“PKFail”漏洞威胁：数百万设备安全启动机制遭绕过风险
原文中文，约1600字，阅读约需4分钟。
📝
内容提要
攻击者可以绕过数百万基于英特尔和ARM微处理器的计算系统的安全启动过程，因为它们共享了一个在设备启动过程中使用的、之前已经泄露的加密密钥。受影响的供应商包括联想、惠普、华硕和超微。解决方法是更换受损的密钥，设备供应商提供固件更新。
🔎
延伸解读
供应链密钥管理的历史遗留问题
PKFail并非全新漏洞，而是供应链中不良加密密钥管理实践的长期表现。文章指出，AMI测试密钥在2018年数据泄露中曝光，但早在2016年，CVE-2016-5247就发现联想设备共享相同的AMI测试PK。这反映出OEM厂商长期依赖非生产密钥，且未及时替换，导致问题积累十余年，影响范围随设备出货量扩大。
实际风险：从安全启动绕过到持久化攻击
攻击者一旦获得泄露的PK私钥，就能操纵密钥交换密钥数据库、签名数据库和禁止签名数据库，从而绕过安全启动。这为部署UEFI引导包（如BlackLotus）提供了便利，可实现持久的内核访问和权限。由于密钥在多厂商设备中共享，一次违规可能影响大量系统，风险具有普遍性。
缓解措施与部署挑战
解决方法明确：更换受损密钥，由设备供应商提供固件更新。然而，在数据中心服务器或关键应用系统中，固件更新可能需要较长时间部署。在更新就绪前，建议将受影响设备与关键网络断开连接，以降低被利用风险。企业需权衡更新紧迫性与业务连续性。
❓
Q&A
PKFail漏洞是如何影响设备安全启动的？
PKFail漏洞使攻击者能够通过操纵密钥数据库绕过安全启动，导致数百万设备面临安全风险。
哪些设备供应商受到了PKFail漏洞的影响？
受影响的设备供应商包括联想、惠普、华硕和超微。
PKFail漏洞的根本原因是什么？
根本原因是多个设备使用了相同的泄露加密密钥，导致安全启动机制被绕过。
如何解决PKFail漏洞问题？
解决方法是更换受损的密钥，设备供应商需要提供固件更新。
PKFail漏洞对企业的潜在风险是什么？
PKFail漏洞可能导致黑客轻松绕过安全启动，影响企业设备的安全性。
在固件更新部署之前，企业应采取什么措施？
企业应将带有泄漏AMI PK的设备与关键网络断开连接，以降低风险。
🏷️
