https://www.opennet.me/openforum/vsluhforumID3/129616.html В загрузчик U-boot, применяемый преимущественно на встраиваемых устройствах, интегрирован TCP-стек и реализована возможность удалённой загрузки с доставкой загрузочных образов, используя протокол HTTP. Ранее для удалённой загрузки по сети могли использоваться только протоколы на базе UDP, такие как TFTP и NFS. Предполагается, что поддержка загрузки по HTTP существенно упростит разработку встраиваемых систем, так как HTTP-серверы более распространены и привычны разработчикам...<br><br>Подробнее: https://www.opennet.ru/opennews/art.shtml?num=58554<br> https://www.opennet.me/openforum/vsluhforumID3/129616.html#71 Mon, 20 Mar 2023 12:56:07 GMT Наши славные, героические submarines. Их коварные и преступные u-boots.<br> https://www.opennet.me/openforum/vsluhforumID3/129616.html#70 Sat, 04 Feb 2023 10:23:08 GMT &gt; Все это не лишено MITM, как проверить подлинность безопасной загрузки?<br><br>Секурбут включить, какая ему разница - с флешки файло или с http? Подписи проверит что так что эдак, чей ключ в загрузчик вколочен тот и system owner.<br> https://www.opennet.me/openforum/vsluhforumID3/129616.html#69 Sat, 04 Feb 2023 09:50:54 GMT &gt; А зачем нынче пишут маленькие загрузчики?<br><br>1) Иногда у SoC бывают технические лимиты - скажем до инициализации основной DRAM (которую так то загрузчик делает) вот вам немного накристального SRAM и крутитесь там как хотите. Много его делать дорого (по площади) кристала, так что вот вам.<br>2) Флешки стоят денег. И чем больше флешка тем больше денег она стоит. Можешь конечно на QLC загрузчик раскладывать но когда он через год утечет, ты получишь чудный кирпич.<br>3) При этом всем обычно используются минимальные реализации драйверов, протоколов, фич и проч, еще не инициализировано нифига чтобы развернуться во всю. Чтение жирного загрузчика без продвинутых фич стоража может занять измеримое время. А подымать всякие там навороченые DMA, многоядерность, детект продвинутых режимов и расширений "именно этой карточки памяти/флеша/стораза" и чего там еще ... если вы и правжа ЭТО хотели, возьмите Linux и делайте kexex(), получите вот такой вот загрузчик. Но пока он сам запустится - совсем не факт что будет радость с того https://www.opennet.me/openforum/vsluhforumID3/129616.html#68 Sat, 04 Feb 2023 09:34:58 GMT Зачем? Просто юзайте его фичи секурбута, заколотите свой ключ в доверяемые в uboot и чекайте образ как обычно. Злыдни будут видеть что качается но подменить это не смогут. По той же причине по которой нельзя подменить это в флехе или на диске.<br><br>Uboot сто лет это все умеет, включили секурбут в настройках да прописали свои ключи. И будете как нормальные люди, сам себе OEM, между прочим.<br> https://www.opennet.me/openforum/vsluhforumID3/129616.html#67 Sat, 04 Feb 2023 09:28:24 GMT &gt; Ну вообще это для инфраструктур<br>&gt; с изолированной сетью загрузки,<br>&gt; так-то, где MITM исключён<br><br>Во-во. В своей сети запускаем веб-сервер какой попало (хоть через netcat руками написанный, лишь бы файлы нужные отдал) и станции загружают себе нужные системы с этого веб-сервера. А народ-то настрадался с безопасностями этими тут. :-)<br> https://www.opennet.me/openforum/vsluhforumID3/129616.html#66 Sat, 04 Feb 2023 08:29:39 GMT У сообщения 3.35 (находящегося внутри ветви, начинаемой сообщением 1.17) не нашёл кнопку ответа, поэтому пишу ответ отдельно.<br><br>&gt; Громозкость его кода, по сравнению с UDP для маленького загрузчика<br><br>А зачем нынче пишут маленькие загрузчики?<br>Ну раньше (лет 40 назад, когда 640 кб должно было хватать всем) понятно - микросхема занимает многие квадратные сантиметры площади, а памяти в ней - кот наплакал. Но нынче-то на паре квадратных сантиметров умещаются многие десятки гигабайт памяти! Да туда теперь можно давно десятки операционных систем закатывать, а не только маленького загрузчика. Не так ли? :-)<br> https://www.opennet.me/openforum/vsluhforumID3/129616.html#65 Sat, 04 Feb 2023 08:07:54 GMT &gt; Погодите, в рамках топика вы в u-boot<br>&gt; хотите реализацию SSL добавлять??<br>&gt; А сертификаты где хранить?<br>&gt; А обновлять как???<br>&gt; Устареют и не будет ваш https ничего качать...<br><br>Значит надо хттп внутри впн через свой впн-сервер.<br>Ну только тогда в этот u-boot надо будет добавлять впн-клиент.<br>Ну и дальше уже нормально: указать адрес впн-сервера, логин да пароль к нему - эти параметры сами не устареют.<br> https://www.opennet.me/openforum/vsluhforumID3/129616.html#64 Sat, 04 Feb 2023 07:58:53 GMT &gt; в загрузчик HTTP добавили потому,<br>&gt; что он обычно при перепрошивке не переписывается<br><br>А там разве не руками указывается хттп-адрес источника системы?<br>В обычных же биосах руками указываешь источник загрузки (винчестер, cd, usb и т.п.)<br>В этом u-boot хттп-адрес наверно ж тоже пишется своими руками, а не кем-то неизвестным?<br> https://www.opennet.me/openforum/vsluhforumID3/129616.html#63 Fri, 03 Feb 2023 10:55:36 GMT Tftp шифровать не сможет. А с http следующий шаг https.<br>