Uma falha de segurança grave no processo de arranque das principais distribuições Linux, incluindo as populares Ubuntu e Fedora, pode permitir que um atacante com acesso físico temporário contorne a encriptação total do disco e instale malware persistente. A descoberta, detalhada num novo relatório da empresa de cibersegurança Ernw, expõe uma lacuna significativa na segurança de muitos portáteis Linux.
Os investigadores de cibersegurança demonstraram como a vulnerabilidade permite os chamados ataques "evil maid", mesmo em sistemas que se julgam protegidos por mecanismos robustos como o Secure Boot e um bootloader protegido por palavra-passe. Um descuido no design do sistema permite o seu comprometimento total.
O "calcanhar de Aquiles" está no arranque do sistema
O vetor de ataque reside no initramfs (Initial RAM Filesystem), um sistema de ficheiros temporário que é executado durante o arranque para preparar o sistema operativo principal. Ao introduzir deliberadamente a palavra-passe de desencriptação do disco errada por várias vezes, um atacante consegue forçar o sistema a entrar numa poderosa shell de depuração de baixo nível.
É a partir desta shell que o núcleo da vulnerabilidade pode ser explorado. Como o próprio initramfs não possui uma assinatura criptográfica – ao contrário do kernel e dos seus módulos – um atacante pode descompactá-lo, injetar scripts maliciosos e voltar a compactá-lo sem acionar qualquer tipo de alerta de segurança.
Como funciona o ataque
O processo é alarmantemente simples para quem tiver acesso físico ao equipamento. Na próxima vez que o proprietário legítimo ligar o seu portátil e introduzir a sua palavra-passe correta para desbloquear o disco, o malware escondido no initramfs é executado com o nível mais elevado de privilégios.
Uma vez ativo, o software malicioso é capaz de roubar a chave de desencriptação, registar todas as teclas premidas pelo utilizador (keylogging) ou extrair dados sensíveis do sistema sem que o utilizador se aperceba.
Uma falha de design, não um bug
Os investigadores salientam que esta vulnerabilidade não é tanto um bug de programação, mas sim uma falha de design focada na capacidade de recuperação do sistema em detrimento da segurança física. Crucialmente, este vetor de ataque é frequentemente ignorado pelos guias de segurança e benchmarks padrão da indústria.
Felizmente, a mitigação é relativamente direta. Utilizadores e administradores de sistemas preocupados podem modificar os parâmetros do kernel do seu sistema para garantir que o computador se desliga ou reinicia após várias tentativas falhadas de introdução da palavra-passe, em vez de abrir a perigosa shell de depuração. O relatório serve como um forte lembrete de que até as mais robustas cadeias de segurança podem ser quebradas pelo seu elo mais fraco.
Nenhum comentário
Seja o primeiro!