¿Cómo puede el usuario promedio validar fácilmente la integridad del firmware de su Mac?
Antes de que desestime esta pregunta o me dé una conferencia sobre cómo soy paranoico y nadie debería necesitar hacerlo, lea a continuación.
En julio de 2015, CVE-2015-3692 reveló que un atacante remoto podría hackear el firmware EFI de una Mac. (Los vectores disponibles para esto se encuentran en otros CVE, pero hipotéticamente podrían ser cualquier cosa, incluidos elementos como instaladores de actualizaciones Flash maliciosas falsas).
Esta vulnerabilidad se hizo pública al menos cuatro semanas antes de que Apple la parcheara el 30 de julio para OS X 10.8, 10.9 y 10.10 con EFI Firmware Security Update 2015-001 .
El mismo investigador de seguridad que anunció esta vulnerabilidad también afirma haber visto una demostración en una conferencia de un hack de firmware que no puede eliminarse ni sobrescribirse.
Por lo tanto, una vez que el EFI de una Mac ha sido propiedad, si el atacante lo hizo bien, entonces la única forma de actualizar el EFI con un firmware válido de Apple sería conectar un flasher directamente al chip EFI en la placa lógica ( no intente esto en casa).
Los artículos de noticias que informaron sobre esta vulnerabilidad lo minimizaron, diciendo que la mayoría de los usuarios no deberían preocuparse, y que todo lo que debe hacer para protegerse es nunca dejar que su Mac entre en modo de suspensión y deshabilitar al usuario raíz, o nunca autenticar nada No confíes al 100%. Los hilos de comentarios sobre esos artículos lo resumieron así: si todas sus aplicaciones provienen de fuentes confiables como la App Store oficial, y nunca ejecuta nada que no esté firmado por código por un desarrollador conocido por Apple, entonces no debería tener nada de qué preocuparse.
Pero luego, en septiembre de 2015, supimos sobre el exploit XCodeGhost , que se sabe que resultó en numerosas aplicaciones infectadas con malware que aparecen en la tienda oficial de aplicaciones de iOS, pero ¿qué pasa con las aplicaciones OS X? En el artículo vinculado, Malwarebytes escribió:
Wardle señaló en marzo que Xcode era vulnerable a este tipo de cosas, pero atemorizante, también señaló con el dedo a muchas otras aplicaciones de OS X. Cualquiera de esas aplicaciones podría ser vulnerable a ataques similares.
También escribieron, "el usuario promedio no debe entrar en pánico", el mismo mantra que a menudo veo en los foros de soporte de Apple y en otros lugares cada vez que un usuario publica un hilo sobre toneladas de problemas extraños que están teniendo. "Simplemente formatee su unidad y realice una instalación limpia del sistema. El problema es probablemente una modificación del sistema de un tercero", nos dicen. Cuando eso no lo soluciona, a las personas se les dice que debe ser un problema de hardware, como un HDD defectuoso, una GPU defectuosa o una RAM defectuosa. He visto hilos en los que las personas reemplazan literalmente todos los componentes de su Mac, y el problema siempre volvería.
Ahora sabemos que es hipotéticamente posible que el firmware EFI de los usuarios haya sido pirateado, por lo que incluso si su placa base fuera reemplazada, cuando reinstalaran sus aplicaciones, ¡el malware podría volver a actualizarse nuevamente por el malware! Y si la placa base no fue reemplazada, entonces serían mangueras sin importar qué.
Eso me lleva de vuelta a la pregunta principal.
¿Cómo puede el usuario promedio validar fácilmente la integridad del firmware de su Mac? Es decir, ¿cómo puede verificar para asegurarse de que el firmware de su Mac nunca haya sido comprometido por malware? No pude encontrar ningún método compatible con El Capitan que no requiera deshabilitar SIP. Para versiones anteriores del sistema operativo, existe una herramienta de terceros complicada llamada DarwinDumper que puede volcar el contenido de su EFI en un archivo de texto, pero aún necesita tener el firmware válido de Apple para compararlo; este no es un método con el que el usuario promedio es capaz de hacer
Decirles a las personas que no se preocupen por algo de lo que podrían ser víctimas, y que no tienen forma de verificar si lo son, es lo que permite que este tipo de exploits sean rentables para los piratas informáticos, que dependen de la complacencia y la falta de vigilancia sobre el parte de los usuarios.
==
EDITAR: Encontré el último instalador oficial de firmware de Apple en el sitio de soporte de Apple . El instalador no se ejecuta en 10.10 o 10.11, por extraño que parezca. Usando Pacifist extraje el archivo .scap para mi Macbook Pro 9,1. Comparé el binario en HexFiend con el biosdump que extraje usando DarwinDump después de reiniciar en el modo de recuperación y ejecutar csrutil disableen la terminal para deshabilitar rootless y habilitar la capacidad de ejecutar kexts sin firmar. Recuperé este encabezado de BIOS:
$IBIOSI$ MBP91.88Z.00D3.B0B.1506081214Copyright (c) 2005-2015 Apple Inc. All rights reserved.ˇˇˆ´5µ}ñÚC¥î°Îé!¢é_i@Ÿ¯¡Apple ROM Version
BIOS ID: MBP91
Built by: root@saumon
Date: Mon Jun 8 12:14:35 PDT 2015
Revision: svn 39254 (B&I)
Buildcave ID: 6
ROM Version: 00D3_B0B
El BIOS oficial del encabezado de Apple:
$IBIOSI$ MBP91.88Z.00D3.B0B.1506081214Copyright (c) 2005-2015 Apple Inc. All rights reserved.ˇˇˆ´5µ}ñÚC¥î°Îé!¢é_i@Ÿ¯¡Apple ROM Version
BIOS ID: MBP91
Built by: root@saumon
Date: Mon Jun 8 12:14:35 PDT 2015
Revision: svn 39254 (B&I)
Buildcave ID: 6
ROM Version: 00D3_B0B
Aparte de eso, los archivos tienen un aspecto muy diferente, pero supongo que el archivo .scap tiene algún tipo de compresión. Al menos eso me dice que tenía el último firmware instalado, el que se lanzó después de que se anunciaron los hacks. Soy muy bueno. Sin embargo, sería bueno poder confirmar que soy bueno a través de algún tipo de verificación de suma de verificación. ¡Te estoy mirando, Apple!