W sieci mnożą się artykuły pokazujące, jak ominąć TPM 2.0 i Secure Boot w Windows 11. Mamy nawet narzędzia, które wyłączają oba wymagania automatycznie podczas tworzenia pendrive'a instalacyjnego. Jednak częścią pracy Microsoftu jest wyjaśnienie, dlaczego korzystanie z TPM 2.0 i Secure Boot w Windows 11 jest konieczne. Oficjalny kanał Microsoft Mechanics opublikował na początku października 17-minutowy film, w którym przygląda się obu technologiom bardziej szczegółowo. Warto go obejrzeć.
Druga strona medalu
Decyzja Microsoftu jest kontrowersyjna – nikt tego nie kwestionuje. Od natychmiastowego podziału bazy użytkowników po zalecenie kupowania nowych komputerów w środku kryzysu półprzewodnikowego, Windows 11 pokazał, że problemy z taktem i komunikacją w Redmond wciąż istnieją. Teraz, gdy nowy system operacyjny jest już wśród nas, Microsoft stara się przekazać użytkownikom główne powody, dla których konieczne jest używanie TPM 2.0 i Secure Boot w Windows 11... a raczej „zalecane”.
To prowadzi nas do filmu opublikowanego w Microsoft Mechanics, jednym z oficjalnych kanałów firmy na YouTube. Kanał zwykle tworzy treści przeznaczone dla specjalistów IT, jednak ten 17-minutowy film całkiem dobrze opisuje bezpośrednie korzyści tych technologii bezpieczeństwa dla szerszej publiczności, a także zawiera kilka ataków w charakterze demonstracji.
TPM 2.0 i Secure Boot w Windows 11 wyjaśnione przez Microsoft
- Pierwszy atak wykorzystuje wystawienie protokołu RDP na internet. Najpierw lokalizuje cel za pomocą Shodan, potem przechodzi do Kali Linux, a na końcu używa Hydra do przeprowadzenia ataku siłowego, korzystając z bazy danych zawierającej podstawowe hasła. Symulacja trwa kilka sekund, ale wiemy dobrze, że atak siłowy może ciągnąć się przez dni i bardzo niepraktyczne jest przeprowadzanie go na ślepo. Po uzyskaniu pełnego dostępu atakujący wstrzykuje swoje złośliwe oprogramowanie.
- Drugi atak jest przeprowadzany bezpośrednio na urządzeniu bez zabezpieczeń opartych na wirtualizacji (VBS). Z pomocą akcesorium wykorzystującego PCILeech atakującemu udaje się zmodyfikować/zastąpić kod uwierzytelniania biometrycznego dla odcisków palców łatką, tak aby mógł wejść, używając czegoś tak prostego jak gumka. VBS niweluje tę możliwość, izolując kluczowe elementy (klucze, podpisy itp.) od standardowej sesji, a oba są oddzielone sprzętowo. Po włączeniu tej funkcji atak zostaje zneutralizowany.
- Kolejna faza wyjaśnia rolę TPM 2.0, który chroni klucze szyfrujące, poświadczenia użytkownika i inne wrażliwe dane za pomocą sprzętowej bariery. W tym miejscu warto przypomnieć, że wiele komputerów ma już wsparcie dla TPM 2.0 (sam film mówi o „komputerach z ostatnich pięciu lat”), ale jest on wyłączony w UEFI. Wielu użytkowników może zainstalować Windows 11 bez problemów, wystarczy go tylko włączyć.
- Połączenie UEFI, Secure Boot i Trusted Boot blokuje ataki takie jak ten z pierwszego przykładu lub minimalizuje szkody, jeśli komputer jest już zainfekowany. W filmie uczą, jak włączyć Secure Boot, co z kolei wymaga wyłączenia Legacy Mode lub CSM. Modyfikacje sekwencji rozruchowej są odrzucane, a komputer wraca do konwencjonalnego logowania w Windows 11.
Drobne szczegóły
Jednym z najciekawszych aspektów jest koniec filmu, w którym praktycznie przyznają, że wzrost środków bezpieczeństwa może wpłynąć na wydajność komputera, i wtedy z pomocą przychodzą nowe chipy Intela i AMD. Ponadto wszystkie wymagania bezpieczeństwa w Windows 11 są opcjonalne w Windows 10 i mogą być włączone przez użytkownika, kiedy tylko zechce.
Jeśli chodzi o ataki, chciałbym dodać coś jeszcze: z jednej strony wiele wyników prezentowanych przez Shodan pokazuje, że RDP jest wystawiony na komputery z Windows 8.1 lub starszym, czyli problem nie jest nowy. Z drugiej strony, jeśli atakujący uzyska fizyczny dostęp do urządzenia, nie jest absurdem stwierdzenie, że jest ono od początku naruszone. Krótko mówiąc, zawsze warto otrzymać dodatkowe informacje, a chodzi o to, aby użytkownik miał większą moc decyzyjną – niezależnie od tego, czy woli szukać nowego komputera, czy przedłużyć cykl życia działającego bez zarzutu sprzętu.
Źródło: Microsoft Mechanics na YouTube
