BlackLotus i Secure Boot: co mówi kontrola stanu

Aktualny Windows nie potwierdza, że Microsoft Windows Production PCA 2011 został unieważniony w bazie DBX. Wygaśnięcie tego certyfikatu także nie oznacza unieważnienia zaufania. Secure Boot sprawdza ustawienia bezpiecznego rozruchu, a stan DBX dotyczy zaufania do określonych składników startowych; żaden z tych odczytów nie jest skanem w poszukiwaniu istniejącego bootkita.

Przed unieważnieniem PCA 2011 Microsoft zaleca najpierw zaktualizować DB i wdrożyć menedżery rozruchu podpisane certyfikatem Windows UEFI CA 2023.

Co sprawdzają Secure Boot, DB i DBX

Secure Boot to funkcja UEFI, która sprawdza podpisy oprogramowania uruchamianego przed systemem operacyjnym. UEFI przechowuje bazę dozwolonych podpisów DB oraz bazę DBX, która zawiera podpisy i składniki zablokowane przy uruchamianiu. Zmiana wpisów w DB i unieważnienie zaufania przez DBX to odrębne operacje.

Dlatego status „Windows jest aktualny” nie rozstrzyga, czy na danym komputerze wpisano unieważnienie PCA 2011 do DBX. Microsoft opisuje aktualizację DB i unieważnienie w DBX jako osobne etapy. Komputer bez nowych certyfikatów z 2023 roku może nadal uruchamiać system i otrzymywać standardowe aktualizacje Windows, ale nie otrzymuje nowych zabezpieczeń wczesnego rozruchu ani powiązanych aktualizacji Secure Boot. Microsoft wyjaśnia zmianę certyfikatów Secure Boot.

Jak BlackLotus wiąże się z menedżerem rozruchu

Według Microsoftu BlackLotus wykorzystuje podatność Baton Drop, CVE-2022-21894, by cofnąć menedżer rozruchu Windows do podatnej wersji, której nie ma na liście DBX. Microsoft podaje też, że wcześniejsze zabezpieczenia oparte na wersji menedżera rozruchu i wpisach DBX miały przypadki obejścia. Jako szersze działanie opisuje unieważnienie zaufania do Microsoft Windows Production PCA 2011. Microsoft przedstawia techniczne uzasadnienie i kolejność tych działań.

Certyfikaty z 2011 roku i ich zamienniki

Microsoft wymienił cztery certyfikaty z 2011 roku, które wygasły w 2026 roku. Ich zamienniki pełnią różne funkcje i trafiają do wskazanych baz UEFI. Wygaśnięcie certyfikatu nie jest równoznaczne z wpisaniem jego zaufania na listę DBX.

W przypadku Windows Production PCA 2011 data wygaśnięcia, 19 października 2026 r., nie oznacza sama z siebie, że starsze menedżery rozruchu utraciły zaufanie w DBX. Zamiennik Windows UEFI CA 2023 służy do zaufania nowym składnikom rozruchowym; wpis DBX ma osobną funkcję i blokuje wskazane starsze składniki. Microsoft podaje daty, zamienniki i ich lokalizacje w bazach UEFI.

Co przygotować przed unieważnieniem PCA 2011

Microsoft zaleca najpierw zaktualizować DB i wdrożyć menedżery rozruchu podpisane certyfikatem Windows UEFI CA 2023, a dopiero potem zastosować unieważnienie PCA 2011 w DBX. Przed wdrożeniem należy przetestować zmiany na reprezentatywnych urządzeniach, sprawdzić aktualność oprogramowania układowego producenta i zabezpieczyć klucze odzyskiwania BitLocker.

Kolejność ma praktyczne znaczenie: po unieważnieniu komputer z włączonym Secure Boot nie uruchomi menedżera rozruchu Windows podpisanego certyfikatem PCA 2011. Dotyczy to również starszych nośników odzyskiwania i USB oraz przestarzałych składników rozruchu sieciowego. Microsoft ostrzega, że ręczne zastosowanie unieważnienia DBX przed aktualizacją DB może uniemożliwić uruchomienie urządzenia i ominąć mechanizmy bezpieczeństwa Windows Update. Microsoft opisuje wymagane przygotowania i skutki dla nośników rozruchowych.

Co potwierdza kontrola stanu

Informacja, że Secure Boot jest włączony, dotyczy konfiguracji rozruchu. Odczyt stanu DBX dotyczy zaufania do określonych podpisów. Żaden z nich nie potwierdza, że na komputerze nie ma już istniejącej infekcji bootkitem.