Artikel top billede

Softwarelæk kan åbne døren for BIOS-hackere

AMI bekræfter, at kildetekst til UEFI BIOS er lækket på nettet, men afviser, at brugernes sikkerhed er truet.

Sikkerhedsforskeren Adam Caudill har fundet kildeteksten til UEFI BIOS-firmware og en tilhørende privat krypteringsnøgle fra American Megatrends (AMI) på en åben FTP-server i Taiwan. Denne nøgle kan bruges til at udvikle falske BIOS-opdateringer med malware, som så kan smugles ind på computeren.

AMI har nu udsendt en pressemeddelelse og bekræftet, at UEFI-kildeteksten og den private nøgle er ægte. Men det er en af selskabets partnere og ikke AMI selv, der har lækket koden.

Desuden mener AMI, at sikkerhedstruslen er begrænset. Der er kun tale om en testnøgle, forklarer selskabet, og den bliver normalt skiftet ud med en produktionsnøgle i den færdige BIOS.

Testnøglen er kun beregnet til udviklere, og den lækkede kode samt nøgle burde derfor ikke være en trussel mod brugere med AMIs firmware. Men det kan ikke garanteres, at nogle producenter ikke har brugt testnøgler i deres færdige produkter - stik imod AMI's anbefalinger.

"Sagen er bekymrende, men AMI vil gerne understrege overfor sine kunder og partnere, at det ikke burde være et sikkerheds-problem for dem. Hvis de har fulgt den normale procedure for BIOS-signering, vil sikkerhedsfunktionerne i vores BIOS og signatur-processen fungere som ønsket og være 100 pct. sikker," lyder kommentaren fra AMI-chef Subramonian Shankar.

Men selv hvis nøglerne ikke direkte kan bruges til at smugle skadelig kode ind på computere med UEFI fra AMI, er den lækkede kode alligevel et problem for selskabet. Hackere kan hente og analysere koden og bruge den til at finde svagheder, der kan udnyttes til angreb.

Adam Caudill henviser til, at UEFI-firmware kun sjældent bliver opdateret, og dermed kan der gå lang tid, inden mulige sikkerhedshuller bliver rettet.




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Ciklum ApS
Offshore software- og systemudvikling.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
NIS2 - Sådan forbereder du din virksomhed til den store dag med ny EU-lovgivning om cybersikkerhed

NIS2 er et nyt EU-direktiv, som pålægger medlemslandene at sikre, at udbydere af kritisk infrastruktur og tjenester har passende sikkerhedsforanstaltninger på plads til at styre cyberrisici og opretholde modstandsdygtighed i tilfælde af en hændelse. Du skal være klar fra dag et – ellers vanker der bøder.

26. september 2023 | Læs mere


Er der en vej uden om usikker, kostbar og kompleks clouddrift?

Få indsigt i konklusionerne fra en nylig, storstilet undersøgelse fra Computerworld og Veritas med svar fra mere end 100 danske IT-topchefer i detaljer om deres erfaringer med de seneste års bevægelse mod cloudbaserede platforme og services. Derudover får du bud på, hvordan man som virksomhed både høster fordelene ved øget clouddrift og et stigende antal leverandører. Vel at mærke samtidig med, at man får det overblik, som gør det muligt at drive infrastrukturen sikkert og effektivt.

05. oktober 2023 | Læs mere


OT-sikkerhed i produktionsmiljøer - hvor kommer truslerne fra og hvordan opnår I optimal modstandsdygtighed overfor cyberangreb?

Til trods for den intense fokus på cybersikkerhed og NIS2 er mange produktionsvirksomheder og organisationer stadig usikre på, hvad de konkret skal gøre for at sikre, at de lever op til direktivets nye skærpede krav, når det gælder risikostyring, dokumentation og indberetning samt kravene om at garantere sikkerheden igennem hele forsyningskæden – og det ansvar, der følger med.

10. oktober 2023 | Læs mere