Secure Boot — это важная функция безопасности, призванная гарантировать, что во время загрузки выполняется только доверенное программное обеспечение. Однако по мере появления уязвимостей, более продвинутые механизмы, такие как Безопасная загрузка Расширенное нацеливание (SBAT) были введены для повышения его безопасности. В этой статье объясняются ключевые концепции SBAT и то, как он работает для поддержания целостности процесса загрузки.
Как работает традиционная безопасная загрузка #
Secure Boot функционирует, проверяя каждый компонент процесса загрузки, начиная с проверки загрузчика прошивкой, которая, в свою очередь, проверяет ядро и т. д. Эта цепочка доверия гарантирует, что только проверенные и подписанные компоненты разрешены к запуску. Если обнаружена уязвимость, система отзывает ненадежные компоненты, добавляя их хэш в черный список. Этот метод эффективен, но он сталкивается с трудностями в обработке масштаба и сложности современных сред загрузки.
На высоком уровне процесс безопасной загрузки следует модели цепочки доверия:
1. Прошивка UEFI: Проверяет подпись загрузчика.
2. Загрузчик: Проверяет подпись ядра.
3. ядро: Проверяет динамически загруженные модули и любой дополнительный код ядра.
4. Среда выполнения: Доверие передается вперед, обеспечивая безопасность среды выполнения системы.
Эта модель гарантирует, что выполняются только компоненты, подписанные доверенным ключом. Однако при обнаружении уязвимости в любом из этих компонентов (например, загрузчике) традиционная реализация Secure Boot требует добавления хэша компонента в черный список, что предотвращает запуск этого двоичного файла в будущем. В чем проблема? Шкала.
Проблема: Управление большим количеством двоичных файлов #
Например, каждый дистрибутив Linux может компилировать собственную версию загрузчика (например, GRUB), создавая множество отдельных двоичных файлов с уникальными хэшами. Когда уязвимость обнаруживается в базовом коде загрузчика, каждый затронутый двоичный файл должен быть отозван по отдельности. Учитывая, что хранилище, доступное для хэшей отзыва (обычно хранящихся в NVRAM), ограничено, этот подход не является устойчивым для крупномасштабных сред.
SBAT: Улучшение масштабируемости безопасной загрузки #
Secure Boot Advanced Targeting (SBAT) предназначен для решения этой проблемы масштабируемости путем отказа от отзыва отдельных двоичных хэшей и вместо этого внедрения генераций безопасности. Механизм SBAT работает следующим образом:
1. Номер поколения безопасности: Каждому компоненту загрузки (загрузчику, ядру и т. д.) присваивается номер поколения. Этот номер встраивается в подписанный двоичный файл во время процесса сборки.
2. Переменная SBAT: Введена новая переменная прошивки для хранения минимально допустимого поколения безопасности для каждого компонента.
3. Логика проверки: Во время процесса загрузки система проверяет номер поколения безопасности следующего компонента по минимальному поколению, определенному в переменной SBAT. Если поколение компонента ниже порогового значения, оно отклоняется и процесс загрузки останавливается.
Поток СБАТ #
- Прошивка инициирует загрузчик и проверяет его генерацию безопасности SBAT.
- Загрузчик проверяет номер поколения ядра.
- При необходимости ядро может проверять номера поколений безопасности других модулей.
Такой подход позволяет отзывать несколько версий уязвимых двоичных файлов, просто увеличивая минимальный номер поколения в переменной SBAT, без необходимости хранить отдельные хэши.
Внедрение SBAT: ключевые компоненты #
Раздел SBAT в подписанных двоичных файлах #
Каждый компонент в цепочке загрузки должен включать раздел метаданных SBAT, который содержит:
- Имя компонента.
- Текущий номер поколения безопасности компонента.
Интеграция прошивки #
Необходимо обновить прошивку системы для распознавания и обработки переменной SBAT. Это включает в себя:
- Сохранение переменной SBAT в NVRAM.
- Проверка метаданных SBAT в загрузочных компонентах.
- Отбраковка любых компонентов с устаревшими номерами поколений.
Управление политикой безопасности #
Обновление переменной SBAT является частью общего управления политикой безопасности системы. Любые обновления должны увеличивать номер поколения во всех соответствующих компонентах в цепочке загрузки для обеспечения непрерывной защиты.
SBAT и усиление защиты безопасной загрузки #
Приняв SBAT, организации могут:
1. Сокращение накладных расходов на отзыв: Вместо хранения множества хешей уязвимых двоичных файлов необходимо обновить только номер поколения.
2. Повышение безопасности: Уязвимые компоненты можно блокировать более эффективно, снижая риски без истощения хранилища прошивки.
3. Более легкое развертывание: Системные администраторы могут легче управлять обновлениями прошивки и конфигурациями безопасной загрузки, обеспечивая более быстрое реагирование на уязвимости.
Заключение #
Secure Boot Advanced Targeting (SBAT) — эффективный метод обработки обновлений безопасности в цепочке Secure Boot без перегрузки хранилища или инфраструктуры безопасности системы. Встраивая номера поколений в каждый компонент загрузки и используя единый механизм обновления для обеспечения этих поколений, SBAT обеспечивает масштабируемость и гибкость для управления постоянно меняющимся ландшафтом безопасности загрузки.
Для современных систем Linux и Windows SBAT обеспечивает более надежную и устойчивую среду безопасной загрузки, способную быстро реагировать на угрозы с минимальными эксплуатационными издержками.
