J'en ai compris aussi que c'est l'implémentation qui est problématique, et qu'il y a beaucoup de subtilités à prendre en compte.
D'après mon expérience les firmwares de cartes mères ont de nombreux bugs et ne sont pas vraiment mis à jour, sur les différents ordinateurs où j'ai installé un OS en UEFI chacun a au moins un bug très visible : l'un ne sait pas lire de façon déterministe les fichiers de plus de 8 caractères ni les sous-répertoires, un autre ne prend en compte que l'entrée par défaut à moins de passer par le menu de démarrage et est incapable de démarrer en USB, un autre encore supprime des entrées EFI si on change l'ordre ou en ajoute.
Je ne crois donc pas qu'un firmware puisse me fournir une quelconque sécurité, au contraire la surface d'attaque est maintenant plus grande. L'UEFI peut facilement accéder au réseau, souvent au stockage en NTFS, on peut donc faire un logiciel malveillant qui s'exécute avant l'OS et qui s'assure d'être à jour avant que tout autre logiciel puisse l'en empêcher.
[^] # Re: Pas SecureBoot, mais l'implementation?
Posté par Patrick Nicolas . En réponse au journal Secureboot pas si secure. Évalué à 9.
J'en ai compris aussi que c'est l'implémentation qui est problématique, et qu'il y a beaucoup de subtilités à prendre en compte.
D'après mon expérience les firmwares de cartes mères ont de nombreux bugs et ne sont pas vraiment mis à jour, sur les différents ordinateurs où j'ai installé un OS en UEFI chacun a au moins un bug très visible : l'un ne sait pas lire de façon déterministe les fichiers de plus de 8 caractères ni les sous-répertoires, un autre ne prend en compte que l'entrée par défaut à moins de passer par le menu de démarrage et est incapable de démarrer en USB, un autre encore supprime des entrées EFI si on change l'ordre ou en ajoute.
Je ne crois donc pas qu'un firmware puisse me fournir une quelconque sécurité, au contraire la surface d'attaque est maintenant plus grande. L'UEFI peut facilement accéder au réseau, souvent au stockage en NTFS, on peut donc faire un logiciel malveillant qui s'exécute avant l'OS et qui s'assure d'être à jour avant que tout autre logiciel puisse l'en empêcher.