De Secure Boot-ontwerpfout van Microsoft is ontdekt door beveiligingsonderzoekers

Microsoft introduceerde een functie genaamd "Secure Boot" met Windows 8. De functie verhinderde in feite dat gebruikers besturingssystemen installeren die niet door Microsoft zijn ondertekend - als Secure Boot bijvoorbeeld was ingeschakeld op uw Windows 10-apparaat, kunt u dit niet om er Linux op te installeren. Naast Windows-pc's was Secure Boot ook beschikbaar op Windows Phone-apparaten en Windows-tablets. Er zijn echter enkele apparaten waarop de gebruiker Secure Boot niet kan uitschakelen, waaronder Windows RT-, Windows Phone- en HoloLens-apparaten. Nu, beveiligingsonderzoekers Slipstream en MY123 konden Secure Boot omzeilen dankzij een ontwerpfout. Volgens aan de onderzoekers, Secure Boot bevat een "gouden sleutel" waarmee gebruikers de functie op hun apparaat kunnen uitschakelen. De gouden sleutel is blijkbaar door Microsoft zelf gelekt tijdens de ontwikkeling van Windows 10 versie 1607, en nu probeert het bedrijf het te repareren.

In het rapport staat dat Microsoft al twee patches heeft uitgebracht om het probleem op te lossen, maar het bedrijf was niet succesvol. Slipstream stelt dat Microsoft het probleem mogelijk kan oplossen, maar dat kan nog meer problemen veroorzaken:

Hoe dan ook, het zou voor MS in de praktijk onmogelijk zijn om elke bootmgr eerder dan een bepaald punt in te trekken, omdat ze de installatiemedia, herstelpartities, back-ups, enz.

Slipstream wees de FBI er ook op dat dit soort gouden sleutels niet echt veilig zijn:

'Over de FBI: lees je dit? Als dat zo is, dan is dit een perfect voorbeeld uit de echte wereld over waarom uw idee om cryptosystemen te backdooren met een "veilige gouden sleutel" erg slecht is! Slimmere mensen dan ik vertellen je dit al zo lang dat het lijkt alsof je je vingers in je oren hebt. Begrijp je het serieus nog steeds niet? Microsoft implementeerde een "secure golden key"-systeem. En de gouden sleutels werden vrijgelaten uit de eigen domheid van MS. Wat gebeurt er als je iedereen vertelt een "veilige gouden sleutel" -systeem te maken? Hopelijk kun je 2+2 toevoegen…”

U kunt het volledige rapport hier, waar de onderzoekers de fout beschrijven met meer informatie.