최근에 우리는 여기 블로그에서 공유합니다 에 관한 뉴스 듀얼 부팅 시 Microsoft 업데이트로 인해 발생한 문제 GRUB를 사용하는 Linux 배포판. 이 사건과 관련하여 우리는 기사에서 이 업데이트의 "목적"이 공격자가 보안 부팅 보호를 우회할 수 있게 해주는 2022년 전의 GRUB 취약점인 "CVE-2601-XNUMX"을 해결하는 것이라고 언급했습니다. 결국 많은 사용자에게 피해를 입혔습니다.
행사가 끝난 지 며칠 후, 매튜 개렛, 유명한 Linux 커널 개발자, 나는 노트를 출판한다 그는 SBAT 메커니즘의 작동을 설명했습니다. 그 안에는 SBAT가 취약점을 차단하도록 설계되었다고 언급 디지털 서명을 취소할 필요 없이 부트로더에서 그리고 최근 사건의 핵심 요소가 되었습니다 UEFI 보안 부팅을 사용하는 시스템의 일부 Linux 배포판에 영향을 미치는 Windows 업데이트로 인해 부팅이 불가능해졌습니다.
개럿에 따르면, Microsoft와 일부 Linux 개발자 모두 책임을 공유합니다. 문제: 모든 시나리오에서 업데이트를 적절하게 테스트하지 않은 MicrosoftGRUB 및 SBAT 세대 번호를 업데이트하지 않은 Linux 개발자 GRUB에서 취약점이 발견되었을 때.
Garrett은 또한 UEFI 보안 부팅 사양이 만들어졌을 때 관련된 모든 사람들이 어느 정도 그 복잡성을 과소평가했다고 언급했습니다.
기본 보안 부팅 보안 모델에서는 커널 수준의 권한 있는 환경에서 실행되는 모든 코드를 실행 전에 확인해야 한다고 명시합니다. 즉, 펌웨어는 부트 로더를 확인하고, 부트 로더는 커널을 확인하고, 커널은 런타임에 로드된 추가 코드를 확인합니다. 이에 따라 추가적인 보안정책을 적용할 수 있는 보안환경이 구축된다.
또한 사양에는 "오류 발생" 가능성이 있지만 신뢰할 수 없는 서명된 구성 요소를 취소하는 메커니즘이 포함되어 있음을 명시합니다. 문제가 있는 코드의 해시는 단순히 변수에 추가되고 다음과 같은 코드가 로드됩니다. 해당 해시는 신뢰할 수 있는 키로 서명된 경우에도 마찬가지입니다.
여기까지는 모든 것이 좋아 보이지만 Garrett은 문제가 규모와 주로 단편화에 있다고 언급합니다. Secure Boot 생태계의 각 배포판은 자체 파일을 생성합니다 각각 자체 해시가 있는 부트로더용 바이너리입니다.
그렇기 때문에 이렇게 설명한다. 취약점이 발견된 경우 부트로더의 소스 코드에서 많은 수의 파일을 취소해야 합니다. 다른 바이너리. 또한 이러한 해시를 모두 포함하는 변수를 저장하는 데 사용할 수 있는 메모리는 제한되어 있습니다. 새 해시 세트를 추가할 공간이 충분하지 않습니다. GRUB에서 취약점이 발견될 때마다 다른 솔루션이 필요한 이유입니다.
그 해결책은 SBAT였습니다.
SBAT의 개념은 비교적 간단합니다. 부팅 체인 내의 각 중요 구성 요소는 서명된 바이너리에 포함된 보안 생성 번호를 선언합니다. 취약점이 식별되고 수정되면 이 세대 번호가 늘어납니다. 여기에서 허용 가능한 최소 세대를 설정하는 업데이트를 발행할 수 있습니다. 부팅 구성 요소는 이 번호를 확인하여 부팅 체인의 다음 항목을 실행할 수 있는지 확인하고 이름과 빌드 번호를 펌웨어 변수에 저장된 값과 비교합니다.
수많은 개별 해시를 취소하는 대신 단일 업데이트로 "이 숫자보다 보안 세대가 낮은 GRUB 버전은 신뢰할 수 없는 것으로 간주됩니다."라고 말할 수 있습니다.
리눅스, 진짜 책임
Garrett은 오류가 다음과 같다고 언급합니다. 업데이트 후 일부 시스템이 부팅되지 않도록 방지합니다. Microsoft 코드에서 나온 것이 아니라 shim 구성 요소에서 나온 것입니다. Linux 부트로더의 일부입니다.
Microsoft가 SBAT 업데이트를 출시했지만 이전 버전의 GRUB 실행을 거부하는 것은 Linux 부트로더이므로 기술적인 관점에서 모든 것이 예상대로 작동합니다.
그 이유는 진짜 문제 여러 가지 사실이 있습니다. Linux 배포판은 GRUB의 업데이트 버전을 출시하지 않았습니다. 보안 수정 사항과 차세대 SBAT가 통합되어 있습니다. 이로 인해 shim이 실행을 차단하므로 해당 GRUB 버전이 안전하지 않은 것으로 간주됩니다.
GRUB는 Microsoft가 아닌 Linux 배포판 자체에서 서명되므로 업데이트 시 외부 지연이 발생하지 않는다는 점을 기억하는 것이 중요합니다.
Garrett의 설명에 따르면, Microsoft가 업데이트를 출시했다고 언급했습니다. 그래야만 Windows에서만 적용됩니다.) 문제는 여전히 취약한 버전을 관리하는 배포판 부분에 있었습니다. 듀얼 부팅 문제 발생
마지막으로 그는 이 사건에서 다음과 같이 언급했다. 불행하게도 이 상황의 주요 피해자는 최종 사용자입니다., 갑자기 원하는 운영 체제를 부팅할 수 없다는 것을 알게 되었습니다.
이는 절대로 있어서는 안되는 일입니다. UEFI 보안 부팅이 기본적으로 활성화되어야 한다는 점을 이해하고 일반적으로 Microsoft의 결정을 지지하지만, 이중 부팅 시스템에서 업데이트를 방지하려는 시도가 예상대로 작동하지 않았다는 것은 분명합니다.
낮잠 그것에 대해 더 알고 싶어, Matthew Garrett의 원본 메모를 참조하시기 바랍니다. 다음 링크에서.