MSI、数百のマザーボードで誤ってセキュアブートを解除してしまう

ポーランドのセキュリティ研究者であるDawid Potocki氏によって、290台以上のMSIマザーボードが、デフォルトでのUEFIセキュアブート設定が安全でないものになっており、署名が間違っているか欠けているにも関わらず、あらゆるOSイメージを実行できるようになった事が報告されている。同氏は、MSIに連絡してこの問題について知らせようとしたが、MSIからの回答はなかったようだ。

Potocki氏によると、この問題は、最近のファームウェアバージョンを使用している多くのIntelおよびAMDベースのMSIマザーボードに影響を与え、新品のMSIマザーボードモデルにも影響を与えるとのことだ。

UEFIセキュアブートとは？

セキュアブートとは、UEFIマザーボードのファームウェアに組み込まれたセキュリティ機能で、PC起動時に信頼できる（署名された）ソフトウェアだけが実行できるようにするものだ。

Microsoftによる説明は以下の通りとなっている。

セキュアブート対応PCでは、PC起動時に、ファームウェアがUEFIファームウェアドライバ（オプションROMとも呼ばれる）、EFIアプリケーション、OSなどの各ブートソフトウェアの署名をチェックします。
署名が有効であれば、PCは起動し、ファームウェアはOSに制御を委ねるようになっています。

なぜこのような仕組みがあるかというと、それは、PCの起動時に悪意のあるソフトウェアが読み込まれないためだ。UEFIブートキット/ルートキット（1、2、3）がコンピュータ上で起動するのを防ぎ、ベンダーがシステムを出荷した後に、オペレーティングシステムが改ざんされていることをユーザーに警告するために設計されている。

ブートローダーやOSカーネルなど、システムに不可欠なコンポーネントの安全性を検証するため、セキュアブートは起動のたびに、ソフトウェアを認証するPKI（公開鍵基盤）をチェックし、その有効性を判断しているのだ。

もし、ソフトウェアが署名されていなかったり、署名が変更されたりしていた場合、コンピュータに保存されているデータを保護するために、セキュアブートによってブートプロセスが停止されることで、コンピュータを保護する。

さて、この前提に立って今回の問題を見てみよう。

MSIのデフォルト設定が安全でないブートを引き起こす

Potocki氏は、2022年1月18日にリリースされたMSIのファームウェアアップデート版「7C02v3C」が、MSIマザーボードのデフォルトのセキュアブート設定を変更し、「セキュリティ侵害を検知してもシステムが起動してしまうようになった」と述べている。つまり、セキュアブートが意味をなさないのだ。

「sbctlの助けを借りて、新しいデスクトップにセキュアブートを設定することにしました。残念ながら、私のファームウェアは、それが信頼できるかどうかに関係なく、私が与えたすべてのOSイメージを受け入れていたことがわかりました」と、Potocki氏は説明する。

この変更は、ファームウェアの「イメージ実行ポリシー」設定が、デフォルトで「常に実行」になっており、どんなイメージでも通常通りデバイスを起動できるようにしてしまうようになっていることから引き起こされている。