Lek in Ubuntu's Secure Boot is risico voor Windows

Canonical's implementatie wordt alleen gebruikt om het OS te starten en niet voor veiligheid.

De Secure Boot implementatie die standaard in Ubuntu zit maakt het mogelijk niet-ondertekende software te starten en dat kan een groot veiligheidsrisico vormen.

Ubuntu dwarsboomt Microsoft's pogingen om de pc's veilig te houden. Windows pc's worden tegenwoordig verscheept met Secure Boot ingeschakeld. Een veiligheidsoptie die ervoor zorgt dat een pc standaard alleen nog maar Windows kan starten. Microsoft komt Linux-gebruikers tegemoet door sleutels beschikbaar te stellen voor Linux bootloaders. Het probleem is echter dat Ubunu's signed bootloader code kan laden die niet is ondertekend. Dit maakt het gehele secure boot-proces onveilig. Gelukkig gaat dit veranderen in Ubuntu 16.04 LTS




Ubuntu's Secure Boot-ondersteuning is niet veilig

Secure Boot zou een "chain of trust" moeten vormen tussen de UEFI firmware en het besturingssysteem. Als deze optie bijvoorbeeld wordt gebruikt in combinatie met Windows, zorgt de UEFI firmware ervoor dat de Windows bootloader een correcte, ongewijzigde gesigneerde sleutel draagt. De Windows bootloader gaat vervolgens door naar de volgende stap waar ook wordt gekeken of alles nog legitiem is. Het doel daarvan is ervoor te zorgen dat er geen rootkits actief zijn die het opstartproces verstoren.

De gemiddelde Linux distributie heeft een door Microsoft ondertekende bootloader die ervoor zorgt dat de UEFI firmware het systeem kan laten starten. De bootloader van Ubuntu checkt echter niet of de geladen Linux-kernel ondertekend is door Canonical. Dat betekent niet alleen dat Secure Boot geen veiligheids-feature is voor Ubuntu-gebruikers, maar ook dat dat kwaadwillenden Ubuntu's bootloader kunnen gebruiken om malware toe te voegen aan praktisch elke pc die gebruik maakt van Secure Boot. De Grub bootloader die wordt gebruikt door Ubuntu kan namelijk ook Windows starten, waardoor het mogelijk wordt Windows systemen die werken met Secure boot aan te vallen.



Dit is niet algemeen bekend, maar ook niet iets wat Canonical onder stoelen of banken heeft geschoven. Marc Deslauriers, Ubuntu security engineer, schreef: " Ubuntu's ondersteuning voor Secure boot is alleen maar bedoeld om als compatibiliteits-maatregel zodat media gestart kunnen worden op computers waarop security boot actief is. Er zijn geen plannen om Secure Boot als veiligheids-maatregel in te zetten."

Vrije-software-ontwikkelaar Matthew Garrett ontdekte dit probleem op 6 Januari 2016. Garrett beschuldigt de makers van Ubuntu in een serie boze tweets van "criminele onzinnigheid" en wees op het gevaar dat schuilt in het misbruiken van ondertekende bootloaders door Microsoft. Garrett voegde daar in een andere tweet het volgende aan toe: " Deze beslissing raakt niet alleen Ubuntu-gebruikers, maar iedereen die gebruik maakt van de UEFI Secure Boot."