Скомпрометированы цифровые подписи Intel для заверения прошивок 57 продуктов MSI и раскрыты ключи Intel Boot Guard

[Evengard]

Интересно, я один считаю такие утечки скорее благом, чем злом? Способом вернуть контроль за устройством его владельцу?

[NAI]

Интересно, я один считаю ...

Типа того, потому что утекли ключи которыми подписывали фирмваре

[Meklon]

До тех пор, пока не прилетит троян на уровень прошивки платы

[Marwin]

а он аналогично не может прилететь на ноут с необновлённым ME, на который вендор забивает уже через год-два? Я вот не очень понимаю, как обновить ME на тайгерлейке от асуса... обычными способами от десктопа ругается на подписи... а так может можно было бы пересобрать фирмварю

[dartraiden]

"Обычными способами" это какими? Что насчёт FWUpdateLcl?

а он аналогично не может прилететь на ноут с необновлённым ME

Менее вероятно.

[Marwin]

им самым... 15.0.42.2235 LP

Error 366: Failed to verify signature of OEM or RoT key manifests. For example: Error on update from Prodution to Pre-Production.

[Elian]

Работает способ с выпаиванием флешки и прошивки через программатор, но это хардкор

[Rusrst]

Там же во первых не одна флешка может быть, во вторых часть в мультиконтроллере вообще может быть, а в третьих ещё и чистый me регион нужен

[Evengard]

Серьёзно, массового распространения такие штуки врядли получат - сделать универсально практически нереально, а "окирпичить" цель вместо извлечения пользы легче лёгкого. А вот если вас "таргетно" "заказали" - то это не поможет. Придумают как хардовым программатором нужную плату перешить...

[DuckyMomo]

Придумают как хардовым программатором нужную плату перешить...

Зачем? Если оно подключено кабелем к интернету, то можно удалённо с этими ключами. Самое сложное - это заставить жертву перезагрузить компьютер. :D

[thevlad]

В чипсетах есть давно возможность выставления write-protection для модификации биоса. Раньше до boot guard, в каких-то HP шных биоса была такая защита, фирмварь клалась в какую-то область памяти, и вызывался soft reset. При перезагрузке биос забирал фирмварь, проверял на нее подпись, и прошивал, потом естественно выставлял write-protection флаг, который действовал до следующей перезагрузки.

В данном случаи Boot Guard, это штука которая работает, до начала исполнения кода биоса, и проверяет подпись, соответственно, даже если перепрошить флэшку программатором это мало поможет.

[VADemon]

Не против изложенного, но для дополнения: https://www.welivesecurity.com/2023/03/01/blacklotus-uefi-bootkit-myth-confirmed/

However, running as a bootloader gives them almost the same capabilities
as firmware implants, but without having to overcome the multilevel SPI
flash defenses, such as the BWE, BLE, and PRx protection bits, or the
protections provided by hardware (like Intel Boot Guard)

[etalonium]

Объясните обывателю, использующему продукцию интел, как во благо это может послужить мне?

[Goron_Dekar]

Больше контроля над тем, какие ОС запускать на оборудовании.

Больше пространства для написагия драйверов.

Шанс на повышение безопасности после инцедента

Меньше доверия к любым прошитым ключам, форме security by obscurity, вредной для индустрии в целом.

Теперь будет сложнее производителю впаривать не нужные и местами вредные для обычного пользователя технологии под видом безопасности.

[Tasta_Blud]

и что появилось куча "подписанных" дров с малварью, тоже благо? а с подписью ни один антивирь не вякнет

[DyadyaShura]

Так может и не стоит бездумно полагаться на антивирус?

[Tippy-Tip]

Не сочтите за рекламу, но у Касперского можно в настройках отключить доверие к цифровым подписям, т.е. он будет проверять дистрибутив несмотря на наличие цифровой подписи.

[Didimus]

Но с другой стороны это показывает уровень конторы и ее поделий

[i01dup]

неужели я смогу подписать самодельное ядро линукса этими ключами и оно загрузится через UEFI/SecureBoot без глупых вопросов ?

[Aelliari]

А сейчас ты не можешь самодельное ядро линукса подписать собственным, самосгенерированным ключом, добавить его в UEFI и загрузиться?

[kvazimoda24]

Уже год как подписываю ядро и доп. модули своим собственным ключом. А все "родные" выключил.

[N1ghtwish]

Также MSI настоятельно попросила своих клиентов не скачивать и не загружать на свои устройства ПО и инструменты от MSI (BIOS/UEFI/прошивки или драйверы) из любых сторонних источников, кроме официального веб-сайта MSI.

А то что, они обидятся?

[BugM]

А то придется отвечать может и в суде за малварь подписанную нужным ключиком.

[RalphMirebs]

.