MSI の (In) Real Boot: シェア 2

MSI の (In) Real Boot: シェア 2

Posted on By 📢 ℝ𝕒𝕧𝕖𝕤™

「MSIの(in)Real Boot」の続きです。 覚えていないと、もしかしたら駒を間違えるかもしれません

2022-01-16 ネットサイトの公式が私の「発見」についての記事を書き始めました (これについては後でマスクします)、これのおかげで MSI は 2022 年 1 月 19 日に subreddit で 反論しました.

彼らの主張は…珍しいものでした.

MSIはReal Dwelling windows 11 の起動前に Microsoft と AMI によって定義された作成管理に従うことによる、マザーボード製品のブート メカニズム。 OS の写真の横に組み込みの可能性 ROM を統合した数千 (またはそれ以上) の数式を使用して PC プログラムを作成する柔軟性を提供する高品質の雰囲気。 ユーティリティ構成。 セキュリティに非常に熱心な顧客の場合でも、「イメージ実行保護」を「Enlighten Attain」として構築するか、その他の代替推奨事項を手動で構築して、セキュリティのニーズを満たすことができます。

事前設定された BIOS 設定に関するセキュリティ上の懸念の回顧録に従って、MSI は、セキュリティ範囲を拡大するためのデフォルト環境として「Enlighten Attain」を使用して、マザーボードのオリジナルの BIOS レコードデータを展開することは間違いありません。 さらに、MSI は、BIOS の完全に目的を持ったリアル ブート メカニズムを停止顧客向けに解除し、顧客が必要に応じて調整できるようにします。

バラバラにしましょう

MSI は、Dwelling windows 11 の起動前に、Microsoft と AMI によって定義された create steerage に従って、マザーボード製品の Real Boot メカニズムを利用しました。

偽物です。

まず、この文を 2d で覚えておきましょう。 Microsoft では、Dwelling Windows 11 で Real Boot を有効にする必要があります。なぜ Microsoft は Real Boot を必要とするのに、同時に検証を行わないのが適切なのでしょうか?

一方、私は今ブート段階の合間に実行されるバイナリの検証を停止するためにベンダーが吸収する Microsoft からの操舵を探すためのビルドではありません (Microsoft にまぶしい何かが好きだと感じたというやり取りがあったことに起因します)、Choice ROM の検証に関する操舵があります。そして、それは公に容易に入手可能です！ Choice ROM とは何かを忘れてしまった場合、PCI-e 拡張カードによってロードされるファームウェアである場合があり、GPU が大好きです。

https://learn.microsoft.com/en-us/windows-hardware/create/desktop/uefi-validation-likelihood-rom-validation-steerage

この回顧録は、なぜあなたが確率ROMを検証するに値し、それを行ういくつかの方法を明らかにします.

デフォルトの注意 (0x00) は ALWAYS_EXECUTE です。 、アドイン周辺機器の選択 ROM で署名されたドライバーの検証を効果的にアセンブルしません。 ここでは、UEFI リアル ブート機能を実装するすべてのマシンにとって、非常に重要な注意事項ではありません。

MSI は Microsoft の舵取りを学んでいないと思います。 確かに、オンライン ページに表示されている日付が Dwelling windows 11 のリリース後であることはわかっていますが、これはページが日付と同じくらい多く購入された日付であり、現在は放電日ではありません。 Dwelling windows 8の舵取りで探索すると、

さて、AMI は？ 間違いなく、MSI はここで嘘をついているわけではありません。 AMI はこれで大丈夫だと思います…いや、そうではないようです.

AMI はさらに、これらの代替推奨事項を MP [production] BIOS に有効に組み込むことは推奨されておらず、作成段階では合法であることを認めています。

MSI は、このコマンドに導入された最終的な考慮事項の後、私に連絡することを決定したため、現在、パーツ スキームにビルドされています。

奇妙なことに、彼らは最初に、ディスカッション ボードの管理者の 1 人に、私の電子メール アドレスを要求するように言いました。私のオンラインページの停止で考慮されます。 私が彼らのフォーラムをチェックしないようになったときの回顧録では、あるレベルで彼らは私のオンラインページから私の電子メールを回収することを決定し、私はそれ以来彼らのマザーボードチームと連絡を取り合っていました.

この電子メールがあなたをよく見つけてくれることを願っています。

素晴らしいお正月ですね。 Composed は、私が以前に連絡を取ろうとした彼らの米国チームからの連絡がなく、非常に明確に機能していることに変わりはありません。 )

まず第一に、私たちはあなたがおそらく吸収するであろう最後の努力が教育に貢献したことをやめ、PCのセキュリティに関するあなたの懸念を認識しています. 記事で提起されたファセットとRedditに関する質問を確認した後、私たちは主張を立てた後、私たちの見解のレベルを上げて、あなたとの議論を明らかにしたいと思います.

ここで注目を集めているのは、私が吸収して愛に尋ねた質問を彼らが学習したことです。 " または「影響を受けるファームウェアの適切なチェックリストを提示できますか?」 しかし、今は応答しないことに決めました。 私は、彼らが最も頻繁にこれらの質問を省いていたことを彼らに再確認しました.

私たちのマザーボードの製品特性と個々の市場のターゲット オーディエンスをマップすることで、あまりにも強力な妥協をせずに、論争の世界の要件に対してより合法的なバランスの取れたソリューションに有効に集約することが支配的であることに遭遇しました.

Real Boot を有効にし、「最小のビット時間達成」をデフォルト環境として構築することを決定しました。彼らの PC マシンは、OS イメージの横に組み込みの可能性 ROM を統合した数千 (またはそれ以上) の式を備えており、より優れた互換性構成で容易に入手できます.

MSI が話している OS についてはもはや明らかではありません。現在サポートされていない Dwelling Windows 7 と「主流」の Linux ディストリビューションの負荷でさえ、Real Boot を吸収するからです。強化する。 また、お使いの OS がリアル ブートを強化していない場合は、合法的に無効にしてください。 Real Boot の強化を望まない?

Linux ディストリビューションで最も一般的なブートローダーである GRUB は、これは、Real Boot を強化するディストリビューションでのみ簡単に入手できます。 現在、shim がすぐに入手できず、Real Boot が有効になっている場合、GRUB は鳴き声を上げて何でも拒否します。

エラー: shim_lock プロトコルでエラーが発生しなくなりました: 最初にカーネルをロードする必要があります 
 MSIのその他セキュリティ障害 
インテル 700 シリーズ以降、MB で ME FW をロックするようになりました。 
MSI は、Z790 および B760 Intel マザーボードの出荷を控えて、つい最近まで Intel ME 製造モードを無効にしていませんでした. )
Intel ME が何であるかをまったく理解していない場合、または今では、計測器の電源がオフになっていても動作する最新の Intel チップセットと同じくらいサブシステムであるとは限りません。 
M 製造モードは現在完全には文書化されていませんが、TL;DR は、攻撃者が Intel ME のビルドが存在する領域に探しているサブジェクトを書き込まないようにすることです。 例として、彼らはおそらく古い脆弱な Intel ME バージョンをボードに書き込み、図は  で締めくくります) INTEL-SA-00086 の脆弱性により、Intel ME で任意のコードを阻止することができます。 これにより、電源がオフになっていてもオフになっていない場合でも、コンピューターへの完全なサルベージ アドミッションが得られます。
 OS BIOS の更新は、お客様やマシン ビルダーからの要求に応じて許可したいと考えています。 残念ながら、現在すべてのお客様が M-FLASH 機能を使用できるわけではありません。
その他興味深いことに、SPI ロックはすべての MSI マザーボードで無効になっています。 ルート サルベージ アドミッションがあれば、攻撃者が OS からファームウェアを制御できるこの式。
当社のインテル 700 BIOS ROM レコードデータは、リアル フラッシュを強化し、ツールによる修正や変更ができないようにします。  Real Flash を使用すると、BIOS ROM レコードが強化され、悪意のある攻撃からデータが保護されます。
Real Flash が有効な BIOS ROM レコードのデータはツールで変更できないため、頻繁に使用する顧客がパーソナライズすることはできません。 カスタム BIOS が他のソースから構築された場合、これは Real Flash でサポートされる最小ビット時間ではなく、フラッシュ プログラマによってブロックされます。 
MSI は、Z790 および B760 Intel ボード (AMD ボードについては不明) で、ファームウェアの変更を防止する「Real Flash」を開始したようです。
彼らが AMI の Real Flash について話しているというやり取りがありました。スライドから、私が実際に理解しているレベルでは、これは 2013 年の最小限の時点からのものでした。
NIST SP 800-147 の実装方法*) そして、もし MSI が私に言ったことを考えるなら (うーん、それは難しいです)、外部プログラマーを使用している場合でも、許可されていないファームウェアをフラッシュすると見なすことはおそらくないでしょう.
 MSI の Real Boot ソリューション
2023 年 2 月 7 日、MSI は despa を持っていますこの電子メールを私に送りました:
これがテスト BIOS E7E07IMS.A32T2 wi です 元の Real Boot 設定が作成されます。  M-FLASH装置による日付と同じくらいになります。 元の BIOS では、「イメージ実行保護」商品は「ターゲット OS」によって変更され、次の 2 つの代替推奨事項があります:  非 UEFI OS (=すべてのデバイスの最小ビット時間達成、デフォルト環境)
  • 住戸Windows UEFI OS (=全デバイス対応のEnlighten Attain)
    • MSI は、個々の能力を最適化するために、正しいデフォルト設定で BIOS の更新を解除します。
    合法的に設定の名前を変更して、あなたと同じように探索できるようにする場合に備えて、保証を解除するのはなぜですか
    私は実際に MSI への回答を吸収し、MSI を強化するための簡単なシステムを推奨しました。
    I assemble now not observation any AMD AM5 boardの回顧録で、IFRレコードを調査する必要がありました. 色目でわかるように、購入した名前だけが変更され、それが理由です。 彼らは今、何も交代しませんでした。  「Choice ROM」、「Removable Media」、および「Mounted Media」の代替推奨事項について、0 は「The least bit times Attain」に等しく、5 は「Enlighten Attain」に等しくなります。 
    MSI さん、ありがとうございます。 事実上の仕事。 私が仲介するかどうかは、このレベルでは、彼らが今それを修正しないことは審美的に確かです.
     CVE は  へのクエリを作成します
    与えられたアドバイスに従って、2022 年 1 月 12 日にこのコマンドの CVE ID を要求したのは、「構成の脆弱性」が ID として許容されるためです。
    CVE ID を問い合わせる Web スポットは最低です。 彼らが独自に作り上げたスタイルは圧巻です。  MITRE は影響を受ける製品とバージョンを吸収する必要がありますが、コマンドは、影響を受ける複数の製品を吸収する可能性がある場合は、逆にそれらを次々と追加することを確実に望んでいるということです。 彼らは、HTML の完全なオリジンをサーバーに送信し、ブランドのオリジナルの件名で完全な HTML オリジンを送信することで、「追加」ボタンを機能させます。
     約 150 個のマザーボードを埋めた後… オンライン ページは私の要求を拒否し始めました.[production]
    Screenshot of a HTTP request
    私はあきらめて、最終的に影響を受けるボードを含む GitHub コマンドへのハイパーリンクを提供し、彼らのサーバーが私の要求を拒否するように変更されたことを彼らに定義しました。彼らはこれを自分で手動で吸収します。 彼らは、私を愛する馬鹿は努力しないだろうと想定し、それらの式を追加したと思います. -23 and… 拒否しました。
    CVE ID タスクを受信できないクエリを作成します。特定の製品名を具現化できなかったためです。 
    ため息
    、だるいお尻。 「技術記録レポート」のジャバーについて私が不平を言うのは合法ではありません.
    吸収は私の面でフラストレーションを引き起こしましたが、ここでは名前を挙げません. これで問題ありません。エラーが発生します!
    しかし、別のオンライン ページが、そのオンライン ページからテルをコピーして、同じエラーを吸収しようとしました。 
    私は、メインのオンライン ページと per を除いて、これらのネット サイトのどれもではないことを知っています。偶然  2 次元のオンライン ページ、私のブログの投稿を学びます。重要な側面を明確にし、いくつかのネットサイトがそのようなエラーを吸収したと述べています. この警告の横にある私よりも早く、最終的な我慢を学ばないと、これらのエラーを作成するのは困難になりました.
    ネットサイト間の連絡今ではすべての人が作者に連絡するための公式を持っているわけではないので、お尻には完全に不便でした. ある著者は、私の投稿は「長すぎて分析的」であり、「編集者のペアを通過したが、誰も障害に気付かなかった」と語った. 残念ながら、各人が記事を習得してから長い時間が経過した場合、編集は基本的に対象とならないため、私の努力は時間の無駄でした.
    あるレベルでは、 FUD の一部を広めようと決心した 1 つのスポットは、ASUS および Gigabyte ボードがおそらく影響を受ける可能性があると主張しましたが、明らかにしていないようです! では、自分でテストしてみませんか? しかし、いいえ、誰も問題を起こさず、記録は広まりました.
    ネットサイトのごく一部が重要な側面をまっすぐにすることを気にかけていることを合法的に明らかにしています.彼らが気にするのはクリックだけです. 
    明らかに例外はほとんどなく、これらのネット サイトは間違いなく、私がときどき相談するサイトです。 他の誰かから合法的に怠惰にコピー＆ペーストすることに失敗した各人に適切に感謝します. 一見低いハードルを愛しているように見えますが、それでも私たちはここにいます! 
     結論
     この完全な不便さは、私にとって圧倒的な美しさでした. 
    私は実際のところ、最も現実的な可能性を試してみましたが、数百万の企業が起こした障害を解決することはできません。 
    私は… やめて、多分うまくいくと思うことはすべてやったが、それは試してみる価値があった。 彼らは今、私と1週間以上話さなかったことに気づきました。私はMSIからより多くのものをやり取りしていますか、それとも彼らの商品を他の人にほのめかしていますか? 社内で何か調整しないと地獄です 
    𝚆𝚊𝚝𝚌𝚑 𝙽𝙾𝚆 📺
    anti-Mastodon, Ask HN, Auto-Generate, Billionaires, Blockchain, coding, computer science, CRYPTO, MSI's, Secure, Show HN, Technology, TOP HN Tags:, ,

    Related Posts