אתחול מאובטח הוא תכונת אבטחה חיונית שנועדה להבטיח שרק תוכנה מהימנה תבוצע במהלך תהליך האתחול. עם זאת, ככל שמתגלות פגיעויות, הוצגו מנגנונים מתקדמים יותר כמו Secure Boot Advanced Targeting (SBAT) כדי לשפר את האבטחה שלה. מאמר זה מסביר את המושגים המרכזיים העומדים מאחורי SBAT וכיצד הוא פועל לשמירה על שלמות תהליך האתחול.

כיצד פועל אתחול מאובטח מסורתי #

אתחול מאובטח פועל על ידי אימות כל רכיב בתהליך האתחול, החל מהקושחה המאמתת את טוען האתחול, אשר בתורו מאמת את הליבה וכן הלאה. שרשרת אמון זו מבטיחה שרק רכיבים מאומתים וחתומים מורשים לפעול. אם מתגלה פגיעות, המערכת מבטלת רכיבים לא מהימנים על ידי הוספת ה-hash שלהם לרשימה שחורה. שיטה זו הייתה יעילה, אך היא מתמודדת עם אתגרים בטיפול בקנה המידה והמורכבות של סביבות אתחול מודרניות.

ברמה גבוהה, תהליך האתחול המאובטח עוקב אחר מודל של שרשרת אמון:
1. קושחה UEFI: מאמת את החתימה של טוען האתחול.
2. מנהל איתחול: מאמת את חתימת הליבה.
3. גַרעִין: מאמת מודולים שנטענים באופן דינמי וכל קוד קרנל נוסף.
4. סביבת זמן ריצה: אמון מועבר קדימה, ומבטיח את סביבת הביצוע של המערכת.

מודל זה מבטיח שרק רכיבים שנחתמו באמצעות מפתח מהימן יבוצעו. עם זאת, כאשר מתגלה פגיעות באחד מרכיבים אלה (למשל, במנהל האתחול), יישום מסורתי של אתחול מאובטח דורש הוספת ה-hash של הרכיב לרשימה שחורה, מה שמונע את הפעלת הקובץ הבינארי הזה בעתיד. הבעיה? קנה מידה.

הבעיה: ניהול מספר רב של קבצים בינאריים #

כל הפצת לינוקס, למשל, עשויה להרכיב גרסה משלה של טוען האתחול (למשל, GRUB), וליצור הרבה קבצים בינאריים נפרדים עם hashes ייחודיים. כאשר מזוהה פגיעות בקוד טוען האתחול הבסיסי, יש לבטל כל בינארי מושפע בנפרד. בהתחשב בעובדה שהאחסון הזמין עבור Hashs לביטול (בדרך כלל מאוחסן ב-NVRAM) מוגבל, גישה זו אינה ברת קיימא עבור סביבות בקנה מידה גדול.

SBAT: שיפור מדרגיות האתחול המאובטח #

Secure Boot Advanced Targeting (SBAT) נועד לפתור בעיית מדרגיות זו על ידי מעבר מביטול גיבוב בינארי בודד ובמקום זאת הכנסת דורות אבטחה. מנגנון SBAT פועל באופן הבא:
1. מספר דור אבטחה: לכל רכיב אתחול (מטען אתחול, קרנל וכו') מוקצה מספר דור. מספר זה מוטבע בבינארי החתום במהלך תהליך הבנייה.
2. משתנה SBAT: משתנה קושחה חדש מוצג כדי לאחסן את יצירת האבטחה המינימלית המותרת עבור כל רכיב.
3. לוגיקה של אימות: במהלך תהליך האתחול, המערכת בודקת את מספר דור האבטחה של הרכיב הבא מול הדור המינימלי המוגדר במשתנה SBAT. אם היצירה של הרכיב מתחת לסף, הוא נדחה ותהליך האתחול נעצר.

זרימת SBAT #

• הקושחה יוזמת את טוען האתחול ובודקת את יצירת אבטחת ה-SBAT שלו.
• טוען האתחול מאמת את מספר הדור של הליבה.
• הקרנל עשוי לאמת את מספרי ייצור האבטחה של מודולים אחרים לפי הצורך.

גישה זו מאפשרת לבטל גרסאות מרובות של קבצים בינאריים פגיעים פשוט על ידי העלאת מספר הדור המינימלי במשתנה SBAT, ללא צורך באחסון גיבובים בודדים.

יישום SBAT: מרכיבי מפתח #

מדור SBAT בבינאריים חתומים #

כל רכיב בשרשרת האתחול חייב לכלול מדור מטא נתונים של SBAT המכיל:

• שם הרכיב.
• מספר דור האבטחה הנוכחי של הרכיב.

שילוב קושחה #

יש לעדכן את קושחת המערכת כדי לזהות ולטפל במשתנה SBAT. זה כולל:

• אחסון משתנה SBAT ב-NVRAM.
• בדיקת מטא נתונים של SBAT ברכיבי אתחול.
• דחיית כל רכיב עם מספרי דור מיושנים.

ניהול מדיניות אבטחה #

עדכון משתנה SBAT הוא חלק מניהול מדיניות האבטחה הכוללת של המערכת. כל עדכונים חייבים להגדיל את מספר הדור בכל הרכיבים הרלוונטיים בשרשרת האתחול כדי להבטיח הגנה רציפה.

SBAT ו-Secure Boot Hardening #

על ידי אימוץ SBAT, ארגונים יכולים:
1. צמצום תקורה של ביטול: במקום לאחסן גיבובים רבים של קבצים בינאריים פגיעים, יש לעדכן רק את מספר הדור.
2. הגבר את האבטחה: ניתן לחסום רכיבים פגיעים ביעילות רבה יותר, ולצמצם סיכונים מבלי למצות את אחסון הקושחה.
3. השקות קלות יותר: מנהלי מערכת יכולים לנהל עדכוני קושחה ותצורות אתחול מאובטח ביתר קלות, ולהבטיח זמני תגובה מהירים יותר לפגיעויות.

סיכום #

Secure Boot Advanced Targeting (SBAT) היא שיטה יעילה לטיפול בעדכוני אבטחה בשרשרת האתחול המאובטח מבלי להציף את האחסון או תשתית האבטחה של המערכת. על ידי הטמעת מספרי דורות בכל רכיב אתחול ושימוש במנגנון עדכון יחיד כדי לאכוף את הדורות הללו, SBAT מספק מדרגיות וגמישות לניהול הנוף ההולך ומתפתח של אבטחת אתחול.

עבור מערכות לינוקס ו-Windows מודרניות, SBAT מבטיח סביבת אתחול מאובטח חזקה וגמישה יותר המסוגלת להגיב במהירות לאיומים עם תקורה תפעולית מינימלית.