¿Arranque seguro en Microsoft Surface Pro 3 (o PC modernas)?

10

Conseguí un Surface Pro 3 hoy (¡es increíble, por cierto!) y notaste en su EFI que tiene

  • TPM habilitado,
  • "Arranque seguro" habilitado (no estoy seguro de lo que realmente cubre el término que cubre todo el término)

Y luego en Windows 8.1, tiene

  • BitLocker activado

Me sorprendió un poco que el sistema operativo pudiera iniciarse completamente (en la pantalla de inicio de sesión del usuario) sin ninguna entrada del usuario; lo que significa que todo el material de codificación es residente y está disponible para la máquina sin la intervención del usuario. También me hizo reflexionar un poco sobre el proceso, así que pensé en publicar esto aquí.

Pregunta: ¿Puede alguien enumerar el proceso de inicio seguro (como se implementó en las PC modernas) y cómo se establece y mantiene la cadena de confianza?

Finalmente, ¿cómo le da esto al usuario la seguridad de que su máquina no se ha comprometido detrás de ellos? (como Evil Maid, etc.)

    
pregunta DeepSpace101 09.10.2014 - 02:37
fuente

2 respuestas

10

Proceso de arranque

Arranque seguro

Hay varios pasos para iniciar Windows 8. Ahora, el arranque seguro en general significa que el cargador de arranque solo se ejecuta si se puede verificar su integridad. En este caso, si está habilitado, UEFI se inicia antes que nada y comprueba que el cargador de arranque esté firmado por un certificado de confianza Autoridad. Para un sistema operativo en general, solo el fabricante es de confianza, por ejemplo, Microsoft Mientras el gestor de arranque esté firmado por Microsoft y verificado por la UEFI, entonces se iniciará el gestor de arranque. Incluso los controladores UEFI se verifican [1] .

El EUFI contiene una base de datos de autoridades de confianza registradas. Los usuarios pueden agregar sus propias autoridades de confianza a esta base de datos para permitir la carga de sistemas operativos que no sean de Microsoft.

Aquí es donde se utilizan Módulos de plataforma de confianza (TPM). Los TPM se pueden usar para almacenar claves o realizar rutinas de encriptación / firma / verificación. El TPM combinado con el UEFI es lo que permite la verificación del cargador de arranque y la carga de un sistema operativo.

Arranque de confianza
Ahora no es el final de un proceso de arranque seguro. Ahora que el sistema operativo se encuentra en un estado de inicio confiable, comienza a cargar el kernel, los controladores del sistema, etc. El inicio seguro también garantiza que los controladores del sistema estén firmados por una autoridad de certificación confiable (por ejemplo, Microsoft).

Descripción completa de la imagen de arriba

¿Por qué?

Rootkits
En cada etapa del proceso de arranque, ciertos fragmentos de código (controladores, servicios del sistema, etc.) se están registrando con el sistema operativo. Cuanto antes en el proceso de arranque que el malware puede enganchar es más probable que puedan:

  1. Persistir : incluso al reiniciar, el malware se vuelve a habilitar
  2. Ocultar : se coloca a sí mismo en una posición para evitar que el sistema operativo (y el antivirus) se den cuenta de que está allí.
  3. Privilegiado : continúe otorgándose altos permisos a sí mismo

Todos estos procesos de arranque se ejecutan con el privilegio más alto. Sin un mecanismo seguro para confiar en estos cargadores, los rootkits podrían instalarse con altos privilegios, y el sistema ni siquiera sabría que estaban allí. Requerir cargadores de arranque firmados y servicios / controladores del sistema disminuye las posibilidades de que un rootkit pueda establecerse en su sistema. Esto no significa que sea 100% seguro, solo lo hace mucho más difícil en ciertas etapas del arranque.

Evil Maid

Evil Maid se basa en la premisa de que un cargador de arranque pirateado puede instalarse en el sistema para hacer travesuras, registrar la contraseña utilizada para descifrar el volumen, etc. Este es exactamente el tipo de ataque que este proceso debe evitar. Un cargador de arranque no se pudo instalar aquí e iniciarse correctamente a menos que esté firmado por Microsoft (o alguna otra autoridad confiable SI el usuario decide confiar en otra persona). Esto parece bastante improbable, y sería inseguro agregar una tercera parte confiable a la base de datos de EUFI.

¿Podría una pieza de hardware venir con otras autoridades de confianza instaladas desde el distribuidor? Tal vez, pero ese es otro nivel de paranoia. Si estás preocupado en ese nivel, probablemente estés haciendo algo mal en la vida.

Habilitación de la autenticación de usuario

La guía anterior puede guiarlo a través de la habilitación de un TPM en Windows 8 y la configuración de una contraseña para él. No estoy seguro de si esto también se aplica a las tabletas.

    
respondido por el RoraΖ 09.10.2014 - 14:43
fuente
1

A continuación, el blog tiene una buena introducción al uso de Windows de arranque seguro, arranque de confianza y arranque medido: enlace En cuanto a 'horriblemente inseguros', ninguno de ellos es completamente seguro, por ejemplo, Intel ha creado la tecnología Boot Guard para ayudar a proteger el sistema a nivel de silicio / firmware, antes de que se active la tecnología de arranque seguro. Tanto Android como Chrome tienen un arranque similar basado en PKI Cargadores con arranque verificado. En cuanto a por qué la MS tiene el control de la confianza, son una opción como CA predeterminada del Foro UEFI. Un proveedor de OEM o BIOS podría elegir hacer su propia CA, pero también los requisitos de OEM de Windows agregan esto: Microsoft quiere tener cierto control sobre la experiencia del usuario de un sistema basado en Windows y su seguridad. Malo para la personalización del usuario y sistemas operativos alternativos, pero quizás algunas mejoras menores de seguridad en el proceso. HTH. Sotavento RSS: enlace

    
respondido por el Lee Fisher 31.07.2015 - 17:33
fuente

Lea otras preguntas en las etiquetas