Microsoft blundert: universele Windows-sleutel gelekt

Microsoft heeft per ongeluk de sleutels voor zijn besturingssystemen gelekt. Met behulp van deze ‘gouden sleutels’ kunnen hackers inbreken op ieder toestel dat is beschermd door Secure Boot en kunnen ze rootkits installeren in de kern van deze systemen.

Achterdeur

Secure Boot is onderdeel van de Unified Extensible Firmware Interface (UEFI) en zorgt ervoor dat iedere component van een bootproces van een systeem gevalideerd is. Wanneer Secure Boot volledig aanstaat voorkomt het dat gebruikers hun toestel booten met een ander besturingssysteem dan Windows. Bij Windows Phone en Windows RT, welke door de Surface-serie wordt gebruikt, kan Secure Boot niet worden uitgeschakeld door de gebruiker.

Voor testdoeleinden heeft Microsoft in Secure Boot een achterdeur geïmplementeerd. Via deze achterdeur  kunnen ontwikkelaars een OS naar keuze booten. Het proces waarmee je de achterdeur van Secure Boot kan forceren, is gelekt op het internet en getekend met een Windows Production PCA 2011-sleutel. Met deze sleutel kunnen alle systemen die gebruik maken van Secure Boot worden ontgrendeld.

Updates

De onderzoekers die op het lek stuitten, MY123 en Slipstream, hebben hun bevindingen doorgegeven aan Microsoft. In juli rolde Microsoft daarom de beveiligingsupdate MS 16-094 uit. De update voegde een hoop extra processen toe aan Secure Boot, maar kon het lek niet volledig dichten. Een nieuwe update was daarom aan de orde. MS16-100, dat in augustus werd uitgerold, kan de gouden sleutels echter ook niet volledig tegenhouden. Er wordt daarom een nieuwe update in september verwacht.

Ondanks Microsoft zijn pogingen om het probleem van de baan te helpen, zijn MY123 en Slipstream er niet van overtuigd dat het lek ooit volledig dicht zal zijn. “Het is onmogelijk voor Microsoft om iedere boot manager ouder dan een bepaalde leeftijd terug te roepen. Het zou installatiemedia, hersteldrives en back-ups kapot maken,” staat te lezen op hun blog.