Alcune settimane fa uno dei nostri colleghi qui sul blog ha parlato del lavoro di Slimbook per implementare Coreboot sui loro computer, dove a causa del fatto che molti dei loro utenti ne hanno fatto richiesta, Slimbook ha ascoltato la loro chiamata (puoi leggere la nota completa a questo link).
Per coloro che ancora non conoscono Coreboot, dovrebbero sapere che questo è un'alternativa open source al tradizionale sistema di I / O di base (BIOS) che era già sui PC MS-DOS degli anni '80 e lo sostituiva con UEFI (Unified Extensible). Interfaccia firmware) rilasciata nel 2007. Y ora la NSA ha iniziato ad assegnare sviluppatori al progetto Coreboot.
Eugene Myers della NSA ha iniziato a fornire un codice di implementazione per SMI Transfer Monitor (STM) destinato alle CPU x86.
Eugene Myers lavora per il Trusted Systems Research Group della NSA, un gruppo che, secondo il sito web dell'agenzia, mira a "guidare e sponsorizzare la ricerca su tecnologie e tecniche che proteggeranno i sistemi informativi americani".
L'STM è un hypervisor che si avvia in modalità "System Management" (SMM), un ambiente isolato "ring -2" in cui viene interrotta la normale esecuzione del sistema operativo in modo che il codice del sistema (power management, hardware control, ecc.) può essere eseguito con privilegi più elevati.
L'azienda ha rilasciato la specifica STM (tipo di VMM che gestisce macchine virtuali contenenti codice SMM) e la documentazione per la funzionalità di sicurezza del firmware STM nel 2015.
Inizialmente, STM avrebbe dovuto funzionare con una versione Intel TXT, ma l'ultima specifica consente a STM di funzionare solo con Intel Virtualization Technology (VT). TXT non era sufficiente per proteggere questi servizi dagli attacchi e STM intende farlo.
La NSA sta lavorando a progetti open source?
La NSA ha già lavorato a progetti di sicurezza aperti al pubblico, incluso Security Enhanced Linux, un modulo di sicurezza per Linux.
Le critiche alle prestazioni della NSA sono molte e costanti. Pertanto, è raro che l'Agenzia per la sicurezza nazionale sia grata per i suoi contributi alla società.
Tuttavia, nel caso di uno dei tuoi progetti open source pubblici, verrà utilizzato per aiutare il personale di Coreboot.
Essendo un po 'più specifico, la NSA ha rilasciato lo strumento di reverse engineering Ghidra come fonte ed è stato adottato dagli sviluppatori Coreboot.
L'idea è che il software NSA aiuterà il progetto Coreboot. Nello specifico, nel firmware per il Reverse Engineering.
Ghidra è un framework di reverse engineering sviluppato dalla NSA Research Division per la missione di sicurezza informatica della NSA. Facilita l'analisi di codice dannoso e malware, come i virus e consente ai professionisti di comprendere meglio le possibili vulnerabilità delle loro reti e dei loro sistemi.
Tutto il codice Coreboot, inclusi tutti i contributi STM della NSA, è open source. In teoria, tutti possono verificare che non ci siano backdoor.
Poiché questo progetto non proviene dalla NSA, ma da un progetto a cui hanno scelto di contribuire. Pertanto, sono gli autori di Coreboot che sono responsabili dell'accettazione o della mancata accettazione dei contributi dalla NSA.
Ma in pratica, la NSA avrebbe potuto scrivere il codice in modo meno sicuro con vulnerabilità difficili da rilevare senza ricercatori di sicurezza più esperti. In alternativa, potresti sfruttare questa implementazione anni dopo, dopo che la sorveglianza è diminuita.
Dal momento che non sarebbe sorprendente vedere questo tipo di azione provenire da un'agenzia come la NSA.
Poiché la NSA ha recentemente tentato di spostare due algoritmi crittografici nel processo di standardizzazione ISO, gli algoritmi sono stati respinti in modo schiacciante dai revisori a causa della mancanza di fiducia e dell'incapacità della NSA di rispondere a determinate domande tecniche.
Infine, chi è interessato a conoscere lo stato di avanzamento del progetto, può consultarlo nel seguente link
Voglio dire, davvero? e se ne fideranno?
L'ultima cosa che avrebbe mai fatto sarebbe stata fidarsi del software NSA e delle sue "buone intenzioni". A tali agenzie di spionaggio dovrebbe essere vietato fornire software libero perché lo corrompono.