Пара слов о состоянии BootGuard в UEFI-совместимых прошивках Представьте прошивку, где криптозащита начального загрузчика вроде бы настроена полностью. Все компоненты на месте, фьюзы прошиты, при каждой загрузке честно инициализируется ACM, сверяются подписи и хеши. Вот только блок, куда должны быть записаны эти хеши, пустой. Проверять нечего, потому что проверять никто и не просил, а сборочный инструмент Intel довольно долго вообще не считал это ошибкой. Такие прошивки реально уходили в релиз. И это лишь одна из дыр, через которую атакующий с доступом к флешу может тихо дописать свои драйверы в образ. Автор, который сам пишет инструмент для анализа таких прошивок, проходит по всему зоопарку реализаций от Intel до вендорских продолжений AMI, Insyde и Phoenix. Где-то утёкший ключ обнуляет всю защиту сразу, где-то том с кодом помечен как игнорируемый, а на одном скриншоте прямо видно чужой засвеченный ключ в чужой прошивке.

Microsoft закрыла 10-летнюю брешь в Secure Boot, угрожавшую миллионам ПК Свежее обновление безопасности Windows 11 под номером KB5101650 устранило критическую уязвимость в системе безопасной загрузки Secure Boot, существовавшую более десяти лет. Специалисты компании ESET выяснили, что система до сих пор считала доверенными 11 устаревших Linux-загрузчиков (вроде shim 0.9 и старше), которые давно не поддерживаются и содержат известные бреши. Хакеры могли использовать эти легитимные, но уязвимые компоненты для беспрепятственного обхода защиты Secure Boot и внедрения вредоносного ПО на самом глубоком уровне системы. Microsoft оперативно отреагировала на отчет исследователей, внеся цифровые подписи всех опасных загрузчиков в черный список UEFI DBX.