Encryptie-achterdeuren werken niet. Dit is wederom bewezen door de beveiligingsonderzoekers Slipstream en My123. Zoals je wellicht al hebt gehoord of gelezen heeft Microsoft z'n gouden sleutels laten lekken. Deze kunnen gebruikt worden om Windows-apparaten die zijn beschermd met SecureBoot te "openen" en te voorzien van andere besturingssystemen.

De beveiligingsonderzoekers waarschuwden op een prachtige demoscene-manier dat Microsoft de beveiligingssleutel, bedoeld om Windows-apparaten te beschermen tegen aanvallers tijdens het starten van Windows "per ongeluk" heeft gelekt. Het was in sommige gevallen al eerder mogelijk om SecureBoot te omzeilen en andere systemen te installeren op, bijvoorbeeld Windows RT-tablets. Microsoft patchte niet lang geleden de eerder genoemde RT-tablets om te voorkomen dat gebruikers er Linux op installeerden. Deze patch (en andere maatregelen) zijn dankzij het uitlekken van de sleutel nu dus nutteloos.


Op de volgende pagina: Vrij spel

Microsoft claimde dat SecureBoot, wat een onderdeel is van UEFI (Unified Extensible Firmware Interface) Firmware, gebruikers "verzekert dat elk component dat geladen wordt tijdens het bootproces digitaal is ondertekend en gevalideerd. SecureBoot zorgt ervoor dat pc's alleen software starten die wordt vertrouwd door de fabrikant en de gebruiker".

SecureBoot moet er ook voor zorgen dat Windows Phone of Windows RT-eigenaren geen andere software (bijvoobeeld Linux of Android) kunnen installeren op deze apparaten.

De onderzoekers leggen in de 'web-intro' uit hoe Microsoft de fouten meerdere keren heeft geprobeerd te patchen. En hoe Microsoft, na contact te hebben gehad met de onderzoekers in juli een patch uit heeft gebracht (MS16-094). Deze patch verhielp het probleem echter niet, sterker nog, de onderzoekers meldden dat de patch "helemaal niks nuttigs deed".

Op de volgende pagina: Hoe nu verder?

Microsoft probeerde het nog een keer en bracht gisteren tijdens Patch dinsdag onder andere een patch uit met het label "belangrijk" uit om de eerder gemaakte fouten te herstellen (MS16-100). In de meegeleverde documentatie werd echter geen woord gerept over de mogelijkheid andere besturingssystemen te installeren op SecureBoot-apparaten. Alleen "aanvallers" werden genoemd.

Nu het script (om sleutels uit te schakelen) op het internet zwerft kan iedereen die fysiek toegang heeft tot een Windows-apparaat (en admin-rechten heeft) SecureBoot uitschakelen. Deze functie was eigenlijk bedoeld voor ontwikkelaars zodat zij niet elke testbuild opnieuw hoeven te ondertekenen. De onderzoekers maken nu gretig ge/misbruik van deze ontwerpfout en betwijfelen dat Microsoft hier wat tegen kan doen.

"Het is onmogelijk voor Microsoft om alle uitgelekte sleutels in te trekken, daarmee zouden zij installatiemedia, herstelmedia, back-ups etc. 'breken'."

Het duo meldde verder dat dit wederom een typisch voorbeeld is waarom encryptie-backdoors niet werken. In de demo richten zij zich ook nog even aan de FBI:

Op de volgende pagina: Het bericht aan de FBI

"FBI: Lees je dit? Zoja, zie hier een perfect voorbeeld waarom jullie idee om cryptosystemen te voorzien van een achterdeur met een "veilige gouden sleutel" een erg slecht idee is. Mensen die slimmer zijn dan wij hebben je dat al zo vaak verteld maar het lijkt wel of jullie je vingers in je oren hebben zitten. Jullie begrijpen het nog steeds niet? Microsoft heeft een "veilig gouden sleutel"-systeem geïmplementeerd. De gouden sleutel is nu uitgelekt dankzij Microsoft's eigen stommiteiten. Wat denk je dat er gebeurt als je aan alle fabrikanten vraagt te werken volgens het 'gouden sleutel'-systeem (Apple, Blackberry red.)? Wij hopen dat je je realiseert hoe rampzalig dat zou kunnen zijn."

Dus, ben jij een Windows Phone-gebruiker en wil je graag een ander besturingssysteem op je toestel zetten? het is nu mogelijk! Ook je Windows RT-tablet kan weer worden voorzien van Linux of iets anders. De bestanden zijn niet moeilijk te vinden (maar wij geven geen link, red.)

Als je echter wacht op een oplossing van Microsoft kan je lang wachten. Zoals eerder aangegeven, de onderzoekers denken niet dat Microsoft dit probleem kan repareren. Het enige dat de softwarefabrikant nog zou kunnen doen is het blokkeren van sleutels in nieuwere hardware maar zelfs dat zou combatibiliteitstechnisch een probleem kunnen worden.

Mevrouw en meneer Smit (niet hun echte naam) zijn/waren werkzaam in de ICT-industrie en hebben specifieke interesse in IT-privacy en security. Daarnaast zijn ze (freelance)schrijvers.