Secure Boot : 11 shims signés par Microsoft permettaient de contourner la protection

Florian BURNEL - ITConnect - 16/07
ESET a identifié 11 shims UEFI signés par Microsoft et jamais révoqués. Copier l'un de ces binaires suffisait à contourner Secure Boot sur Linux ou Windows.

Onze chargeurs de démarrage UEFI signés par Microsoft et disponibles depuis des années permettaient de contourner Secure Boot sur la quasi-totalité des machines UEFI. Windows, Linux... Peu importe. Il suffisait de copier un vieux binaire sur la partition EFI pour exploiter cette faille. Voici ce que l'on sait sur ce problème de sécurité.

Sommaire

  • Onze shims oubliés, une signature jamais retirée
  • Aucun exploit inédit, un simple copier-coller suffit
  • Comment se protéger ?

Onze shims oubliés, une signature jamais retirée

Avec le Secure Boot activé sur un PC, le firmware UEFI vérifie chaque application de démarrage en regardant deux bases : db, qui liste ce qui est autorisé, et dbx, qui liste ce qui est interdit. La plupart des fabricants intègrent le certificat Microsoft Corporation UEFI CA 2011 dans db dès la sortie d'usine. C'est lui qui signe les composants de démarrage tiers. Le problème lié à ce fonctionnement, c'est que cela impliquait de faire valider par Microsoft chaque nouvelle version de GRUB 2 ou du noyau. Ce qui n'est pas tenable, d'où le shim.

Ce chargeur est signé une seule fois par Microsoft, e...
[Courte citation de 8% de l'article original]