Computerbeveiliging - Hoe je bad guys buiten de deur houdt

UEFI-sleutel uitgelekt.

08-04-2013, 14:30 door golem, 6 reacties
Bericht op webwereld.nl:
http://webwereld.nl/nieuws/113964/uefi-sleutel-uitgelekt-van-grote-bios-fabrikant.html

Blijkbaar is er een UEFI-sleutel van American Megatrends uitgelekt via een
slecht beveiligde FTP-server van Jetway.

http://adamcaudill.com/2013/04/04/security-done-wrong-leaky-ftp-server/

Betekent dit het einde van extra veiligheid die UEFI biedt ?
Afwachten maar...
Reacties (6)
08-04-2013, 14:44 door SirDice
Door golem: Betekent dit het einde van extra veiligheid die UEFI biedt ?
Voor zover ik 't begrepen had kun je met die sleutel alleen maar een AMI EUFI upgraden of aanpassen. Andere merken hebben waarschijnlijk andere sleutels.

Maar goed, in combinatie met de sourcecode kun je daar vast leuke dingen mee doen :)
08-04-2013, 16:02 door [Account Verwijderd]
[Verwijderd]
08-04-2013, 17:49 door johanw
Als het goed is betekent dit het einde van de extra geslotenheid die UEFI biedt. Slecht nieuws voor MS dus, als Linux makkelijker te installeren wordt.
08-04-2013, 18:01 door SirDice
Door johanw: Als het goed is betekent dit het einde van de extra geslotenheid die UEFI biedt. Slecht nieuws voor MS dus, als Linux makkelijker te installeren wordt.
Dat heeft er dus niets mee te maken. Het is een sleutel specifiek voor AMI updates, meer niet.
16-04-2013, 18:09 door Anoniem
Het gaat er niet om of de FTP-server slecht beveiligd is, het had helemaal niet op een FTP-server moet staan.
30-04-2013, 15:30 door Anoniem
Aangezien dit een sleutel expliciet bedoeld voor testen, en expliciet niet bedoeld voor productie betreft, is het slordig maar pas een probleem voor de fabrikanten als ze zo dom zijn om tegen de instructies van AMI in te gaan.

Wat het signeren van updates betekent voor mensen die toch liever een alternatief als coreboot zouden gebruiken, nuja, nu nog minder keuze, of op z'n minst meer gedoe bij de eerste installatie. Zie bijvoorbeeld de PS3 en het verdwijnen van "other OS". De situatie is niet helemaal parallel maar genoeg om op de lange termijn zorgelijk te zijn.

Nuttiger is wellicht het uitlekken van de broncode. Mogelijk dat daar nog leuke dingen mee te doen zijn, bijvoorbeeld ervan te leren hoe coreboot zo te verbeteren dat het ook op modernere systeemborden werkt. Willen we niet afhankelijk zijn van een paar biosfabrikanten (oh sorry, UEFIfabrikanten) die braaf aan de lijn lopen van een hele grote softwarefabrikant die eigenlijk maar wat graag jouw eigenaarschap uitholt (zie inderdaad signed boot, wat een controlemiddel is, geen beveiliging) dan wordt het steeds belangrijker dat alle kritieke stukjes code publiek beschikbaar zijn. Ook uit veiligheidsoogpunt, zie Reflections on Trusting Trust (http://cm.bell-labs.com/who/ken/trust.html, dit mag voor de gemiddelde IT security-bekende geen onbekende kost zijn).
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search
Certified Secure Happy Holidays