Laptopy nie do złamania – wolne i szyfrowane firmware, bez ME Intela

Fizyczny dostęp do komputera podważa większość znanych modelibezpieczeństwa. Nawet zaszyfrowanie dysku nie pomoże, jeśli wjakiś sposób napastnik zdoła zmodyfikować firmware komputera iumieścić w nim swój szpiegujący kod. Dostępne zaśzabezpieczenia dla firmware są zamknięte i własnościowe, możnazaufać im tylko w takim stopniu, w jakim ufamy producentowi sprzętu– czyli tak sobie (pamiętajmy o ostatniej wpadceGigabyte). Rozwiązać ten problem chce producent laptopówPurism, oferując wolne firmware, zapewniające całkowitebezpieczeństwo na własnych warunkach.

Purism dał się poznać jako producent laptopów Librem, maszyn,które w kwestii dawanej właścicielowi kontroli nad sprzętemznacząco wyprzedzają komputery konkurencji. Oczywiście wciążjest to normalny sprzęt na bazie czipsetów i procesorów Intela, zkamerkami i mikrofonami, ale oferowane przez Purism modele wyróżnia:

• całkowita swoboda wymiany komponentów (dysków, RAM, czipseturadiowego i baterii),
• sprzętowy wyłącznik układu radiowego,dający pewność, że komputer nie jest podłączony dosieci,
• sprzętowe wyłączniki mikrofonu i kamery, dającepewność, że komputer nas nie podgląda,
• domyślnieinstalowany wolny system operacyjny PureOS(https://pureos.net/),wykorzystujący wyłącznie wolne i otwarte oprogramowanie,
• możliwośćpreinstalowania na życzenie Qubes OS-a, który jest dziśnajbardziej bezpiecznym systemem na świecie,
• możliwość zapłacenia za swoje zamówienie anonimowo, bitcoinami,
• dyskretne wzornictwo – trudno na obudowie znaleźć choćby logo producenta.

Poza tym są to ładne, dobrze zrobione laptopy z procesorami Corei7 Skylake, sensowną liczbą złączy i pamięci, których jedynymminusem jest względnie wysoka cena. Przykładowo za aluminiowegoLibrem 13 z matowym wyświetlaczem 13” FullHD, procesorem Corei7-6500U, 8 GB RAM, 250 GB SSD M.2 przyjdzie nam zapłacić w USAniemal 1600 dolarów. Cóż, takie są konsekwencje wybieraniakomponentów nie pod względem ceny, ale bezpieczeństwa.

Wciąż jednak laptopy Librem mają problem – na najniższympoziomie nie należą do swojego właściciela, zarówno ze względuna UEFI/BIOS, jak i wbudowany w czipset Intela moduł ManagementEngine. To już niebawem ma się zmienić, tak że w konsekwencjidostaniemy sprzęt odporny na każdy informatyczny atak.

Już niebawem użytkownicy laptopów Librem będą mogliwypróbować na nich (narazie w wersji beta) całkowicie opensource’ową wersję firmware,tj. coreboot. Co więcej,oprócz zainstalowania wolnego firmware, zneutralizowanezostanie Intel Management Engine, a nawet wyłączone aktualizacjemikrokodu procesora. To jednak dopiero pierwszy krok.

Do współpracy zaproszono Trammella Hudsona, badacza znanego zjego efektownych i efektywnych ataków na Maki poprzez złączaThunderbolt. Opracowuje on od jakiegoś czasu swoje własne firmwareHeads, które pozwala na kryptograficzne podpisanie wszystkichkomponentów systemu, od najniższych warstw. Teraz Heads ma zostaćwłączony do otwartego firmware’u. Wykorzystując sprzętowezabezpieczenia, takie jak Flash Protection, Bootguard i TrustedPlatform Module, pozwoli on na stworzenie zaufanego łańcucharozruchu – całkowicie pozostającego pod kontrolą właścicielalaptopa, a nie stron trzecich.

Taki łańcuch, pozostający w zabezpieczonej przed zapisempamięci, uniemożliwia napastnikowi wprowadzenie zmian do systemu,nawet gdyby miał fizyczny dostęp: Heads ocenia stan firmware zapomocą czipu TPM, w którym przechowywane są też kluczedeszyfrujące pamięć masową. Dodatkowo zabezpiecza teżhiperwizor, jądro systemowe i obraz rozruchowy kluczami (oczywiściekontrolowanymi przez użytkownika), a nawet stan systemu plików root,tak by nie mogły go zmodyfikować żadne systemowe exploity.