微软Secure Boot存在十年未修复漏洞
遗留认证信息导致防护可被轻易绕过
安全研究者近日发现，微软Secure Boot存在一个长达十年未被发现的严重漏洞，由于微软没有及时 revoke 旧版第三方认证信息，攻击者可以利用这些遗留证书绕过Secure Boot保护，植入恶意 bootloader。这个漏洞存在于几乎所有版本的Windows系统中，从Windows 8时代一直延续到现在，影响范围极其广泛。
根据Ars Technica报道，问题出在微软为第三方硬件厂商提供的认证"shims"上。这些shim是为了兼容旧版硬件设计的，十年前就应该被淘汰撤销，但不知道什么原因一直留在微软官方数据库中，并且仍然被默认信任。攻击者只需要使用这些旧证书签名恶意bootloader，就能顺利通过Secure Boot验证，绕过系统安全防护机制。
Secure Boot是UEFI安全启动的核心机制，其作用是确保只有经过厂商签名认证的bootloader才能运行，防止恶意软件篡改系统启动流程，拦截rootkit等底层恶意程序。如果Secure Boot被绕过，那么整个系统的安全基础就受到威胁，攻击者可以在操作系统启动之前就植入恶意代码，很难被杀毒软件检测到，给用户带来严重安全隐患。
发现这个漏洞的安全研究者表示，这个问题存在时间太长了，几乎所有Windows设备都受到影响。微软已经在最新月度补丁中修复了这个问题，撤销了那些旧的遗留认证信息。但用户需要及时更新系统才能获得保护，而那些不再获得固件更新的旧设备可能永远无法修复，需要额外采取其他安全措施来弥补漏洞带来的风险。
这不是Secure Boot第一次出现类似问题，几年前就曾经发现过类似漏洞，也是因为旧认证没有及时撤销。安全社区批评微软在证书管理方面不够严谨，很多早就应该淘汰的认证信息一直保留着，留下安全隐患。对于这样一个底层安全机制来说，任何一点疏忽都可能造成严重后果，因为一旦安全启动被攻破，后续所有安全措施都会形同虚设。
这次事件也给整个行业提了醒，安全不仅仅是设计出先进的算法和协议，还需要长期持续的运维管理，及时清理过期的认证和密钥。很多严重安全问题其实不是设计缺陷，而是运维过程中的疏忽造成的。即便是微软这样的顶级科技公司也会犯这样的错误，说明即使是安全专家也难以做到万无一失，需要持续投入资源维护。
目前微软已经发布了补丁，大多数现代设备都可以通过Windows Update获得更新。不过专家建议用户尽快检查自己的系统更新状态，及时安装补丁封堵漏洞。对于那些仍然在使用但已经停止支持的旧设备，用户需要格外小心，尽量避免连接不可信网络和使用未知外部存储设备，同时考虑更换为受支持的设备。