NCSC houdt situatie rond lek private keys Intel BootGuard in de gaten
Het Nationaal Cyber Security Centrum (NCSC) houdt de situatie rond het lekken van de private keys van Intel BootGuard in de gaten, zo heeft het zelf bekendgemaakt. De overheidsinstantie zegt over informatie te beschikken dat het lekken van de keys niet alleen impact heeft op de producten van MSI, maar ook diverse andere hard- en softwareleveranciers. "Het ligt daarom in de lijn der verwachting dat er de komende dagen nog meer kwetsbare producten gevonden zullen worden."
Intel BootGuard moet de vertrouwelijkheid en integriteit van het opstartproces van een systeem waarborgen door alleen geverifieerde programma's voor het opstarten van het besturingssysteem te laden. "Een kwaadwillende kan een gelekte private key gebruiken om malafide firmware-, BIOS- en software-updates te ondertekenen en zo beveiligingsmaatregelen omzeilen. Hiervoor dient een gebruiker met toegang tot het systeem de malafide update te installeren", aldus het NCSC. Een aanvaller zou dan ook eerst het systeem moeten compromitteren om vervolgens de malafide firmware-update uit te voeren.
De overheidsinstantie zegt op dit moment niet met misbruik bekend te zijn, maar houdt de situatie naar eigen zeggen nauwlettend in de gaten. MSI meldde vorige maand dat het slachtoffer van een aanval was geworden en adviseerde gebruikers om alleen firmware- en bios-updates van de officiële website te downloaden. Criminelen achter de Money Message-ransomware claimden verantwoordelijkheid voor de aanval en eisten vier miljoen dollar losgeld. Of MSI op de eisen van de aanvaller is ingegaan, is onbekend. Wel zijn de keys inmiddels gepubliceerd, zo liet securitybedrijf Binarly vorige week weten.
Je kan geen private keys lekken als je die niet hebt...
En als je toch private keys nodig hebt, houd ze dan opgesloten in een fysieke kluis.
Dan kunnen ze ook niet zomaar gestolen worden bij een ransom aanvalletje.
Je kan geen private keys lekken als je die niet hebt...
En als je toch private keys nodig hebt, houd ze dan opgesloten in een fysieke kluis.
Dan kunnen ze ook niet zomaar gestolen worden bij een ransom aanvalletje.
Maar wel weer door een "ouderwetse" inbreker :-)
Fysieke kluizen zijn ook open te maken (door criminelen).
Je kan geen private keys lekken als je die niet hebt...
En als je toch private keys nodig hebt, houd ze dan opgesloten in een fysieke kluis.
Dan kunnen ze ook niet zomaar gestolen worden bij een ransom aanvalletje.
Fysieke kluizen zijn ook open te maken (door criminelen).
Plus private key is encrypted met (meerdere?) wachtzinnen.
Als Mssn. Impossible op je af komt dan maakt het niet uit of je sleutel in een kluis ligt of op een servertje.
Toch heb je liever de kluis dan dat servertje om je sleutel veilig te houden.
Je kan geen private keys lekken als je die niet hebt...
En als je toch private keys nodig hebt, houd ze dan opgesloten in een fysieke kluis.
Dan kunnen ze ook niet zomaar gestolen worden bij een ransom aanvalletje.
Daarom zouden private keys in een FIPS gecertificeerde HSM (Hardware Security Module) opgeslagen moeten zijn. Met strikte beheersprocedures er omheen conform de ETSI normen.
Er is hier iets goed fout gegaan.
Fysieke kluizen zijn ook open te maken (door criminelen).
Plus private key is encrypted met (meerdere?) wachtzinnen.
Als Mssn. Impossible op je af komt dan maakt het niet uit of je sleutel in een kluis ligt of op een servertje.
Toch heb je liever de kluis dan dat servertje om je sleutel veilig te houden.
pfshh, zeker Oceans 11 niet gezien..
Je kan geen private keys lekken als je die niet hebt...
En als je toch private keys nodig hebt, houd ze dan opgesloten in een fysieke kluis.
Dan kunnen ze ook niet zomaar gestolen worden bij een ransom aanvalletje.
Daarom zouden private keys in een FIPS gecertificeerde HSM (Hardware Security Module) opgeslagen moeten zijn. Met strikte beheersprocedures er omheen conform de ETSI normen.
Er is hier iets goed fout gegaan.
HSM's zijn hier inderdaad sinds jaar en dag al de oplossing voor. Het zou mooi zijn als iedereen er een zou hebben :)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
