Hacker News
This article discusses a security vulnerability that allows attackers to exploit signed bootloaders to bypass UEFI Secure Boot, a critical security feature designed to protect the boot process.
AI 生成摘要
這篇文章討論了一項安全漏洞，允許攻擊者利用簽署的引導載入程式來繞過 UEFI 安全啟動，這是旨在保護啟動過程的關鍵安全功能。
這篇討論源於對 UEFI 安全啟動（Secure Boot）漏洞的技術分析，特別是攻擊者如何利用受信任廠商（如 Kaspersky）簽署的合法引導加載程序（Bootloader）來繞過安全檢查，進而加載未經授權的代碼。這類漏洞揭示了即便硬體層級設有防護，軟體供應鏈中的信任連鎖一旦出現薄弱環節，整個安全體系便會瓦解。
Hacker News 的討論聚焦於微軟在安全啟動生態系中扮演的角色及其責任。許多評論者指出，安全啟動最大的弱點在於第三方供應商發布了不安全的引導程序。雖然設計初衷是為了防止惡意軟體，但微軟作為主要的簽署機構，在處理漏洞撤銷（Revocation）時顯得力不從心。有觀點批評微軟為了避免破壞系統管理員的現有恢復流程，往往推遲將有問題的引導程序列入黑名單。例如 CVE-2023-24932 的修復過程拖延數年，且預設不啟用，這導致家庭用戶在面對能繞過 TPM 鎖定並獲取 Bitlocker 金鑰的攻擊時依然脆弱。
針對這種「中心化信任」的弊端，社群內出現了關於重新設計架構的辯論。部分用戶主張應去中心化，讓用戶自行選擇信任的簽署者，而非預設信任微軟的密鑰。然而，這引發了關於易用性與安全性的拉鋸戰。有技術愛好者提議電腦應以「設置模式」（Setup Mode）出貨，由用戶在首次啟動時自行註冊密鑰。但反對者認為，絕大多數消費者只希望電腦開箱即用，且 OEM 廠商與微軟的商業協議早已決定了 Windows 密鑰的統治地位。此外，移除微軟密鑰可能導致某些硬體組件（如顯卡 Option ROM）因無法通過簽名驗證而導致系統無法開機。
關於 Linux 在此環境下的生存空間，討論呈現兩極化。有人諷刺 Linux 桌面之所以能持續存在，竟是依賴於防毒軟體廠商寫出爛代碼來提供漏洞繞過限制；但也有資深開發者反駁這種陰謀論，指出微軟其實長期支持 Linux 的安全啟動，透過簽署 Shim 加載器讓各發行版能管理自己的內核簽名。對於追求極致安全的用戶，社群建議避開通用的 Shim，轉而使用統一內核鏡像（UKI）並親自管理平台密鑰（PK），從而實現端到端的完全掌控。
最後，討論也觸及了安全啟動的本質。有評論者認為，這套系統正朝著「iOS 化」的方向發展，服務於遊戲廠商的防作弊需求或串流媒體的版權保護，而非單純保護用戶。儘管技術上漏洞百出，但作為防禦深度的一環，它依然能阻擋大部分隨機的自動化攻擊。