Người dùng Windows và Linux cần cập nhật các khóa mã hóa Secure Boot trước khi các chứng chỉ cũ hết hạn vào 24/6, nếu không hệ thống sẽ mất khả năng bảo vệ trước các cuộc tấn công vào UEFI (firmware khởi động máy tính).
Chuyện gì đang xảy ra?
- Secure Boot là cơ chế bảo mật giúp kiểm tra chữ ký số của firmware và bootloader khi máy khởi động.
- Nó ngăn chặn bootkit UEFI, loại mã độc cực kỳ nguy hiểm vì chạy trước cả Windows/Linux và phần mềm diệt virus.
- Bootkit có thể:
- Cài mã độc vào hệ điều hành.
- Đánh cắp mật khẩu.
- Tạo cửa hậu (backdoor).
- Tự tái nhiễm sau khi cài lại Windows.
- Tồn tại ngay cả khi format ổ cứng.
Vì sao phải đổi khóa?
Năm 2023, các nhà nghiên cứu phát hiện lỗ hổng nghiêm trọng mang tên:
LogoFail cho phép kẻ tấn công vượt qua Secure Boot trên hầu hết máy Windows và Linux bằng cách khai thác lỗi xử lý hình ảnh logo của nhà sản xuất trong quá trình khởi động.
Do đó Microsoft phải thay thế các chứng chỉ Secure Boot cũ từ năm 2011 bằng bộ chứng chỉ mới từ năm 2023.
Người dùng cần làm gì?
Windows
Kiểm tra:
Windows Security → Device Security → Secure Boot
Nếu thấy dấu tích màu xanh thì khóa mới đã được cập nhật.
Đa số máy Windows 10 và Windows 11 sẽ được cập nhật tự động thông qua Windows Update.
Tuy nhiên:
- Máy cũ có thể cần cập nhật thủ công.
- Có thể cần cập nhật BIOS/UEFI firmware trước.
Linux
Các bản phân phối Linux đang cập nhật thành phần gọi là:
- shim bootloader
Người dùng chỉ cần theo dõi các bản cập nhật hệ thống từ distro của mình.
Nếu không cập nhật thì sao?
Máy vẫn hoạt động bình thường.
Tuy nhiên:
- Không được bảo vệ trước các biến thể bootkit UEFI mới.
- Không được hưởng các cải tiến bảo mật sau LogoFail.
- Có nguy cơ cao hơn trước các cuộc tấn công firmware trong tương lai.
Kết luận
Đây không phải lỗi khẩn cấp khiến máy ngừng hoạt động sau ngày 24/6. Nhưng nếu không cập nhật Secure Boot và firmware mới, máy tính sẽ dần mất lớp bảo vệ quan trọng chống lại các loại mã độc cấp thấp nhất và khó phát hiện nhất hiện nay: UEFI bootkit. Đối với người dùng Windows, chỉ cần duy trì cập nhật Windows và BIOS/UEFI từ nhà sản xuất là thường đã đủ.
