- Сообщения
- 485
- Реакции
- 916
Известный безопасник Nightmare Eclipseq вскрыл критическую уязвимость в BitLocker в Windows 11, но в Microsoft попытались его заткнуть.
Со вкусом бэкдора
Речь о YellowKey — 0-day эксплойте, который позволяет обходить шифрование BitLocker в свежих версиях ОС. Автор уязвимости утверждает, что это намеренный бэкдор от разработчиков, хотя это скорее попытка привлечь внимание и потроллить. Дальше Эклипс говорит о том, что шифрование можно обойти даже с PIN-кодом на чипе безопасности (TPM), но код такого эксплойта он не даст, мол «хватит с вас». Забавно, что это не остановило его от слива ещё 5 уязвимостей разной степени опасности.
Благодаря этой дыре можно с помощью всего лишь флешки и файла обойти Secure Boot и вскрыть любой зашифрованный с BitLocker ПК на Windows 11. На «десятке» этой уязвимости нет, потому что она эксплуатирует чип безопасности TPM, который начал использоваться в BitLocker только с 11-й Винды.
Радикальные меры
По стандартам индустрии кибербезопасности принято сообщать о критических багах по закрытым каналам и публиковать их только после выхода патча. Но тут всё пошло не по плану. Ресёрчер сразу выложил код в открытый доступ в знак протеста против политики Microsoft. Корпорация регулярно отказывала ресёрчерам (и Socialxynom в том числе) в выплате награды за нахождение уязвимостей под предлогом их незначительности.
Corporate hammer
Но и в Microsoft не стали церемониться. Вскоре после публикации уязвимости аккаунт Socialxynom на GitHub, который принадлежит Microsoft, был заблокирован. Очевидно, что это не решит проблему и даже не задержит распространение уязвимости, но, видать, корпораты просто захотели отомстить. Когда ресёрчер перезалил всё на GitLab, находящийся вне юрисдикции Microsoft, его забанили и там за «нарушение правил использования». Получается, большие игроки действуют заодно: критике и инструментам взлома не место на их серверах.
ИМХО: Обожаю истории, где «маленький человек» ставит на уши мега-корпорации. Но этот кейс, как и многие другие, снова окунает нас в реальность, в которой безопасность не гарантируют ни миллиарды долларов, ни армия разработчиков.
Со вкусом бэкдора
Речь о YellowKey — 0-day эксплойте, который позволяет обходить шифрование BitLocker в свежих версиях ОС. Автор уязвимости утверждает, что это намеренный бэкдор от разработчиков, хотя это скорее попытка привлечь внимание и потроллить. Дальше Эклипс говорит о том, что шифрование можно обойти даже с PIN-кодом на чипе безопасности (TPM), но код такого эксплойта он не даст, мол «хватит с вас». Забавно, что это не остановило его от слива ещё 5 уязвимостей разной степени опасности.
Благодаря этой дыре можно с помощью всего лишь флешки и файла обойти Secure Boot и вскрыть любой зашифрованный с BitLocker ПК на Windows 11. На «десятке» этой уязвимости нет, потому что она эксплуатирует чип безопасности TPM, который начал использоваться в BitLocker только с 11-й Винды.
Радикальные меры
По стандартам индустрии кибербезопасности принято сообщать о критических багах по закрытым каналам и публиковать их только после выхода патча. Но тут всё пошло не по плану. Ресёрчер сразу выложил код в открытый доступ в знак протеста против политики Microsoft. Корпорация регулярно отказывала ресёрчерам (и Socialxynom в том числе) в выплате награды за нахождение уязвимостей под предлогом их незначительности.
Corporate hammer
Но и в Microsoft не стали церемониться. Вскоре после публикации уязвимости аккаунт Socialxynom на GitHub, который принадлежит Microsoft, был заблокирован. Очевидно, что это не решит проблему и даже не задержит распространение уязвимости, но, видать, корпораты просто захотели отомстить. Когда ресёрчер перезалил всё на GitLab, находящийся вне юрисдикции Microsoft, его забанили и там за «нарушение правил использования». Получается, большие игроки действуют заодно: критике и инструментам взлома не место на их серверах.
ИМХО: Обожаю истории, где «маленький человек» ставит на уши мега-корпорации. Но этот кейс, как и многие другие, снова окунает нас в реальность, в которой безопасность не гарантируют ни миллиарды долларов, ни армия разработчиков.
