CVE-2016-3320

Описание

Уязвимость в функционале безопасности позволяет злоумышленнику загрузить менеджер загрузки с уязвимостью в Windows Secure Boot. Успешная эксплуатация уязвимости дает возможность отключить проверку целостности кода, позволяя загружать тестовые исполняемые файлы и драйверы на целевое устройство. Кроме того, злоумышленник способен обойти проверки целостности Secure Boot, которые защищают функции BitLocker и Device Encryption.

Условия эксплуатации

Для эксплуатации уязвимости злоумышленник, имеющий права администратора или физический доступ к устройству, может установить уязвимый менеджер загрузки, а затем загрузить политику, затронутую уязвимостью, на целевое устройство.

Решение

Обновление безопасности устраняет уязвимость путем добавления уязвимых менеджеров загрузки в черный список.

Способы защиты

Подробнее о способах защиты можно узнать здесь. Для эксплуатации уязвимости злоумышленнику необходимы права администратора либо физический доступ к целевому устройству.

Обходные пути

Настройка BitLocker для использования защиты TPM+PIN

Для включения защиты TPM и PIN выполните следующие шаги:

1. Нажмите «Пуск», выберите «Выполнить», введите gpedit.msc и нажмите «ОК», чтобы открыть редактор локальной групповой политики.
2. В локальной компьютерной политике перейдите в Административные шаблоны > Компоненты Windows > Шифрование диска BitLocker > Диски операционной системы.
3. В правой части окна дважды щелкните «Требовать дополнительную аутентификацию при запуске».
4. В появившемся диалоговом окне выберите «Включено».
5. В параметрах выберите «Требовать TPM» и «Требовать PIN-код при запуске с TPM».
6. Нажмите «Применить» и закройте редактор локальной групповой политики.
7. Откройте командную строку с правами администратора.
8. Введите следующую команду:
   manage-bde -protectors -add c: <ИЛИ буква тома ОС> -tpmandpin
9. При появлении запроса на ввод PIN-кода введите 4- или 6-значный PIN-код.
10. Перезагрузите систему.

Влияние обходного пути

Пользователю потребуется вводить PIN-код при каждом перезапуске компьютера.

Как отменить обходной путь

1. Нажмите «Пуск», выберите «Выполнить», введите gpedit.msc и нажмите «ОК», чтобы открыть редактор локальной групповой политики.
2. В локальной компьютерной политике перейдите в Административные шаблоны > Компоненты Windows > Шифрование диска BitLocker > Диски операционной системы.
3. В правой части окно дважды щелкните «Требовать дополнительную аутентификацию при запуске».
4. В появившемся диалоговом окне выберите «Включено».
5. В параметрах выберите «Разрешить TPM» и «Разрешить PIN-код при запуске с TPM».
6. Нажмите «Применить» и закройте редактор локальной групповой политики.
7. Перезагрузите систему.

Отключение защиты целостности Secure Boot для BitLocker

Для отключения Secure Boot выполните все шаги по порядку.

1. Отключите BitLocker

   • Откройте Панель управления и выберите «Шифрование диска BitLocker».
   • Нажмите «Отключить BitLocker».
   • В диалоговом окне шифрования диска BitLocker нажмите «Отключить BitLocker».
   • Закройте Панель управления.

2. Отключите Secure Boot

   • Нажмите «Пуск», выберите «Выполнить», введите gpedit.msc и нажмите «ОК», чтобы открыть редактор локальной групповой политики.
   • В локальной компьютерной политике перейдите в Административные шаблоны > Компоненты Windows > Шифрование диска BitLocker > Диски операционной системы.
   • Дважды щелкните «Разрешить Secure Boot для проверки целостности».
   • В появившемся диалоговом окне выберите «Отключено».
   • Нажмите «Применить» и закройте редактор локальной групповой политики.

3. Повторно включите BitLocker

   • Откройте Панель управления и выберите «Шифрование диска BitLocker».
   • Нажмите «Включить BitLocker».
   • В диалоговом окне шифрования диска BitLocker нажмите «Включить BitLocker».
   • Закройте Панель управления.

Влияние обходного пути

Отключение Secure Boot может чаще заставлять системы переходить в режим восстановления BitLocker при обновлении версий прошивки или настроек BCD.

Как отменить обходной путь

1. Отключите BitLocker

   • Откройте Панель управления и выберите «Шифрование диска BitLocker».
   • Нажмите «Отключить BitLocker».
   • В диалоговом окне шифрования диска BitLocker нажмите «Отключить BitLocker».
   • Закройте Панель управления.

2. Включите Secure Boot

   • Нажмите «Пуск», выберите «Выполнить», введите gpedit.msc и нажмите «ОК», чтобы открыть редактор локальной групповой политики.
   • В локальной компьютерной политике перейдите в Административные шаблоны > Компоненты Windows > Шифрование диска BitLocker > Диски операционной системы.
   • Дважды щелкните «Разрешить Secure Boot для проверки целостности».
   • В появившемся диалоговом окне выберите «Включено».
   • Нажмите «Применить» и закройте редактор локальной групповой политики.

3. Повторно включите BitLocker

   • Откройте Панель управления и выберите «Шифрование диска BitLocker».
   • Нажмите «Включить BitLocker».
   • В диалоговом окне шифрования диска BitLocker нажмите «Включить BitLocker».
   • Закройте Панель управления.