- Saugus įkrovimas remiasi UEFI, raktų hierarchija (PK, KEK) ir duomenų bazėmis (DB, DBX), siekiant užtikrinti, kad būtų vykdoma tik patikima programinė-aparatinė įranga ir įkrovos įkrovikliai.
- Kadangi 2011 m. sertifikatų galiojimo laikas baigiasi 2026 m., reikia atnaujinti raktus ir duomenų bazes, kad būtų palaikoma įkrovos apsauga „Windows“ ir „Linux“ sistemose.
- Programinės įrangos stiprinimas sujungia „Secure Boot“ su pasirašytais atnaujinimais, patikimomis aparatinės įrangos šaknimis, šifravimu ir nuolatiniu stebėjimu.
- Tokie sprendimai kaip „FirmGuard“ ir patyrę įterptųjų sistemų partneriai palengvina nuotolinį valdymą, perkėlimą į UEFI ir saugių įkrovos grandinių diegimą.
Daugelyje kompiuterių ir įrenginių programinė įranga tyliai paleidžiama kiekvieną kartą paspaudus maitinimo mygtuką, tačiau visko kito patikimumas – arba pažeidžiamumas – priklauso nuo to momento. Kas yra programinė įranga ir kam ji naudojama ? Saugaus įkrovimo, UEFI ir patikimo programinės įrangos stiprinimo derinys lemia, ar sistema gali atlaikyti rimtas atakas, ar sistema gali būti pažeista paprasto kenkėjiško USB disko.
Šiame straipsnyje kalbėsime tiesiai šviesiai ir ramiai, bet tiesiai šviesiai paaiškinsime, kas yra „Secure Boot“, kaip jis susijęs su UEFI programine įranga, kokios problemos kyla dėl sertifikatų, kurių galiojimas baigiasi 2026 m. , ir kaip visa tai dera su „Windows“, „Linux“ ir įterptųjų sistemų saugumu. Taip pat pamatysite pažangius sprendimus, tokius kaip nuotolinis BIOS valdymas, vientisumo stebėjimas ir ekspertų partnerių vaidmuo, kai viskas tampa sudėtinga.
Kas yra saugus įkrovimas ir kodėl jis toks svarbus?
Saugus įkrovimas yra UEFI programinės įrangos saugumo funkcija , kuri kontroliuoja, kuri programinė įranga gali veikti pradinio paleidimo etapuose. Jos misija yra paprasta suformuluoti, bet sunkiai įgyvendinama efektyviai: užtikrinti, kad būtų paleistas tik pasirašytas ir patikimas kodas (paleidimo programos, UEFI tvarkyklės, EFI programos), ir blokuoti bet kokį dvejetainį failą, kuris neatitinka programinės įrangos apibrėžtų politikų.
Praktiškai UEFI programinė įranga lygina vykdomo kodo skaitmeninį parašą su viduje saugomais sertifikatais ir parašų sąrašais. Jei parašas sutampa su leistinu sertifikatu arba maišos kodu patikimoje duomenų bazėje (DB) , komponentas vykdomas; kitu atveju jis blokuojamas. Tai skirta užkirsti kelią įkrovos rinkinių ir kenkėjiškų programų, bandančių užgrobti įkrovos procesą, vykdymui.
Saugus įkrovimas (Secure Boot) masiškai atsirado kartu su „Windows 8“, kai pradėjo plisti grėsmės, kurios buvo įkeliamos prieš operacinei sistemai. Modelis susideda iš pasitikėjimo grandinės : pati UEFI programinė įranga patikrina savo vidinius modulius (pvz., „Option ROM“), tada patikrina įkrovos tvarkyklę (pvz., „Windows Boot Manager“ arba „shim/GRUB“ sistemoje „Linux“) ir tik tada, kai viskas priimama, ji perduoda valdymą tam įkrovos tvarkyklei, kuri savo ruožtu patikrina branduolį ir kitus dvejetainius failus.
Svarbiausia, kad „Secure Boot“ pasitikėjimą apibrėžia gamykloje nustatyta programinės įrangos politika . Ši politika išreiškiama rakto ir duomenų bazės medžiu: platformos raktu, kuris yra svarbesnis už visus kitus, KEK, kurie autorizuoja pakeitimus, ir dviem sąrašais – DB ir DBX, kurie nurodo, kas leidžiama, o kas draudžiama. Tinkamas šios ekosistemos valdymas yra toks pat svarbus, kaip ir saugaus paleidimo parinkties įjungimas „Windows 11“ meniu.
Rakto struktūra: PK, KEK, DB ir DBX
„Secure Boot“ pagrindas yra raktų ir parašų duomenų bazių hierarchija . Jos supratimas yra esminis bet kokiai apsaugos nuo virusų strategijai, tiek namų aplinkoje, tiek ypač įmonės ar kritinės svarbos infrastruktūros objektuose.
Viršuje yra platformos raktas (PK) , kurį paprastai generuoja ir tvarko aparatūros gamintojas. Šis raktas yra galutinis autoritetas: jį turintis asmuo gali keisti visus kitus „Secure Boot“ elementus, todėl jo pažeidimas kelia pavojų visai pasitikėjimo grandinei. Kai kurios organizacijos pakeičia numatytąjį PK savo raktu, kad įgytų platformos valdymą.
Vienu lygiu žemiau yra raktų mainų raktai (KEK) , kurie autorizuoja DB ir DBX duomenų bazių atnaujinimus. Paprastai yra „Microsoft“ KEK, vienas ar keli iš aparatūros gamintojo, o įmonių aplinkoje – pačios organizacijos KEK. Bet kuris subjektas, turintis galiojantį KEK, gali pridėti arba atšaukti sertifikatus ir maišos kodus saugaus įkrovimo sąrašuose.
Leidžiamuose parašų duomenų bazėje (DB) saugomi sertifikatai ir dvejetainių failų maišos, kuriuos programinė įranga gali vykdyti paleidimo etape. Tai apima „Microsoft“, originalios įrangos gamintojo (OEM) ir, jei taikoma, įmonės, kuri valdo parką, sertifikatus. Kai programinė įranga analizuoja paleidimo tvarkyklę arba pasirenkamąją ROM, ji ieško atitikmens DB, kad nuspręstų, ar ją įkelti.
Kita vertus, yra atšauktų parašų duomenų bazė (DBX) , kurioje yra dvejetainiai failai ir sertifikatai, kurie nebeturėtų būti laikomi saugiais. „Microsoft“ reguliariai atnaujina DBX, kad panaikintų pažeidžiamus įkrovos įkroviklius (kaip matyti „BootHole“ atakų metu) arba komponentus, kurie pasirodė esą nesaugūs. DBX atnaujinimas yra labai svarbus siekiant užkirsti kelią pasirašytam, bet pasenusiam dvejetainiam failui, kuris liktų įėjimo tašku.
„Secure Boot“ sertifikatai, kurių galiojimo laikas baigiasi 2026 m.
Nuo saugaus įkrovimo įdiegimo beveik visuose su „Windows“ suderinamuose kompiuteriuose KEK ir duomenų bazėje yra bendras „Microsoft“ sertifikatų rinkinys . Problema ta, kad kai kurie iš šių sertifikatų buvo išduoti 2011 m. ir artėja jų galiojimo pabaigos data, o tai turi tiesioginės įtakos milijonų įrenginių įkrovimo apsaugai.
Tiksliau sakant, tokie sertifikatai kaip „Microsoft Corporation KEK CA 2011“ , „Microsoft Windows Production PCA 2011“ arba „Microsoft UEFI CA 2011“ galioja nuo 2026 m. birželio iki spalio mėn. Kiekvienas iš jų atlieka skirtingą vaidmenį: pasirašo DB ir DBX atnaujinimus, „Windows“ įkrovos programą, trečiųjų šalių įkrovos įkroviklius arba trečiųjų šalių gamintojų pasirinkimo ROM.
Siekdama užtikrinti nuolatinį saugumą, „Microsoft“ 2023 m. išleido naujus sertifikatus, kurie pakeičia 2011 m. išduotus sertifikatus : pavyzdžiui, „Microsoft Corporation KEK 2K CA 2023“ – originalaus KEK pakeitimą, „Windows UEFI CA 2023“ – sistemos įkrovos įkrovikliui ir atnaujintus EFI programų parašų bei trečiųjų šalių „Option ROM“ sertifikatus.
Bendrovė centralizuotai tvarko šių sertifikatų atnaujinimą didelėje „Windows“ ekosistemos dalyje, panašiai kaip platina kitus saugos pataisymus. Originalios įrangos gamintojai taip pat išleidžia programinės įrangos atnaujinimus, kai to reikia, kad įtrauktų naujus sertifikatus arba pakoreguotų saugaus įkrovimo nustatymus.
Jei įrenginys negaus naujų raktų iki dabartinių galiojimo pabaigos, jis toliau bus paleistas ir gaus „Windows“ naujinimus įprastai, tačiau nebegalės taikyti konkrečių paleidimo etapo švelninimo priemonių : jis negaus kai kurių „Windows“ paleidimo tvarkyklės pakeitimų, DB/DBX naujinimų ar pataisų, skirtų naujai atrastiems žemo lygio pažeidžiamumams.
Sertifikato galiojimo pabaigos poveikis ir būtini veiksmai
2011 m. sertifikatų galiojimo pabaiga nereiškia, kad jūsų kompiuteris nustos įsijungti, tačiau tai palaipsniui sumažina sistemos gebėjimą apsiginti nuo grėsmių, kurios turi įtakos paleidimo laikui . Tai gali turėti pasekmių tokiuose scenarijuose kaip „BitLocker“ apsaugos stiprinimas arba trečiųjų šalių įkrovos įkroviklių, kurie remiasi saugaus paleidimo patikimumo grandine, naudojimas.
Siekdama sumažinti riziką, „Microsoft“ rekomenduoja ir daugeliu atvejų automatizuoja KEK ir DB sertifikatų atnaujinimo iki 2023 m. procesą. IT administratoriai ir saugumo pareigūnai turėtų patikrinti, ar jų įrenginiai gavo šiuos atnaujinimus, ypač nevienalyčiuose įrenginių parkuose su senesne aparatine arba programine įranga, kuri nebėra atnaujinama taip dažnai.
Raginimas veikti aiškus: peržiūrėkite saugaus įkrovimo būseną kiekvieno tipo įrenginyje , nustatykite, ar naudojami seni sertifikatai, ir suplanuokite atnaujinimą, taip pat vadovaukitės vadovais, kad įjungtumėte saugų įkrovimą atnaujinę BIOS . Valdomose aplinkose dažnai reikia peržiūrėti gamintojo pateiktą dokumentaciją arba vadovautis „Windows saugaus įkrovimo raktų kūrimo ir valdymo gairėmis“, kad nauji raktai būtų tinkamai integruoti į diegimo procesą.
Kai kuriais atvejais, ypač kai PK, KEK arba DB raktai buvo pritaikyti naudojant organizacijos sertifikatus, atnaujinimui gali reikėti atlikti rankinius veiksmus ir kruopštų testavimą , kad būtų išvengta teisėtų įkrovos įkroviklių, kurie dar nebuvo pasirašyti iš naujo naudojant dabartinius raktus, išjungimo. Koordinavimo klaida gali lemti tai, kad sistemos negalės paleisti įdiegus saugos pataisą.
Saugus įkrovimas ir „Linux“: pasitikėjimo grandinė, shim ir GRUB2
„Linux“ sistemose procesas yra panašus, tačiau su savomis specifinėmis savybėmis. Dauguma šiuolaikinių distribucijų remiasi komponentu, vadinamu „shim“ – mažu „Microsoft“ pasirašytu įkrovos įkrovikliu, kuris leidžia UEFI programinei įrangai priimti ją iš karto. „Shim“ veikia kaip tiltas: programinė įranga ją įkelia naudodama „Microsoft“ parašą, o tada „shim“ patvirtina GRUB2 ir branduolį naudodamas distribucijai būdingus raktus.
Įprastas „Linux“ darbo eiga su saugiu įkrovimu yra tokia: UEFI patvirtina „shim“, „shim“ patvirtina „GRUB2“, o „GRUB2“ patvirtina branduolį . Kiekvienas etapas remiasi skaitmeniniais parašais ir raktų politika, esančia pačioje „shim“ ir „Secure Boot“ duomenų bazėse. Tai užtikrina, kad aparatūros gamintojui nereikia iš anksto žinoti kiekvieno platinimo raktų, tuo pačiu išlaikant kontrolę, kuris branduolys gali būti paleistas.
Šiame kontekste esminiai išlieka tie patys elementai, kuriuos matėme anksčiau: PK kontroliuoja, kas gali keisti visuotinę „Secure Boot“ konfigūraciją programinėje įrangoje, KEK nusprendžia, kas gali atnaujinti duomenų bazę ir duomenų bazę (DBX), duomenų bazė renka palaikomus raktus (įskaitant tuos, kurie reikalingi tarpinei kopijai), o duomenų bazėje saugomi atšaukimai, kurie užrakina pažeidžiamus dvejetainius failus.
Šis modelis suteikia sąveikumo pranašumų, tačiau padidina operacinį sudėtingumą. Pavyzdžiui, kai atsiranda kritinė pažeidžiamumas „shims“ arba GRUB2, būtina greitai atnaujinti paveiktą įkrovos tvarkyklę ir lygiagrečiai platinti DBX įrašą, kuris atšaukia senas versijas . Jei tvarka neteisinga, galite susidurti su sistemomis, kurioms vis tiek reikės senos „shim“ versijos paleidimui, net jei jos dvejetainis failas buvo atšauktas.
Dėl to teisingas DBX ir „Linux“ įkrovos įkrovos programų parašų valdymas tampa sudėtinga užduotimi, ypač aplinkose, kuriose kartu egzistuoja keli platinimai, LTS versijos ir trečiųjų šalių programinė įranga, kuri taip pat dalyvauja paleidime (pavyzdžiui, šifravimo tvarkyklės arba hipervizoriai).
Nuo ko apsaugo „Secure Boot“... ir nuo ko ne.
Saugus įkrovimas skirtas blokuoti atakas, nukreiptas į ankstyvuosius paleidimo etapus . Tai apima paleidimo rinkinius, kurie modifikuoja paleidimo tvarkyklę, kad ji įkeltų savo paties naudingąją apkrovą, branduolius, pakeistus kenkėjiškomis versijomis, suklastotas „Option ROM“, kurios veikia prieš operacinę sistemą, ir EFI dvejetainius failus, įvestus siekiant padidinti atsparumą.
Reikalaujant, kad kiekvienas įkrovos grandinės komponentas būtų pasirašytas ir patvirtintas, atakų paviršius visiems, bandantiems „pasislėpti“ po operacine sistema, yra smarkiai sumažintas. Pažeista įkrovos įkrovos programa gali išjungti telemetriją, apeiti vientisumo patikrinimus arba įdiegti rootkit'us dar prieš tai, kai saugos įrankiai dar gali įsigalioti. Saugus įkrovos metodas bando uždaryti šią galimybę.
Tai taip pat iš dalies apriboja užpuoliko, turinčio fizinę prieigą, galimybes: nebeužtenka tiesiog paleisti įrenginį iš USB atmintinės su pažeistu įkrovikliu, nes programinė įranga atmes dvejetainius failus, kurie nėra pasirašyti palaikomais sertifikatais . Tai nereiškia, kad fizinis saugumas nustoja svarbus, tačiau tai pakelia kartelę tiems, kurie ketina pažeisti įrenginį pasinaudodami saugumo spragomis.
Tačiau „Secure Boot“ turi aiškių apribojimų. Jis neapsaugo nuo pačios operacinės sistemos pažeidžiamumų ir neužkerta kelio vartotojui, turinčiam didesnes teises, piktnaudžiauti teisėtomis funkcijomis ir padaryti žalos. Jis taip pat neužkerta kelio tinklo atakoms, paslaugų išnaudojimui ar netinkamoms konfigūracijoms programų lygmenyje.
Be to, istorija rodo, kad pati įkrovos grandinė gali būti pažeidžiama. „Shim“ ir „GRUB2“ patyrė kritinių gedimų , tokių kaip liūdnai pagarsėjęs „BootHole“ incidentas, kai GRUB2 konfigūracijos analizės klaida leido manipuliuoti įkrovos procesu nepažeidžiant parašo. Į šiuos incidentus buvo reaguojama atnaujinant dvejetainius failus ir atšaukiant nesaugias versijas per DBX, o tai dar kartą pabrėžia aktyvios saugaus įkrovos priežiūros svarbą.
Įdiegimo, stiprinimo ir priežiūros iššūkiai
Dauguma saugaus įkrovimo problemų kyla ne dėl sudėtingų atakų, o dėl įrenginių su pasenusia programine įranga, nebenaudojamais DBX sąrašais arba raktais, kurie nebuvo patikrinti nuo pat aparatinės įrangos išsiuntimo . Kitaip tariant, dėl gryno operacinio aplaidumo, kuris kaupiasi laikui bėgant.
Daugeliu atvejų pirmas žingsnis tobulinimo link yra toks pat paprastas, kaip sistemingas gamintojo išleistų UEFI/BIOS atnaujinimų taikymas . Šie atnaujinimai ne tik ištaiso klaidas, bet ir gali apimti naujas saugumo funkcijas, patobulinimus raktų valdyme ir pataisymus, skirtus pačios programinės įrangos pažeidžiamumams pašalinti.
Kita svarbi sritis – raktų higiena . Organizacijos, kurios remiasi tik OEM ir „Microsoft PK“ bei „KEK“ raktais, yra visiškai priklausomos nuo šių tiekėjų tvarkaraščių, o toms, kurios valdo savo raktus, reikia aiškaus inventoriaus sąrašo: kas pasirašo kiekvieną raktą, kada jis baigiasi ir koks yra rotacijos planas. Praradus šio inventoriaus kontrolę, pradedančiojoje įmonėje gali kilti chaosas.
Duomenų bazės ir duomenų bazių grupės (DBX) nusipelno ypatingo stebėjimo. Mėnesius neatnaujinta duomenų bazė greičiausiai turi dvejetainių išteklių, kurie jau buvo paskelbti nesaugiais . Kita vertus, prastai išbandytas atnaujinimas gali sutrikdyti suderinamumą su senesnėmis „shim“ arba „GRUB2“ versijomis. Todėl daugelis įmonių integruoja duomenų bazių / duomenų bazių grupės pakeitimus į įprastą pakeitimų valdymo ciklą, prieš tai juos išbandydamos testavimo aplinkoje.
Didelėse organizacijose vis dažniau naudojamas saugų paleidimą derinti su išmatuotais paleidimo matais ir TPM palaikymu . Tai įrašo kiekvieno paleidimo etapo maišos vertes TPM, leisdama nuotoliniu būdu patikrinti, ar sistema buvo paleista naudojant žinomą ir autorizuotą programinės įrangos, paleidimo tvarkyklės ir branduolio derinį.
Daugiau nei paleidimas: programinės įrangos apsauga visuose etapuose
Kad ir koks galingas būtų „Secure Boot“, vien jo nepakanka. Programinės-aparatinės įrangos saugumas yra nuolatinis procesas , apimantis konfigūravimą, atnaujinimus, stebėjimą ir reagavimą į incidentus. Idėja yra sukurti vienas kitą stiprinančius apsaugos sluoksnius.
Svarbus aspektas yra saugūs programinės įrangos atnaujinimai . Beprasmiška pasikliauti saugiu įkrovimu, jei leidžiame atnaujinti programinę įrangą iš bet kurios aplinkos be parašo patvirtinimo, apsaugos nuo senesnės versijos atakų ar atkūrimo mechanizmo gedimo atveju. Atnaujinimai turi būti pasirašyti skaitmeniniu būdu, įdiegti laikantis patikimos procedūros ir, idealiu atveju, apimti apsaugą nuo grįžimo prie pažeidžiamų versijų.
Taip pat patartina pasinaudoti turima saugos įranga: patikimų šakninių raktų sistema, saugių raktų saugojimo zonomis, TPM, „TrustZone“, išoriniais saugos moduliais ... Šie komponentai leidžia izoliuoti kriptografines paslaptis ir gerokai apsunkina užpuolikui, turinčiam fizinę prieigą, galimybę išgauti raktus ar modifikuoti kodą neaptiktam.
Kalbant apie duomenis, patvirtinto paleidimo ir slaptos informacijos šifravimo derinys yra reikšmingas žingsnis į priekį. Jei įrenginys naudoja saugų paleidimą, kad užtikrintų, jog paleidžiama tik patikima programinė įranga, jis gali susieti duomenų iššifravimą su ta patvirtinta būsena. Tokiu būdu, net jei kas nors nukopijuos atmintį, jis neturės prieigos prie turinio, nebent galės atkurti tą pačią teisėtą paleidimo seką.
Ciklas užbaigiamas vykdymo laiko apsaugos mechanizmais: periodiniais atminties ir programinės įrangos vientisumo patikrinimais, stebėjimo sistemomis, saugumo įvykių žurnalais, susijusiais su paleidimo gedimais ar modifikavimo bandymais, ir, žinoma, derinimo sąsajų blokavimu, apsaugotu programos atminties skaitymu ir atitinkama aparatinės įrangos prieigos kontrole.
„FirmGuard“ ir nuotolinis BIOS / UEFI valdymas
Įmonių aplinkoje ir naudojantis valdomų paslaugų teikėjais, kiekvieno įrenginio programinės įrangos konfigūracijos valdymas yra laiko švaistymas ir klaidų šaltinis. Čia praverčia tokie sprendimai kaip „FirmGuard“, siūlantys centralizuotą platformą, skirtą nuotoliniu būdu apsaugoti, konfigūruoti, stebėti ir atnaujinti BIOS / UEFI programinę-aparatinę įrangą.
Viena iš pagrindinių jos funkcijų yra galimybė nuotoliniu būdu konfigūruoti svarbiausias BIOS / UEFI parinktis („SecureConfig“) . Tai leidžia administratoriams sistemingai įjungti saugų paleidimą, koreguoti saugos parametrus, išjungti paleidimą iš neleistinų įrenginių arba taikyti sustiprintus konfigūracijos šablonus, fiziškai nelankantis kiekvienos darbo stoties.
Be to, „FirmGuard“ integruoja nuolatinį programinės įrangos vientisumo stebėjimą („SecureCheck“) . Platforma stebi BIOS/UEFI pakeitimus, aptinka netikėtus pakeitimus ir įspėja, kai kas nors rodo galimą kenkėjišką veiklą arba neleistinus konfigūracijos pakeitimus. Aplinkoje, kurioje programinė įranga yra vis patrauklesnis taikinys, šis matomumas yra neįkainojamas.
Sistemoms, vis dar veikiančioms senuoju BIOS režimu, „FirmGuard“ prideda trečią komponentą – „SecureSense“, galintį atpažinti sistemas, vis dar naudojančias senąjį BIOS režimą , ir palengvinti jų perkėlimą į UEFI – tai esminis žingsnis norint naudoti „Secure Boot“ ir kitas modernias saugumo funkcijas. Verslo ar MSP požiūriu tai reiškia perėjimą nuo nevienalytės ir sunkiai valdomos sistemos prie homogeniškesnės ir lengviau apsaugotos.
Apibendrinus, šie sprendimai ne tik sumažina programinės įrangos atakų riziką, bet ir suteikia aiškią pridėtinę vertę valdomų paslaugų teikėjams , kurie gali išsiskirti siūlydami papildomą apsaugos lygį ir, beje, padidinti savo pelno maržas automatizuodami užduotis, kurios anksčiau buvo atliekamos rankiniu būdu ir brangiai kainuoja.
Programinė-aparatinė įranga ir saugus įkrovimas įterptosiose sistemose
Be kompiuterių ir serverių, programinės įrangos saugumas yra labai svarbus įterptiesiems įrenginiams: pramoniniams valdikliams, medicinos įrangai, plataus vartojimo elektronikai, automobilių pramonei ir daugeliui kitų. Čia gedimai ne tik sukelia duomenų praradimą, bet ir dažnai fizinio saugumo riziką bei reguliavimo atsakomybę.
Šių įrenginių galutiniai vartotojai paprastai nežino, kad po jais veikia pažeidžiama programinė įranga. Tačiau šie incidentai yra labai realūs: dėl saugumo problemų buvo atšaukta daug medicinos prietaisų , pavyzdžiui, gerai žinomas atvejis, kai širdies stimuliatorius reikėjo atnaujinti arba pakeisti dėl nuotolinės atakos rizikos. Šios situacijos daro įtaką pasitikėjimui, pajamoms ir gamintojų reputacijai.
Kai įterptinio įrenginio programinė įranga pažeidžiama, pasekmės gali būti pražūtingos: prarastas klientų pasitikėjimas, brangūs atšaukimai, sertifikavimo vėlavimai (sveikatos priežiūros, automobilių, pramonės), poveikis prekės ženklo įvaizdžiui ir kartais veiklos sutrikimai kritinėse infrastruktūrose.
Šiose aplinkose saugus įkrovimas įgauna dar didesnę reikšmę. Įdiegus pasitikėjimo grandinę nuo pirmojo įvykdyto baito, užtikrinama, kad būtų galima paleisti tik gamintojo (arba patikimos institucijos) pasirašytą programinę-aparatinę įrangą. Nuo to laiko kiekvienas įkrovimo proceso etapas gali patvirtinti kitą: pradinį įkrovos tvarkyklę, antrinį įkrovos tvarkyklę, programos programinę-aparatinę įrangą, įterptąją operacinės sistemos branduolį ir pan.
Tačiau „Secure Boot“ diegimas įterptiniuose įrenginiuose nėra lengvas. Tam reikalinga aparatinė įranga, skirta saugiai saugoti raktus , nekintamas kodo segmentas, kuris veiktų kaip pasitikėjimo šaknis, ir gamybos procesas, leidžiantis pritaikyti kiekvieną įrenginį su jo raktais ir sertifikatais jų neatskleidžiant. Labai ribotose platformose gali tekti įdiegti pritaikytus saugius įkrovos įkroviklius, atsižvelgiant į visus susijusius našumo, išteklių suvartojimo ir kainos iššūkius.
Papildomi sluoksniai tikrai patikimai programinei įrangai
Norint užtikrinti patikimą programinės įrangos apsaugą, būtini keli sluoksniai. Pirmasis yra saugus įkrovimas (angl. Secure Boot), tačiau jį turi papildyti saugūs atnaujinimo mechanizmai, apsaugota saugykla, veikimo laiko apsauga ir patikimos organizacinės praktikos.
Kalbant apie atnaujinimus, visa programinė-aparatinė įranga ir žemo lygio programinės įrangos atvaizdai turėtų būti pasirašyti skaitmeniniu būdu ir, idealiu atveju, apsaugoti nuo senesnių versijų atnaujinimų . Atliekant belaidžius (OTA) arba vietinius atnaujinimus, prieš priimant pakeitimus, reikėtų patikrinti parašą, o laikantis geriausios programinės įrangos saugumo atnaujinimų praktikos, siekiant išvengti sistemų netinkamumo po gedimo, turėtų būti parengti nenumatytų atvejų planai (atsarginės programinės įrangos kopijos, saugūs atkūrimo režimai).
Saugus saugojimas atlieka dar vieną svarbų vaidmenį. Šiuolaikiniai mikrokontroleriai, sistemos lustai su „TrustZone“, TPM arba specialūs saugos elementai leidžia apsaugoti raktus ir jautrius duomenis taip, kad net asmuo, turintis fizinę prieigą, negalėtų jų išgauti nepalikdamas pėdsakų ar be neproporcingų pastangų. Susiejus prieigą prie šių paslapčių su saugaus įkrovimo sėkme, sukuriamas papildomas saugumo lygis.
Vykdymo metu labai svarbu derinti periodinius vientisumo patikrinimus, stebėjimo funkcijas, atminties apsaugą (MPU, MMU, „lockstep“), nepavykusių paleidimo bandymų ar įtartinų programinės įrangos pakeitimų žurnalus ir, labai svarbiuose produktuose, net fizinius klastojimo jutiklius.
Galiausiai, visa tai neveiks gerai, jei organizacija netaiko saugaus kūrimo ir pažeidžiamumų valdymo praktikų : grėsmių analizės, į saugumą orientuoto projektavimo, kodo peržiūros, įsiskverbimo testavimo, aiškių incidentų reagavimo procesų ir gyvavimo ciklo, kuriame saugumas ir kokybė yra neatsiejami. Su programine įranga negalima elgtis kaip su kažkuo, kas parašyta vieną kartą ir pamirštama.
Programinės įrangos ir saugumo ekspertų partnerių vertė
Atsižvelgiant į viską, ką matėme, lengva suprasti, kodėl daugelis įmonių kreipiasi į specializuotus įterptųjų sistemų ir kibernetinio saugumo partnerius, kai joms reikia sustiprinti „Secure Boot“ ir programinės įrangos apsaugą. Žinant programuoti nepakanka: reikia įvaldyti aparatinę įrangą, kriptografiją, pramoninius procesus, reglamentus ir visą atakų bei gynybos ekosistemą.
Geras partneris turi praktinės patirties kuriant įkrovos programas, tvarkykles, sudėtingas įterptąsias sistemas, šifravimo mechanizmus ir aparatinės įrangos valdiklius , leidžiantį kurti saugumo sprendimus, kurie yra iš tikrųjų integruoti į produktą, o ne paskutinės minutės priedus, kurie tik apsunkina priežiūrą.
Paprastai jie taip pat apima vadovėlius ir patikrintus įrankius : daugkartinio naudojimo saugaus įkrovos modulius, raktų ir sertifikatų valdymo scenarijus, programinės įrangos stiprinimo vadovus, CI kanalus, apimančius dvejetainį pasirašymą ir automatinį patikrinimą, ir pan. Tai taupo laiką ir sumažina brangiai kainuojančių pradedančiųjų klaidų tikimybę.
Kibernetinio saugumo aspektas yra ne mažiau svarbus. Komandos, kurios nuolat atnaujina informaciją apie naujus pažeidžiamumus, šalutinio kanalo atakas, populiarių daiktų interneto sistemų trūkumus ir saugaus projektavimo geriausią praktiką, padeda integruoti saugumą nuo architektūros etapo, o ne bandyti jį pataisyti pabaigoje. Jos paprastai dirba vadovaudamosi „saugumo projektuojant“ mąstysena, atlikdamos grėsmių modeliavimą ir rizikos peržiūrą nuo reikalavimų etapo.
Kai tas partneris taip pat turi atitinkamus ISO sertifikatus (ISO 9001, ISO 13485, ISO 26262 ir kt.) , jūs turite papildomą garantiją, kad jų procesai yra audituojami ir struktūrizuoti. Jie ne tik žino, ką reikia daryti, bet ir turi oficialias procedūras bei atsekamumą, o tai labai vertinama reguliuojamuose sektoriuose, tokiuose kaip sveikatos apsauga ar automobilių pramonė.
Ir yra dar vienas, mažiau techninis, bet ne mažiau svarbus veiksnys: bendravimas ir empatija . Geras partneris neatvyksta kalbėdamas nesuprantama žargonu ir neprimesdamas sprendimų, kurių neįmanoma pritaikyti prie jūsų laiko ar biudžeto. Jis įsiklauso į jūsų apribojimus, aiškiai paaiškina galimybes ir pakoreguoja savo požiūrį, kad rastų pusiausvyrą tarp saugumo, kainos ir pateikimo į rinką laiko. Programinės-aparatinės įrangos ir saugaus įkrovimo projektuose tas jausmas, kad esate tame pačiame puslapyje, yra labai svarbus.
Trumpai tariant, saugaus paleidimo įdiegimas ir programinės įrangos sustiprinimas apima tvirto techninio pagrindo (UEFI, raktų hierarchijos, atnaujintų sertifikatų, tvarkomų DB/DBX failų), drausmingo veikimo (programinės įrangos atnaujinimų, raktų valdymo, matuojamo paleidimo, stebėjimo) ir, kai reikia, specializuotų sprendimų bei partnerių, galinčių pašalinti vidinius pažeidžiamumus, palaikymą. Jei visa tai atliekama teisingai, sistema pradeda nuo patikimo paleidimo proceso, kuris sustiprina visas vėlesnes saugumo priemones – nuo branduolio iki aukščiausio lygio programų.
