Broncode en authenticatiesleutel uefi-firmware AMI liggen op straat

Via een open ftp-server van een Taiwanese moederbord- en videokaartfabrikant zijn de broncode van American Megatrends-firmware en een authenticatiesleutel voor uefi-firmware voor Intels Ivy Bridge op straat komen te liggen.

De open ftp-server werd ontdekt door Brandon Wilson, schrijft Adam Caudill op zijn blog. Op het systeem stonden bedrijfmails, systeem-images en Excel-documenten met gevoelige informatie en specificaties van producten. In een folder met de naam Code stonden de interessantste bestanden, aldus Caudill.

Zo trof hij broncode voor verschillende versies van uefi-firmware van American Megatrends Incorporated oftewel AMI aan, onder andere die voor Intels Atom Cedar Trail, Sandy Bridge en Ivy Bridge. Uefi is de opvolger van bios. Van de firmware voor Ivy Bridge stond ook de authenticatiesleutel op de server, die wordt gebruikt voor de validatie als gebruikers hun uefi updaten. Met de broncode en de sleutel kunnen kwaadwillenden in principe versies van de firmware maken met backdoors of andere malware, die vervolgens zonder problemen geïnstalleerd kunnen worden op systemen van gebruikers.

In het verleden zijn vergelijkbare authenticatiemethodes misbruikt om systemen te laten denken dat het bij kwaadaardige code om legitieme software gaat. Zo gebruikte Stuxnet certificaten van het Taiwanese bedrijf Realtek. De authenticatiesleutel van de uefi-firmware zou lastig in te trekken zijn en het uitlekken van de broncode kan nog lang gevolgen hebben, omdat concurrenten van American Megatrends en mogelijke kwaadwillenden nu volledige inzage in de code hebben.

De firmwareversies zijn recent, wellicht van februari vorig jaar. "Ik hoop dat American Megatrends een grondige beveiligingsaudit van zijn code gaat uitvoeren om er zeker van te zijn dat het lek gebruikers niet kwetsbaar maakt", schrijft Caudill. De beveiligingsexpert maakte zelf overigens ook een klassieke fout door details over het lek te publiceren die naar het bewuste Taiwanese bedrijf te herleiden zijn.

Reacties (42)

[OddesE]

het uitlekken van de broncode kan nog lang gevolgen hebben, omdat concurrenten van American Megatrends en mogelijke kwaadwillenden nu volledige inzage in de code hebben.

Dat lijkt me de definitie van 'security through obscurity'.
Het uitlekken van de broncode zou niet uit moeten maken. Een goed secure systeem blijft secure, ook als je weet hoe het werkt.
Het uitlekken van het certificaat daarentegen is wat anders, Dat is een kleine ramp.

[Sir Isaac]

It's no bug, it's a feature. Straks kunnen willekeurige, niet gesigneerde, linux kernels nu geboot worden door UEFI en secure boot.

[Reactie gewijzigd door Sir Isaac op 23 juli 2024 00:55]

[Verwijderd]

jaa, dat zou vet zijn. dan zijn we weer terug in de tijd waarin secure boot niet bestond. en dat was een prima tijd.

*baalt nog altijd van dit soort onzin, die puur bedoeld is om mensen aan een bepaald OS te binden, ipv om security te bieden, want jezus, hoevaak heb je nou bootsectorvirussen of wat dan ook*

[thof]

Secure boot kun je toch ook gewoon uitschakelen in de BIOS: http://www.eightforums.co...-enable-disable-uefi.html
Vervolgens heb je weer een normale bootomgeving waarbij je kan installeren wat je wil. Het is een extra laag beveiliging, niet een verplichte. Hij staat standaard wel ingeschakeld bij Windows 8 pre-installed systemen, maar dat zou niet een probleem moeten vormen mits je het uitschakeld. Hoe een dualboot setup er mee omgaat heb ik nog niet geprobeerd.

[Blokker_1999]

De vrees bestaat dat MS op een dag Secure Boot verplicht zal stellen voor Windows. De enige manier om hacks zoals Windows 7 loader op effectieve manier tegen te gaan. En als ze daarna OEMs nog gaan verplichten om, net zoals bij Win RT tablets, SB niet uitschakelbaar te maken dan ben je ineens geen baas meer over je eigen PC. Het feit dat ze het vandaag bij Win RT tablets al doen toont aan dat ze het durven verplichten, dus zeg nooit dat het op de PC zo ver niet zal komen.

[mschol]

maar de voorwaardes van UEFI/Secure boot verbieden toch juist dat het verplicht gesteld wordt/niet uitgeschakeld kan worden? (_{of heb ik dat verkeerd begrepen uit eerdere berichtgeving})

[latka]

Dat is nu het geval. De volgende versie zou het best eens verplicht kunnen maken.

[SED]

Misschien wordt linux wel closed source..

[Dreamvoid]

Dat hangt er van af, als er signed bootloaders zijn dan kunnen er prima andere OSsen worden gedraaid.

[loekf2]

Ik heb nu twee PCs in elkaar gezet en bij beiden stond secure boot default uit.

[mashell]

Als jij er 100.000 gaat maken en een dealtje met Microsoft sluit om Windows 8 OEM mee te leveren dan staat in je contract dat je dit aan moet zetten.

[Verwijderd]

Toevallig heb ik UEFI vanochtend uit moeten schakelen op een Vaio van een collega.
Om in te loggen op het bedrijfsnetwerk moeten wij booten van een usb-stick met een linux omgevingkje er op. (Die zet de VPN en dergelijke op.)
Met UEFI aan kan je gewoon niet booten van usb, hij ramde in 1 keer door naar win8, zonder op toetsen te letten.

[Mathijs]

De kunst is om direct de toets te drukken na de POST-piep en niet te wachten op het scherm met de text met opties. Dan ben je bij een UEFI meestal al te laat.

[Sir Isaac]

Secure boot kan op dit moment nog uitgeschakeld worden op x86 systemen. Op ARM niet. Straks vergeet MS dit, net zoals ze het browser keuzescherm even waren vergeten. En dan ben je als consument de pineut. Dus is het mooi dat er al broncode en sleutels lekken.

[farlane]

En dit zal de eerste van vele sleutels zijn die openbaar worden gedurende de levensloop van uefi, wat het hele secure boot nog een grotere wassen neus maakt.

Misschien dat de partijen die belang bij 'controlled-by-me boot' hebben eens op de vingers getikt worden door de consument.

[SED]

Het gaat hier helemaal niet om secure boot!
Uefi als open standaard heeft nu een key verloren waarmee de validiteit van een uefi update gewaarborgd kan worden.

Secure boot is een prima aanvulling op een compleet securitymodel. Houden dus!

[CARLiCiOUS]

Natuurlijk gaat het hier ook om secure boot.
Het uitlekken van deze key geeft ieder stuk malware de mogelijkheid om de bios image te updaten, denk aan de mogelijke gevolgen, bijvoorbeeld:
- keys kunnen worden toegevoegd aan de secure boot whitelist
- het hele secure boot mechanisme kan eruit worden gepatcht
- malware kan op uefi-niveau worden geinstalleerd, waardoor deze alleen met een bios update te verwijderen valt, maar:
- het update mechanisme kan worden gesloopt waardoor de malware permanent wordt

Overigens is het lekken van deze key niet zo'n ramp, met deze key kan je enkel de bios op moederborden van de betreffende fabrikant updaten.
Bovendien kan je je afvragen of een signature check in het update mechanisme uberhaupt iets uithaalt. Je kan namelijk de rom gewoon direct aanspreken en flashen. En dus omzeil je hiermee de signature check in zijn geheel. (Even aangenomen dat de rom schrijfbaar is, en niet door de bios voor het laden van de kernel wordt gelockt, wat volgens mij in de praktijk eigenlijk nooit gebeurd).

OT: Als je het mij vraagt is secure boot een wassen neus. Het wordt gepresenteerd alsof het een feature is om malware tegen te gaan, terwijl er vziw welgeteld één virus ooit heeft bestaan die over functionaliteit beschikte om de bios te overschrijven. Een oplossing voor een niet bestaand probleem dus. In de praktijk is het enkel een middel dat wordt ingezet om de consument controle te doen ontnemen over zijn/haar eigen hardware.

[An1mA]

Heeft dit nu grote gevolgen voor bezitters (consumenten) met een AMI uefi moederbord? Volgens mij niet tenzij je een bewerkte firmware/update download of bekijk ik het te simpel?

[Dreamvoid]

Als je al geinfecteerd bent en in een botnet zit, kan je PC door de trojan met een geinfecteerde UEFI worden geflashed, waardoor je de rootkit nooit meer kwijt bent.

[RoestVrijStaal]

Dat betwijfel ik.
Als de hackers het inderdaad slim aanpakken, dan maken ze de updatefunctie onklaar. Maar dan kan de malware zelf ook niet geupdatet worden voor een nieuwe lijst met nieuwe Command & Control-servers of een ander signature bijvoorbeeld.
Daar komt bij dat hopelijk bij de ontwikkeling van UEFI ook over het veilig updaten van UEFI nagedacht is.

[Peetke]

Dit kan best wel fijn zijn voor ontwikkelaars van bijvoorbeeld Coreboot. Mogelijk dat die via partijen als Google inmiddels wel deels inzage krijgen in code, maar meestal is dit onmogelijk voor de community. En de lekkende partij in deze was overigens Jetway.

[Blokker_1999]

Neen, eigenlijk niet. Uiteindelijk kan dit zelfs de ontwikkeling van alternatieve open firmwares vertragen. Wanneer devs van dat project zich laten inspireren door commerciële code die ze toevallig te zien krijgen bestaat de kans dat AMI er tegen gaat optreden.

Na de lek van de code van Windows heel wat jaren terug dook later ook het verhaal op als zouden er fouten gemaakt zijn bij de ontwikkeling van reactos. Direct heel het project stilgelegd en een audit gestart die heel veel tijd in beslag heeft genomen en die beter had besteed geweest aan ontwikkeling van het project dan een audit die uiteindelijk heeft aangetoond dat er niets mis was met de code.

[THX]

Ik voorzie een nieuwe methode voor Windows8 OEM activatie...

[teamacc]

Windows 8 gebruikt OA 3.0, welke een externe server nodig heeft. Op dit moment is er bij mijn weten niemand die dat aan probeert te vallen, om de doodeenvoudige reden dat er eenvoudigere manieren zijn.

Bron: http://forums.mydigitalli...enses-AKA-OA2-2-and-OA3-0

[RoestVrijStaal]

Wat zou nou eigenlijk het probleem zijn?

Voor UEFI zou om te beginnen sneller updates uit kunnen komen want UEFI zelf is in C / C++ geschreven, terwijl BIOS grotendeels geschreven is in het foutgevoeligere assembly.

In mijn ogen is het dus voor AMI gewoon zaak om een nieuw authenticatiesleutel te kopen, huidige code veranderen (bijv. memory registers op een andere plek zetten), de binairy blob-update op een ftp-server zetten (desnoods de update pushen via Microsoft Update) en klaar is kees

[tweakmiv]

Wat nu als windows niet meer start omdat windows de uefi key niet vertrouwd.

Het vertrouwen met uefi en de sleutels werkt namelijk in verschillende richtingen.
Volgens de regels zou de gestolen key nu opgenomen moeten worden in de blacklist en niet vertrouwd mogen worden. Dit betekend dat windows, moederborden die de gestolen key presenteren ter authenticatie niet mogen vertrouwen en windows dus niet mag opstarten. De uefi is namelijk niet meer te vertrouwen dat hij authentiek is.

De chain of trust is namelijk vanaf het onderste nieveau verbroken.

[Reactie gewijzigd door tweakmiv op 23 juli 2024 00:55]

[BeosBeing]

Klopt, ieder moederbord met deze u-efi versies is dus niet meer te vertrouwen en dus mag W8 daar niet meer van kunnen booten. In principe zouden installer (net als bij de Mac) en bootloader dat dus steeds online moeten checken. (is een probleem als de verificatieserver down is) De gebruiker of diens it-bedrijf (intern of extern) moet dan dus eerst een firmware-update doen om de uefi bij te werken.

Dat wordt "leuk" als je in je bedrijf een paar honderd pc's langs moet en ook voor de moederbord-fabrikant is het fijn dat er voor meerdere generaties moederborden op stel en sprong nieuwe firmware's gemaakt moet worden. Uiteraard zal men dan prioriteiten moeten stellen en keuzes moeten maken en voor generaties die al lang uit productie zijn later of zelfs helemaal niet meer een nieuwe versie te maken.

Zo kan het bewust lekken van een sleutel dus actief misbruikt worden om systemen voordat ze versleten zijn onbruikbaar te maken, immers als het te lang duurt of er is geen zicht op de termijn waarop de nieuwe uefi-versie beschikbaar is, zal men de systemen moeten vervangen en als een fabrikant dan geen nieuwe firmware meer uit brengt, zal W8 op die systemen nooit meer starten.

Nu bieden moederbordfabrikanten gelukkig nog firmwareversies aan lang nadat de praktische bruikbaarheid vrijwel is verdwenen door de steeds verdergaande ontwikkelingen maar als met uefi en authenticatieleutels het ondersteunen een stuk omslachtiger en dus duurder geworden is, zou men dit best wel eens kunnen compenseren door het verkorten van de periode met de ondersteuning.

[Verwijderd]

Waar ik een beetje moeite mee heb, en begrijp me niet verkeerd, dit is niet de 1e keer.. Tweakers.net is opzich zelf een heel goede Techzine laat ik daar voorts duidelijk mijn standpunt over innemen.
Waar ik mij meer aan stoor is dat nieuwsberichten oa. klakkeloos worden overgenomen, er wordt een vertaler op gezet en bam, submitten die news-post. Waarheidsgehalte is praktisch altijd gewaarborgd, daar er gewoon copy/paste wordt gehanteerd, blijkelijk.

Ik zal mijzelf niet de ruimte gunnen om nu een hele waslijst aan 'schoonheidsfouten' hier neer te zetten, dan zou ik kwaad met kwaad willen bestrijden. Doch ben ik van mening dat voor waarheidsvinding de regel 'De firmwareversies zijn recent, wellicht van februari dit jaar.' gerectificeerd dient te worden. Het is namelijk een firmware met een copyright is ondertekend tot 2012. Ook nergens kan ik opmaken uit de _orginele_ blogpost dat de firmware van dit jaar zou zijn.. noch van 2012.
Corrigeer me en excuses voor als ik de spijker volledig scheef in het hout aan het slaan ben, maar éénzijdige reviews, aannames, waaronder toevoegingen niet gebasseerd op waarheidsvinding. Dat zijn grondbeginselen van Journalistiek bedrijven. Nu geef ik direct toe, ik ben maar een simpele tech.. Maar dat neemt niet weg dat nieuwsgaring, hoe die ook plaatsvind, altijd plaatsvind naar waarheidsvinding, geen natte vinger werk.

Om even on-topic te komen: De gatenkaas is toch al groot, er is ooit een weg ingeslagen waar iedereen nu van terugkomt maar het is helaas de werkelijkheid van vandaag en morgen. Maar zolang meer en meer mensen hun zaken 'op orde' brengen, hoe beheersbaarder de gatenkaas wordt. En hoe makkelijker het word om 'kwaadwillenden' te isoleren.

Bij deze mijn diplomatiek gezinde aanklacht tegen de Journalistieke nieuwsvoering alhier en hopende dat dit Tweaker-testament van harte wordt aangenomen als advies, niet als denigrerend.
Ik dank u wel.

[Monkeydancer]

Misschien wordt het dan maar eens tijd dat UEFI opensource gaat. Erg vervelend, maar als de code toch al open en bloot op straat ligt....

[LOTG]

Uefi is volgens mij al open. Het is gewoon een gestandaardiseerde specificatie en interface. Iedere moederbordfabrikant implementeert in hun firmware.

Wat niet open is, dat is de aansturing van de daadwereklijke hardware en dat ligt dus nu op straat.

[SED]

Het is al een open standaard.

[Verwijderd]

... het is nu dus open-source geworden.

[thof]

De source is open geworden, maar het is niet Open source als in de zin van je mag het gebruiken in nieuw/afgeleide werken.

[El_ByteMaster]

Volgens mij heeft niemand nog iets gereleased van wat er op die ftp server stond, anders dan wat screenshots.