Poważna wpadka Microsoftu uczy, że backdoor ZAWSZE jest kiepskim pomysłem
Rządy różnych krajów domagają się backdoorów łamiących cyfrowe zabezpieczenia, co ma ułatwić im ściganie przestępców. Problem w tym, że z tych backdoorów będą korzystać nie tylko rządy. A ich implementacja jest działaniem skrajnie nieodpowiedzialnym.
Szyfrowanie danych nie powstało po to, by nikt nie mógł podejrzeć informacji bez naszej wiedzy, chyba że jest to przedstawiciel administracji publicznej. Szyfrowanie danych ma na celu zablokowanie do nich dostępu dla kogokolwiek. Bez wyjątku, oprócz adresatów przez nas wskazanych. Dlatego też z przerażeniem i niepokojem obserwuję sukcesy grup lobbujących nakaz instalowania backdoorów w mechanizmach zabezpieczających oprogramowanie.
Backdoor to „tylne wejście” dla wtajemniczonej osoby. A więc świadomie pozostawiona luka w zabezpieczeniach oprogramowania, umożliwiająca jego twórcy na szybki dostęp do danych. Jak się okazuje, o czym donosi między innymi The Register, Microsoft pozostawił sobie takiego backdoora do własnego użytku. Skrajnie nieodpowiedzialnie, za co teraz może zapłacić wysoką cenę.
Ów backdoor zaszyty jest w mechanizmie Secure Boot. Ów mechanizm miał być dodatkową linią obrony przed cyberprzestępcami, uniemożliwiając podmianę rdzennych plików systemu operacyjnego na nieautoryzowane. Wbrew obiegowej opinii, nie służy to do blokowania instalacji innych systemów operacyjnych niż fabryczne, bo te również mogą zyskać klucz certyfikujący, a sam mechanizm Secure Boot nie jest obowiązkowy, na dodatek na komputerach większości producentów jest wyłączalny. Niestety, ów mechanizm jest dziurawy na skutek zastosowania backdoora. Tak głęboko zaszytego, że niewykluczone, że wręcz nieusuwalnego.
„Backdoor do wewnętrznych testów”
Jak ustaliła redakcja The Register, Microsoft zaszył backdoora w Secure Boot w celach serwisowo-rozwojowych. Ciężko każdą testowaną wewnętrznie kompilację systemu sygnować odpowiednim kluczem szyfrującym. Programiści testujący Windows na różnych sprzętach otrzymali więc tak zwany Złoty Klucz, obchodzący całkowicie Secure Boot. A teraz ów klucz, jak można było przewidzieć, wyciekł poza firmę Microsoft.
I działa.
Microsoft wie o tym od marca i próbował już kilkukrotnie załatać tę ewidentną lukę w zabezpieczeniach. Na razie jednak udało mu się tylko utrudnić wykorzystanie tej luki, ale nie wyeliminował jej w całości. Coraz więcej specjalistów jest zdania, że usunąć się jej właściwie nie da.
To bardzo ważna lekcja dla wszystkich
Secure Boot na szczęście jest komplementarnym mechanizmem, kolejną linią obrony przed cyberprzestępcami, a jego złamanie nie wpływa w bezpośredni sposób na bezpieczeństwo użytkowników (choć pośrednio, rzecz jasna, jak najbardziej). To jednak bardzo ważne wydarzenie z którego politycy, urzędnicy i inżynierowie powinni wyciągnąć ważną lekcję.
Backdoor, niezależnie od tego, czy jest w rękach policji, wywiadu, służb specjalnych czy wielkiej korporacji, w myśl praw Murphy’ego, prędzej czy później trafi w niepowołane ręce. Jego istotą jest omijanie najbardziej wyszukanych zabezpieczeń systemów informatycznych. Które są przecież istotne nie tylko dla cyberprzestępców chcących uniknąć organów ścigania, ale również dla firm, korporacji, zwykłych użytkowników a nawet instytucji rządowych.
Jego umieszczanie jest zawsze, ale to zawsze złym pomysłem. Nawet jeśli pierwotna idea, taka jak walka z terroryzmem, jest jak najbardziej właściwa.
