피드로 돌아가기
GeekNewsSecurity
원문 읽기
보안 연구자가 Microsoft가 BitLocker 백도어를 만들었다고 말하며 익스플로잇 공개
WinRE NTFS 트랜잭션 로그 버그를 통한 BitLocker 인증 우회 및 셸 획득
AI 요약
Context
TPM 전용 모드의 BitLocker는 Secure Boot 체인 검증 후 TPM이 자동으로 복호화 키를 제공하는 구조임. 이 설계는 사전 부팅 인증(PIN)이 없는 환경에서 신뢰된 운영체제 구성요소에 접근 제어를 위임함으로써 사용자 편의성을 높였으나 물리적 접근 시 보안 취약점을 내포함.
Technical Solution
- WinRE(Windows Recovery Environment)의 NTFS 트랜잭션 로그 재생 기능 내 결함 이용
- 외부 볼륨의 NTFS 트랜잭션 로그를 읽어 마운트된 파일시스템에 강제 적용하는 로직 수행
- WinRE 세션 내
X:\Windows\System32\winpeshl.ini파일을 삭제하여 인증 프로세스 우회 - TPM이 PCR 상태를 검증하여 키를 제공하는 시점과 WinRE의 권한 획득 시점의 간극을 공략
- 결과적으로 복구 환경에서 제한 없는 관리자 셸을 획득하여 디스크 데이터에 접근하는 구조
실천 포인트
- BitLocker 설정 시 TPM 단독 모드 대신 TPM+PIN 조합의 사전 부팅 인증 강제 적용 - 하드웨어 기반 보안을 위해 dTPM보다 스니핑 공격에 강한 fTPM 채택 검토 - Critical Data 보호를 위해 VeraCrypt와 같은 독립적인 Full Disk Encryption(FDE) 솔루션 교차 적용 - Secure Boot 서명 폐기 및 업데이트를 통한 부팅 체인 무결성 최신화 유지