Бэкдор также присутствует в Windows 8.1, Windows Server 2012, Windows 10 и Windows Server Core
С последним Patch Tuesday 12 июля 2016 года компания Microsoft устранила dev-бэкдор в Windows RT — в версии операционной системы Windows 8.x, портированной на устройства с 32-битными ARMv7. С его помощью разработчики и хакеры могли устанавливать на планшеты операционные системы, не одобренные Microsoft. Например, Android или GNU/Linux.
Бэкдор был внедрён программистами Microsoft на этапе разработки ОС, но после установки свежего обновления планшеты будут окончательно привязаны к Windows RT на аппаратном уровне.
Windows RT — это тупиковая операционная система, у которой нет будущего. Microsoft прекратила дальнейшую разработку. До окончания официального срока поддержки планшетов Windows RT осталось совсем недолго. Так, поддержка планшетов Surface RT заканчивается в 2017 году, а Windows RT — в 2018 году.
По этой причине настолько важной является возможность установить альтернативную операционную систему на планшеты. Для некоторых пользователей, которым планшет Windows RT достался вопреки их желанию (например, подарили на презентации или выдали на работе), возможность установки Linux была единственным способом извлечь хоть какую-то пользу из этого подарка.
Ежемесячное обновление программных продуктов Patch Tuesday традиционно проводится во второй вторник каждого месяца. В этот день выпускается кумулятивный пакет патчей за весь месяц, большая часть которых устраняет уязвимости в безопасности программ Microsoft. Вместе с последним обновлением выпущен бюллетень безопасности MS16-094, имеющий статус Important.
Протокол «безопасной загрузки» Secure Boot в UEFI (Unified Extensible Firmware Interface) BIOS проверяет сигнатуры загрузочного кода и блокирует любой загрузчик при несовпадении подписей. Таким образом, на компьютере с включенным протоколом Secure Boot невозможно запустить неавторизованный загрузчик. Подробнее о криптографических ключах и верификации кода в Secure Boot см. в статье «Немного про UEFI и Secure Boot».
На большинстве компьютеров это не является особой проблемой, потому что Secure Boot в BIOS можно отключить при наличии физического доступа к компьютеру.
Отключение Secure Boot
Но только на планшетах ARM с предустановленной Windows RT протокол Secure Boot вообще не отключается в штатном режиме.
Естественно, невозможность установить на хороший (в аппаратной части) планшет нормальную операционную систему ужасно раздражала. После длительной исследовательской работы и обратной разработки кому-то всё-таки удалось найти способ обойти процедуру «безопасной загрузки» на планшетах Windows RT с помощью специальным образом составленной политики, которая могла отключить проверку сигнатуры загрузочного кода, позволяя загружать на устройстве произвольные драйверы. Вдобавок, «злоумышленник» мог отключить проверку Secure Boot Integrity Validation для BitLocker и опции безопасности системы шифрования, говорится в бюллетене безопасности MS16-094.
К сожалению, технических подробностей о том, как именно обойти защиту Secure Boot на планшетах Windows RT, не опубликованы в открытом доступе. Известно только, что перед этим нужно отключить BitLocker.
manage-bde -protectors C: -disable
Зато точно известно, что уязвимость Secure Boot присутствует также в Windows 8.1, Windows Server 2012, Windows Server 2012 R2, Windows 10 и Windows Server Core. Для всех этих версий выпущены патчи, перечисленные в бюллетене MS16-094.
- Windows 8.1 32-bit: KB3172727
- Windows 8.1 x64: KB3172727
- Windows Server 2012: KB3172727
- Windows Server 2012 R2: KB3172727
- Windows 10 32-bit: KB3163912 (кумулятивный апдейт)
- Windows 10 x64: KB3163912 (кумулятивный апдейт)
- Windows 10 Version 1511 32-bit: KB3172985 (кумулятивный апдейт)
- Windows 10 Version 1511 x64: KB3172985 (кумулятивный апдейт)
- Windows Server 2012 (Server Core installation): KB3172727
- Windows Server 2012 R2 (Server Core installation): KB3172727
В бюллетене указано, что для применения эксплоита злоумышленник должен обладать административными привилегиями в системе или физическим доступом к устройству. Но если такой доступ есть, то с компьютером можно сделать что угодно, в том числе модифицировать системные файлы операционной системы.
Таким образом, если вы планируете установить на планшет альтернативную операционную систему, то ни в коем случае не устанавливайте обновление безопасности KB3172727. Для остальных версий Windows, наоборот, установка этого обновления настоятельно рекомендуется.
Microsoft дала понять, что несмотря на завершение разработки Windows RT, она не намерена открывать платформу для сторонних операционных систем. Это сильно подорвало бы сложившийся имидж компании. С другой стороны, и оставлять бэкдор в системе тоже нельзя, если уж о нём стало известно.
Автор: alizar
