिनक्स लाइव डिस्ट्रीब्यूशन और WinPE, नेटवर्क से बूट करने के लिए, कंप्यूटर रिकवरी यूटिलिटीज के साथ USB ड्राइव बनाने के लिए आधार के रूप में डिस्क का उपयोग किया जा सकता है, जो अन्य लोगों के कंप्यूटर या कॉर्पोरेट की सेवा करते समय सुविधाजनक हो सकता है। लैपटॉप, उदाहरण के लिए, यूईएफआई सेटिंग्स को बदलने के लिए एक पासवर्ड सेट के साथ।

छवि में तीन घटक होते हैं: फेडोरा से एक शिम प्रीलोडर (मदरबोर्ड और लैपटॉप के विशाल बहुमत पर प्रीइंस्टॉल्ड एक Microsoft कुंजी के साथ हस्ताक्षरित), एक संशोधित लिनक्स फाउंडेशन प्रीलोडर प्रीलोडर (लोड हो रहा है।।

सिक्योर बूट के साथ कंप्यूटर पर डिस्क के पहले बूट के दौरान, आपको मोकमैनर मेनू (यह अपने आप शुरू होता है) के माध्यम से एक प्रमाण पत्र का चयन करना होगा, जिसके बाद बूटलोडर काम करेगा जैसे कि सिक्योर बूट बंद है: GRUB किसी भी अहस्ताक्षरित .efile फ़ाइल या लिनक्स कर्नेल को लोड करता है, डाउनलोड किए गए EFI प्रोग्राम। लापता या अविश्वास हस्ताक्षर के साथ अन्य कार्यक्रम और ड्राइवर चला सकते हैं।

परिचालन क्षमता प्रदर्शित करने के लिए, छवि में सुपर ग्रब डिस्क (स्थापित बूट सिस्टम को खोजने और लोड करने के लिए स्क्रिप्ट, भले ही उनका बूट लोडर क्षतिग्रस्त हो), GRUB लाइव आईएसओ मल्टीबूट (आईएसओ से सीधे सुविधाजनक लिनक्स लाइवसीडी बूट के लिए स्क्रिप्ट, प्रारंभिक बिना तैयारी और प्रसंस्करण के), एक। फ़ाइल लिनक्स (कर्नेल और सिस्टम में रिकवरी के लिए एक फ़ाइल में initrd), और कई UEFI उपयोगिताओं।

ड्राइव सुरक्षित बूट के बिना यूईएफआई के साथ संगत है, साथ ही पुराने कंप्यूटर भी BIOS के साथ।

डाउनलोडर्स पर हस्ताक्षर किए

मैं सोच रहा था कि क्या यह संभव है कि पहली शुरुआत में शिम के माध्यम से एक कुंजी जोड़ने की आवश्यकता हो। हो सकता है कि कुछ हस्ताक्षरित डाउनलोडर हैं जो आपको अपेक्षित लेखकों की तुलना में अधिक करने की अनुमति देते हैं?
जैसा कि यह निकला - ऐसे लोडर हैं। उनमें से एक कास्परस्की रेस्क्यू डिस्क 18 में उपयोग किया जाता है - एंटीवायरस सॉफ़्टवेयर के साथ एक बूट डिस्क। डिस्क से GRUB आपको मॉड्यूल (insmod कमांड) लोड करने की अनुमति देता है, जबकि GRUB में मॉड्यूल आपको नियमित निष्पादन योग्य कोड लोड करने की अनुमति देता है। डिस्क प्री-लोडर देशी है।

बेशक, सिर्फ इसलिए कि डिस्क से GRUB अविश्वसनीय कोड लोड नहीं करता है। यह चेनलोडर मॉड्यूल को संशोधित करने के लिए आवश्यक है ताकि GRUB UEFI LoadImage / StartImage फ़ंक्शन का उपयोग न करें, लेकिन इसके बजाय .efi फ़ाइल को मेमोरी में लोड करता है, स्थानांतरण करता है, प्रविष्टि बिंदु पाता है और उसका अनुसरण करता है। सौभाग्य से, लगभग सभी आवश्यक कोड Red Hat Secure बूट समर्थन के साथ GRUB रिपॉजिटरी में हैं, एकमात्र समस्या: एक विशेष प्रोटोकॉल के माध्यम से फ़ंक्शन कॉल के जवाब में, कोई पीई हेडर पार्सिंग कोड, हेडर पार्स और रिटर्न शिम नहीं है। यह आसानी से शिम या PreLoader से GRUB के लिए उपयुक्त कोड को पोर्ट करके तय किया जा सकता है।

तो साइलेंट UEFIinSecureBoot डिस्क था। परिणामस्वरूप डिस्क आर्किटेक्चर इस प्रकार है:

  ______ ______ ______ ╱│ │ ╱│ │ ╱│ │ /_│ │ /_│ │ → /_│ │ │ │ │ │ → │ │ │ EFI │ │ EFI │ → │ EFI │ │_______│ │_______│ │_______│ BOOTX64.efi grubx64.efi grubx64_real.efi (Kaspersky (FileAuthentication (GRUB2) Loader) override) ↓↓↓ ↑ ↑ ______ ↑ ╱│ │ ║ /_│ │ ║ │ │ ═══════════╝ │ EFI │ │_______│ fde_ld.efi + custom chain.mod (Kaspersky GRUB2) 

निष्कर्ष

इस लेख में, हमने पाया कि सुरक्षित बूट मोड को सक्षम करने वाली Microsoft कुंजी के साथ पर्याप्त विश्वसनीय बूटलोडर्स पर हस्ताक्षर नहीं किए गए हैं।
कास्परस्की रेस्क्यू डिस्क की हस्ताक्षरित फाइलों का उपयोग करके, हमने यूईएफआई डीबी या शिम एमओके को एक प्रमाण पत्र जोड़ने की आवश्यकता के बिना, सुरक्षित बूट सक्षम के साथ किसी भी अविश्वसनीय .efi फ़ाइलों का "मूक" डाउनलोड प्राप्त किया।
इन फ़ाइलों का उपयोग अच्छे कामों (यूएसबी फ्लैश ड्राइव से डाउनलोड करने के लिए) और बुरे लोगों के लिए (कंप्यूटर मालिक के ज्ञान के बिना बूटकिट्स स्थापित करने के लिए) दोनों के लिए किया जा सकता है।
मुझे लगता है कि Kaspersky प्रमाण पत्र लंबे समय तक नहीं चलेगा, और इसे निरस्त यूईएफआई प्रमाणपत्रों की वैश्विक सूची में जोड़ा जाएगा, जो विंडोज अपडेट के माध्यम से विंडोज 10 चलाने वाले कंप्यूटरों पर स्थापित किया जाएगा, जो कि कैस्परस्की रेस्क्यू 18 और साइलेंट यूईएफआईएनसिक्योरबूट डिस्क की लोडिंग को बाधित करेगा। देखते हैं कि यह कैसे होगा।

सुपर UEFIinSecureBoot डिस्क डाउनलोड करें : https://github.com/ValdikSS/Super-UEFIinSecureBoot-Disk
ZeroNet Git Center नेटवर्क पर साइलेंट UEFIinSecureBoot डिस्क डाउनलोड करें: http://127.0.0.1:43110/1KVD7PxZVke1iq4DKb4LNwui4UzEAdAv/