Instructeur: In deze les gaan we
enkele van de beveiligingsfuncties
in het BIOS en het UEFI verkennen.
Naast het bieden van bescherming op ons netwerk
en in onze besturingssysteemomgeving, moeten
we ook rekening houden met de beveiliging
van onze preoperating systeemomgeving.
Dit is het gebied van de computer
dat kan worden aangevallen tijdens de opstartfase
en daarom moet er rekening worden gehouden met de
beveiliging van de bootloader, waaronder de BIOS- en UEFI-wachtwoorden, het beveiligde
opstartproces en de instelling van machtigingen op de USB-poorten
van je moederbord.
Onthoud dat het BIOS en UEFI twee verschillende soorten
firmware zijn die in onze computers worden gebruikt om ons
te helpen bij het laden en opstarten van ons besturingssysteem.
Elke computer kan een BIOS of UEFI hebben,
maar niet beide.
Het BIOS is het basis input/output systeem en het
is een firmware interface die hardware initialiseert
voor een besturingssysteem zodat het kan opstarten.
De computers die op BIOS vertrouwen, gebruiken
een master boot record, of MBR, om hun bootinformatie te bewaren en de partities
van een bepaalde harde schijf te identificeren die het
te laden besturingssysteem bevatten.
Het BIOS is het oudere, oudere type firmware.
UEFI, of het unified extensible firmware initiative,
is een nieuwer type firmware.
UEFI is een type systeemfirmware dat ondersteuning biedt voor
64 bit CPU-bewerkingen tijdens het opstarten, een volledige grafische
gebruikersinterface en muisbewerkingen tijdens het opstarten en een
betere beveiliging bij het opstarten.
Computers die vertrouwen op UEFI gebruiken een GUID-partitietabel
die bekend staat als GPT om hun opstartinformatie in op te slaan.
UEFI biedt de mogelijkheid om schijven van
meer dan twee terabyte te benaderen en op te starten
en biedt CPU-onafhankelijke architectuur en stuurprogramma's,
evenals een pre-OS omgeving die netwerkmogelijkheden
en toegang tot het web kan bevatten.
Over het algemeen is UEFI nieuwer en geavanceerder dan BIOS en biedt
het extra beveiligings- en integriteitscontroles
tijdens het opstartproces, waaronder beveiligd opstarten.
Nu kunnen het BIOS en UEFI ook worden beveiligd met een
paar verschillende soorten wachtwoorden.
Dit omvat het supervisor-, beheerders-
of instellingswachtwoord, het gebruikers- of systeemwachtwoord
en het opslag- of harde schijfwachtwoord.
Het supervisor-, administrator- of setup-wachtwoord
is het eerste type wachtwoord dat je tegenkomt
als je het BIOS of UEFI gebruikt.
Dit wachtwoord wordt gebruikt om de toegang tot het
BIOS- of UEFI-configuratieprogramma te beschermen en voorkomt
dat onbevoegde gebruikers toegang krijgen tot
dit gevoelige configuratieprogramma.
Als je dit wachtwoord instelt, zal telkens als iemand het
BIOS of UEFI probeert te openen, het wachtwoord moeten
worden ingevoerd voordat toegang wordt verleend,
maar het zal niet voorkomen dat iemand de computer aanzet en opstart
in de normale besturingssysteemomgeving.
Dit wachtwoord wordt bijna altijd ingesteld op computers
in een bedrijfsnetwerk, zodat eindgebruikers
geen toegang hebben tot het BIOS of UEFI, maar systeembeheerders
en technici wel als ze het juiste wachtwoord
hebben.
Het gebruikers- of systeemwachtwoord is het tweede
type wachtwoord dat geconfigureerd kan worden in het BIOS of UEFI.
Dit wachtwoord wordt gebruikt om de toegang tot de hele computer te vergrendelen.
Wanneer de computer wordt aangezet,
stopt hij en vraagt om een wachtwoord.
Als de eindgebruiker het juiste wachtwoord invoert, zal de computer
doorgaan met het laden van het besturingssysteem en opstarten.
Hoewel dit een zeer veilige methode is om een
computer te beveiligen, wordt het bijna nooit gebruikt
in bedrijfsnetwerken, omdat
dit wachtwoord dan gedeeld moet worden met alle
gebruikers die toegang hebben tot die computer.
In plaats daarvan wordt een gebruikers- of systeemwachtwoord
meestal alleen gebruikt op iemands
computer als hij de enige gebruiker is.
Dit is een apart en ander wachtwoord dan het
gebruikerswachtwoord dat zal worden
gebruikt om toegang te krijgen tot Windows, Linux of het MacOS-systeem,
en geeft de gebruiker in plaats daarvan toegang tot
het systeem in die pre-operating systeemomgeving.
Het derde type wachtwoord staat bekend als een wachtwoord
voor opslag of harde schijf.
Dit type wachtwoord was erg populair voordat
de vertrouwde platformmodule of hardwarebeveiligingsmodule
in moderne computers werd opgenomen.
Dit wachtwoord vergrendelt de toegang tot een harde schijf
die is aangesloten op een systeem en vereist dat de eindgebruiker
het wachtwoord invoert voordat de harde schijf kan worden
gelezen en het besturingssysteem kan worden geladen.
In tegenstelling tot een gebruikers- of systeemwachtwoord dat de gebruiker
uitsluit van het hele systeem totdat het juiste wachtwoord
is ingevoerd, zal het opslag- of harde-schijfwachtwoord de gebruiker
alleen uitsluiten van de harde schijf en de mogelijkheid
om dat besturingssysteem ervan op te starten.
De volgende beveiligingsfunctie die we moeten behandelen
staat bekend als secure boot.
Secure boot kan ingeschakeld worden in de UEFI interface
en instellingen en wordt niet ondersteund door BIOS.
Als het is ingeschakeld, voert het drie verschillende controles
uit tijdens het opstartproces voor Windows of andere
besturingssystemen die deze mogelijkheid ondersteunen om ervoor
te zorgen dat de computer niet is gekaapt door een kwaadaardige
code die in het besturingssysteem is geïnjecteerd.
Laten we eens kijken naar het volledige opstartproces
op een normaal Windows-systeem.
De eerste stap van het proces vindt plaats wanneer een Windows
computer opstart, de firmware opstartcomponenten worden geladen
en de bootmanager wordt gestart.
Vervolgens begint de Windows loader, wordt
de Windows kernel gestart en worden
de kritieke stuurprogramma's geïnstalleerd.
Nu worden eventuele extra besturingssysteeminitialisaties
uitgevoerd en uiteindelijk krijgt de gebruiker het aanmeldscherm
van Windows te zien.
Wanneer de firmware opstartcomponenten worden
geladen tijdens een beveiligde opstart, gaat de firmware
eerst controleren of alle UV uitvoerbare bestanden en de OS loader zelf
hun integriteit intact hebben en niet zijn
gecompromitteerd door malware.
Dit betekent dat ze veilig geladen kunnen worden.
Vervolgens gaan de opstartonderdelen van Windows de digitale
handtekening van elk onderdeel controleren voordat
ze worden geladen.
Als een onderdeel niet slaagt voor deze handtekeningcontrole,
wordt het niet geladen en wordt er een waarschuwing gegeven
aan de eindgebruiker.
Tenslotte worden de kritieke opstartstuurprogramma's gecontroleerd
met hun bekende goede hashes en als ze deze controle doorstaan,
worden ze geladen als laatste onderdeel van het beveiligde
opstartproces.
Nu, als het gaat om veilig opstarten, wil ik dat je onthoudt dat
dit een procedure is die gebruikt gaat worden om ervoor
te zorgen dat ons besturingssysteem zelf te vertrouwen is en niet
het slachtoffer is geworden van een speciaal type malware dat
bekend staat als een root kit.
Om secure boot te laten werken, moet het ingeschakeld
zijn in je UEFI systeem en je besturingssysteem moet het
ook ondersteunen.
De laatste beveiligingsfunctie die we moeten behandelen
in het BIOS of UEFI is het instellen van permissies voor je USB-poorten
op je moederbord.
Nu kunnen de meeste moderne systemen worden geconfigureerd
om de USB-poorten op je moederbord in of uit te schakelen,
en bij sommige kun je zelfs de USB-poorten beperken zodat ze bepaalde
typen USB-apparaten niet ondersteunen,
terwijl andere wel kunnen worden gebruikt.
De grote zorg hier is normaal gesproken
malware en gegevensverlies.
Op het gebied van malware kunnen USB-poorten een geweldige aanvalsroute
zijn voor iemand die probeert
in te breken in je systeem.
Als ik bijvoorbeeld een USB-stick met malware oplaad,
kan ik deze op een parkeerplaats buiten een kantoorgebouw
neerzetten en als iemand nieuwsgierig is en de USB-stick
oppakt en in zijn machine steekt, kan er malware
op je systemen worden geïnstalleerd.
We willen dit dus voorkomen door het vermogen van USB om te lezen
en te schrijven van apparaten voor massaopslag uit te schakelen.
Je kunt dit doen door USB helemaal te blokkeren, maar dan
zou je dingen als koptelefoons en webcams, muizen
en toetsenborden en dat soort dingen niet kunnen gebruiken.
In plaats daarvan willen we misschien alleen de mogelijkheid
beperken om ze te gebruiken als apparaten voor massaopslag, en
dit zou voorkomen dat USB-sticks, flashdrives of externe
harde schijven op het systeem kunnen worden aangesloten.
Dit kan ons helpen om te voorkomen
dat malware ons systeem binnendringt.
Maar daarnaast kan het ons ook helpen voorkomen dat gegevens
uit ons systeem verdwijnen.
Stel bijvoorbeeld dat je voor een topgeheime organisatie
binnen de overheid werkt.
Je zou niet willen dat iemand met een
klein USB-stickje naar binnen kan lopen, het in de computer kan steken,
al je informatie kan downloaden en er vervolgens
mee naar buiten kan lopen.
Dus om dit te voorkomen kun je je UEFI configureren om die USB poorten
te blokkeren of om te voorkomen dat ze worden gebruikt voor massaopslagapparaten,
en nogmaals, het blokkeren van de mogelijkheid om thumb drives
en externe harde schijven te gebruiken, waardoor mensen
niet de voordeur uit kunnen lopen met
je kritieke informatie.
Dus onthoud, als het op beveiliging aankomt, zijn er drie
belangrijke dingen die je BIOS of UEFI je kan bieden.
De eerste is de mogelijkheid om wachtwoorden in te stellen om verschillende
toegang tot verschillende delen van je systeem te regelen.
De tweede is de mogelijkheid om veilig opstarten in te schakelen
om er zeker van te zijn dat je besturingssysteem niet gecompromitteerd
is voordat je het laadt.
En ten derde is er de mogelijkheid om USB-poorten op je moederbord te beperken of
uit te schakelen om te voorkomen dat malware
het systeem binnendringt of dat
gegevens van je systeem worden verwijderd.