Más de 300 modelos de placas base MSI tienen el arranque seguro desactivado. ¿El tuyo está afectado?
El arranque seguro es un estándar de la industria para garantizar que los dispositivos Windows no carguen firmware o software malicioso durante el proceso de arranque. Si lo tiene habilitado, como debería hacerlo en la mayoría de los casos, y es la configuración predeterminada exigida por Microsoft, bien por usted. Sin embargo, si ha utilizado uno de los más de 300 modelos de placa base MSI en los últimos 18 meses, es posible que no esté protegido. Introducido en 2011, Secure Boot establece una cadena de confianza entre el hardware y el software o firmware que arranca un dispositivo. Antes del arranque seguro, los dispositivos usaban un software conocido como BIOS instalado en un pequeño chip para indicarles cómo arrancar y reconocer y arrancar discos duros, CPU, memoria y otro hardware. Cuando se completa, este mecanismo carga el cargador de arranque, lo que permite que las tareas y los procesos carguen Windows. El problema era: el BIOS cargó todos los cargadores de arranque que estaban en el directorio correcto. Esta permisividad permitió a los piratas informáticos que tuvieron acceso breve a un dispositivo instalar gestores de arranque no autorizados que, a su vez, ejecutarían firmware malicioso o imágenes de Windows.
Cuando Secure Boot se desmorona
Hace aproximadamente una década, el BIOS fue reemplazado por UEFI (Interfaz de firmware extensible unificada), un sistema operativo independiente que podía evitar que se cargaran los controladores del sistema o los cargadores de arranque que no estaban firmados digitalmente por sus proveedores de confianza. UEFI se basa en bases de datos de firmas confiables y revocadas que los OEM cargan en la memoria no volátil de la placa base en el momento de la fabricación. Las firmas enumeran los firmantes y los hash criptográficos de cada cargador de arranque autorizado o aplicación impulsada por UEFI, una medida que construye la cadena de confianza. Esta cadena garantiza que el dispositivo se inicie de forma segura y solo use un código conocido y confiable. Si se va a cargar un código desconocido, el Arranque seguro finaliza el proceso de arranque. Un investigador y estudiante descubrió recientemente que más de 300 modelos de placas base de la empresa MSI con sede en Taiwán no implementan el arranque seguro de forma predeterminada y permiten que se ejecute un gestor de arranque. Los modelos funcionan con una variedad de hardware y firmware, incluidos muchos de Intel y AMD (consulte la lista completa aquí). La escasez se introdujo en algún momento del tercer trimestre de 2021. El investigador descubrió accidentalmente el problema al intentar firmar digitalmente varios componentes de su sistema. «El 11/12/2022 decidí configurar Secure Boot en mi nuevo escritorio usando sbctl», escribió Dawid Potocki, un investigador nacido en Polonia que ahora reside en Nueva Zelanda. «Desafortunadamente, descubrí que mi firmware… aceptaría cualquier imagen del sistema operativo que le diera, ya fuera de confianza o no. No fue la primera vez que auto-firmé el arranque seguro, no hice nada malo». Potocki dijo que no encontró evidencia de que las placas base de ASRock, Asus, Biostar, EVGA, Gigabyte y NZXT tengan el mismo defecto. . El investigador informó además que el arranque seguro roto fue el resultado de un cambio inexplicable en la configuración predeterminada por parte de MSI. Los usuarios que deseen implementar el Arranque seguro, algo que todos deberían hacer, deberán acceder a la configuración de la placa base afectada. Para hacer esto, mantenga presionada la tecla Eliminar en el teclado mientras se inicia el dispositivo. Desde allí, seleccione el menú Security\Secure Boot o algo similar y luego seleccione el submenú Image Execution Policy. Si su placa base se ve afectada, los medios extraíbles y fijos se configurarán para ejecutarse siempre.
Getty Images Para solucionar el problema, cambie «Ejecutar siempre» a «Denegar ejecución» para estas dos categorías. En una publicación de Reddit publicada el jueves, un representante de MSI confirmó los hallazgos de Potocki. El representante escribió:
Configuramos de manera preventiva el Arranque seguro en Habilitado y «Ejecutar siempre» como la configuración predeterminada para ofrecer un entorno fácil de usar que permite a múltiples usuarios finales construir sus sistemas de PC con miles (o más) componentes que contienen su ROM de opción integrada, incluidos Imágenes del sistema operativo, lo que da como resultado configuraciones de mayor compatibilidad. Para los usuarios que están muy preocupados por la seguridad, aún pueden configurar manualmente la «Política de ejecución de imágenes» como «Denegar ejecución» u otras opciones para satisfacer sus necesidades de seguridad.
La publicación indica que MSI lanzará nuevas versiones de firmware que cambiarán la configuración predeterminada a «Denegar ejecución». El subreddit vinculado anteriormente tiene una discusión que puede ayudar a los usuarios a solucionar problemas. Como se mencionó anteriormente, el Arranque seguro está diseñado para evitar ataques en los que una persona poco confiable obtiene en secreto acceso breve a un dispositivo y manipula su firmware y software. Tales hacks son generalmente conocidos como «Evil Maid Attacks», pero una mejor descripción es «Stalker Ex-Boyfriend Attacks».
