Prečo sa dá Windows Secure Boot obísť tak ľahko (a čo vám Microsoft nepovie)

Spoločnosť Microsoft používa Secure Boot na ochranu vášho počítača s Windows pred malvérom, útokmi a bezpečnostnými zraniteľnosťami ešte pred úplným načítaním operačného systému. Štandardne je na počítačoch s Windows Secure Boot zapnutý, aby overil, že akýkoľvek softvér spustený v Unified Extensible Firmware Interface (UEFI) je dôveryhodný a bezpečný. UEFI, jednoduchými slovami, je základný firmvér, ktorý sa spúšťa na inicializáciu hardvéru vášho počítača a na načítanie operačného systému. Vstavané bezpečnostné ochrany Windows nie sú aktívne, kým sa operačný systém úplne nenačíta, a preto je úlohou Secure Boot uzamknúť UEFI ešte predtým, než k tomu dôjde.

Viac ako desaťročie Secure Boot robil práve to. Tento bezpečnostný nástroj nebol verejne obchádzaný až do konca roku 2022 - predtým sa výskumníkom podarilo identifikovať len spôsoby, ako Secure Boot obísť. Všetko sa zmenilo s exploitom BlackLotus, ktorý zahŕňal UEFI bootkit s obchádzaním Secure Boot, ktorý sa objavil na predaj v októbri 2022. Exploit sa ukázal ako ťažšie opraviteľný, než sa očakávalo. Namiesto toho, aby sa Secure Boot „zlomil“, bypass metódy ako BlackLotus používajú staršie a dôveryhodné verzie bootloaderov s známymi zraniteľnosťami. Keďže ide o oficiálne bootloadery dôverované Secure Bootom, bezpečnostný softvér ich nerozpoznáva ako hrozbu.

Bezpečnostné záplaty na zraniteľnosti ako táto nie sú štandardne dodávané do počítačov s Windows. Vyžadujú spustenie príkazov PowerShell ako správca a nesú so sebou vážne prevádzkové riziká. Obe tieto skutočnosti spôsobujú, že používatelia aj podniky manuálne nezavedú opravu, čím milióny počítačov s Windows so Secure Boot zostávajú ohrozené možným obísťaním ochrany.

Secure Boot už nie je neprelomiteľný

Bezpečné spustenie bolo viackrát obchádzané

Je ľahké si myslieť, že Secure Boot je nemožné obísť, pretože desať rokov to tak bolo. Aj teraz zlomyseľní aktéri neporušujú Secure Boot tým, že by ho „zlomili“ ako taký. Namiesto toho nájdu verzie bootloaderu, ktoré sú legitímne a podpísané, ale obsahujú kritické bezpečnostné zraniteľnosti. Tieto downgrade útoky vracajú Windows Boot Manager na staršiu verziu so zraniteľnosťou, ktorú chce útočník využiť. Keďže systém Secure Boot rozpozná staršiu, ale zraniteľnú verziu Windows Boot Managera ako oficiálny softvér od Microsoftu, umožní jej načítanie.

Odtiaľ sa obchádza Secure Boot a útočníci môžu spúšťať nepodpísané ovládače alebo malware. Takto BlackLotus, najslávnejší obchádzajúci Secure Boot, dokázal ohroziť milióny počítačov s Windows 10 a Windows 11. Využil bezpečnostnú zraniteľnosť známu ako „Baton Drop“, sledovanú ako CVE-2022-21894, aby „prebral kontrolu nad koncovým bodom už od najskoršej fázy spúšťania softvéru“, podľa Americkej národnej bezpečnostnej agentúry.

Tu je popis, ako NSA opisuje obchádzanie Secure Boot, ktoré je stále možné aj dnes, v dokumente z roku 2023:

Namiesto toho, aby narušil bezpečnostný reťazec spúšťania Linuxu, BlackLotus ciele na spúšťanie systému Windows využitím chyby v starších zavádzačoch — nazývaných aj boot manažéry — na spustenie reťazca škodlivých akcií, ktoré ohrozujú bezpečnosť koncových bodov. Využitie Baton Drop (CVE-2022-21894) umožňuje BlackLotus odstrániť politiku Secure Boot a zabrániť jej vynucovaniu. Na rozdiel od Boot Hole, zraniteľné zavádzače neboli pridané do zoznamu odvolania DBX Secure Boot. Pretože zraniteľné zavádzače nie sú uvedené v DBX, útočníci môžu nahradiť plne opravené zavádzače zraniteľnými verziami, aby spustili BlackLotus.

Okrem technického žargónu je dôležité vedieť, že zraniteľné bootloadery neboli pridané do zoznamu odvolania DBX Secure Boot. Inými slovami, staršie bootloadery s touto kritickou bezpečnostnou chybou sú dnes stále dôveryhodné pre Secure Boot, aj po aktualizáciách. Zoznam odvolania DBX Secure Boot obsahuje zablokovaný kód a certifikáty, ktoré boli kedysi podpísané, ale teraz sú známe ako zraniteľné.

Má to blokovať načítanie nedôveryhodných modulov UEFI. Pretože však moduly alebo certifikáty ako ten použitý v exploit Baton Drop nie sú na tomto zozname, môžu sa stále spúšťať — a Secure Boot sa stále dá obísť.

Je to nemožná voľba pre Microsoft

Zrušenie kompromitovaných kľúčov Secure Boot môže zablokovať počítače s Windows

Už sa pravdepodobne pýtate, prečo spoločnosť Microsoft nepridala tieto chybné zavádzače do zoznamu odvolaní DBX pre Secure Boot. Odpoveď spoločnosti Microsoft na metódy obchádzania Secure Boot bola pomalá a automatická aktualizácia pre exploity ako Baton Drop a BlackLotus stále nie je k dispozícii. Po tom, čo sa BlackLotus dostal na trh v októbri 2022, oficiálna bezpečnostná aktualizácia sa k používateľom Windowsu dostala až v máji 2023. To však nevysvetľuje celý príbeh — ako vysvetľuje Microsoft v príručke o bezpečnostnej aktualizácii z roku 2023, aktualizovaný Windows Boot Manager nie je predvolene aktivovaný a jeho aktivácia vyžaduje manuálne kroky.

Tieto kroky nie sú presne jednoduché alebo používateľsky prívetivé, dokonca ani v roku 2026. Následné bezpečnostné aktualizácie, ako napríklad tá vydaná pre Správcu zavádzania Windows v júli 2025, stále automaticky neumožňujú opravy pre CVE-2022-21894. Ako uvádza dokument podpory Microsoftu, proces zahŕňa úpravu registra Windows, spustenie príkazov PowerShell ako administrátor, manuálne pridanie dotknutých certifikátov do zoznamu zakázaných položiek Secure Boot UEFI (DBX) a aplikovanie čísla zabezpečenej verzie (SVN) do firmvéru.

Priemerný používateľ systému Windows to nerobí — pravdepodobne ani nevie, čo je Windows Registry alebo ako spustiť príkazy PowerShell ako správca. A preto je Secure Boot stále možné ľahko obísť v roku 2026, roky po tom, ako sa stal známy exploit BlackLotus. Tak prečo Microsoft nevystužuje Secure Boot automatickou aktualizáciou?

Čo Microsoft bežnému používateľovi nepovie, je, že zabezpečenie systému Secure Boot automatickou aktualizáciou môže znefunkčniť neznámy počet počítačov a narušiť kompatibilitu s nespočetnými príslušenstvami. Niektoré zariadenia nemusia úspešne použiť Správcu spustenia Windows alebo sa stanú nefunkčnými. Okrem toho, obnovovacie médiá alebo systémové zálohy uložené na CD/DVD, PXE Boot alebo USB disku nebudú po nainštalovaní záplaty fungovať bez samostatnej aktualizácie obnovovacieho média.

Ak oprava zraniteľnosti, ktorá neovplyvní väčšinu používateľov, môže potenciálne poškodiť počítače a narušiť kompatibilitu s obnovovacími médiami alebo zálohami, stojí za to ju vykonať? Microsoft sa rozhodol nechať toto rozhodnutie v rukách používateľov Windows, a preto je to manuálny proces. Opäť, to je aj dôvod, prečo je Secure Boot relatívne ľahko obísť, za predpokladu, že sú splnené potrebné podmienky.

Čo môžete urobiť na ochranu svojich údajov

Pravidelne aktualizujte svoj BIOS a nastavte predbežný PIN BitLockeru

Tieto zraniteľnosti Secure Boot si vyžadujú fyzický alebo administrátorský prístup k počítaču so systémom Windows na ich zneužitie, čo robí ich využitie v reálnom svete zriedkavým. Na druhej strane, niekto s fyzickým prístupom k vášmu počítaču by mohol vrátiť verziu bootloadera na takú, ktorá je zraniteľná voči chybám Secure Boot, a potom spustiť exploit. Okrem manuálneho použitia riskantnej aktualizácie Windows Boot Managera existuje niekoľko krokov, ktoré môže každý podniknúť na zabezpečenie svojich systémov a ochranu svojich údajov.

Za prvé, držte svoj hardvér v správnych rukách a nepripájajte do svojho počítača nič, čomu nedôverujete. Rovnaký princíp platí aj vo vašom operačnom systéme. Nemali by ste poskytovať prístup správcu systému ničomu ani nikomu, kto ho nepotrebuje. Aby ste prijali preventívne opatrenia, zapnite BitLocker s PIN kódom, aby boli vaše dáta zabezpečené, aj keby bol Secure Boot obchádzaný. Okrem toho môžete nastaviť svoje zariadenie ako zabezpečený počítač (secured-core PC) na ochranu jadra Windows v prípade, že je zavádzací program kompromitovaný, ale to vyžaduje správne komponenty, ako čip TPM 2.0 a podporovaný procesor.

Na záver, Secure Boot je ľahko obísť, pretože útočníci ho nepraskajú — používajú oficiálne, dôveryhodné certifikáty bootloadera s bezpečnostnými zraniteľnosťami, ktoré je možné zneužiť. Keďže odvolanie týchto certifikátov je rizikový proces, stále sú dôveryhodné a Secure Boot je možné stále obísť.