Secure Boot è una funzionalità di sicurezza fondamentale progettata per garantire che solo software affidabile venga eseguito durante il processo di avvio. Tuttavia, con l'emergere di vulnerabilità, meccanismi più avanzati come Targeting avanzato Secure Boot (SBAT) Sono stati introdotti miglioramenti per migliorarne la sicurezza. Questo articolo spiega i concetti chiave alla base di SBAT e come funziona per mantenere l'integrità del processo di avvio.

Come funziona l'avvio sicuro tradizionale #

Secure Boot funziona convalidando ogni componente del processo di avvio, a partire dal firmware che verifica il bootloader, che a sua volta convalida il kernel e così via. Questa catena di fiducia garantisce che solo i componenti verificati e firmati possano essere eseguiti. Se viene rilevata una vulnerabilità, il sistema revoca i componenti non affidabili aggiungendo il loro hash a una blacklist. Questo metodo si è dimostrato efficace, ma presenta delle difficoltà nella gestione della scalabilità e della complessità degli ambienti di avvio moderni.

Ad alto livello, il processo Secure Boot segue un modello di catena di fiducia:
1. Firmware UEFI: Verifica la firma del bootloader.
2. Bootloader: Verifica la firma del kernel.
3. nocciolo: Convalida i moduli caricati dinamicamente e qualsiasi codice kernel aggiuntivo.
4. Ambiente di runtime: La fiducia viene mantenuta, proteggendo l'ambiente di esecuzione del sistema.

Questo modello garantisce che vengano eseguiti solo i componenti firmati con una chiave attendibile. Tuttavia, quando viene scoperta una vulnerabilità in uno di questi componenti (ad esempio, il bootloader), un'implementazione tradizionale di Secure Boot richiede l'aggiunta dell'hash del componente a una blacklist, impedendo così l'esecuzione futura del binario. Il problema? Scala.

Il problema: gestire un gran numero di binari #

Ogni distribuzione Linux, ad esempio, può compilare la propria versione del bootloader (ad esempio, GRUB), creando numerosi file binari distinti con hash univoci. Quando viene identificata una vulnerabilità nel codice del bootloader sottostante, ogni file binario interessato deve essere revocato individualmente. Dato che lo spazio di archiviazione disponibile per gli hash di revoca (tipicamente memorizzato nella NVRAM) è limitato, questo approccio non è sostenibile per ambienti di grandi dimensioni.

SBAT: Miglioramento della scalabilità dell'avvio sicuro #

Il Secure Boot Advanced Targeting (SBAT) è progettato per risolvere questo problema di scalabilità, abbandonando la revoca di singoli hash binari e introducendo invece generazioni di sicurezza. Il meccanismo SBAT funziona come segue:
1. Numero di generazione di sicurezza: A ogni componente di avvio (bootloader, kernel, ecc.) viene assegnato un numero di generazione. Questo numero viene incorporato nel binario firmato durante il processo di compilazione.
2. Variabile SBAT:È stata introdotta una nuova variabile firmware per memorizzare la generazione di sicurezza minima consentita per ciascun componente.
3. Logica di convalida: Durante il processo di avvio, il sistema verifica il numero di generazione di sicurezza del componente successivo rispetto alla generazione minima definita nella variabile SBAT. Se la generazione del componente è inferiore alla soglia, il componente viene rifiutato e il processo di avvio si interrompe.

Flusso SBAT #

• Il firmware avvia il bootloader e verifica la generazione della sicurezza SBAT.
• Il bootloader convalida il numero di generazione del kernel.
• Il kernel può convalidare i numeri di generazione di sicurezza di altri moduli, se necessario.

Questo approccio consente di revocare più versioni di file binari vulnerabili semplicemente aumentando il numero minimo di generazione nella variabile SBAT, senza la necessità di memorizzare hash individuali.

Implementazione di SBAT: componenti chiave #

Sezione SBAT nei binari firmati #

Ogni componente nella catena di avvio deve includere una sezione di metadati SBAT che contenga:

• Il nome del componente.
• Numero di generazione di sicurezza corrente del componente.

Integrazione del firmware #

Il firmware di sistema deve essere aggiornato per riconoscere e gestire la variabile SBAT. Questo include:

• Memorizzazione della variabile SBAT nella NVRAM.
• Controllo dei metadati SBAT nei componenti di avvio.
• Rifiutare tutti i componenti con numeri di generazione obsoleti.

Gestione delle politiche di sicurezza #

L'aggiornamento della variabile SBAT fa parte della gestione complessiva della politica di sicurezza del sistema. Qualsiasi aggiornamento deve incrementare il numero di generazione in tutti i componenti rilevanti della catena di avvio per garantire una protezione continua.

SBAT e Secure Boot Hardening #

Adottando SBAT, le organizzazioni possono:
1. Ridurre le spese generali di revoca: Invece di memorizzare numerosi hash di binari vulnerabili, è necessario aggiornare solo il numero di generazione.
2. AUMENTA LA SICUREZZA:I componenti vulnerabili possono essere bloccati in modo più efficiente, mitigando i rischi senza esaurire lo spazio di archiviazione del firmware.
3. Rollout più facili:Gli amministratori di sistema possono gestire più facilmente gli aggiornamenti del firmware e le configurazioni Secure Boot, garantendo tempi di risposta più rapidi alle vulnerabilità.

Conclusione #

Secure Boot Advanced Targeting (SBAT) è un metodo efficace per gestire gli aggiornamenti di sicurezza nella catena di Secure Boot senza sovraccaricare l'infrastruttura di storage o di sicurezza del sistema. Integrando i numeri di generazione in ogni componente di avvio e utilizzando un singolo meccanismo di aggiornamento per applicare tali generazioni, SBAT offre scalabilità e flessibilità per la gestione del panorama in continua evoluzione della sicurezza di avvio.

Per i moderni sistemi Linux e Windows, SBAT garantisce un ambiente Secure Boot più solido e resiliente, in grado di rispondere rapidamente alle minacce con un sovraccarico operativo minimo.