Группа анонимных исследователей опубликовала сведения об универсальном ключе, позволяющем разблокировать любое устройство, защищённое при помощи технологии Secure Boot и использующее загрузчик Microsoft. В том числе ключ позволяет снять блокировку с любых планшетов и смартфонов, поставляемых с ОС Windows.

Интересно, что ключ был найден в составе отладочного инструментария, который был забыт на одном из устройств. Изучение инструментария показало, что входящий в его состав ключ позволяет обойти верификацию Secure Boot на уровне загрузчика Windows. Важно подчеркнуть, что это не PKI-ключ, применяемый для формирования цифровых подписей к исполняемым файлам, а ключ для отключения проверки в загрузчике, не влияющий на надёжность работы прошивок UEFI. Для пользователей подобная возможность позволяет отключить привязку к Windows и установить любую ОС на свой вкус, а для злоумышленников открывает двери для обхода системы верификации загружаемых компонентов и внедрения руткитов.

По сути, все устройства с верифицированной загрузкой Windows скомпрометированы и решить проблему выпуском обычного обновления не получается. Выявившие ключ исследователи поставили Microsoft в известность несколько месяцев назад, после чего компания Microsoft выпустила два обновления (MS16-094, MS16-100), связанные с Secure Boot, которые, тем не менее, лишь блокировали некоторые частные случаи, но полностью не закрыли выявленный бэкдор. Устранить проблему просто не получится, так как загрузчик уже поставляется в установочных носителях, а отзыв связанного с ним ключа повлечёт за собой неработоспособность установочных образов, разделов для восстановления и резервных копий.

С учётом того, что опубликованный ключ не является штатным закрытым ключом, при помощи которого выполняется верификация, а просто позволяет обойти защиту, возникает вопрос о предназначении универсального ключа, который рассматривается как универсальный бэкдор. Судя по тому, что мастер-ключ был найден в составе отладочного инструментария, он применялся для тестирования новых сборок без верификации. При этом утечка мастер-ключа Microsoft является прекрасным уроком для спецслужб, показывающим порочность практики внедрения бэкдоров в криптосистемы. В отличие от традиционной практики генерации отладочных ключей, привязанных к конкретному устройству, в найденном ключе не был указан идентификатор устройства, что привело к возможности его применения для переопределения полного набора правил загрузчика для любых устройств.

Дополнение: Анализ ключа от Мэтью Гаррета (Matthew Garrett), ранее получившего от Фонда СПО премию за вклад в развитие свободного ПО за достижения в области обеспечения загрузки Linux на системах с UEFI Secure Boot, а также за выявление, анализ и исправление проблем, возникающих при использовании Linux на системах с прошивками UEFI. Проблема не затрагивает пользователей Secure Boot на системах, отличных от Windows. Проблема также уже решена в новых сборках Windows 10 Anniversary Update. В старых загрузчиках Microsoft может попытаться блокировать установщики правил верификации, без помещения в чёрный список всего загрузчика. Но не исключено, что найдётся способ установки правил в обход черных списков загрузчика, тогда проблема останется неисправленной. При этом опасность уязвимости частично смягчает то, что установка в загрузчик новых правил верификации требует ручных действий со стороны пользователя и затрудняет применение утекшего ключа в автоматизированных атаках.