Microsoft รั่วไหล Master Key ของ Secure Boot — ตัวอย่างสะท้อนว่า "Golden Keys" (Backdoor) ไม่ควรมีอยู่จริง
การรั่วไหลปลดล็อกอุปกรณ์ที่มี Microsoft Secure Boot ทำให้ติดตั้ง OS/Apps อื่นแทนที่ Microsoft กำหนดได้
ทฤษฎีแล้วไม่ควรส่งผล Security แต่จะเปิดทางให้ Alternative OS และ Apps ที่เคย Fail บน Secure Boot
Microsoft จะตอบสนองอย่างไร? Update เปลี่ยน Key? หรือสายเกินไป?
Secure Boot คืออะไร?
"Secure Boot ช่วยให้ PC Boot ด้วย Firmware ที่ Manufacturer Trusted เท่านั้น"
มาตั้งแต่ Windows 8 ป้องกัน Malicious Operators ติดตั้ง Apps/OS ไม่ได้อนุญาต ตอน Boot หรือ Startup ใช้ UEFI Specification ให้ Encryption, Network Auth, Driver Signing ป้องกัน Rootkits และ Low-level Malware
Windows 10 UEFI
Microsoft อยากเพิ่ม "Protection" ให้ UEFI ใน Windows 10 แจ้ง Manufacturers ก่อนเปิดตัวว่า "สิทธิ์ปิด Secure Boot" อยู่ที่พวกเขา — ล็อก OS ต่อเครื่อง Ars Technica's Peter Bright อธิบาย: การเปลี่ยนแปลง UEFI Rules ก่อน Release Windows 10 ทำให้เป็นไปได้
"ถ้าคงอยู่ OEM อาจสร้างเครื่องที่ Boot Self-built OS ไม่ได้ หรือ OS ที่ไม่มี Digital Signatures"
มีเครื่องที่ Unlocked UEFI อยู่ แต่เป็นอุปสรรคอีกชั้นสำหรับ Linux Advocates
ตอนนี้ Secure Boot Unlocked แล้ว?
Permanently? ไม่แน่ใจ แตตอนนี้ Unlock ได้ เกิดจาก Policy ที่ Microsoft สร้างให้ Developers ทดสอบ OS Build โดยไม่ต้อง Sign ทุก Version — Policy นี้ Override Secure Boot ปิด Early System Checks
Security Researchers MY123 และ Slipstream เอกสารพบว่า: Supplemental Policies ใน EFIESP Partition Merge เข้ากับ Legacy Policies — Bootmgr ไม่เช็ค Conditions ทำให้ Policy ที่Signed ถูกต้อง แต่จริงๆ แล้วเป็น Debug Policy ที่ Leaked ออกสู่ Internet
Microsoft แสดงให้เห็นว่า Debug Policy สำหรับ Devs เปิดให้ทุกคนใช้ได้ — Golden Keys รั่วไหล
จำ San Bernardino iPhone ได้ไหม?
"Irony: MS ให้ Golden Keys (เหมือน FBI อยากได้) ออกมาเอง FBI อ่านนี้ไหม? Backdooring Cryptosystems ด้วย Secure Golden Key = Bad Idea! MS ทำ Golden Key System และ Keys รั่วไหลจากความโง่ของ MS เอง ถ้าบังคับทุกคนทำ Golden Key System จะเกิดอะไร?"
Encryption Advocates เห็นว่าเป็น Moment ที่หวานกดขม — ชี้ให้ Law Enforcement/Government เห็นว่า Backdoors ไม่มีโอกาสซ่อนอยู่ — จะถูกค้นพบเสมอ
บอลอยู่ที่ Microsoft
Microsoft เปิดประกาศพยายามลดความสำคัญ: "Jailbreak Technique ไม่ใช้กับ Desktop/Enterprise PC ต้องการ Physical Access และ Admin Rights บน ARM/RT Devices ไม่แยก Encryption" — ปล่อย Security Bulletin "Important" แก้ Vulnerability แต่ติดตั้ง Windows 10 โดยไม่ Patch ก็ง่าย
Golden Keys
น่าจะไม่ทำให้ Microsoft Devices รัน Linux Distros มากขึ้น — บางคนลอง แต่ส่วนใหญ่แค่ Security Blip ผ่านไป
แต่มัน สำคัญ — ไม่แค่ Linux บน Tablet แต่วิธี Golden Key รั่วไหลปลดล็อกล้านๆ อุปกรณ์
The Washington Post เคยร้องขอ "Compromise" ให้ Google/Apple มี Golden Key — Christ Coyne (Keybase) วิพากษ์: "Honest, Good People ถูกคุกคามโดย Backdoor ใดๆ ที่ Bypass Password ของพวกเขา"
เราควรปกป้อง Security สูงสุด ไอเร่อนปรับปรุง Down มัน จะ ตกมือคนผิด — เราทุกคนเล่นเกม Reactive Defence ที่อันตราย
Tech Giants ควรสร้าง Backdoors ไหม? หรือ Gov Agencies ควรมุ่งนำรักษา Security เอง? คิดเห็นได้เลย!
Image Credit: DutchScenery/Shutterstock, Constantine Pankin/Shutterstock
