「Windows BitLocker の脆弱性 CVE-2023-21563 (bitpixie)：パッチ適用後も脆弱性が残存 – IoT OT Security News」

Patched But Still Vulnerable: Windows BitLocker Encryption Bypassed Again 2024/01/02 SecurityOnline --- Windows に高信頼性の暗号化を提供する、BitLocker の根幹を揺るがす重大な事実が、2024年12月末に開催された Chaos Communication Congress (CCC) で明らかになった。セキュリティ研究者の Thomas Lambertz によるプレゼンテーション ”Windows BitLocker: Screwed without a Screwdriver” で明かされたのは、パッチ適用されたシステムであっても、BitLocker 暗号化を回避する機密データへのアクセスを、攻撃者に対して許してしまう脆弱性が存在することである。この脆弱性 CVE-2023-21563 は bitpixie と命名され、2023年の時点で Microsoft により対応が完了している。しかし、Secure Boot 経由で旧式の Windows ブートローダーを悪用することで、暗号化キーを抽出する方法が、Lambertz により実証された。この攻撃に必要なのは、デバイスへの一瞬の物理的アクセスとネットワーク接続のみであり、ドライバーやハードウェアをハッキングする必要はないという。この脆弱性の根本的な原因は、ブート・プロセスにおける重要なコンポーネントである、UEFI 内の証明書の保存領域が制限されていることにある。それにより、2026年までは、新しい Secure Boot 証明書が利用できない見込みであるという。そのため、Lambertz が暫定的な対策としてユーザーに推奨するのは、BitLocker 用のカスタム PIN を設定するか、BIOS からネットワーク・アクセスを無効化することだ。しかし、基本的なネットワーク接続 USB デバイスであっても、容易な攻撃を引き起こす可能性があるという。…

Patched But Still Vulnerable: Windows BitLocker Encryption Bypassed Again 2024/01/02 SecurityOnline --- Windows に高信頼性の暗号化を提供する、BitLocker の根幹を揺るがす重大な事実が、2024年12月末に開催された Chaos Communication Congress (CCC) で明らかになった。セキュリティ研究者の Thomas Lambertz によるプレゼンテーション ”Windows BitLocker: Screwed without a Screwdriver” で明かされたのは、パッチ適用されたシステムであっても、BitLocker 暗号化を回避する機密データへのアクセスを、攻撃者に対して許してしまう脆弱性が存在することである。この脆弱性 CVE-2023-21563 は bitpixie と命名され、2023年の時点で Microsoft により対応が完了している。しかし、Secure Boot 経由で旧式の Windows ブートローダーを悪用することで、暗号化キーを抽出する方法が、Lambertz により実証された。この攻撃に必要なのは、デバイスへの一瞬の物理的アクセスとネットワーク接続のみであり、ドライバーやハードウェアをハッキングする必要はないという。この脆弱性の根本的な原因は、ブート・プロセスにおける重要なコンポーネントである、UEFI 内の証明書の保存領域が制限されていることにある。それにより、2026年までは、新しい Secure Boot 証明書が利用できない見込みであるという。そのため、Lambertz が暫定的な対策としてユーザーに推奨するのは、BitLocker 用のカスタム PIN を設定するか、BIOS からネットワーク・アクセスを無効化することだ。しかし、基本的なネットワーク接続 USB デバイスであっても、容易な攻撃を引き起こす可能性があるという。…

Webページ

コンテンツ文字数：0 文字

見出し数（H2/H3タグ）：0 個

閲覧数：2 件

2025-01-14 17:10:33

オリジナルページを開く