@RingMinus

「OS より下のレイヤー」に特化したセキュリティコミュニティ (BIOS, ハイパーバイザー, ハードウェア, etc.)

ffri.github.io/RingMinus/
Joined April 2026
  • Tweets23
  • Following0
  • Followers410
10Media
【コミュニティ参加方法】 RingMinus では、BIOS/ファームウェア・TEE/ハイパーバイザ・CPU/ハードウェア等の分野に携わる方同士で、技術議論や情報共有を行っています。 ご興味のある方は、下記の参加方法をご覧ください。 ffri.github.io/RingMinus/abo… #RingMinus
1
14
1
28
3,879
Kaspersky社によるUEFIブートキットBlackXの解説記事にて、セキュアブートバイパスを可能とする脆弱性BatonDropが最新のWindowsアップデートを行っている PC でも動く事が説明されています securelist.com/uefi-bootkit-… 対策は、脆弱性が存在するブートローダの署名を手動で失効する必要があります (1/3)

New BlackX UEFI bootkit exploiting Baton Drop

Kaspersky GReAT experts discovered a new UEFI bootkit, BlackX. It exploits the Baton Drop vulnerability (CVE-2022-21894) and is similar to the BlackLotus bootkit.

securelist.com
2
11
23
1,781
署名の追加/失効は Microsoft が配信するアップデートによって通常行われます しかし、この脆弱性があるブートローダの署名の失効が行われるパッチは、配布日未定となっております support.microsoft.com/en-us/… ※ ブートローダの署名失効は互換性の問題で即座にパッチ配布するのが難しい (2/3)
1
1
263
従って早めに対応するためには "手動で" 署名を失効する必要があります 以下に従い、該当する署名を失効できます support.microsoft.com/en-us/… 失効自体は簡単ですが、失効後 PC が正常に起動する事を保証するため、最新の署名がインストールされているか、ブートローダが最新か等の確認が必要です (3/3)
1
144
Ring-101 CSME 多くのIntel搭載PCには、CPUとは独立して CSME というプロセッサが載ってます ファームウェア認証/fTPM/Intel AMT などの機能を備えてます CSME はホストメモリを読み書きでき、AMT は電源が落ちた PC をCSME経由で遠隔管理できるため、セキュリティ上多くの議論が行われてます 1/2
1
2
14
647
補足 - 厳密にはCSMEは独自プロセッサやメモリ等を含むサブシステムです - AMT はホストがシャットダウン(S5)していても動作できますが、AC電源は供給されてる必要があります - この CSME には AMT は無いなど CSME 毎に機能の有無が異なります - PCH ではなく SoC 内に存在する構成もあります 2/2
1
148
Ring-101 Platform Configuration Register (PCR) TPM の PCR レジスタには、ブート中に実行されるモジュールや設定値のハッシュを用いて計算した値が格納されます PCR が特定の値か確認する事で、ブートや設定の改ざんを検知できます 1/2
1
6
692
補足 - ブート中に実行されるもの全てのハッシュ値を使っているわけではありません - PCR 0/1 は厳密には拡張デバイスのファームウェアなどは除きます - 具体例として、BitLocker は期待する PCR の状態でなければ TPM から復号鍵を取り出さず、回復キーの入力を求めます 2/2
3
232
Ring-101 セキュアブート ブートローダーや外部の UEFI ドライバは正当な署名やハッシュで検証できなければ、セキュアブートにて実行が拒否されます 検証用の証明書やハッシュ値は PC の不揮発性メモリに保存されており、OS/BIOS アップデートで更新されます 1/2
1
1
16
1,001
補足 - 検証は UEFI ファームウェアが db/dbx を用いて行っています - db はホワイトリスト、dbx はブラックリストです - デバイスベンダーの署名は実務上 Microsoft が行う場合も多く、db に入っているのも主に Microsoft の証明書です 2/2
3
192
Ring-101 特権レベル x86系 CPU には、カーネル権限 ring 0 とユーザー権限 ring 3 があり、アクセスできるメモリページが異なります ユーザープロセスがカーネルデータにアクセスすること等を防ぎます CS レジスタの CPL 値にて特権レベルが決まり、ページテーブルの U/S bit と比較されます 1/2
1
6
488
補足 - 上述は OS側の定義で、CPU側は CPL=0-2 が supervisor、3 が user と定義してます - CPL と U/S は user/supervisor かの観点で比較されます - ページテーブルにおける各階層のエントリの U/S bit を AND した値と比較されます - コード実行可否は NX bit やページ属性なども関与します 2/2
3
252
Ring Minus Security retweeted
Ring Minus Security@RingMinusJul 6
【コミュニティ参加方法】 RingMinus では、BIOS/ファームウェア・TEE/ハイパーバイザ・CPU/ハードウェア等の分野に携わる方同士で、技術議論や情報共有を行っています。 ご興味のある方は、下記の参加方法をご覧ください。 ffri.github.io/RingMinus/abo… #RingMinus
1
14
1
28
3,879
【第2回 LT会 資料掲載】 @cci_forensics さんによる、「ソフトウェアベースによるファームウェアの取得を阻む、アンチフォレンジクス手法の紹介」の資料をホームページに掲載しました。 ffri.github.io/RingMinus/eve… #RingMinus
6
14
1,203
【第2回 LT会 資料掲載】 @takuuuuu_h__ さんによる、「Confidential Computing 解説とそのユースケース紹介」の資料をホームページに掲載しました。 ffri.github.io/RingMinus/eve… #RingMinus
3
1
14
2,273
Ring-101 CPU Mode/Operation CPUには状態があり、これにより利用できる機能やメモリ領域等が異なります 例 - 64-bit mode だと 64bit命令を実行できるが protected だと不可 - VMX root operation 中は仮想化機能を管理できるが non-root だと不可 - SMM のみ SMRAM メモリ領域を読み書き可能 1/2
1
1
10
935
これら CPU mode/operation の使い分けにより、具体的に以下のようなセキュリティリスクを軽減できます。 - ある VM が仮想化機能を管理する命令を発行し、他の VM を落とす - OS まで侵害した攻撃者が、SMRAM 上の BIOS 書き込み処理を改竄し、BIOS まで侵害する 2/2
5
280
Ring-101 Virtualization-based Security (VBS) 多くの Windows 11 PC の下では Hyper-V が動作し、皆さんが普段作業してる環境(VTL0) とは別に、VTL1 というセキュアな領域が作られてます ログイン情報等のデータを VTL1 に保存する事で、たとえ VTL0 が OS まで侵害されても、データを保護できます
1
2
24
2,025
【Ring-101 開始】 初学者向けに、OSより下のレイヤーのセキュリティを X のポストで短く紹介する「Ring-101」を開始します。 毎月第2・4水曜日に投稿予定です。 初回は今月第4水曜日です。興味のある方はぜひフォローしてください。 #RingMinus
13
39
3,223
現段階では、本分野を少しでも触ったことがある方のみ参加対象としています。 一方で、本分野に触れたことはないものの興味のある方に向けたオープンな勉強会なども、今後開催を予定しています。開催時期は未定ですが、実施の際にはこちらのアカウントでお知らせします。
2
1
757
Load more