ทำไม Windows Secure Boot ถึงถูกข้ามได้ง่ายขนาดนี้ (และสิ่งที่ Microsoft ไม่ได้บอกคุณ)

Microsoft ใช้ Secure Boot เพื่อปกป้องคอมพิวเตอร์ Windows ของคุณจากมัลแวร์ การโจมตี และช่องโหว่ด้านความปลอดภัยก่อนที่ระบบปฏิบัติการของคุณจะโหลดเต็มรูปแบบ โดยค่าเริ่มต้น Secure Boot จะถูกเปิดใช้งานบนคอมพิวเตอร์ Windows เพื่อยืนยันว่าซอฟต์แวร์ใด ๆ ที่รันใน Unified Extensible Firmware Interface (UEFI) นั้นเชื่อถือได้และปลอดภัย UEFI กล่าวง่าย ๆ คือ เฟิร์มแวร์พื้นฐานที่จะเริ่มทำงานเพื่อเตรียมฮาร์ดแวร์ของคอมพิวเตอร์ของคุณและบูตระบบปฏิบัติการ การป้องกันความปลอดภัยที่มีอยู่ใน Windows จะไม่ทำงานจนกว่าระบบปฏิบัติการจะบูทเต็มรูปแบบ และนั่นคือเหตุผลที่ Secure Boot รับหน้าที่ล็อก UEFI ก่อนที่สิ่งนั้นจะเกิดขึ้น

มากว่าสิบปีที่ผ่านมา Secure Boot ทำหน้าที่ดังกล่าว เครื่องมือด้านความปลอดภัยนี้ไม่เคยถูกหลีกเลี่ยงต่อสาธารณะจนกระทั่งปลายปี 2022 — ก่อนหน้านั้น, มีเพียงนักวิจัยเท่านั้นที่สามารถหาวิธีหลีกเลี่ยง Secure Boot ได้ ทุกอย่างเปลี่ยนไปกับช่องโหว่ BlackLotus ซึ่งเกี่ยวข้องกับ UEFI bootkit ที่มีการหลีกเลี่ยง Secure Boot ปรากฏวางขายในเดือนตุลาคม 2022 ช่องโหว่นี้พิสูจน์ว่าแก้ไขได้ยากกว่าที่คาดไว้ แทนที่จะเป็นการ "แคร็ก" Secure Boot, วิธีการหลีกเลี่ยงเหมือนกับ BlackLotus ใช้รุ่น bootloader เก่าที่เชื่อถือได้ซึ่งมีช่องโหว่ที่รู้จัก เนื่องจาก bootloader เหล่านี้เป็น bootloader อย่างเป็นทางการที่ Secure Boot เชื่อถือ ซอฟต์แวร์ด้านความปลอดภัยจึงไม่มองว่าพวกมันเป็นภัยคุกคาม

แพตช์ความปลอดภัยสำหรับช่องโหว่อย่างเช่นอันนี้ไม่ได้ถูกติดตั้งให้กับพีซี Windows โดยค่าเริ่มต้น จำเป็นต้องรันคำสั่ง PowerShell ในฐานะผู้ดูแลระบบ และมาพร้อมกับความเสี่ยงในการปฏิบัติการอย่างร้ายแรง ทั้งสองปัจจัยทำให้ผู้ใช้และองค์กรล้มเหลวในการนำการแก้ไขไปใช้ด้วยตนเอง ทำให้พีซี Windows หลายล้านเครื่องที่มี Secure Boot อยู่ในความเสี่ยงที่อาจถูกหลีกเลี่ยงได้

การบูทแบบปลอดภัยไม่ใช่สิ่งที่ไม่สามารถเจาะได้อีกต่อไป

การบูตแบบปลอดภัยถูกเลี่ยงหลายครั้ง

มันง่ายที่จะคิดว่า Secure Boot เป็นสิ่งที่สามารถเลี่ยงไม่ได้ เพราะเป็นอย่างนั้นมานานถึงหนึ่งทศวรรษ แม้ในตอนนี้ นักประสงค์ร้ายก็ไม่ได้ทำให้ Secure Boot ใช้งานไม่ได้โดยการ “ทำลาย” มันโดยตรง แต่พวกเขาจะหาคู่มือบูทเวอร์ชันที่ถูกต้องตามกฎหมายและมีลายเซ็น แต่มีจุดอ่อนด้านความปลอดภัยสำคัญ การโจมตีแบบดาวน์เกรดเหล่านี้จะย้อนเวอร์ชันของ Windows Boot Manager ไปยังเวอร์ชันเก่าที่มีช่องโหว่ที่ผู้โจมตีต้องการใช้ เนื่องจากระบบ Secure Boot ยอมรับเวอร์ชันเก่าแต่มีช่องโหว่ของ Windows Boot Manager ว่าเป็นซอฟต์แวร์ของ Microsoft อย่างเป็นทางการ จึงอนุญาตให้มันโหลดได้

จากจุดนั้น การบูทแบบปลอดภัย (Secure Boot) ถูกเลี่ยง และผู้โจมตีสามารถรันไดรเวอร์ที่ไม่ได้เซ็นชื่อหรือมัลแวร์ได้ นี่คือวิธีที่ BlackLotus ซึ่งเป็นการเลี่ยง Secure Boot ที่มีชื่อเสียงที่สุด สามารถคุกคามพีซี Windows 10 และ Windows 11 ล้านเครื่อง มันใช้ช่องโหว่ด้านความปลอดภัยที่รู้จักกันในชื่อ "Baton Drop" ติดตามเป็น CVE-2022-21894 เพื่อ "ควบคุมอุปกรณ์ปลายทางตั้งแต่ระยะเริ่มต้นของการบูทซอฟต์แวร์" ตามที่สำนักงานความมั่นคงแห่งชาติสหรัฐอเมริกา (NSA) กล่าว

นี่คือวิธีที่ NSA อธิบายการบายพาส Secure Boot ซึ่งยังสามารถทำได้ในปัจจุบัน ในเอกสารปี 2023:

แทนที่จะทำลายโซ่ความปลอดภัยการบูตของ Linux, BlackLotus มุ่งเป้าไปที่การบูตของ Windows โดยการใช้ประโยชน์จากช่องโหว่ในบูตโหลดเดอร์รุ่นเก่า — ซึ่งเรียกอีกอย่างว่าตัวจัดการบูต — เพื่อทำให้เกิดลำดับของการกระทำที่เป็นอันตรายซึ่งทำลายความปลอดภัยของอุปกรณ์ปลายทาง การใช้ประโยชน์จาก Baton Drop (CVE-2022-21894) ช่วยให้ BlackLotus สามารถลบข้อมูลนโยบาย Secure Boot และป้องกันไม่ให้มีการบังคับใช้ ไม่เหมือนกับ Boot Hole, บูตโหลดเดอร์ที่มีช่องโหว่นั้นยังไม่ได้ถูกเพิ่มเข้าไปในรายการเพิกถอน Secure Boot DBX เนื่องจากบูตโหลดเดอร์ที่มีช่องโหว่ไม่ได้อยู่ในรายการ DBX, ผู้โจมตีสามารถแทนที่บูตโหลดเดอร์ที่แก้ไขครบแล้วด้วยเวอร์ชันที่มีช่องโหว่เพื่อดำเนินการ BlackLotus

นอกจากคำศัพท์ทางเทคนิคที่อยู่ตรงนั้น สิ่งสำคัญที่ควรรู้คือ บูตโหลดเดอร์ที่มีความเสี่ยง ยังไม่ได้ ถูกเพิ่มเข้าไปในรายการเพิกถอน DBX ของ Secure Boot กล่าวอีกอย่าง บูตโหลดเดอร์รุ่นเก่าที่มีช่องโหว่ด้านความปลอดภัยรุนแรงนี้ยังคงถูก Secure Boot เชื่อถืออยู่ในปัจจุบัน แม้หลังจากมีการอัปเดตแล้วก็ตาม รายการเพิกถอน DBX ของ Secure Boot ประกอบด้วยโค้ดและใบรับรองที่เคยถูกเซ็นต์ แต่ปัจจุบันทราบแล้วว่ามีความเสี่ยง

มันควรจะบล็อกโมดูล UEFI ที่ไม่น่าเชื่อถือไม่ให้โหลด อย่างไรก็ตาม เนื่องจากโมดูลหรือใบรับรองเช่นที่ใช้ในการโจมตี Baton Drop ไม่อยู่ในรายการนี้ พวกมันยังคงสามารถทำงานได้ — และ Secure Boot ยังคงสามารถถูกบายพาสได้

มันเป็นตัวเลือกที่เป็นไปไม่ได้สำหรับไมโครซอฟท์

การเพิกถอนกุญแจ Secure Boot ที่ถูกบุกรุกสามารถทำให้เครื่องพีซี Windows ใช้งานไม่ได้

จนถึงตอนนี้ คุณอาจสงสัยว่าทำไม Microsoft ถึงยังไม่ได้เพิ่มบูตโหลดเดอร์ที่มีข้อบกพร่องเหล่านี้เข้าไปในรายการเพิกถอน DBX ของ Secure Boot คำตอบของ Microsoft ต่อวิธีการบายพาส Secure Boot นั้นค่อนข้างช้า และยังไม่มีแพตช์อัตโนมัติสำหรับช่องโหว่เช่น Baton Drop และ BlackLotus หลังจากที่ BlackLotus ออกสู่ตลาดในเดือนตุลาคม 2022 การอัปเดตความปลอดภัยอย่างเป็นทางการก็ไม่ถึงผู้ใช้ Windows จนถึงเดือนพฤษภาคม 2023 นั่นยังไม่ใช่เรื่องทั้งหมด — ตามที่ Microsoft อธิบายในคู่มืออัปเดตความปลอดภัยปี 2023 Windows Boot Manager ที่ได้รับการอัปเดตจะไม่ได้เปิดใช้งานโดยค่าเริ่มต้น และจำเป็นต้องทำขั้นตอนด้วยตนเองเพื่อเปิดใช้งาน

ขั้นตอนเหล่านั้นไม่ได้ง่ายหรือตอบสนองต่อผู้ใช้ได้ดีนัก แม้ในปี 2026 การอัปเดตความปลอดภัยต่อมา เช่น การอัปเดตที่ปล่อยออกมาให้กับ Windows Boot Manager ในเดือนกรกฎาคม 2025 ก็ยังไม่สามารถแก้ไข CVE-2022-21894 โดยอัตโนมัติ ตามเอกสารสนับสนุนของ Microsoft ขั้นตอนนี้เกี่ยวข้องกับการแก้ไข Windows Registry การรันคำสั่ง PowerShell ในฐานะผู้ดูแลระบบ การเพิ่มใบรับรองที่ได้รับผลกระทบลงใน Secure Boot UEFI Forbidden List (DBX) ด้วยตนเอง และการใช้ Secure Version Number (SVN) กับเฟิร์มแวร์

ผู้ใช้ Windows โดยเฉลี่ยไม่ได้ทำเช่นนั้น — พวกเขาอาจไม่รู้ด้วยซ้ำว่า Windows Registry คืออะไรหรือต้องรันคำสั่ง PowerShell ในฐานะผู้ดูแลระบบอย่างไร และนั่นคือเหตุผลที่ Secure Boot ยังสามารถถูกหลีกเลี่ยงได้ง่ายในปี 2026 หลังจากที่ช่องโหว่ BlackLotus เป็นที่รู้จักมาหลายปีแล้ว แล้วทำไม Microsoft จึงไม่เสริมความแข็งแกร่งให้กับ Secure Boot ด้วยการอัปเดตอัตโนมัติ?

สิ่งที่ Microsoft ไม่ได้บอกผู้ใช้ทั่วไปก็คือ การปกป้องระบบ Secure Boot ด้วยการอัปเดตอัตโนมัติอาจทำให้คอมพิวเตอร์บางเครื่องใช้งานไม่ได้และทำให้ไม่สามารถใช้อุปกรณ์เสริมจำนวนมากได้อย่างเข้ากันได้ บางอุปกรณ์อาจไม่สามารถติดตั้ง Windows Boot Manager ได้สำเร็จหรือไม่สามารถใช้งานได้ นอกจากนี้ สื่อกู้คืนหรือการสำรองระบบที่เก็บเป็น CD/DVD, PXE Boot หรือ USB drive จะไม่สามารถใช้งานหลังจากติดตั้งแพตช์ได้หากไม่ได้อัปเดตสื่อกู้คืนแยกต่างหาก

หากการแก้ไขช่องโหว่ซึ่งจะไม่มีผลกระทบต่อผู้ใช้ส่วนใหญ่ มีความเสี่ยงที่จะทำให้คอมพิวเตอร์เสียหายและทำให้ไม่สามารถใช้งานสื่อกู้คืนหรือสำรองข้อมูลได้ คุ้มค่าที่จะแก้ไขหรือไม่? ไมโครซอฟท์ตัดสินใจที่จะให้การตัดสินใจนั้นอยู่ในมือของผู้ใช้ Windows และนั่นคือเหตุผลที่เป็นกระบวนการด้วยตนเอง อีกครั้ง นี่ก็เป็นเหตุผลว่าทำไม Secure Boot จึงสามารถถูกข้ามได้ง่าย หากเงื่อนไขที่จำเป็นถูกสร้างขึ้น

สิ่งที่คุณสามารถทำได้เพื่อปกป้องข้อมูลของคุณ

อัปเดต BIOS ของคุณเป็นประจำและตั้งค่า PIN ก่อนบูทของ BitLocker

ช่องโหว่ Secure Boot เหล่านี้ต้องการการเข้าถึงทางกายภาพหรือการเข้าถึงในระดับผู้ดูแลระบบไปยังคอมพิวเตอร์ Windows เพื่อทำการโจมตี ทำให้การใช้งานในโลกจริงเกิดขึ้นได้ไม่บ่อย ในทางกลับกัน บุคคลที่มีการเข้าถึงทางกายภาพกับคอมพิวเตอร์ของคุณอาจย้อนเวอร์ชันของตัวโหลดบูตไปยังเวอร์ชันที่มีช่องโหว่ Secure Boot จากนั้นจึงทำการโจมตี นอกเหนือจากการติดตั้งอัปเดต Windows Boot Manager ที่มีความเสี่ยงด้วยตนเองแล้ว ยังมีขั้นตอนบางอย่างที่ทุกคนสามารถทำได้เพื่อปกป้องระบบของตนและปกป้องข้อมูลของตน

อย่างแรก เก็บรักษาอุปกรณ์ฮาร์ดแวร์ของคุณให้อยู่ในมือที่ถูกต้อง และอย่าต่ออุปกรณ์ใด ๆ เข้ากับคอมพิวเตอร์ของคุณหากคุณไม่ไว้วางใจ หลักการเดียวกันนี้ใช้ได้กับระบบปฏิบัติการด้วย คุณไม่ควรให้สิทธิ์ผู้ดูแลระบบกับสิ่งใดหรือบุคคลใดที่ไม่จำเป็นต้องใช้ เพื่อป้องกันล่วงหน้า ให้เปิดใช้งาน BitLocker พร้อมรหัส PIN เพื่อเก็บข้อมูลของคุณให้อยู่ในสถานะล็อกแม้ว่าจะมีการข้าม Secure Boot นอกจากนี้ คุณยังสามารถตั้งค่าอุปกรณ์ของคุณเป็นพีซีแบบ secured-core เพื่อรักษาความปลอดภัยของเคอร์เนล Windows ในกรณีที่ bootloader ถูกบุกรุก แต่สิ่งนี้ต้องใช้ส่วนประกอบที่เหมาะสม เช่น ชิป TPM 2.0 และ CPU ที่รองรับ

สรุปได้ว่า Secure Boot นั้นง่ายต่อการหลีกเลี่ยงเพราะผู้โจมตีไม่ได้ทำการแคร็กมัน — พวกเขากำลังใช้ใบรับรองบูตโหลดเดอร์ที่เป็นทางการและเชื่อถือได้ซึ่งมีช่องโหว่ด้านความปลอดภัยที่สามารถถูกใช้ประโยชน์ได้ เนื่องจากการเพิกถอนใบรับรองเหล่านั้นเป็นกระบวนการที่มีความเสี่ยง จึงยังคงเชื่อถือได้ และ Secure Boot ยังคงสามารถหลีกเลี่ยงได้