Microsoft har av misstag läckt en profil till Secure Boot, som öppnar Windows-baserade datorer, telefoner och surfplattor för både hemmafixare och hackare.
Säkerhetsbakdörrar har länge varit kontroversiella, men har fått särskilt mycket mediautrymme det senaste året. Det mest uppmärksammade exemplet var FBI:s tvist med Apple om att få implementera en bakdörr i operativsystemet Ios för att samla information till en förundersökning. Det har lett till en het debatt där inte minst två viktiga punkter har vädrats: vilka friheter som myndigheter ska ha för att undersöka och förebygga brott, samt riskerna som finns med att bygga in någon form av bakdörr i telefoner, datorer eller andra enheter.
Nu är det istället Microsoft som hamnat i blåsväder. Säkerhetsnycklar till Secure Boot har läckt ut, vilket öppnar upp nya möjligheter för både hemmafixare och hackare, samtidigt som det tydligt påvisar riskerna med att bygga in bakdörrar i mjukvara.
Vad är Secure Boot?
Microsoft Secure Boot används i mer eller alla Windows-baserade enheter idag, inklusive mobiltelefoner och surfplattor. I grund och botten är det en mjukvara som följer med som en del av moderkortets eller enhetens UEFI, och som ser till att bara “rätt” operativsystem kan startas. När du exempelvis ska installera eller starta Windows så kontrollerar Secure Boot en säkerhetsnyckel i operativsystemet – finns ingen korrekt nyckel får du inte boota.
Tanken är att Secure Boot ska skydda mot mjukvara som startar innan eller istället för Windows, exempelvis för att skada datorn eller samla in information som bank- eller personuppgifter. I många mobiltelefoner och surfplattor agerar det även som ett lås som ser till att Windows är det enda operativsystemet som går att starta. Det har lett till kritik från användare som vill ha mer kontroll över sina enheter och kunna installera egen mjukvara, exempelvis Linux.
På moderkort till PC går det i regel att stänga av Secure Boot via UEFI, så att du kan installera vilket operativsystem du vill. Men på exempelvis mobiltelefoner eller surfplattor är – eller snarare var – Secure Boot helt låst.
Microsoft tappar nyckeln till bakdörren
Medan Secure Boot på vissa enheter är helt låst för användaren betyder det inte att det inte tekniskt går att deaktivera – Microsoft har nämligen lagt in en egen bakdörr, tänkt att användas i felsökningssyften med hjälp av en särskild profil som deaktiverar säkerhetskontrollen från Secure Boot. Den profilen har sedan av misstag funnits installerad på enheter som sålts till slutkund.
Profilen var inte aktiv på dessa enheter, men gick att både aktivera och flytta över till andra enheter. Det innebär att bakdörren effektivt blivit vidöppen för alla Secure Boot-utrustade enheter, allt från datorer till telefoner.
Läckan för med sig ett antal konsekvenser, vissa positiva och andra negativa. Den positiva sidan är enheter som tidigare varit helt låsta till Microsofts mjukvara numera kan köra även andra operativsystem. Den som exempelvis köpt en surfplatta med Windows RT eller en telefon med Windows Phone kan därför i teorin till exempel installera Android på sin enhet, om så önskas.
Nackdelen är att nyckeln i teorin även ger helt fri tillgång för alla som har tillgång till den, inte bara den som äger enheten. Nyckeln innebär att Secure Boot inte behöver stängas av i UEFI, vilket också innebär den som vill skydda sig mot rootkit- och bootkit-attacker inte kan skydda sig genom att sätta ett lösenord på UEFI. Istället för att lägga säkerheten i händerna på användaren innebär bakdörren istället att säkerheten i princip helt rinner ut i sanden.
Hålet är fortfarande öppet
I ett försök att täppa till säkerhetshålet har Microsoft under sommaren skickat två säkerhetsuppdateringar till Windows för att motverka användning av bakdörren, men även dessa uppdateringar har haft luckor som gjort det fortsatt möjligt att använda den läckta profilen.
Nästa månad förväntas Microsoft skicka ut ytterligare en uppdatering, men frågan är hur effektiv åtgärden kommer vara i praktiken – för den som verkligen vill modifiera sin telefon eller surfplatta går det trots allt att ignorera uppdateringen.
