PKfail: 12-летняя уязвимость UEFI позволяет обойти Secure Boot

Что такое PKfail и чем она опасна

Серьёзная уязвимость в прошивках UEFI, получившая название PKfail, затрагивает минимум 813 устройств от известных брендов — Dell, HP, Lenovo, Intel, Gigabyte и других. Проблема кроется в использовании небезопасного тестового ключа Platform Key (PK), изначально сгенерированного компанией AMI (American Megatrends International). Этот ключ был помечен как «DO NOT TRUST», но по ошибке оказался в финальных прошивках массовых устройств.

PK (Platform Key) — это основа системы Secure Boot, отвечающей за проверку цифровой подписи на всех уровнях загрузки — от BIOS до операционной системы. Если злоумышленник получает доступ к устройству с таким ключом, он может обойти Secure Boot и внедрить вредоносное ПО до запуска Windows.

---

Как работает обход Secure Boot через PKfail

Используя тестовый ключ, киберпреступник может подделать подписи и изменить базы данных Secure Boot:

• KEK (Key Exchange Key)

• DB (Signature Database)

• DBX (Forbidden Signature Database)

После этого становится возможным запуск UEFI-руткитов, таких как CosmicStrand и BlackLotus — они активируются до загрузки ОС и практически неуловимы для антивирусов.

---

Кто в зоне риска

Уязвимые прошивки были найдены в продуктах следующих производителей:

• Acer

• Aopen

• Dell

• Formelife

• Fujitsu

• Gigabyte

• HP

• Intel

• Lenovo

• Supermicro

По данным исследователей из Binarly, более 10% изученных прошивок используют ненадёжный PK. Первый уязвимый образ датируется маем 2012 года, последний — июнем 2024 года. Таким образом, уязвимость оставалась неустранённой более 12 лет.

---

Где найти список уязвимых устройств

Полный перечень моделей, в которых обнаружена проблема, размещён на сайте исследователей: pk.fail
Здесь можно:

• Проверить своё устройство по модели

• Просканировать бинарные файлы прошивки

• Найти сигнатуры вредоносных компонентов

Также уязвимость получила идентификатор BRLY-2024-005 и оценку CVSS 8.2 — это высокий уровень риска.

---

Как защититься: советы для пользователей и производителей

Для обычных пользователей:

• Установите последние обновления BIOS / UEFI

• Загружайте прошивки только с официальных сайтов

• Проверьте своё устройство с помощью онлайн-инструмента pk.fail

• Не игнорируйте предупреждения системы Secure Boot

Для поставщиков оборудования:

• Немедленно заменить все тестовые PK на безопасные ключи, созданные с помощью HSM (Hardware Security Module)

• Удалить доверие к публичным тестовым ключам

• Ввести многоуровневую проверку безопасности в цепочке поставок прошивок

---

Почему PKfail — не просто баг, а системный сбой

PKfail показывает, насколько критичной может стать ошибка в цепочке поставок. Даже если сама прошивка разрабатывается с учётом безопасности, незаменённый тестовый ключ может свести её на нет.

Secure Boot перестаёт быть гарантией, если корень доверия подвержен атаке. В эпоху аппаратных атак и руткитов уровня UEFI, это угроза не только отдельным пользователям, но и корпоративным сетям, промышленным контроллерам и дата-центрам.

---

Что дальше?

Если у вас ноутбук, ПК или сервер от одного из упомянутых брендов — проверьте его прямо сейчас. Чем раньше вы обнаружите проблему, тем выше шанс избежать серьёзных последствий.

🛡 Поделитесь этой статьёй — особенно, если работаете в ИТ или кибербезопасности. Знание — это первый уровень защиты.

---

Мета-описания:

1. 12-летняя уязвимость UEFI PKfail позволяет обходить Secure Boot — список устройств и инструкция по защите.

2. PKfail: тестовый ключ в прошивке UEFI угрожает безопасности сотен моделей — как проверить и защититься.

3. Secure Boot под угрозой из-за уязвимости PKfail — всё, что нужно знать пользователям и специалистам.