El desastre de PKfail, que neutraliza el sistema de arranque seguro, es más frecuente de lo que nadie creía
Imágenes Getty
Una falla en la cadena de suministro que compromete las protecciones de arranque seguro en dispositivos informáticos de toda la industria de fabricación de dispositivos se extiende a una cantidad mucho mayor de modelos de lo que se conocía anteriormente, incluidos los utilizados en cajeros automáticos, terminales de puntos de venta y máquinas de votación.
El desastre fue el resultado de que se usaron claves de plataformas de prueba que no eran de producción en cientos de modelos de dispositivos durante más de una década. Estas claves criptográficas forman el ancla de confianza raíz entre el dispositivo de hardware y el firmware que se ejecuta en él. Las claves de prueba de producción, que llevan impresas frases como “NO CONFÍE” en los certificados, nunca estuvieron pensadas para usarse en sistemas de producción. Una lista de los principales fabricantes de dispositivos, entre ellos Acer, Dell, Gigabyte, Intel, Supermicro, Aopen, Foremelife, Fujitsu, HP y Lenovo, las usaron de todos modos.
Dispositivos médicos, consolas de juegos, cajeros automáticos, terminales POS
Las claves de plataforma proporcionan el ancla de la raíz de confianza en forma de una clave criptográfica integrada en el firmware del sistema. Establecen la confianza entre el hardware de la plataforma y el firmware que se ejecuta en él. Esto, a su vez, proporciona la base para Secure Boot, un estándar de la industria para aplicar criptográficamente la seguridad en el entorno previo al arranque de un dispositivo. Integrado en la UEFI (Unified Extensible Firmware Interface), Secure Boot utiliza criptografía de clave pública para bloquear la carga de cualquier código que no esté firmado con una firma digital aprobada previamente.
El uso de las claves de la plataforma de prueba compromete toda la cadena de seguridad establecida por Secure Boot, ya que la parte privada que sustenta su seguridad es un secreto a voces que conocen cientos o posiblemente miles de personas diferentes. Para empeorar las cosas, la parte privada de una de las claves de prueba se publicó en una publicación de 2022 en GitHub. Esta información secreta es un elemento necesario en una clase de ataques altamente sofisticados que implantan los denominados rootkits que infectan la UEFI de los dispositivos protegidos por Secure Boot.
Desde que se dieron a conocer los hallazgos en julio, los investigadores de la empresa de seguridad Binarly han descubierto que la cantidad de modelos de dispositivos que utilizan las claves de prueba es mucho mayor de lo que se sabía anteriormente. Si bien antes sabían que había aproximadamente 513 modelos que utilizaban una clave de prueba, ahora saben que hay 972. Además, sabían que aproximadamente 215 de los modelos afectados utilizaban la clave comprometida en GitHub; ahora saben que hay unos 490. Finalmente, descubrieron cuatro nuevas claves de prueba que no habían identificado antes, lo que eleva el número total a aproximadamente 20. Los investigadores han denominado a este fallo de toda la industria PKfail, porque involucra PK (claves de plataforma).
“La complejidad de la cadena de suministro está sobrepasando nuestra capacidad de gestionar eficazmente los riesgos asociados a los proveedores externos”, afirma el investigador de Binarly, Fabio Pagani. escribió el lunes“PKfail es un gran ejemplo de un fallo de seguridad en la cadena de suministro que afecta a toda la industria. Sin embargo, estos riesgos podrían mitigarse y evitarse por completo si nos centramos más en ofrecer una filosofía de seguridad desde el diseño”.
Anteriormente, todas las claves descubiertas provenían de AMI, uno de los tres principales proveedores de kits de desarrollo de software que los fabricantes de dispositivos utilizan para personalizar su firmware UEFI de modo que funcione en sus configuraciones de hardware específicas. Desde julio, Binarly ha encontrado claves que se originaron con competidores de AMI, Insyde y Phoenix.
Binarly también descubrió que los siguientes tres proveedores también venden dispositivos afectados por PKfail:
La publicación del lunes continuaba diciendo: “Según nuestros datos, encontramos PKfail y claves que no son de producción en dispositivos médicos, computadoras de escritorio, portátiles, consolas de juegos, servidores empresariales, cajeros automáticos, terminales POS y algunos lugares extraños como máquinas de votación”.
Los funcionarios de Binarly se negaron a identificar modelos específicos, citando acuerdos de confidencialidad porque aún no hay correcciones disponibles. Las cifras actualizadas se discutirán en la LABScon Conferencia de seguridad prevista para la próxima semana.
El descubrimiento de modelos de dispositivos adicionales y claves de plataforma se produjo a través de presentaciones a un herramienta de detección gratuita Proporcionado por Binarly. En los meses transcurridos desde que se publicó la investigación de PKfail, la herramienta recibió 10.095 imágenes de firmware únicas. De ellas, 791 (el 8 %) contenían claves que no eran de producción.
PKfail socava las garantías que ofrece Secure Boot, una protección que es obligatoria para algunos contratistas gubernamentales y que se requiere en muchos entornos corporativos. Secure Boot también se considera una práctica recomendada para quienes enfrentan amenazas de alto riesgo. Para las personas o dispositivos que no utilizan Secure Boot, PKfail no representa una amenaza adicional. El mes pasado, a PKfail se le asignaron las designaciones CVE-2024-8105 y VU#455367.