উইন্ডোজ ১০ সিকিউর বুট কীস নিয়ে যা আপনাকে জানা দরকার

যা একদম সঠিক কারণ বোঝাতে পারে কেন সিকিউর সার্ভিসে ব্যাকডোর দেয়া গোল্ডেন কী থাকা উচিত নয়, মাইক্রোসফট অকস্মাত তাদের সিকিউর বুট সিস্টেমের মাস্টার কী লিক করল।

লিকটি সম্ভবত মাইক্রোসফট সিকিউর বুট টেকনোলজি लगे সব ডিভাইসকে আনলক করতে পারে, তাদের লকড অপারেটিং সিস্টেম স্ট্যাটাস সরিয়ে, ব্যবহারকারীদের তাদের নিজস্ব অপারেটিং সিস্টেম এবং অ্যাপ্লিকেশন ইনস্টল করতে দিয়ে রেডমন্ড টেকনোলজি বিহিমথ দ্বারা ডেজিগনেটেড مواردের পরিবর্তে।

লিকটি তত্ত্বাবধান 당신의 ডিভাইস সিকিউরিটি কাম্প্রোমাইজ করবে না — তত্ত্বে। কিন্তু এটি অ্যাল্টারনেটিভ অপারেটিং সিস্টেম এবং অন্যান্য অ্যাপ্লিকেশনগুলোর লাইন খুলবে যা আগে সিকিউর বুট সিস্টেমে কাজ করত না।

মাইক্রোসফট কীভাবে প্রতিক্রিয়া জানাবে? প্রতিটি সিকিউর বুট বেস কী পরিবর্তন করে একটি সিম্পল আপডেট? অথবা এটি সিম্পলি খুব দেরি হয়ে গেছে, ক্ষতিগ্রস্ত হয়ে গেছে?

চলুন আপনার এবং আপনার ডিভাইসের জন্য সিকিউর বুট লিকের অর্থ ভালোভাবে দেখি।

সিকিউর বুট কী?

"সিকিউর বুট নিশ্চিত করে যে আপনার পিসি শুধু সেই ফার্মওয়্যার দিয়ে বুট হয় যা ম্যানুফ্যাকচারার দ্বারা বিশ্বস্ত"

মাইক্রোসফট সিকিউর বুট উইন্ডোজ ৮-এ এসেছিল, এবং এটি ডিজাইন করা হয়েছিল ম্যালিশিয়াস অপারেটররা অ্যাপ্লিকেশন বা অনযেরাইজড অপারেটিং সিস্টেম লোড করতে বা সিস্টেম স্টার্ট-আপ প্রসেসে পরিবর্তন আনার থেকে রক্ষা করার জন্য। যখন এটি এসেছিল, চিন্তা ছিল এর ইণ্ট্রোডাকশন সিরিয়াসলি লিমিট করবে ডুয়াল বা মাল্টি-বুট মাইক্রোসফট সিস্টেমের ক্ষমতা। শেষ পর্যন্ত, এটি বড় মাত্রায় আশঙ্কা অনুপস্থিত ছিল — অথবা ওয়ার্কঅরাউন্ড খুঁজে পাওয়া গেল।

যেহেতু সিকিউর বুট UEFI (Unified Extensible Firmware Interface) স্পেসিফিকেশনর ওপর নির্ভর করে বেসিক এনক্রিপশন ফ্যাসিলিটি, নেটওয়ার্ক অথেন্টিকেশন, এবং ড্রাইভার সাইনিং প্রদান করার জন্য, আধুনিক সিস্টেমগুলোর রুটকিট এবং লো-লেভেল ম্যালওয়্যার থেকে একটি অতিরিক্ত প্রোটেকশন লেয়ার দেয়।

Windows 10 UEFI

মাইক্রোসফট উইন্ডোজ ১০-এ UEFI-র অফার করা "প্রোটেকশন" র‍্যাম্প আপ করতে চেয়েছিল।

এটিকে পুশ করার জন্য, মাইক্রোসফট উইন্ডোজ ১০ রিলিজের আগে ম্যানুফ্যাকচারারদের জানিয়েছিল যে সিকিউর বুট ডিসেবল করার অপশন সরানোর চয়স তাদের হাতে, কার্যকরভাবে অপারেটিং সিস্টেমকে সেটি লক করে দিচ্ছে যা কম্পিউটারের সাথে এসে থাকে। মাইক্রোসফট সরাসরি এই инициатиভকে পুশ করছিল না (কমপক্ষে পুরোপুরি পাবলিকলি), কিন্তু Ars Technica-এর পিটার ব্রাইট ব্যাখ্যা করেন, উইন্ডোজ ১০ রিলিজ ডেটার আগে বিদ্যমান UEFI নিয়মে পরিবর্তন এটিকে সম্ভব করে দিয়েছিল:

"যদি এটি দাঁড়িয়ে থাকে, তবে আমরা কল্পনা করতে পারি OEMরা এমন মেশিন বিল্ড করবে যা সেলফ-বিল্ট অপারেটিং সিস্টেম বুট করার কোনো সহজ উপায় দেবে না, বা যেকোনো অপারেটিং সিস্টেম যেটির উপযুক্ত ডিজিটাল সিগনেচার নেই।"

যদিও নিঃসন্দেহে অসংখ্য ডেস্কটপ এবং ল্যাপটপ বিক্রয়ে আছে আনলকড UEFI সেটিংসহ, এটি তাদের জন্য আরেকটি বাধা হতে পারে যারা তাদের উইন্ডোজ অপারেটিং সিস্টেমের বিকল্প চেষ্টা করতে চান।

লিনাক্স সমর্থকদের জন্য আরেকটি রোড ব্লক... সায়।

এবং এখন সিকিউর বুট পার্মানেন্টলি আনলকড?

পার্মানেন্টলি, আমি নিশ্চিত নন। কিন্তু ফিলহাল, সিকিউর বুট আনলক করা যাচ্ছে। কী ঘটলো সেটি দেখি।

আমি জানি আমি একটি সুপার-ডুপার স্কেলেটন-টাইপ কী রেফার করছি যা পুরো মাইক্রোসফট UEFI সিকিউর বুট ইউনিভার্সের সব লক আনলক করে… কিন্তু আসলে এটি নির্ভর করে আপনার সিস্টেমে কোন পলিসিস সাইন করা আছে।

সিকিউর বুট নির্দিষ্ট পলিসিসের সাথে টান্ডেমে কাজ করে, যা উইন্ডোজ বুট ম্যানেজার পড়ে এবং পুরোপুরি মেনে চলে। পলিসিগুলো বুট ম্যানেজারকে সিকিউর বুট সক্রিয় রাখতে পরামর্শ দেয়। যাইহোক, মাইক্রোসফট একটি পলিসি তৈরি করেছিল ডেভেলপারদের অপারেটিং সিস্টেম বিল্ড টেস্ট করতে দিতে যাতে প্রতিটি ভার্সন ডিজিটালি সাইন করতে না হয়। এটি কার্যকরভাবে সিকিউর বুটকে ওভাররুল করে, স্টার্ট-আপ প্রসেসের শুরুর চেকগুলো ডিসেবল করে। সিকিউরিটি রিসার্চাররা, MY123 এবং Slipstream, তাদের ফাইন্ডিংস ডকুমেন্ট করেছেন (একটি খুব দারুন ওয়েবসাইটে):

"উইন্ডোজ ১০ v1607 'Redstone'-র ডেভেলপমেন্টের সময়, MS একটি নতুন টাইপের সিকিউর বুট পলিসি যোগ করল। যথা নাম, "supplemental" পলিসিস যেগুলো EFIESP পার্টিশনে অবস্থিত (বরং UEFI ভেরিয়েবলে না), এবং তাদের সেটিংস মার্জড ইন হয়, কন্ডিশনালি (নামলে, একটি নির্দিষ্ট "activation" পলিসি লক্ষ্য থাকে, এবং লোডেড আছে)। Redstone-এর bootmgr.efi "legacy" পলিসিস (নামলে, UEFI ভেরিয়েবল থেকে একটি পলিসি) প্রথমে লোড করে। Redstone ডেভেলপমেন্টের একটি নির্দিষ্ট সময়ে, সিগনেচার/ডিভাইস আইডি চেকের বাইরে কোনো ফर्दার চেক করত না। (এটি এখন পরিবর্তন হয়েছে, কিন্তু দেখুন কীভাবে পরিবর্তনটি বোকা) "legacy" পলিসি লোড করার পর, বা EFIESP পার্টিশন থেকে একটি বেস পলিসি, এটি Supplemental পলিসিস লোড, চেক, এবং মার্জ ইন করে। সমস্যাটি এখানে দেখছেন? না দেখলে, আমি আপনাকে স্পষ্টভাবে বোঝাচ্ছি। "Supplemental" পলিসি নতুন এলিমেন্টস ধারণ করে, মার্জিং কন্ডিশনসের জন্য। এই কন্ডিশনগুলো (ভালো, একসময়) বুটম্যানেজার tarafından আনচেকড থাকত যখন লিগেসি পলিসি লোড করত। এবং win10 v1511 এবং তার আগের বুটম্যানেজার নিশ্চিতভাবেই সেগুলো সম্পর্কে জানত না। সেই বুটম্যানেজারদের কাছে, সেটি শুধু একটি পারফেক্টলি ভ্যালিড, সাইনড পলিসি লোড করেছে।"

এটি মাইক্রোসফটের জন্য ভালো পড়া নয়। এটি কার্যকরভাবে বোঝায় ডিবাগ-মোড পলিসিটি যা ডেভেলপারদের — এবং শুধু ডেভেলপারদের — সাইনিং প্রসেস নিগেট করার সুযোগ দিতে ডিজাইন করা হয়েছিল, সেটি রিটেল উইন্ডোজ ১০ 가진 যেকোনো কারো কাছে উন্মুক্ত। এবং সেই পলিসি ইন্টারনেটে লিক হয়েছে।

স্যান বर्नার্ডিনো আইফোন মনে আছে?

"আপনি אירোনি দেখতে পারছেন। همچنین আইরোনি যে MS নিজেরা আমাদের কয়েকটি সুন্দর "গোল্ডেন কী" দিয়েছে (যেমন FBI বলত;) আমাদের সেই উদ্দেশ্যে ব্যবহার করতে :) FBI সম্পর্কে: আপনি কি পড়ছেন? আপনি পড়লে, এটি একটি পারফেক্ট রিয়েল ওয়ার্ল্ড উদাহরণ যে আপনার ব্যাকডোরিং ক্রিপ্টোসিস্টেমের আইডিয়া "সিকিউর গোল্ডেন কী" দিয়ে খুব খারাপ! আমার চেয়ে বুদ্ধিমান লোকেরা অনেক দিন ধরে আপনাকে এটা বলছে, লাগে আপনার আঙুল আপনার কানে। আপনি এখনও বুঝতে পারছেন না? মাইক্রোসফট একটি "সিকিউর গোল্ডেন কী" সিস্টেম ইমপ্লিমেন্ট করল। এবং গোল্ডেন কীগুলো MS নিজের বোকামির কারণে রিলিজ হয়েছে। এখন, কী হবে যদি আপনি সবাইকে "সিকিউর গোল্ডেন কী" সিস্টেম বানাতে বলেন? আশা করি আপনি ২+২ যোগ করতে পারবেন..."

এনক্রিপশন অ্যাডভোকেটদের জন্য এটি একটি সব-টু-বিটারসুইট মুহূর্ত যা হয়তো ল إنফোর্সমেন্ট এজেন্সি এবং সরকারি অফিসিয়ালদের জন্য কিছু চাইতoclip clarity দেবে। গোল্ডেন ব্যাকডোর কখনো লুকিয়ে থাকবে না। সেগুলো সবসময় আবিষ্কৃত হবে, যেন অনপ্রত্যাশিত ইন্টারন্যাল ভালনারেবিলিটি (স্নোডেন রিভিলেশন) দিয়ে হোক বা যারা টেকনোলজি এবং এর আন্ডারলাইং কোড পোক এবং পুল করতে আগ্রহী।

স্যান বर्नার্ডিনো আইফোন বিবেচনা করুন...

"আমরা FBI-এর প্রফেশনালদের প্রতি গভীর সম্মান রেখেছি, এবং আমরা মনে করি তাদের উদ্দেশ্য ভালো। এই পয়েন্ট পর্যন্ত, আমরা সেটি করেছি যা আমাদের ক্ষমতায় এবং আইনের অধীনে তাদের সাহায্য করতে। কিন্তু এখন ইউ.এস. সরকার আমাদের একটা জিনিস চেয়েছে যা আমাদের সিম্পলি নেই, এবং যা আমরা খুব ডেঞ্জারাস মনে করি তৈরি করতে। তারা আমাদের আইফোনের একটি ব্যাকডোর বানাতে বলেছে।"

বলটি মাইক্রোসফটের কোর্টে

যেমন আমি বললাম, এটি আপনার পারসোনাল ডিভাইসের জন্য বড় সিকিউরিটি রিস্ক পোজ করে না, এবং মাইক্রোসফট একটি স্টেটমেন্ট রিলিজ করলো সিকিউর বুট লিকের প্রাসঙ্গিকতা কমিয়ে দেখাতে:

"রিসার্চারদের রিপোর্টে ১০ আগস্টকে বর্ণিত জেইलब্রেক টেকনিক ডেস্কটপ বা এন্টারপ্রাইজ পিসি সিস্টেমের জন্য প্রযোজ্য নয়। এতে ফিজিক্যাল অ্যাক্সেস এবং ARM ও RT ডিভাইসে অ্যাডমিনিস্ট্রেটর রাইটস দরকার এবং এনক্রিপশন প্রোটেকশন কাম্প্রোমাইজ করে না।"

এছাড়া, তারা জলদিবা একটি মাইক্রোসফট সিকিউরিটি বুলেটিন রিলিজ করলো "Important" ডেজিগনেটেড। এটি ইনস্টল হলে ভালনারেবিলিটি রেজলভ করবে। তবে, প্যাচ ছাড়া উইন্ডোজ ১০ ভার্সন ইনস্টল করা খুব কঠিন নয়।

গোল্ডেন কীস

দুর্ভাগ্য, এর ফলে মাইক্রোসফট ডিভাইসগুলো লিনাক্স ডিস্ট্রোর সাথে চালানোর নতুন ঝড় 오는 скорее নয়। মানে, কিছু উদ্যমী ব্যক্তি এটিকে টেস্ট করার জন্য সময় নিবে, কিন্তু অধিকাংশ ব্যক্তির জন্য, এটি শুধু আরেকটি সিকিউরিটি ব্লিপ যা তাদের পাশ দিয়ে চলে যাবে।

এটি নয়।

মাইক্রোসফট ট্যাবলেটে লিনাক্স ডিস্ট্রো নিয়ে চিন্তা না করা একটা ব্যাপার, ঠিক আছে। কিন্তু একটি গোল্ডেন কী পাবলিক ডোমেইনে লিক হয়ে সম্ভাব্য মিলিয়ন ডিভাইস আনলক করার প্রসঙ্গ ভিন্ন।

কয়েক বছর আগে The Washington Post এনক্রিপশনে "কামপ্রোমাইজ" এর জন্য র‍্যালি করলো, প্রপোজ করলো যে আমাদের ডেটা স্পষ্টভাবেই হ্যাকারদের জন্য অফ-লিমিটস, কিন্তু হয়তো গুগল এবং আপল et al-এর একটি সিকিউর গোল্ডেন কী থাকা উচিত। একটি চমৎকার কৃতiquant কুইরেটিকে Christ Coyne, Keybase কো-ক্রিয়েটর, একদম স্পষ্টভাবে ব্যাখ্যা করেন, কেন এটি একটি "misguided, dangerous proposal," "Honest, good people are endangered by any backdoor that bypasses their own passwords."

আমাদের সবাইকে সর্বোচ্চ লেভেলের পারসোনাল সিকিউরিটি জন্য কাম্য করা উচিত, প্রথম সুবিধায় এটিকে দুর্বল করা নয়। কারণ যেমন আমরা একাধিকবার দেখেছি, সেই সুপার-ডুপার স্কেলেটন-টাইপ কীগুলোর ইবে ভুল হাতে পড়বে।

যখন সেগুলো পড়বে, তবে আমরা সবাই একটি ডেঞ্জারাস রিয়েক্টিভ ডিফেন্স গেম খেলব, আমরা চাইলে বা না চাইলে।

প্রধান টেকনোলজি কোম্পানিগুলো কি তাদের সার্ভিসে ব্যাকডোর তৈরি করা উচিত? নাকি সরকারি এজেন্সি এবং অন্যান্য সার্ভিস তাদের কাজে মনোযোগ দিয়ে সিকিউরিটি মেইনটেইন করার ওপর ফোকাস করা উচিত?

ছবির ক্রেডিট: DutchScenery/Shutterstock, Constantine Pankin/Shutterstock