Угроза использования поддельных цифровых подписей BIOS

Угроза заключается в возможности установки уязвимой версии обновления BIOS/UEFI или версии, содержащей вредоносное программное обеспечение, но имеющей цифровую подпись. Данная угроза обусловлена слабостями мер по контролю за благонадёжностью центров выдачи цифровых подписей. Реализация данной угрозы возможна при условии выдачи неблагонадёжным центром сертификации цифровой подписи на версию обновления BIOS/UEFI, содержащую уязвимости, или на версию, содержащую вредоносное программное обеспечение (т.е. при осуществлении таким центром подлога), а также подмены нарушителем доверенного источника обновлений

Источник угрозы

Внешний нарушитель со средним потенциалом

Объект воздействия

Микропрограммное и аппаратное обеспечение BIOS/UEFI

Виды объектов воздействия

Микропрограммное обеспечениеАппаратное обеспечение группировка поля выше, сделанная в этом справочнике: ни БДУ, ни методика видов объектов не перечисляют

Нарушаемые свойства

целостность

Среда реализации

BIOS/UEFI и микропрограммное обеспечение

Первоисточник — карточка угрозы в банке данных ФСТЭК России: https://bdu.fstec.ru/threat/ubi.032. Перед применением сверьте формулировку с первоисточником.

Меры защиты против УБИ.032

Сопоставление ведётся не с кодом конкретного приказа, а с мерой «по сути»: у одной и той же меры в разных приказах разные коды, а иногда она там отсутствует. Прочерк в столбце означает, что меры с таким смыслом в приказе нет. Для нейтрализации угрозы потребуется мера из другого источника — это дополнение базового набора, предусмотренное шагом 4 методики.

Почему именно эти меры

Слабости механизма проверки цифровой подписи позволяют установить уязвимую или вредоносную версию обновления BIOS, формально имеющую действительную подпись. Получение обновлений только от доверенного источника (ОПО.1) и контроль целостности обновлений (ОПО.2) дают базовую защиту канала поставки. Анализ уязвимостей (АУД.2), применённый к самому механизму проверки подписи, закрывает первопричину: недостаточную строгость самой проверки.

Сценарий реализации

Черновик пути нарушителя, который инструмент предлагает для этой угрозы на шаге «Сценарии». Это не разметка ФСТЭК: методика (п. 5.3.5–5.3.6) требует строить сценарий по результатам инвентаризации и тестирования конкретной системы.

Конечное воздействие по тактике Т10 — Т10.7 Подмена информации (например, платежных реквизитов) в памяти или информации, хранимой в виде файлов, информации в базах данных и репозиториях, информации на неразмеченных областях дисков и сменных носителей