Key Exchange Key (KEK)

Key Exchange Key (KEK) to klucz kryptograficzny stosowany w mechanizmie Secure Boot do autoryzacji aktualizacji list dozwolonych i zablokowanych podpisów.

Key Exchange Key (KEK) – definicja i rola w Secure Boot

Key Exchange Key, oznaczany skrótem KEK, jest kluczem kryptograficznym wykorzystywanym w łańcuchu zaufania technologii Secure Boot. Jego zadaniem jest potwierdzanie, że określone zmiany w bazach podpisów UEFI pochodzą od uprawnionego źródła. Dzięki temu firmware może rozpoznać, czy aktualizacja listy dozwolonych lub zablokowanych podpisów została prawidłowo autoryzowana, zanim zostanie zapisana w pamięci ustawień płyty głównej.

KEK nie służy do szyfrowania plików użytkownika ani do logowania do systemu operacyjnego. Jest elementem infrastruktury kluczy publicznych używanej jeszcze przed uruchomieniem systemu. W praktyce może być zapisany jako certyfikat lub klucz publiczny, a odpowiadający mu klucz prywatny pozostaje po stronie podmiotu uprawnionego do podpisywania zmian. Firmware wykorzystuje klucz publiczny do sprawdzenia podpisu cyfrowego, nie ujawniając przy tym klucza prywatnego.

W typowym modelu Secure Boot KEK znajduje się pomiędzy kluczem platformy, określanym jako Platform Key, a bazami podpisów używanych podczas startu komputera. Klucz platformy ustanawia właściciela polityki bezpieczeństwa urządzenia, natomiast KEK umożliwia zatwierdzanie zmian w bazach takich jak db, zawierająca zaufane podpisy, oraz dbx, obejmująca podpisy lub identyfikatory zablokowane. Szczegółowa organizacja może zależeć od producenta sprzętu i sposobu skonfigurowania UEFI.

Znaczenie KEK w porównaniu z innymi elementami łańcucha zaufania

Weryfikacja podczas uruchamiania komputera odbywa się warstwowo. Firmware sprawdza podpis bootloadera, a następnie może weryfikować kolejne komponenty używane do startu systemu. KEK pełni inną funkcję niż klucze podpisujące sam bootloader. Nie odpowiada za zatwierdzanie każdego uruchamianego pliku, lecz za kontrolowanie tego, kto może legalnie modyfikować określone listy zaufania zapisane w UEFI.

W uproszczeniu można przyjąć następujący podział ról:

• Platform Key ustanawia nadrzędną relację zaufania dla konfiguracji Secure Boot.
• Key Exchange Key autoryzuje aktualizacje baz podpisów i reguł bezpieczeństwa.
• db przechowuje certyfikaty, skróty lub inne wpisy uznawane za dozwolone.
• dbx zawiera wpisy, które powinny zostać odrzucone, na przykład z powodu wykrytej podatności lub unieważnienia podpisu.

Usunięcie albo zastąpienie KEK może zmienić sposób zarządzania Secure Boot. Jeżeli nastąpi to bez zachowania zgodności z pozostałymi elementami konfiguracji, aktualizacje baz podpisów mogą być odrzucane, a niektóre procedury naprawcze lub aktualizacyjne przestaną działać. Z tego powodu modyfikowanie kluczy UEFI powinno być poprzedzone sprawdzeniem bieżącego trybu uruchamiania, kopią istotnych danych oraz ustaleniem, jakie certyfikaty i wpisy są obecnie używane.

Typowe problemy związane z Key Exchange Key

Błąd dotyczący KEK często pojawia się po aktualizacji firmware, przywróceniu ustawień fabrycznych UEFI, zmianie trybu uruchamiania albo ręcznej edycji baz Secure Boot. Objawy mogą obejmować komunikat o nieudanej weryfikacji podpisu, brak możliwości zainstalowania aktualizacji list bezpieczeństwa, odrzucenie nośnika rozruchowego lub przejście komputera do ustawień UEFI zamiast uruchomienia systemu.

Nie każdy problem z Secure Boot oznacza uszkodzenie samego klucza. Przyczyną może być również niespójność między wersją firmware a dostarczoną aktualizacją, nieprawidłowy wpis w dbx, wyłączony tryb Secure Boot, aktywny tryb zgodności ze starszym sposobem uruchamiania albo utrata ustawień po rozładowaniu baterii podtrzymującej konfigurację. Znaczenie ma także to, czy komputer korzysta z kluczy fabrycznych, czy z konfiguracji dostosowanej wcześniej do konkretnego systemu lub nośnika.

Przy diagnostyce warto odróżnić trzy sytuacje: problem z samym startem systemu, problem z aktualizacją baz podpisów oraz problem z dostępem do ustawień UEFI. Pomocne bywa zapisanie dokładnej treści komunikatu, sprawdzenie kolejności uruchamiania, odnotowanie ostatnio wykonanej aktualizacji oraz ustalenie, czy przed wystąpieniem usterki zmieniano tryb Secure Boot. Bezrefleksyjne kasowanie kluczy może doprowadzić do utraty działającej konfiguracji, dlatego przywracanie ustawień domyślnych powinno być traktowane jako decyzja diagnostyczna, a nie uniwersalne rozwiązanie.

Kiedy trzeba umówić wizytę serwisową - Key Exchange Key (KEK)

Pomoc serwisowa jest wskazana, gdy komputer przestał uruchamiać system po aktualizacji UEFI, pojawia się błąd dotyczący podpisu lub klucza, nie można zainstalować poprawki związanej z Secure Boot albo zmiana ustawień spowodowała utratę dostępu do właściwego nośnika rozruchowego. Szczególnej ostrożności wymaga sytuacja, w której nie ma pewności, czy używany jest tryb UEFI, czy starszy tryb zgodności, ponieważ niewłaściwa zmiana ustawień może wpłynąć na start systemu bez związku z fizycznym uszkodzeniem podzespołów.

W Warszawskim Pogotowiu Komputerowym 24/7 można zlecić sprawdzenie konfiguracji laptopa, komunikatów UEFI oraz zależności między KEK, bazami db i dbx a procedurą uruchamiania systemu. W przypadku laptopa diagnoza jest darmowa, co pozwala najpierw ustalić, czy przyczyną jest konfiguracja bezpieczeństwa, niezgodna aktualizacja, uszkodzenie danych rozruchowych czy problem sprzętowy. Przed przekazaniem urządzenia warto przygotować hasło do ustawień UEFI, jeżeli zostało ustanowione, oraz opisać moment pojawienia się problemu.

Nie powinno się samodzielnie usuwać wszystkich kluczy ani wyłączać mechanizmu Secure Boot wyłącznie na podstawie krótkiego komunikatu ekranowego. Najbezpieczniejsze postępowanie polega na zachowaniu bieżących ustawień, zebraniu informacji o ostatnich zmianach i wykonaniu kontrolowanej diagnostyki. Dopiero po ustaleniu przyczyny można ocenić, czy wystarczy korekta konfiguracji, ponowne wprowadzenie właściwych certyfikatów, aktualizacja firmware, naprawa środowiska rozruchowego czy dalsza obsługa urządzenia.