Windowsマシンのセキュアブートを無効化できるセキュアブートポリシーが流出、解析結果が公開される

適用することでWindowsマシンのセキュアブート機能を無効化できるというセキュアブートポリシーが流出し、解析結果が公開されている(Secure Golden Key Boot、The Registerの記事、Threatpostの記事、Ars Technicaの記事)。

セキュアブートはUEFIファームウェアの機能の1つ。有効にするとブート時に実行するソフトウェアの署名が確認され、認証された証明書で署名されていなければ実行できない。セキュアブートポリシーはバイナリ形式のファイルで、Windowsの起動プロセスの非常に初期の段階にbootmgrが読み込む。デバイスの中にはセキュアブートを無効にできないものもあるが、発見したセキュリティ研究者が「golden key」と呼ぶセキュアブートポリシーを読み込ませることでテスト署名を有効化し、セキュアブートをバイパス可能になるという。

golden keyの入手経路は明らかにされていないが、何らかの製品に誤って同梱されていたものとみられる。発見者は3月～4月にgolden keyの存在を確認してMicrosoft Security Response Centerに連絡したが、当初の反応は鈍かったという。しかし、6月～7月に再び返信があり、バグ発見の報奨金プログラムの対象になる。Microsoftでは7月(MS16-094)と8月(MS16-100)に修正プログラムをリリースしているが、影響を受けるポリシーやブートマネージャーをブラックリストに登録するといった内容であり、この方法での完全な修正は難しいと発見者はみているようだ。

セキュアブートポリシーは開発時などに必要なものだが、ブートキットなどのインストールに使われる可能性もある。発見者は政府機関などが要求するようなバックドアの設置が行われ、その鍵が流出した場合の問題を示す実例だと述べている。

一方、Microsoftは、この問題がデスクトップや企業のPCには適用されないと述べ、ARMおよびRTデバイスでも物理的アクセスおよび管理者権限が必要になる点を指摘。暗号化による保護が破られることはないとThreatpostに説明したとのことだ。　スラドのコメントを読む | セキュリティセクション | セキュリティ | Windows | 情報漏洩

　関連ストーリー：
Windows 10ロゴプログラムではセキュアブート無効化オプションの搭載が必須ではなくなる 2015年03月22日
systemd、UEFIブートローダー追加へ 2015年02月07日
Linus Torvalds、UFEIのセキュアブート問題で怒る 2013年02月28日
FSF、Ubuntuのセキュアブート対策を批難 2012年07月05日
Ubuntu の UEFI セキュアブート対応計画が明らかに 2012年06月25日
Red Hat、MSが推進するセキュアブート対策のためMSに99ドルを支払ってキーコードを購入する案を発表 2012年06月08日
Microsoft、ARMシステムでUEFIセキュアブートの設定変更を禁止 2012年01月15日
Linux Foundation、UEFI セキュアブートと Linux の共存に関する文書を公開 2011年11月02日
Linux Australia、Windows 8のセキュアブートに反対する陳情を行う 2011年10月04日
Windows 8のプリインストールマシンで他のOSがブートできない可能性 2011年09月25日