有風險的業(yè)務會對計算機用戶和知名品牌供應商產生影響，而這全都與固件有關，很少對其進行掃描以查找漏洞，并且會破壞現(xiàn)有的安全控制。企業(yè)固件安全公司Eclypsium的一份新報告報告了Windows和Linux固件漏洞。

Eclypsium在其PR材料中說：“現(xiàn)代攻擊者知道，傳統(tǒng)的安全工具在系統(tǒng)級別和硬件組件內部都缺乏對固件的可見性，并且越來越多地使用固件植入和后門來繞過安全控制，持久化并破壞組織的基礎架構。”

由于繞開了許多安全技術，這些發(fā)展使許多安全性假設顛倒了。Eclypsium報告團隊看到了“外圍設備通常缺乏操作系統(tǒng)和其他更可見組件(如UEFI或BIOS)中我們認為理所當然的安全最佳實踐”。

Eclypsium的首席工程師Rick Althert在一個有線故事中說，沒有特權的用戶可以修改這些設備上的固件;沒有關于該固件的來源或作用的檢查。

其他技術站點也將新報告“危險的外圍設備：Windows和Linux計算機內部的隱患”作為焦點。

固件較弱的品牌名稱包括Lenovo，HP和Dell外設。報告稱，他們在聯(lián)想，戴爾，惠普和其他主要制造商的計算機中使用的WiFi適配器，USB集線器，觸控板和相機中發(fā)現(xiàn)了未簽名的固件?？梢允褂梦春灻拇a更新固件。

Threatpost的Tara Seals表示，固件可以為犯罪分子“發(fā)現(xiàn)脆弱的攻擊面”。

肖恩·尼科爾斯(Shaun Nichols)在《 The Register》中寫道：“雖然易受攻擊的設備本身對黑客來說并不是特別有價值，但它們可以作為進入網絡上其他系統(tǒng)的立足點。”

報告小組說：“未經簽名的固件會導致數據，完整性和隱私丟失，并使攻擊者獲得特權并躲避傳統(tǒng)的安全控制。”

Eclypsium的建議：“鑒于未簽名固件的廣泛性，企業(yè)應掃描其設備中是否有易受攻擊的組件，并應在采購過程中評估新設備的固件狀態(tài)。”

固件漏洞可能很難檢測到。Seals寫道，固件攻擊“使惡意活動能夠在端點保護的雷達范圍內飛行，正如最近在使用RobbinHood勒索軟件的最新活動中所看到的那樣，易受攻擊的驅動程序可用于繞過安全保護并使勒索軟件能夠不受干擾地進行攻擊。”

在有關Eclypsium裸露內容的所有報告中，Andy Greenberg的文章對那些需要更好地了解外圍設備如何破壞用戶安全的人特別有用。

“您桌上的筆記本電腦或數據中心機架上的服務器與其說是網絡，不如說是一臺計算機。它的互連設備(從硬盤驅動器，網絡攝像頭到觸控板，主要來自第三方)擁有自己的專用芯片。和代碼。”

沒關系警告已經發(fā)出多年了-問題仍然存在。格林伯格說：“計算機內部的那些計算機仍然受到令人不安的保護。”

研究人員甚至發(fā)現(xiàn)Linux供應商固件服務存在問題，Linux服務是“允許硬件供應商上傳固件更新的安全門戶”。

在Threatpost文章中，最重要的是，這個固件問題很難解決。Seals寫道：“外圍設備中未簽名的固件仍然是網絡安全的一個被忽視的方面，并為惡意行為者提供了多種途徑來危害筆記本電腦和服務器。”

《Tom's Guide》上的Paul Wagenseil對此表示了類似的重視：“由于攝像頭，觸控板，USB集線器，Wi-Fi使用的固件不安全，由Dell，HP，Lenovo和其他公司生產的數百萬臺筆記本電腦和臺式機容易受到攻擊。 PC中內置的第三方供應商提供的Fi卡和其他外圍設備。”

海豹引述Eclypsium的首席研究員Jesse Michaels。他說，外圍設備制造商對固件簽名的做法一直很慢，“使數百萬個Windows和Linux系統(tǒng)面臨固件攻擊的風險，這些固件攻擊可能會泄露數據，破壞操作并提供勒索軟件。”

Tom's Guide：“ Microsoft可以全力防御Windows，而Linux開發(fā)人員可以針對惡意軟件對Linux進行加固，但是操作系統(tǒng)改進對阻止筆記本電腦和臺式機內置的數百種第三方外圍設備的其他攻擊沒有太大作用。”