Het beschermen van uw online omgeving is vandaag de dag belangrijker dan ooit. COVID-19 heeft veel organisaties ertoe aangezet om opnieuw na te denken over de beveiliging van hun netwerk en IoT-apparaten (Internet of Things) binnen dat netwerk. Om IoT-apparaten en pc's in uw netwerk te beschermen, kunt u beginnen met Secure Boot. Net als bij codeondertekening controleert Secure Boot of de handtekeningen en sleutels die door de opstarthardware en de besturingssysteemsoftware worden gebruikt, geldig zijn en niet zijn gemanipuleerd.
Wat is Secure Boot precies?
Secure Boot werkt door de code en boot images die door het besturingssysteem worden gebruikt te verifiëren. Deze images worden geverifieerd op de hardware voordat het systeem kan worden opgestart. De reden hiervoor is dat de hardware vooraf is geconfigureerd om code te verifiëren met behulp van vertrouwde inloggegevens. Dit garandeert dat de images en code niet zijn gemanipuleerd of gewijzigd door kwaadwillenden die malware gebruiken om uw netwerk of apparaten in uw netwerk te infecteren. Zoals u kunt zien, is het inschakelen van Secure Boot op apparaten in een netwerk daarom belangrijk, omdat het veelvoorkomende malwareaanvallen tegengaat.
Bij aanvallen met kwaadwillende actoren wijzigen veel malware-aanvallen de code van het besturingssysteem of installeren ze een nieuwe bootloader. Wanneer een systeem opnieuw wordt opgestart, wordt de malware gestart en verspreid over het apparaat. Door Secure Boot in te schakelen, voorkomt u dat dit gebeurt. De bootloader beschikt dan namelijk niet over een geldige sleutel en handtekening die overeenkomen met de hardware, waardoor Secure Boot het opstartproces stopt. Mocht malware toch binnendringen, dan kan een organisatie te maken krijgen met enorme gevolgen, zoals het verlies van miljoenen dollars of belangrijke informatie die ze anders niet openbaar zouden willen maken.
Hoe werkt Secure Boot?
Het proces achter Secure Boot is niet zo ingewikkeld als je misschien denkt. Wanneer een apparaat met Secure Boot ingeschakeld is, is de eerste stap in het proces dat de CPU Internal Bootloader de authenticiteit van de bootloader verifieert. Dit gebeurt door de handtekening die gegenereerd wordt door de privésleutel van de fabrikant te vergelijken met de publieke sleutel die in het apparaat is ingebouwd. Bij het werken met code ondertekening en Secure Boot, een asymmetrische encryptie Dit proces wordt gebruikt om de authenticiteit van de fabrikant en de software te valideren.
Het proces van asymmetrische encryptie werkt door eerst twee wiskundig gekoppelde sleutels te genereren: een publieke sleutel en een privésleutel. De privésleutel blijft geheim en is alleen bekend bij de maker van de sleutels, terwijl de publieke sleutel bij iedereen bekend is. Omdat deze sleutels wiskundig gekoppeld zijn, kan een stukje software worden ondertekend met de privésleutel en kan die handtekening worden geverifieerd met de publieke sleutel. Dit geeft aan dat de software in kwestie is gemaakt door de eigenaar van de sleutel en dat er niet mee is geknoeid.
De volgende stap in het Secure Boot-proces is het verifiëren van de authenticiteit van het besturingssysteem en alle applicaties die bij het opstarten worden gestart. Volgens hetzelfde proces als in de eerste stap wordt de ingesloten openbare sleutel gebruikt om de geldigheid van het besturingssysteem en de applicaties te verifiëren. Zodra de authenticiteit van al deze onderdelen van het opstartproces is geverifieerd, kan het apparaat worden opgestart en normaal worden gebruikt. Als in een van deze stappen wordt vastgesteld dat het besturingssysteem, de bootloader of applicaties niet overeenkomen met de ingesloten openbare sleutel, wordt het opstartproces gestopt en worden er herstelstappen genomen.
Obstakels voor veilig opstarten
Omdat Secure Boot een proces gebruikt dat sterk lijkt op codeondertekening, worden ze geconfronteerd met veel van dezelfde problemen. Het meest urgente probleem is de bescherming van de asymmetrische ondertekeningssleutels die in het Secure Boot-proces worden gebruikt. Ik heb eerder vermeld dat een onderdeel van het Secure Boot-proces is dat de openbare sleutel van het openbare/private sleutelpaar in de software is ingebouwd. Hiermee bedoel ik dat er een certificaat is gegenereerd met behulp van die openbare sleutel. digitaal certificaat, net als een codeondertekeningscertificaat, bevat de informatie van de publieke sleutel en is ondertekend met de privésleutel, waardoor de sleutelinformatie tussen de publieke en privésleutels kan worden vergeleken. Het beschermen van deze sleutels is het eerste grote probleem waar veel organisaties mee te maken kunnen krijgen.
Als de privésleutel die wordt gebruikt om het digitale certificaat te ondertekenen, wordt gecompromitteerd door een kwaadwillende actor, kan deze dat certificaat gebruiken om bootloaders of code van het besturingssysteem succesvol door het Secure Boot-proces te loodsen, waardoor gebruikers met malware kunnen worden geïnfecteerd. Deze sleutels kunnen op de juiste manier worden beschermd met hardware- of softwarematige sleutelopslagmethoden.
Softwarematige opslag is niet de sterkste methode om encryptiesleutels te beschermen, omdat de sleutels nog steeds uit de opslagmethode kunnen worden gehaald. Hardwarematige sleutelopslagmethoden, zoals hardwarematige beveiligingsmodules, beschermen sleutels veel sterker dan softwarematige sleutelopslagmethoden. Hardwarebeveiligingsmodules, of HSM's, zijn fraudebestendig en beschermen encryptiesleutels daardoor veel beter.
Andere manieren om gegevens te beschermen, naast Secure Boot, zijn het instellen van een sterk encryptiebeleid binnen uw organisatie. Dit beleid zorgt voor uniformiteit binnen uw organisatie, waardoor de verschillende teams binnen uw organisatie vergelijkbare beveiligingsmethoden kunnen gebruiken. Daarnaast zijn de implementatie van Intruder Protection Systems (IPS) en Intruder Detection Systems (IDS), het beveiligen van uw code bij de bron en het inschakelen van organisaties zoals Encryption Consulting om hiaten in uw beveiligingssystemen te identificeren, andere manieren om gegevens binnen uw organisatie te beschermen.
Conclusie
Uiteindelijk is het inschakelen van Secure Boot op alle apparaten in uw organisatie een uitstekende manier om uw netwerk te beschermen tegen kwaadwillende actoren. Secure Boot biedt een ingebouwde methode om uw besturingssysteem en bootloader te controleren op schadelijke code, waardoor u zich veilig voelt op het apparaat dat u gebruikt. Andere methoden, zoals het instellen van IPS en IDS of het laten beoordelen van uw beveiligingsplannen door een externe partij, kunnen hand in hand gaan met Secure Boot om u de best mogelijke beveiligingssystemen voor uw thuis- of bedrijfsnetwerk te bieden. Ga voor meer informatie over hoe Encryption Consulting u kan helpen naar www.encryptionconsulting.com.
