【快訊】微軟意外泄露安全密鑰，可繞過UEFI

這是真的！這是一個所有人都可以訪問的後門。

微軟意外泄露了可以使黑客解鎖通過UEFI（統一可擴展固件介面）安全引導保護設備的密鑰。

更糟的是微軟不可能收回此次泄漏的密鑰。

安全引導是一項安全功能，它能保護你的設備免受某些類型惡意軟體的入侵，比如rootkit，它可以劫持你的系統引導程序，並且安全引導可以限制你在你的設備上運行任何非微軟的操作系統。

換句話說，當啟用安全引導程序時，你只能夠啟動微軟認可的（加密簽名確認的）操作系統。

然而，秘鑰由兩名安全研究人員泄露，他們的綽號是MY123和Slipstream。密鑰可用來在那些受安全引導保護的設備上安裝非Windows操作系統，比如GNU / Linux或Android。

此外，根據研究人員發表的博客文章，微軟完全收回此次泄露的密鑰是幾乎不可能的。這些密鑰可能影響到執法單位（如聯邦調查局和國家安全局）用來解鎖刑事案件中windows設備的特殊後門。

這個問題實際上出現在安全引導策略載入系統中，系統中的一個簽名策略會更早的被載入並禁用操作系統註冊表中的簽名驗證。

這個特殊的安全引導策略是微軟的開發人員、測試人員和程序員以調試為目的創造並簽發的。

n「在Windows10 v1607 Redstone開發期間，微軟增加了一個新的安全引導策略類型，在其中補充了位於UEFIESP分區的策略」研究員說到。

n「微軟往安全引導程序中插入了一個後門，因為他們決定不再讓用戶在某些設備上關閉它，這使得所有主機的安全引導程序都存在安全缺陷！「

昨天，微軟發布了八月的安全補丁，補丁中包括安全引導程序在兩個月內出現的第二次設計缺陷的安全補丁。但遺憾的是，該修補程序不能完全修補漏洞。

文章來源：

nhttp://thehackernews.com

初翻：@小白在閉關

二次潤色：@xiaoqin00

推薦閱讀：