【Lenovo完全終了】Windowsの仕組みを悪用にしたら脆弱性持ちだったでござる

本の虫: Lenovoのファームウェアがファイルシステムを改ざんするクソ仕様なので絶対に使ってはいけない
Lenovo が WPBTの仕組みを悪用して、システムファイルを置き換え、セキュアではない方法で、システムファイルを自由にアップデートできる方法を提供していたようだ。

Windows Platform Binary Table (WPBT) - Microsoft
それを受けて、Microsoft は WPBTの 規約を 2015年 7/8に改定している。

以下改された部分の日本語訳

セキュリティの考慮事項と要件

WPBTの主な目的は、重要なソフトウェアは、オペレーティングシステムが変更されたか、「クリーン」の構成で再インストールされた場合であっても存続できるようにすることです。 WPBTための一つのユースケースは、盗まれた場合には、デバイスを永続化するために必要なフォーマットされ、再インストールされている盗難防止ソフトウェアを有効にすることです。このシナリオではWPBT機能は、オペレーティングシステムに自身を再インストールし、意図したとおりに動作を継続する盗難防止ソフトウェアの機能を提供します。この機能は強力であり、その解決策は、無期限にデバイスに固執持っている独立系ソフトウェアベンダー（ISV）と元の機器メーカー（OEM）のための機能を提供します。この機能は永続的にWindowsののコンテキストでシステムソフトウェアを実行する能力を提供するので、それはWPBTベースのソリューションは、可能な限り安全であると悪用可能な条件にWindowsユーザーを公開しないことが重要になります。特に、WPBTソリューションは、マルウェア（すなわち、悪意のあるソフトウェアまたは適切なユーザーの同意なしにインストール不要なソフトウェア）を含めることはできません。
Windowsユーザーのセキュリティプロファイルを確保するために、Microsoftは強くWPBTのみ永続性コア要件である重要な機能のために使用することをお勧めします。マイクロソフトは、以下のセキュリティのベストプラクティス、プロセス、およびエンジニアリングガイドラインは、Windowsユーザのための悪用可能な条件を最小限にするために従うことをお勧めします。マイクロソフトは、セキュリティ上のリスクと露出を最小限に抑えるために、以下のセキュリティ開発ライフサイクル（SDL）プラクティスを推奨しています。詳細については、SDLのサイトを参照してください。
ここで提供されるセキュリティガイダンスは、セキュリティ上の考慮事項の累積または完全なリストとしてではなく、セキュリティのベストプラクティスのための出発点として意図されていません。マイクロソフトは、可能な限り、Windowsのユーザーのためのような強固なセキュリティプロファイルを提供するために、上記とこれらの勧告を超えて行くことをOEMメーカーやISVを奨励しています。
WPBTパブリッシャーおよびクライアントアプリケーションのための継続的なサービス
WPBT発行者（ファームウェア）と同様にOS側のアプリケーションを更新する能力が重要であり、OEMやソリューションプロバイダの責任です。 OEMおよびレバレッジWPBTは、タイムリーなホリスティック、および累積方法でセキュリティの問題を修正することが期待されているソリューションプロバイダ。それは、この修正はインフィールドデバイスやソリューションへの更新を含むことが重要です。アップデートソリューションは、セキュアなエンド・ツー・エンドでなければなりません。これは、更新ペイロード（署名）を確保し、更新パイプライン（暗号化）を確保し、安全でないバージョンへのロールバックに対する保護が含まれています。マイクロソフトから利用可能なファームウェアの更新メカニズムの詳細については詳細については、UEFIファームウェアアップデートプラットフォームのドキュメントを参照してください。次のようにいくつかの例は以下のとおりです。
WPBTパブリッシャ
•ファームウェアWPBT出版社を含むOEMは、このコンポーネントのポストリリースにサービスを提供するソリューション・プロバイダのある場所での契約を持っている必要があります。これは、OEMがWPBT Publisherの脆弱性を修正するために、ファームウェアのアップデートを出荷することが必要になる場合があります。
•認証されたデバイスの所有者は、必要に応じて、この機能を無効にするか、除去する能力を持っている必要があります。この場合のデバイスの所有者は、それがデバイスを使用しているユーザではないことを意味する可能性があることに注意してください。例えば、企業環境での所有者多分IT管理者ではなく、デバイスを使用して、エンドユーザ。
•そのアップデートチャネルは、そのソフトウェアを担当して、OEMやソリューションプロバイダにのみ利用可能であることを確認してください。攻撃者は、ブロック、改ざん、または更新するチャネルまたはが配信されたペイロードを操作することはできませんことを確認してください。更新チャネルの整合性を確保することは、MSDNのページに署名のコードの紹介を参照してください。潜在的な解決策として、コード署名または証明書ピニングを活用する方法の例については、多くの方法で達成することができます。
クライアント側のアプリケーションとファームウェアの考慮事項
ファー
ムウェア、OSアプリケーション、OSサービス、OSドライバ、およびサービスを含むW​​PBTベースのソリューションのすべてのソフトウェアは、整合
性とアプリケーションの目的の機能を維持するために安全でなければならないだけでなく、脆弱性は、Windowsに影響を与える可能性が導入されていない
ことを確認しますユーザー。
•ソリューションは、セキュリティを検討し、攻撃者が権限を昇格することを可能にする脆弱性、リークデータが含まれていないか、または弱くまたはOSが提供するセキュリティ機能をバイパスする必要があります。
•ソリューション内で提供されるすべてのコンポーネントは、強力なデジタル署名（コード署名）との整合性チェックを要求する必要があります。詳細については、Microsoftコード署名のベストプラクティスガイドをご覧ください。
•バックエンドの切断にクライアント側のアプリケーションからの通信は暗号化されるべきです。 TLS / SSLとは何ですかをご覧ください！詳細については、TechNetの。
•解決策は、改ざんまたはWindows Updateを無効にしてはなりません。
•ソリューションは、Windowsのセキュリティ機能の完全性を弱めてはなりません。
唯一のデバイスのサブセットに適用される•操作は、署名されたペイロード内のこのターゲティング情報を含める必要があります。例えば、デバイスごとの固有の識別子は、それが意図されないシステムを変更するために使用することができないように署名されたファイルの内部に配置されることになります。
•新鮮さを必要とする操作は、署名されたペイロード内のランダムなnonceを含める必要があります。例えば、デバイスをロックし、ペイロードは、要求されていない場合、ペイロードが将来の日付でデバイスをロックするために再利用することができなかったことを確実にするためにnonceを使用します。
•OSからファームウェアによって消費されるデータは信頼できないと考えられています。認証が必要ない場合は、データは、認証（デジタル署名などの方法で）、または入力検証する必要があります（つまり、バッファオーバーフローや無効な要求のために確認してください）
•すべてのクライアント側のソフトウェアが更新可能とセキュリティの問題は、それらの製品で識別されたときに更新プログラムを提供するために、OEMやソリューションプロバイダの責任である必要があります。
•Windows証明書ストアに証明書を追加するときに精査を使用する必要があります。 <研究鍵管理の実践> <証明書の失効に言い回しを追加>

マイクロソフトでは、正常に攻撃を行うために自分で活用することができない問題が成功した攻撃を行うために一緒に連鎖することができため、多層防御のアプローチは、ソフトウェアのセキュリティ問題を解決するためのより良い方法であると考えています。 Windowsユーザーのための露出を減らすためには、マイクロソフトの多層防御の哲学は、チェーンを悪用破壊し、成功した攻撃をブロックするために、複数の脆弱性に対処しようとしています。したがって、マイクロソフトは、パートナーが特定するのに役立つとパートナーが提供するソリューションに起因する攻撃にWindowsユーザーが公開される可能性があり、セキュリティ上の問題を修正するための合理的な多層防御の支援を提供します。
マルウェアの除去
パートナーが故意または過失WPBTしかしマルウェアや不要なソフトウェアを導入した場合、マイクロソフトはマルウェア対策ソフトウェアを使用することにより、このようなソフトウェアを削除することができます。悪意があると判断されたソフトウェアは、予告せずに即時に削除される場合があります。

ユーザーが無効にしたりできないとダメだし、不要と思われるソフトのインストールに使ってはいけないってことなので、継続して提供し続けるのはアウトな気がする ・ω・

旧型のインテル製チップに脆弱性--ファームウェアレベルで侵害のおそれ - ZDNet Japan

今回発見された脆弱性の悪用には、標的のシステムに対するローレベルのアクセスが必要となる。具体的には、攻撃者は細工を施したソフトウェアをチップへ挿
入するために、標的のコンピュータを直接操作するか、別のマルウェアを媒介させる必要がある。そのため、物理的なセキュリティ対策で無許可の者によるコン
ピュータの操作を禁止するとともに、セキュリティソフトウェアでマルウェアを遮断することで、脆弱性の悪用は未然に防ぐことができる。

つまり、今回発見された Intel の脆弱性と組み合わせれば Lenovoさんは、 セキュリティをどんなにがっちりしていても、ユーザーに気づかれずに何でもできちゃうってことか

|｡･ω･) 。o ( 中国のパソコン怖いね（棒読み） )

【悲報】Superfish複数の重大な脆弱性のあるSSL接続も提供してたことが判明
少なくともSuperfishで懲りてないことはわかった。

おすすめ

1件の返信

  1. たこすけ より:
    2015年8月13日 8:13 PM

    こちらでは、はじめまして。
    CPU の話を聞いた時は、また、POS レジ屋の
    不安商法かと思ってましたが。
    こっちの話と組み合わせると、結構な大事に
    発展しそうな話ですね。

    返信

コメントを残す

メールアドレスが公開されることはありません。 ※ が付いている欄は必須項目です