Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Критическая уязвимость в загрузчике GRUB2, позволяющая обойти UEFI Secure Boot, opennews (?), 30-Июл-20, (0) [смотреть все] 1 https www gnu org software grub manual grub grub html Using-digital-signatur, Аноним (47), 07:44 , 30-Июл-20, (47) +18 // 100 хотят дрянь типа systemd в grub засунуть под предлогом исправления из пальц, Аноним (49), 08:09 , 30-Июл-20, (49) +3 // А может дрянь не в сам grub совать будут, а в обновлённые сборки дистрибутивов , Аноним (81), 09:36 , 30-Июл-20, (81) +4 Уже есть systemd boot , Аноним (91), 10:22 , 30-Июл-20, (91) +2 // До GNU Systemd осталось немного , Анноним (?), 10:34 , 30-Июл-20, (96) –1 Обсуждаю с коллегами варианты защиты, и ребята говорят, что надо внедрять system, anonymous (??), 10:39 , 30-Июл-20, (98) –2 // лавров jpg, anonom (?), 14:56 , 30-Июл-20, (136) +2 А если откинуть эмоции, то технические аргументы какие forward-нуть , anonymous (??), 19:02 , 30-Июл-20, (174) Форкнуть хотели сказать Описанная уязвимость boothole практично нереализуема У , Аноним (219), 11:17 , 31-Июл-20, (219) А ключ для шифрования откуда берётся Вручную вводится Или из TPM А проблема ре, anonymous (??), 14:39 , 31-Июл-20, (238) Да даже если разрешено шифрование с ключом в TPM -- та же проблема , anonymous (??), 14:39 , 31-Июл-20, (239) Значит так ребята Давайте версии используемого вами grub пишите и дистрибутива , Аноним (241), 14:56 , 31-Июл-20, (241) Не должно быть проблем ни с ручным вводом пароля ни с ключом Измененный grub cfg, Аноним (241), 14:53 , 31-Июл-20, (240) Когда у тебя миллион серверов, это уже становится проблемным А про ключик из TPM, anonymous (??), 19:59 , 31-Июл-20, (253) С каким конкретно TPM и какая конкретно версия GRYB не работает Если лям сервако, Аноним (255), 07:16 , 01-Авг-20, (255) Или coreboot затрояненый проприетарные блобами обучить шифровать boot Портиров, Аноним (258), 08:09 , 01-Авг-20, (258) Не могу распарсить написанное , anonymous (??), 10:12 , 01-Авг-20, (264) Coreboot обучить шифровать boot портировав в него поддержку LUKS с GRUB2 или Li, Аноним (288), 14:16 , 03-Авг-20, (288) Почему не работает Работает Просто тут выбор 1 Либо запретить менять конфиг g, anonymous (??), 10:09 , 01-Авг-20, (263) Не понял вашей политики организации изменения конфигурации grub Для изменения ко, Аноним (288), 14:29 , 03-Авг-20, (289) Нет такого в природе, подпись grub cfg проверяется и побитого GRUB не загрузит, Аноним (308), 14:54 , 18-Авг-20, (308) Он курящий , Аноним (231), 13:24 , 31-Июл-20, (231) s сертифицированный цепочку вериытцированну цепочку Вражеский спелчекер херит см, Аноним (49), 08:15 , 30-Июл-20, (50) // Смысла нет, есть цель , Аноним (231), 13:05 , 30-Июл-20, (123) А можно поподробнее, каким образом он подписывается И как после этого обновлять , Аноним (102), 11:36 , 30-Июл-20, (102) +1 // https www gnu org software grub manual grub grub html Using-digital-signatures, Аноним (207), 08:47 , 31-Июл-20, (207) https www linux org ru forum admin 15742224 cid 15744272, Аноним (230), 12:59 , 31-Июл-20, (230) Какой дистр Что мешает на компе прописать зловредные ключи при наличии физ дост, олооло (?), 16:20 , 30-Июл-20, (157) // Сам себе дистростроитель Свой дистр свои правила Сегодня нет популярных дистров, Аноним (219), 10:46 , 31-Июл-20, (216) Документированная фичя https www gnu org software grub manual grub grub html G, Аноним (219), 11:08 , 31-Июл-20, (218) +1 // Наверно все же лучшим решением будет перенос пароля с grub cfg в grub core img , Аноним (258), 08:03 , 01-Авг-20, (257) Богато накопали, однако , Consta (?), 00:22 , 30-Июл-20, (1) +6 // а вот если бы писали на расте - то было бы бедно , Аноним (21), 03:05 , 30-Июл-20, (21) –17 // А раст что, телепатить умеет Там ошибка в том что все должно было вырубиться по, Аноним (30), 05:35 , 30-Июл-20, (30) +6 // Не говоря уже о том, что низкоуровневые вещи один черт в unsafe будут, а мантра , asdasd (?), 07:41 , 30-Июл-20, (46) Да просто на самом деле правда жизни такова что GRUB жирная и фичастая скотина, , Аноним (57), 08:47 , 30-Июл-20, (57) +3 Эти санитайзеры ругаются на функции glibc Приходится заменять на аналоги, на ко, Аноним (60), 08:55 , 30-Июл-20, (60) –1 Они много на что ругаются И довольно часто - имея на это некий пойнт , Аноним (-), 09:07 , 30-Июл-20, (67) p s в grub нет вызовов glibc P, Аноним (70), 09:12 , 30-Июл-20, (70) Там ошибка в том, что присутствует киллерфича переполнение буфера, которое може, Аноним (89), 10:16 , 30-Июл-20, (89) Валезание за пределы буфера заканчивается panic, который приводит к остановке пр, Forth (ok), 14:57 , 01-Авг-20, (272) так это фича , Аноним (2), 00:23 , 30-Июл-20, (2) +31 // Согласен, однако, значит ли это, что на упоротые ноутбуки с нетключаемым секуреб, Аноним (127), 14:12 , 30-Июл-20, (127) +5 А всё почему Потому что GRUB надо переписать на Rust , marios (ok), 00:41 , 30-Июл-20, (4) –10 // и вообще всю ефи тоже на раст переписать , Аноним (21), 03:06 , 30-Июл-20, (22) +3 // Так перепишите, кули А то все вы такие умные с вашими серебряными пулями Покаж, Аноним (31), 05:40 , 30-Июл-20, (31) +5 EFI лучше выуинуть к чертям собачьим Производитьелям материнок никто не запреща, Аноним (94), 10:27 , 30-Июл-20, (94) +6 // Таки да Оно породило больше проблем, чем решило , None (??), 15:37 , 30-Июл-20, (150) https www myinstants com instant counter-strike-go-go-go , Анином (?), 09:03 , 30-Июл-20, (65) Минусующие не понимают в сарказм , Аноним (94), 10:25 , 30-Июл-20, (93) –1 на JavaScript, Вы забыли заполнить поле Name (?), 12:42 , 30-Июл-20, (121) На Дерипаско , Аноним (231), 11:49 , 01-Авг-20, (268) Локальный злоумышленник с административными привилегиями или с физическим досту, Антон (??), 00:46 , 30-Июл-20, (5) // если у атакующего есть физический доступ к системе - дырка в грубом это меньшее , Аноним (6), 01:14 , 30-Июл-20, (6) +25 // если у атакующего есть физический доступ к системе То перед ним открываютс, sysrise (ok), 04:15 , 30-Июл-20, (25) // Это может быть обезьяна с подготовленной флешкой, обученная нажать несколько кно, lleeree_ (ok), 10:24 , 30-Июл-20, (92) +3 Да можно и просто с молотком Потеря машины и данных гарантирована , rshadow (ok), 15:18 , 30-Июл-20, (146) +1 Шуруповёрт надежнее , lleeree_ (ok), 16:58 , 30-Июл-20, (165) Ну и какие у него шансы с Epyc, где есть TSME и FDE Скажем так не очень большие , хотел спросить (?), 06:58 , 30-Июл-20, (45) +1 // Пункт 2 https www opennet ru openforum vsluhforumID3 121426 html 47, Аноним (49), 08:01 , 30-Июл-20, (48) если факт несанкцированной перезагрузки установлен, то всё - система скомпромети, хотел спросить (?), 09:07 , 31-Июл-20, (210) Вы серьезно на каждый проскок питания или что там у вас это делаете А не проще , Аноним (-), 07:55 , 01-Авг-20, (256) в датацентре с аптаймом 99 99 какой-такой проскок питания грузить по сети через, хотел спросить (?), 06:07 , 02-Авг-20, (275) Оптимизм это конечно круто, да Еше скажи что ты полностью понимаешь как все это, Аноним (57), 08:56 , 30-Июл-20, (61) Читаю не списки а профильные сайты И да я смотрел конференцию CCC где эпики раск, хотел спросить (?), 09:16 , 31-Июл-20, (211) Однако ж CVE были и в PSP и в ME И что характерно, хаксорский код потом вообще , Аноним (247), 18:40 , 31-Июл-20, (247) Вот, еще один Аноним задался правильным вопросом https www opennet ru openforu, Аноним (81), 09:10 , 30-Июл-20, (68) +1 // Похерили http techrights org 2020 07 30 wontboot , Аноним (290), 14:41 , 03-Авг-20, (290) Ну а что мешает ровно таким же образом вместо grub cfg подменить ядро инитрамфс , Аноним (7), 01:14 , 30-Июл-20, (7) +1   // Для самых внимательных в статье прям картинка есть - подпись ядра проверяется пр, Аноним (8), 01:19 , 30-Июл-20, (8)   // Кем должно проверяется ядро если в процессе загрузки используется grub Вниматель, Аноним (81), 08:49 , 30-Июл-20, (58)   // Grub, разумеется , Аноним (206), 08:41 , 31-Июл-20, (206)   Ну как бы SecureBoot именно против такой подмены и существует Ты загоняешь в пр, AnonPlus (?), 01:36 , 30-Июл-20, (11)   // Вот та часть вместо может и не получиться Потому что они предустановлены и не, Аноним (31), 05:43 , 30-Июл-20, (32) –2   // Это только если биос кривой, ну или еще если это ноут по акции с Microsoft купле, Аноним (35), 05:54 , 30-Июл-20, (35)   Ну, блин, биос по жизни так или иначе кривой Другим он просто не бывает Уж доп, Аноним (-), 09:00 , 30-Июл-20, (64) –1   Просто не покупай Surface и подобные железки, где ключи нельзя вытряхнуть Во все, AnonPlus (?), 02:12 , 31-Июл-20, (194)   На железке заранее не написано - можно там или нельзя Увы, это не особые паранои, Аноним (206), 08:36 , 31-Июл-20, (204)   Кто проверяет подписи 1 Самого UEFI перед его загрузкой и испоьнением 2 Ядро g, Аноним (81), 08:58 , 30-Июл-20, (62) –1   // На интеле потенциально бутгад может Проблема в том что это подписывается ну воо, Аноним (-), 09:05 , 30-Июл-20, (66)   Зависит от производителя В идеале процессором аппаратно есть возможность шифров, Аноним (81), 09:29 , 30-Июл-20, (77) +1   С точки зрения покупателя - лотерея Без возможности оверрайда, если не угадал , Аноним (126), 14:10 , 30-Июл-20, (126)   Читать документацию перед покупкой системы На сколько я понял вхардкорен куда-то, Аноним (219), 10:37 , 31-Июл-20, (214)   Честно сказать юзеру что его держат за лоха Это не очень популярно Вхардкожен, Аноним (-), 19:36 , 31-Июл-20, (250)   Я подробностей реальной технической реализации не знаю Читал популярные, а не т, Аноним (258), 08:58 , 01-Авг-20, (262)   1 Никто, но есть такая прекрасная штука как TPM-модуль Задействуй его в процес, AnonPlus (?), 02:15 , 31-Июл-20, (195)   Уточнение, есть еще BootGuard, вот он может проверять подпись прошивки Но он ли, AnonPlus (?), 02:17 , 31-Июл-20, (196)   Вот, еще один Аноним задался правильным вопросом https www opennet ru openforu, Аноним (81), 09:11 , 30-Июл-20, (69) –1   // Однако демьян апдейты grub все же выкатил А то что она не эксплуатируемая в бол, Аноним (70), 09:14 , 30-Июл-20, (71) +1   systemd-boot рулит, systemd-boot неуязвим , foo (?), 01:20 , 30-Июл-20, (9) –4 Дыра в самом SB, но виноват grub think , Андрей (??), 01:30 , 30-Июл-20, (10) // Переполнение буфера в grub, читаем внимательно, да , AnonPlus (?), 01:37 , 30-Июл-20, (12) +1 // Там соль не в этом, а в том что он продолжил как ни в чем ни бывало пахать после, Аноним (31), 05:45 , 30-Июл-20, (33) // Фатальная ошибка в загрузчике кирпич , Аноним (102), 11:44 , 30-Июл-20, (103) +1 Вы только подумайте, секурбут в лучшем для вас случае ничего не делает В случае, Аноним (129), 14:22 , 30-Июл-20, (129) Поэтому в Linux есть режим lockdown, в котором хакерские модули грузить нельзя , kmeaw (?), 15:43 , 30-Июл-20, (151) А прикольно о нем рассказать тому кто его как раз у себя и включил , Аноним (-), 19:51 , 31-Июл-20, (252) Концептуально, в чем безопасность URFI секур бута если ошибка в приложении вне U, Аноньимъ (?), 11:18 , 01-Авг-20, (267) Был же старый добрый MBR, работал и есть не просил Нет, обязательно надо выпенд, qbr (?), 01:42 , 30-Июл-20, (13) +8 // Как реализовать сценарий secure boot с MBR Где будет лежать подпись Напомню, ч, kmeaw (?), 02:05 , 30-Июл-20, (14) –2 // Ваш комментарий подразумевает, что реализация сценария secure boot - это что-то , Аноним 80_уровня (ok), 02:33 , 30-Июл-20, (19) +16 // Это что-то в некоторых случаях небесполезное, т к усложняет эксплуатацию физиче, DerRoteBaron (ok), 02:43 , 30-Июл-20, (20) +2 закрой свой комп в тумбочку, ключ раствори в кислоте профит Некоторые неради, Аноним (21), 03:12 , 30-Июл-20, (23) +2 Это защита от руткитов, которые подменяют ядро на свое собственное Это не защит, RADV (?), 11:53 , 30-Июл-20, (109) А нельзя было просто в биосе прописать, что без ввода пароля от биоса запретить , Аноним (114), 12:08 , 30-Июл-20, (114) Можно снять крышку, вытащить диск, переписать на нём загрузчик и поставить обрат, kmeaw (?), 12:21 , 30-Июл-20, (117) Если каждый легко может стать vendor-ом, то смысл в vendor lock пропадает и этой, kkk (??), 12:37 , 30-Июл-20, (120) +1 Можно получить рута на компе, прописать хлам в загрузочный раздел сектор и д, Аноним (129), 14:27 , 30-Июл-20, (130) +1 А если диск зашифрован Злоумышленнику очень бы хотелось заменить загрузчик на т, kmeaw (?), 15:24 , 30-Июл-20, (148) +1 А что помешает злоумышленнику добавить свой ключ в список доверенных SB Если же, Аноним (-), 06:25 , 31-Июл-20, (198) Сделать IPL и первую статию загрузчика наглухо readonly А вот дальше в них чека, Аноним (31), 05:50 , 30-Июл-20, (34) +1 // А как обновлять этот IPL тогда И в 440 байт сложно уместить алгоритм проверки п, kmeaw (?), 12:15 , 30-Июл-20, (115) 1 А что если никак Зачем вам обновлять мелкий прелоадер Вы же не обновляете , Аноним (132), 14:40 , 30-Июл-20, (132) Вы уверены, что сможете с первого раза написать идеальный прелоадер без ошибок , kmeaw (?), 15:20 , 30-Июл-20, (147) Ну, во первых, с 1 раза и не надо - зачем вам устраивать локаут себе на тестово , Аноним (-), 11:02 , 31-Июл-20, (217) А зачем вообще нужен secure boot, кроме как для vendor lock , kkk (??), 12:07 , 30-Июл-20, (113) // Чтобы злодей, кратковременно получивший физический доступ к оборудованию или чер, kmeaw (?), 12:16 , 30-Июл-20, (116) Нет, чтобы ты не дай бог, не поставил себе чего-то несертифицированного , kkk (??), 20:31 , 30-Июл-20, (178) Злодей, имеющий физ доступ, может прописать свои ключи в биос Поэтому secureboo, Павел (??), 07:34 , 31-Июл-20, (202) Я прямо в предвкушении был этого комментария, открывая текст новости Образцовый, Annoynymous (ok), 02:26 , 30-Июл-20, (18) –3 // Он досих пор наверное под MSDOS сидит с дисками 100Мб, Аноним (35), 05:59 , 30-Июл-20, (37) // В этом все линуксоиды, взять и извратить до абсурда мысль собеседника -Я не хочу, Адекват (ok), 06:43 , 30-Июл-20, (43) –3 У меня MBR работает до сих пор, главное, чтобы размер свободного места в начале , Аноним (81), 08:44 , 30-Июл-20, (55) MBR не умеет в GPT, не умеет больше 4 физических разделов, не умеет разделы 2Т, Аноним (59), 08:52 , 30-Июл-20, (59) –1 // не MBR не умеет, а отвратительные недостаточно модульные биосы, сделанные с расч, Аноним (60), 08:59 , 30-Июл-20, (63) Ставь GPT и малюсенький раздел для BIOS GRUB, перед разделом boot и все у тебя , Аноним (81), 09:45 , 30-Июл-20, (83) добавить поддержку никто не мешает - это всего лишь прочитать пару секторовво-пе, aa (?), 09:51 , 30-Июл-20, (84) –1 1 GPT - это раздутая и искуственно усложнённая система разделения диска 2 Боль, kkk (??), 11:35 , 30-Июл-20, (101) –1 // GPT хорош наличием GUID у диска и раздела Это позволяет однозначно идентифициро, kmeaw (?), 12:35 , 30-Июл-20, (119) +1 Что ты понимаешь под однозначно идентифицировать разделы В MBR ты знаешь всё,, kkk (??), 13:25 , 30-Июл-20, (125) –1 После того, как система запустилась, ей может быть нужно найти раздел на диске , kmeaw (?), 15:36 , 30-Июл-20, (149) +1 Разве Linux до сих пор не умеет находить dev sda4 Как он вообще работал всё эт, kkk (??), 16:29 , 30-Июл-20, (159) –1 дедушка, вы таблетку от склероза забыли принять Если сожрали вместо нее эклер -, пох. (?), 17:30 , 30-Июл-20, (169) +1 Типичный напыщенный хам Это ты таблетку забыл принять Ты глуп и невежественен , kkk (??), 20:43 , 30-Июл-20, (179) лол Дальше можешь не продолжать Дос ты видел только в ютубчике, а описание парт, пох. (?), 20:53 , 30-Июл-20, (180) Эм, по-моему бутсектор логического диска не партишна искал нечто типа IO SYS и, Аноним (221), 11:38 , 31-Июл-20, (221) Да, именно так А никак не на специальные секторах диска Именно поэтому IO SYS , kkk (??), 19:22 , 31-Июл-20, (249) да ничего он не искал , в нем за вычетом bpb места еще меньше чем в mbr, и того, пох. (?), 10:25 , 01-Авг-20, (265) Дурачок, когда же ты хотя бы просто посмотришь дамп бутсектора FAT Я уже не гов, kkk (??), 17:54 , 01-Авг-20, (273) ты свой ник не в то поле вписал дамп бутсектора лолшта - FAT Отлично, просто, пох. (?), 16:28 , 02-Авг-20, (278) Первый сектор файловой системы Посмотри что написано в первом секторе, дурачок , kkk (??), 09:27 , 03-Авг-20, (286) Это ты DOS никогда не видел и даже не потрудился проверить то, что тебе говорят , kkk (??), 19:18 , 31-Июл-20, (248) Специально для тебя https www youtube com watch v V5tMCTOcg8kБудь мужиком, при, kkk (??), 19:44 , 01-Авг-20, (274) Замечательно умеет Только при очередной перезагрузке это может оказаться раздел, Sarcastic scutosaurus (?), 17:32 , 30-Июл-20, (172) +1 Ты вменяемый , AlexYeCu_not_logged (?), 20:56 , 30-Июл-20, (184) Не знаю, давно не проверялся А что Или ты просто не в курсе, что инициализация , Sarcastic scutosaurus (?), 21:24 , 30-Июл-20, (187) Т е про UUID ты не в курсе , AlexYeCu_not_logged (?), 22:08 , 30-Июл-20, (191) UUID чего У раздела в случае msdos-разметки нет никакого UUID Они могут быть у, Sarcastic scutosaurus (?), 16:34 , 31-Июл-20, (242) +1 Ну почитал у гражданина какие-то невнятные проблемы с поиском раздела sdx он х, AlexYeCu_not_logged (?), 18:18 , 31-Июл-20, (244) Проблема описана вполне внятно на разделе может быть нечто, не идентифицируемое, Sarcastic scutosaurus (?), 18:37 , 31-Июл-20, (246) ну могу тебе показать машину, где именно при каждой, угадай где у нас сегодня ди, пох. (?), 10:39 , 01-Авг-20, (266) –1 И в чём у тебя проблема с лейблами Хоть руками mount -L делай, хоть в fstab их , Аноним (102), 12:12 , 01-Авг-20, (269) то что ты даже не понял, о каких лейблах речь , пох. (?), 16:19 , 02-Авг-20, (277) Заинтриговал , Аноним (102), 20:21 , 02-Авг-20, (279) не, сам запутался - -L это именно оно, partition label в отличие от LABEL , кот, пох. (?), 03:11 , 04-Авг-20, (292) Эээ 8230 А где этот partition label лежать-то должен В DOS disk label на кажд, Аноним (102), 22:45 , 04-Авг-20, (295) в partition table, вестимо Если она, конечно, GPT Собственно, это одна из прич, пох. (?), 00:17 , 05-Авг-20, (297) А, ты про GPT 8230 Просто выше-то MBR обсуждали Но и что в GPT можно имена ра, Аноним (102), 23:01 , 05-Авг-20, (301) повторяю в той _единственной_ реальной ситуации, когда на самом деле могут возн, пох. (?), 18:49 , 06-Авг-20, (305) Впрочем, можно их при желании в fstab зафигачить dev disk by-partlabel , Аноним (102), 23:04 , 05-Авг-20, (302) о, научились Но, похоже, это фича ядер после 4 какой-то, мое так не умеет и тако, пох. (?), 13:38 , 06-Авг-20, (303) На, дарю ENV ID_PART_ENTRY_SCHEME gpt , ENV ID_PART_ENTRY_NAME , SYMLIN, Аноним (102), 16:05 , 06-Авг-20, (304) ты мне лучше найди куда вставить создание этих меток Причем - динамическое При, пох. (?), 18:55 , 06-Авг-20, (306) –1 Э не, вот это уже только за деньги , Аноним (102), 11:41 , 07-Авг-20, (307) то что в fstab вместо них автоматически записывается неведомая вредная херня мен, пох. (?), 03:18 , 04-Авг-20, (293) –1 В случае с dd лейблы никак не помогут, с ними ровно такая же путаница будет , Аноним (102), 22:50 , 04-Авг-20, (296) лэйблы помогут - тем что ты это увидишь и сможешь понять, где какой - если я сей, пох. (?), 00:23 , 05-Авг-20, (298) –1 При наличии одного SATA контроллера с несколькими портами Ты уверен Кроме того , kkk (??), 19:50 , 31-Июл-20, (251) 0_0 Эм, а вы вообще etc fstab видели когда-нибудь , AlexYeCu_not_logged (?), 20:55 , 30-Июл-20, (182) всяких бакланов, подпихивая им небольшое персональное клеймо , Аноним (-), 14:51 , 30-Июл-20, (133) –3 не будь лохом, скопируй uuid у другого баклана правда, потом будет немного обид, пох. (?), 20:55 , 30-Июл-20, (183) Ну, давай сюды свой Так зачем же CP копировать, толко гуид , Аноним (221), 11:39 , 31-Июл-20, (222) держи e139ce78-9841-40fe-8823-96a304a09859дык cp найдет товарищмайор, и решит ч, пох. (?), 00:30 , 05-Авг-20, (299) Решается на уровне ОС, а за её пределами 8212 зачем , AlexYeCu_not_logged (?), 20:53 , 30-Июл-20, (181) –1 Да блин, что за каша в головах у людей Если имеете в виду grub-pc, то так и пиш, Аноним (102), 11:50 , 30-Июл-20, (105) +3 Критическая необходимость , Аноним (15), 02:09 , 30-Июл-20, (15) +2 Когда трудности нет, то что тогда преодолевать , Alexey (??), 02:11 , 30-Июл-20, (16) // Возьми шмот и айда в горы, узнаешь , Аноним (36), 05:56 , 30-Июл-20, (36) // Куда ты его посылаеш Там сдохнуть вполне реально Прочти статистику по РФ в го, Аноним (81), 08:37 , 30-Июл-20, (54) –1 // К преодолению трудностей К тому же по своему прикольному Вообще, так по жизни , Аноним (70), 09:19 , 30-Июл-20, (72) Русский не родной , Sgt. Gram (?), 11:51 , 30-Июл-20, (106) +1 // Даже если был бы не родной, то как показать где должно быть разделение и как чит, Alexey (??), 19:03 , 30-Июл-20, (175) // Да какое препинание Союзы научись употреблять Либо s когда если , либо s то г, Sgt. Gram (?), 21:35 , 30-Июл-20, (188) Про союзы на regteston mail ru аж интересно стало, научи будь добр в данном конк, Alexey (??), 10:14 , 31-Июл-20, (213) Что тебе непонятно Если что-то, то нечто Когда что-то, нечто И никак иначе , Sgt. Gram (?), 16:43 , 31-Июл-20, (243) А почему нельзя Или он не Великий и могучий пиши разъяснения на почту с приме, Alexey (??), 20:56 , 31-Июл-20, (254) Купи учебник, найми препода нормального не репетитора для ЕГЭ Ишь какой, на х, Sgt. Gram (?), 15:10 , 02-Авг-20, (276) +1 Тебе трудно указать где это правило, когда оно было введено и на основании чего , Alexey (??), 00:14 , 04-Авг-20, (291) Чем оно лучше lilo , Аноним (17), 02:20 , 30-Июл-20, (17) +1 // Оно лучше, чем lilo, Аноним (21), 03:13 , 30-Июл-20, (24) +1 Своей громоздкостью, глючностью и вечными проблемами, Аноним (35), 06:00 , 30-Июл-20, (39) // А еще негуманоидным синтаксисом, реально нужно иметь степени по клинописи, крипт, Адекват (ok), 06:47 , 30-Июл-20, (44) +5 // но к сожалению, альтернативно-одаренным его было никак не понять Поэтому он объ, пох. (?), 09:36 , 30-Июл-20, (80) +7 Так он и теперь помещается Просто он запускает более жирный лоадер, тот догружа, Аноним (-), 14:55 , 30-Июл-20, (135) или не запускает, и ты сосешь лапу и бежишь за rescue диском а потом разгадывае, пох. (?), 16:23 , 30-Июл-20, (158) Я видел много странной фигни, но вот именно такого ни разу не встречал За десят, Аноним (-), 12:02 , 31-Июл-20, (223) зато https bugzilla redhat com show_bug cgi id 1861977 встретили это у lilo о, пох. (?), 00:59 , 05-Авг-20, (300) grub2 menuentry Arch Linux Fallback set root hd1,msdos1 linux boot , kmeaw (?), 15:45 , 30-Июл-20, (152) +1 если бы еще и работал - то цены бы ему не было Только он у тебя не сработает - , пох. (?), 16:45 , 30-Июл-20, (163) +2 Ровно так у меня и работает Только сверху есть ещё кусок if loadfont EFI boot , kmeaw (?), 17:25 , 30-Июл-20, (168) ох, да, как это - да чтоб в загрузчик сцуко - в ЗАГРУЗЧИК, Карл да не подгруз, пох. (?), 21:04 , 30-Июл-20, (185) Так не подгружай Он всё равно будет работать Разве это плохо, когда фича есть,, kmeaw (?), 21:56 , 30-Июл-20, (190) расскажи это вот теперь счастливеньким де6иллиано-убунтоюзерам У которых ночью , пох. (?), 08:52 , 31-Июл-20, (208) Кстати, там что, ссылка на файл шрифта а если вместо шрифта будет какой-то сво, Адекват (ok), 07:08 , 31-Июл-20, (201) +1 Собственно, а почему бы загрузчику и не уметь нормально рисовать в гуевый режим,, Аноним (-), 08:46 , 01-Авг-20, (260) Это для интеграции с пакетниками, апдейтами ядер и всем таким Теперь пакетник п, Аноним (259), 08:42 , 01-Авг-20, (259) вы забыли добавить - написанными вчерародившимися, ниасиляторами sed Вот вам суп, пох. (?), 13:15 , 01-Авг-20, (270) Нет, то что я показал - это реальный пример тех веремен, когда grub 0 97 был, а , Адекват (ok), 06:39 , 31-Июл-20, (200) ну в первых же строчках все интуитивно-понятно - мы написали прекрасный конфиг , пох. (?), 09:02 , 31-Июл-20, (209) +3 Абсолютно Если что-то надо - айда менять ШАБЛОН А этот список динамический, , Аноним (-), 08:48 , 01-Авг-20, (261) да, щас, щас, еще один нескучный язычок вызубрю только к0к0к0й ужос Ведь sed-то, пох. (?), 13:24 , 01-Авг-20, (271) +1 Какой смысл вообще использовать Secure Boot с GRUB Изначально понятно, что так , Аноним (26), 04:35 , 30-Июл-20, (26) +3 // Доступ к bios может быть ограничен на уровне uefi, Аноним (27), 05:00 , 30-Июл-20, (27) // UEFI давно уже выяснено ломается и из системы получается доступ к изменению наст, Аноним (38), 05:59 , 30-Июл-20, (38) +5 Ога, только ни рамдиск не положишь, ни командлайн не поменяешь небось Поэтому ф, Аноним (-), 05:22 , 30-Июл-20, (29) +2 // ну вот этим должен был заниматься как раз grub или какая-нибудь его замена В ид, пох. (?), 16:32 , 30-Июл-20, (160) Если прописывать ядро в nvram, то без проблем и командлайн, и initrd туда же мо, kmeaw (?), 17:31 , 30-Июл-20, (170) Согласен GRUB ненужен как и другие загрузчики У меня ядро напрямую грузится из, Аноним (35), 06:03 , 30-Июл-20, (40) –1 // Ramdisk и подпись для secureboot через gummiboot, Аноним (35), 06:06 , 30-Июл-20, (41) У вас, простите, 1 ядро необновляемое В том же Дебе сразу после установки систе, ryoken (ok), 08:20 , 30-Июл-20, (51) // Во всяких рачах ядро называется просто как-нибудь вроде vmlinuz-linux и раскатыв, Аноним (90), 10:18 , 30-Июл-20, (90) Чё, правда Прямо поверх, не симлинком Отчаянные ребята , Аноним (102), 11:54 , 30-Июл-20, (110) +1 А если вдруг система с новым ядром не запустилась - мы произносим удивленное ух, Аноним (-), 14:58 , 30-Июл-20, (138) +1 это рач, они даже не удивляются не может загрузиться даже со старым ведром - вед, пох. (?), 16:34 , 30-Июл-20, (161) бть Сглазил , пох. (?), 08:40 , 31-Июл-20, (205) Чего Кернел Или сабжа , Аноним (-), 12:08 , 31-Июл-20, (225) сабжа - реально все по моему сценарию и слуцилась этой же ночью - - и у убунтоид, пох. (?), 14:18 , 31-Июл-20, (233) +1 режьте ОСТОРОЖНЕЙ ц PS http bugzilla redhat com 1861977 -- оно PPS это у , Michael Shigorin (ok), 08:22 , 03-Авг-20, (285) угу, и нифига так и не понятно - ни что это было, ни где запатчено в очередной р, пох. (?), 14:50 , 04-Авг-20, (294) Ну так тем более - мне казалось, лезть каждый раз за загрузочной флехой должно б, Аноним (-), 12:07 , 31-Июл-20, (224) да куда лезть, она ж у них напостой в разъем воткнута, только диск выбрать ой, , пох. (?), 14:21 , 31-Июл-20, (236) Вот так достаточно , Аноним (102), 14:56 , 30-Июл-20, (137) +1 Дык там один из довереных ключей ms утек, так что не похрен ли Кто этого хотел , Аноним (-), 05:20 , 30-Июл-20, (28) +2 // Что мешает пользователю самостоятельно положить этот ключ в dbx , kmeaw (?), 15:47 , 30-Июл-20, (153) А можно ссылочку на ключ или сам ключ , Аноним (173), 18:58 , 30-Июл-20, (173) // Я такое не коллекционирую, но на форониксе новость была про малварь подписанную , Аноним (-), 12:12 , 31-Июл-20, (226) +1 // Ну там и ещё вариант был , Michael Shigorin (ok), 08:18 , 03-Авг-20, (284) Хахаха, как обычно Жду от мамкиных экспертов визгов про кривые руки программисто, Fracta1L (ok), 06:41 , 30-Июл-20, (42) –6 // 1 Тебе надо прочесть учебник о защите памяти в OS Можно на C написать OS котора, Аноним (49), 08:27 , 30-Июл-20, (52) +1 // Вот и начались мантры , Fracta1L (ok), 08:45 , 30-Июл-20, (56) –2 // Ну так покажи нам, ракам, как чай в варежках пить Не, не покажешь Потому что п, Аноним (75), 09:23 , 30-Июл-20, (75) +1 Ну так покажи хоть одну используемую программу на Сишке без дыр, Fracta1L (ok), 10:06 , 30-Июл-20, (88) –1 Ну дык djbdns например А так что совсем без дыр и нафиченые проги - блин, поиме, Аноним (-), 15:04 , 30-Июл-20, (143) Ахахахахаhttps www webcitation org 68AXHUSJp url http securityandthe net 200, Fracta1L (ok), 16:44 , 30-Июл-20, (162) Это не сишная дыра, а логическая Такое на любом языке могло бы быть Гугли даль, Аноним (102), 17:18 , 30-Июл-20, (167) Найс манявры , Fracta1L (ok), 07:43 , 31-Июл-20, (203) –1 Ну ладно, а вон те L4 и проч которые типа математически-доказаны ты ломать умееш, Аноним (-), 12:14 , 31-Июл-20, (227) Вы пытаетесь спорить с упоротым глупцом, который мнит себя троллем Смысл Он , Michael Shigorin (ok), 08:17 , 03-Авг-20, (283) Двоечник, марш за учебниками И чтобы до 1 сентября вот здесь https www openn, Аноним (219), 09:50 , 31-Июл-20, (212) Linux PAX тебе ничего не говорит , Аноним (219), 11:20 , 31-Июл-20, (220) +2 Она для начала вызвана игнором ошибки парсера, а это уже следствие обшего undefi, Аноним (75), 09:22 , 30-Июл-20, (73) –1 Товарищ папкин эксперт, покажи-ка свой код Интересно, писал ли ты вообще на чём, Аноним (102), 11:57 , 30-Июл-20, (111) Ха-ха-ха мы закинем в ваш раздел efi свою уязвимость что бы искать другие уязвим, Аноним (53), 08:31 , 30-Июл-20, (53) Ужас-ужас А по сути - ничего собственно не произошло Как был весь этот секуребут, Онаним (?), 09:23 , 30-Июл-20, (74) +4 // надеяться, Онаним (?), 09:23 , 30-Июл-20, (76) +2 Хм, это за частую даже удобно, можно спокойно заливать любые системы на эту бесп, svsd_val (ok), 09:35 , 30-Июл-20, (78) так это ж не уязвимость, а True-функционал дурачок Мэтью Гаррет в ногах у микрос, Hellraiser (??), 09:35 , 30-Июл-20, (79) –1 // Мальчик, ты дурачок В том и дело что НЕ может И вот те серьезные дядечки - ХРЕ, пох. (?), 09:43 , 30-Июл-20, (82) +1 // девочка, не надо обзываться, это невежливо лучше расскажи нам сказку, что тольк, Hellraiser (??), 09:58 , 30-Июл-20, (85) // Из коробки -- только с ним, увы По факту Отключение -- действие, которое дал, Michael Shigorin (ok), 08:15 , 03-Авг-20, (282) Менюшек может просто не быть - вообще ну да - зайдите в менюшку _своей_операцион, пох. (?), 13:59 , 03-Авг-20, (287) Именно благодаря этой уязвимости у меня получилось установить линукс на hp pav, Укуренный (?), 10:01 , 30-Июл-20, (86) –1 // вобщем-то ничто не мешает сделать так, чтобы после обновления остался уязвимый , Hellraiser (??), 10:05 , 30-Июл-20, (87) +1 А может мне кто-нибудь доходчиво объяснить, зачем в реальном мире нужен SecureBo, mikevmk (??), 10:35 , 30-Июл-20, (97) +3 // Загрузочные вирусы же Другое дело - кто их видел вобще за последние лет 5 , tolstushka.ru (ok), 10:51 , 30-Июл-20, (99) +1 // Ну это ж никакой критики не выдерживаетТ е получается, что вендор лок как мало-, mikevmk (??), 11:22 , 30-Июл-20, (100) +1 На самом деле этот SecureBoot - ТОЛЬКО НАЗВАНИЕ И НИЧЕГО БОЛЬЕЕ Он НЕ SECURE, о, InuYasha (??), 11:49 , 30-Июл-20, (104) // СПАСИБО, БОЛЬШИЕ БУКОВЫ ЛУЧШЕ ВИДНО, RADV (?), 11:52 , 30-Июл-20, (107) +5 В реальном мире на фиг не нужен В идеальном же должна выполняться проверка подп, Аноним (102), 12:01 , 30-Июл-20, (112) +1 // к этому и ведут облачные ОС, облачные программы, всех в сад инет, Аноним (21), 12:27 , 30-Июл-20, (118) // Ты правда думаешь, что там девляпсы что-то проверяют , Аноним (102), 14:59 , 30-Июл-20, (141) это не идеал, это антиутопия, vitalif (ok), 14:59 , 30-Июл-20, (140) // Иедальный, от слова идея 8212 воображаемый, на практике недостижимый Идеал, Аноним (102), 15:02 , 30-Июл-20, (142) ну, допустим есть сервер банка и нужно защитить его от руткитов режима ядра, Нанобот (ok), 12:52 , 30-Июл-20, (122) –4 // Ты кейс целиком расскажи А то это получается как турникеты в школах против терр, mikevmk (??), 13:24 , 30-Июл-20, (124) +4 // Ну как-то так 1 прихожу в банк2 захожу в серверную3 вставляю флэшку с руткито, Аноним (21), 14:17 , 30-Июл-20, (128) –1 А охрана банка, соответственно, спокойно на все это втыкает А не проще было тог, Аноним (-), 15:07 , 30-Июл-20, (145) +4 охрана втыкает нервно - потому что из стены в серверную хлещет дерьмо, и он вооб, пох. (?), 17:11 , 30-Июл-20, (166) не надо судить о взломе банков по американским фильмам , Аноним (21), 20:10 , 30-Июл-20, (177) Понятно Помогает только при съемке попсовых фильмов про хакеров, и то приходитс, Аноним (-), 12:20 , 31-Июл-20, (228) +1 да в чем проблема-то Было бы мне надо - вполне мог бы что-то в этом роде исполн, пох. (?), 12:38 , 31-Июл-20, (229) допустим, я уже работаю в этом банке и имею полный доступ но в один прекрасным , Нанобот (ok), 17:32 , 30-Июл-20, (171) Если есть полный доступ можно и программатор принести и переписать всю уефину на, Аноним (173), 19:05 , 30-Июл-20, (176) +1 это просто невозможно Код ядра безусловно подписан какой-то подписью, а вот вся , пох. (?), 21:14 , 30-Июл-20, (186) –1 да, 100 защиты системы оно не даёт, оно защищает только одну конкретную область, Нанобот (ok), 14:19 , 31-Июл-20, (234) ну да, о том и речь - от другой совсем модели угроз, нежели полноправный админ с, пох. (?), 14:27 , 31-Июл-20, (237) чьей именно цифровой подписью , Аноним (-), 06:29 , 31-Июл-20, (199) цифровой подписью разработчика операционной системы, Нанобот (ok), 14:20 , 31-Июл-20, (235) SecureBoot 8212 это гибкая альтернатива перемычке read-only на загрузочном но, kmeaw (?), 15:53 , 30-Июл-20, (155) Не баг, а фича , Zenitur (ok), 11:53 , 30-Июл-20, (108) +4 Атакующий столкнет меня с моего места и взломает граб чтобы добраться до UEFI У, RedEyedMan (ok), 14:35 , 30-Июл-20, (131) GRUB, GRUB2, LILO - это всё эпоха древнего Биоса Парни сейчас эпоха UEFI, давай, Аноним (-), 14:51 , 30-Июл-20, (134) –5 // Не дёргайся, они и UEFI благополучно переживут , Sarcastic scutosaurus (?), 15:05 , 30-Июл-20, (144) +3 угу, systemd-boot наше всь стоп, но это не загрузчик Он ничего без дурацкого, пох. (?), 16:58 , 30-Июл-20, (164) +1 Надоели мне эти уязвимости Физический доступ к девайсу должен означать полное, vitalif (ok), 14:58 , 30-Июл-20, (139) +2 // Тогда нельзя будет реализовать защиту от подмены компьютера или его частей, когд, kmeaw (?), 15:55 , 30-Июл-20, (156) +1 // Забавно, что именно те, кто на самом деле работает с секретными данными, таки пр, AlexYeCu_not_logged (?), 00:15 , 31-Июл-20, (192) +2 // Им проще обойтись физическими регламентами и по старинке поставить по парню с пу, kmeaw (?), 01:56 , 31-Июл-20, (193) –1 Облако в недоверенных руках будет тебе по пятницам 13-го выдавать 2 2 5 И не ср, Аноним (21), 04:14 , 31-Июл-20, (197) Забавно , AlexYeCu_not_logged (?), 18:21 , 31-Июл-20, (245) Дурацкая задача, на руку только проприерастам, vitalif (ok), 01:39 , 03-Авг-20, (280) Буквально неделю назад думал себе на ноутбуке поменять GRUB 2 на Syslinux или LI, Аноним (154), 15:50 , 30-Июл-20, (154) +2 Это фича, srgazh (?), 21:35 , 30-Июл-20, (189) Выстрел в пятку засчитан , pin (??), 13:54 , 31-Июл-20, (232) Если у кого-то шляпа не загрузится после штатных обновлений -- это сюда http , Michael Shigorin (ok), 08:08 , 03-Авг-20, (281) –1 47,1,2,4,5,7,9,10,13,15,16,17,26,28,42,53,74,78,79,86,97,108,131,134,139,154,189,232,281

Сообщения

[Сортировка по времени | RSS]

7. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	+1 +/–
Сообщение от Аноним (7), 30-Июл-20, 01:14
Ну а что мешает ровно таким же образом вместо grub.cfg подменить ядро/инитрамфс на бэкдорнутое?
Ответить | Правка | Наверх | Cообщить модератору

	8. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	+/–
	Сообщение от Аноним (8), 30-Июл-20, 01:19
	Для самых внимательных в статье прям картинка есть - подпись ядра проверяется при загрузке
	Ответить | Правка | Наверх | Cообщить модератору

	58. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	+/–
	Сообщение от Аноним (81), 30-Июл-20, 08:49
	Кем должно проверяется ядро если в процессе загрузки используется grub? Внимательно смотри на картинку!
	Ответить | Правка | Наверх | Cообщить модератору

	206. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	+/–
	Сообщение от Аноним (206), 31-Июл-20, 08:41
	> Кем должно проверяется ядро если в процессе загрузки используется grub? Grub, разумеется.
	Ответить | Правка | Наверх | Cообщить модератору

	11. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	+/–
	Сообщение от AnonPlus (?), 30-Июл-20, 01:36
	Ну как бы SecureBoot именно против такой подмены и существует. Ты загоняешь в прошивку свои ключи вместо Microsoft-овских, подписываешь загрузчик, подписываешь ядро и всё - при подмене загрузчика или ядра на неподписанное (у злоумышленника твоей подписи же нет), будет облом.
	Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору

	32. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	–2 +/–
	Сообщение от Аноним (31), 30-Июл-20, 05:43
	> Ну как бы SecureBoot именно против такой подмены и существует. Ты загоняешь > в прошивку свои ключи вместо Microsoft-овских, подписываешь загрузчик, подписываешь ядро > и всё - при подмене загрузчика или ядра на неподписанное (у > злоумышленника твоей подписи же нет), будет облом. Вот та часть "вместо" может и не получиться. Потому что они предустановлены и не факт что удастся вытряхнуть. А "вместе" с мсовскими - ну вон там блэкхэты какой-то буткит касперского подписаный мсом вон освоили для этого дела. И попытки это зарубить сделали юзерам кирпичи, так что ms отпедалил взад.
	Ответить | Правка | Наверх | Cообщить модератору

	35. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	+/–
	Сообщение от Аноним (35), 30-Июл-20, 05:54
	Это только если биос кривой, ну или еще если это ноут по акции с Microsoft куплен Windows only. Secureboot тут непричем.
	Ответить | Правка | Наверх | Cообщить модератору

	64. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	–1 +/–
	Сообщение от Аноним (-), 30-Июл-20, 09:00
	> Это только если биос кривой, ну или еще если это ноут по > акции с Microsoft куплен Windows only. Secureboot тут непричем. Ну, блин, биос по жизни так или иначе кривой. Другим он просто не бывает. Уж допустим безглючный ACPI в этом хламе я вообще ни разу в жизни не встречал. Зато встречал всякие инженерные пароли и прочие предустановленные ключи, намекающие кто кого и за что держит, а для пущей "безопасности" еще бутгад какой-нибудь. Проблема только в том что в этой схеме безопасно в результате интелу, майкрософту, ну может OEM еще накрайняк. А юзер и его проблемы в эту формулу так и вообще не входят - юзеру вообще возможность настоящего take ownership не оставлена. Это когда root key - того юзера, код - юзера, а все остальное, соответственно, железка шлет стройными рядами на йух. Вот так оно конечно могло бы стать безопаснее - но лошпедам потребителям это как-то зело жирновато будет и такой руль им почему-то как обычно не отсыпали, вместо этого подсунув сундук с двойным дном.
	Ответить | Правка | Наверх | Cообщить модератору

	194. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	+/–
	Сообщение от AnonPlus (?), 31-Июл-20, 02:12
	Просто не покупай Surface и подобные железки, где ключи нельзя вытряхнуть. Во всех виденных мною десктопных материнках, можно удалить предустановленные ключи. Особые параноики могут также раздербанить прошивку и физически вычистить эти предустановленные ключи, благо утилит для работы с UEFI-прошивками в достатке.
	Ответить | Правка | К родителю #35 | Наверх | Cообщить модератору

	204. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	+/–
	Сообщение от Аноним (206), 31-Июл-20, 08:36
	> Просто не покупай Surface и подобные железки, где ключи нельзя вытряхнуть. На железке заранее не написано - можно там или нельзя. > Во всех виденных мною десктопных материнках, можно удалить предустановленные ключи. Особые > параноики могут также раздербанить прошивку и физически вычистить эти предустановленные > ключи, благо утилит для работы с UEFI-прошивками в достатке. Увы, это не особые параноики а мамкины кулхаксоры из уютной виндочки с довольно так себе понятиями о информационной безопасности. И как максимум все это голимые полумеры. Даже если все это сделать с всеми этими тантрами, у меня останутся несколько мегов мутных блобов без сорца делающих фиг знает что. И это фиг знает что - совсем никто не аудитил, по большому счету.
	Ответить | Правка | Наверх | Cообщить модератору

	62. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	–1 +/–
	Сообщение от Аноним (81), 30-Июл-20, 08:58
	> Ну как бы SecureBoot именно против такой подмены и существует. Ты загоняешь в прошивку свои ключи вместо Microsoft-овских, подписываешь загрузчик, подписываешь ядро и всё - при подмене загрузчика или ядра... Кто проверяет подписи: 1. Самого UEFI перед его загрузкой и испоьнением? 2. Ядро grub с необходимыми модулями крыптографии для расшифровки /boot, публичными ключами grub, модулями grub для проверки подписей и переменными окружения grub? 3. Подгружаемые по требованию модули, настройки grub? 4. Ядра и инитрд OS? 5. Процесс #1 init и все остальные исполняемые в системе файлы, библиотеки, настройки и данные доступные только для чтения? Что такое доверительную сертифицированная цепочка загрузки OS?
	Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

	66. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	+/–
	Сообщение от Аноним (-), 30-Июл-20, 09:05
	> 1. Самого UEFI перед его загрузкой и испоьнением? На интеле потенциально бутгад может. Проблема в том что это подписывается ну вообще совсем не вашим ключом. И стало быть - обороняет систему от вас и вашего софта, ололо. На случай если вы корбут какой удумаете втулить вместо мутной блоботы, например, оно вам неплохо врежет, хаха :) > 2. Ядро grub с необходимыми модулями крыптографии для расшифровки /boot, публичными ключами > grub, модулями grub для проверки подписей и переменными окружения grub? Теоретически первую часть сам секурбут, свои компоненты уже grub ессно. > 3. Подгружаемые по требованию модули, настройки grub? Это уже сам grub. > 4. Ядра и инитрд OS? См. выше. > 5. Процесс #1 init и все остальные исполняемые в системе файлы, библиотеки, > настройки и данные доступные только для чтения? Это уже епархия ядра и ОС. Для этого в лине уже тоже есть всяческие. Хотите познакомиться с ними сложным методом? Купите флагман на смартфоне и поизучайте как оно OEMа от вас умеет оборонять. А если сможете надуть, резко станете звездой XDA или что там кому по вкусу :)
	Ответить | Правка | Наверх | Cообщить модератору

	77. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	+1 +/–
	Сообщение от Аноним (81), 30-Июл-20, 09:29
	> > 1. Самого UEFI перед его загрузкой и испоьнением? > На интеле потенциально бутгад может. Проблема в том что это подписывается ну вообще совсем не вашим ключом. И стало быть - обороняет систему от вас и вашего софта, ололо. На случай если вы корбут какой удумаете втулить вместо мутной блоботы, например, оно вам неплохо врежет, хаха :) Зависит от производителя. В идеале процессором аппаратно есть возможность шифрования корневого ключа платформы. Сам корневой ключ платформы, должен генерироваться когда комп стрит уже у пользователя и этим, своим, корневым ключом платформы пользователь подписывает свой UEFI со своими публичными ключами secure boot. >> 2. Ядро grub с необходимыми модулями крыптографии для расшифровки /boot, публичными ключами grub, модулями grub для проверки подписей и переменными окружения grub? > Теоретически первую часть сам секурбут, свои компоненты уже grub ессно. Здесь все целиком должно быть подписано ключом secure boot и проверяет: ядро grub с необходимыми модулями крыптографии для расшифровки /boot, публичными ключами grub, модулями grub для проверки подписей и переменными окружения grub - только secure boot. Оно все идет одним образом, одним загрузочным файлом, на который ставится одна подпись от ключа secure boot. >> 5. Процесс #1 init и все остальные исполняемые в системе файлы, библиотеки, настройки и данные доступные только для чтения? > Это уже епархия ядра и ОС. Для этого в лине уже тоже есть всяческие. Хотите познакомиться с ними сложным методом? Купите флагман на смартфоне и поизучайте как оно OEMа от вас умеет оборонять. А если сможете надуть, резко станете звездой XDA или что там кому по вкусу :) Есть много но по дефолту, родным в Linux уже 10 лет есть реализация Integrity от IBM в ввиде IMA/EVM. Она имеет свои нюансы, но если их учесть замечательно работает на серверах и рабочих станциях.
	Ответить | Правка | Наверх | Cообщить модератору

	126. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	+/–
	Сообщение от Аноним (126), 30-Июл-20, 14:10
	> Зависит от производителя. С точки зрения покупателя - лотерея! Без возможности оверрайда, если не угадал. Ну разве что железку назад в магазин сдать, но это канительно уже. > В идеале процессором аппаратно есть возможность шифрования корневого ключа платформы. А в реалиях гранд-мастер-ключ вообще у фирмы Интел! В ME зашит - и на самом деле рулит планетой все же эта чудная фирмочка. Ну а для развесивших уши лохов они как максимум имеют предложить лишь декоративную иллюзию контроля. О чем я? Самым привилегированным хозяином системы, с правом так сказать, первой ночи (подпись кода который начинает раскочегарку и имеет максимальные доступы) почему-то внезапно оказывается фирма Интел. И вы вообще не можете лишить их этого - их кей вхардкожен в boot ROM ME, насколько я понял :) Ну и с PSP амд видимо в том же направлении двигает, вы ж не думаете что то что вы галочку в биосе поставили и правда его полностью отрубает, не? Низя быть столь наивным лохом - лучше посмотреть на процедуру старта платформы. И если он вам DRAM подымает, если вы его реально вырубите - то обломаетесь по полной :) > Сам корневой ключ платформы, должен генерироваться когда комп стрит > уже у пользователя и этим, своим, корневым ключом платформы пользователь подписывает > свой UEFI со своими публичными ключами secure boot. Я бы сказал что вся эта махровая оверинженерия служит в основном одной цели: создать у лоха иллюзию контроля, в то время как де-факто максимальный уровень контроля над происходящим окажется почему-то у совсем других физиономий. А так чтобы просто, прозрачно и все честно - ага, ща! > Здесь все целиком должно быть подписано ключом secure boot и проверяет: ядро > grub с необходимыми модулями крыптографии для расшифровки /boot, публичными ключами grub, > модулями grub для проверки подписей и переменными окружения grub - только secure boot. Boot loaders i-го уровня один хрен by design грузят какой-то код дальше. И будет ли это кернель операционки или модули самого лоадера - а в чем принципиальная разница? Что именно бут сделает - implementation specific. И даже более того - ядро тоже грузит модули. И даже kexec() может устроить. Поэтому для сохранения концепции бут проверяет ядро и, вероятно, инитрд если он есть. А ядро должно проверить свои модули, соответственно. > Оно все идет одним образом, одним загрузочным файлом, на который ставится одна > подпись от ключа secure boot. Вы вообще grub видели, на минуточку? Каким к хренам отдельным образом? У него кучка файликов модулей еще есть. Которые он может загружать, не только сразу но и динамически, позже, вроде бы опосля уже. И его обязанность стало быть для поддержания концепции - проверить эти компоненты. И да, если вы не поняли: после того как энную часть последовательности пнули, поддержка иллюзии или ее разрушение - на совести этой части уже. Если этот лоадер, кернел или кто там сделает явно провальное действо (или добровольно решит прервать цепочку) - концепция пойдет лесом. В Nokia N900 так например было сделано - ROM OMAP-а честно проверял X-Loader, но далее тот запускал более жирный лоадер которому пофиг на подписи, цепочка прерывается и юзерам доступна загрузка любых ядер которые они там хотят. Это так и было задумано, но зачем они вообще активиоровали секурбут чтобы потом его картинно зарубить на ранней стадии так и осталось небольшой инженерной загадкой. Возможно у них был большой сток чипов где он уже активен с фабы, или типа того. > Есть много но по дефолту, родным в Linux уже 10 лет есть > реализация Integrity от IBM в ввиде IMA/EVM. Она имеет свои нюансы, > но если их учесть замечательно работает на серверах и рабочих станциях. Ну да, при сильном желании чем-то таким можно попытаться линуха огородить. Насчет замечательно - ну, вообще, оно никогда не делалось с настолько параноидальной security in mind - и поэтому логических лазеек бывает довольно много. Однако lockdown я себе все же включил, благо у меня ключ на подпись ядра есть и вот так он мне вовсе даже и фича, ага :). Но, блин, для этого по факту надо стать ... почти сам себе OEM'ом.
	Ответить | Правка | Наверх | Cообщить модератору

	214. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	+/–
	Сообщение от Аноним (219), 31-Июл-20, 10:37
	> С точки зрения покупателя - лотерея! Читать документацию перед покупкой системы. > И вы вообще не можете лишить их этого - их кей вхардкожен в boot ROM ME, насколько я понял :) На сколько я понял вхардкорен куда-то только "аппаратный ключ платформы", который идентичен для всех чипов одной модели и он используется только для шифрования/расшифровки "корневого ключа платформы", которым и подписывается UEFI. "Корневой ключ платформы уже уникален для каждого компа и может создаватся его владельцем! > А в реалиях гранд-мастер-ключ вообще у фирмы Интел! В ME зашит - и на самом деле рулит планетой все же эта чудная фирмочка. Ну а для развесивших уши лохов они как максимум имеют предложить лишь декоративную иллюзию контроля. > Ну и с PSP амд видимо в том же направлении двигает, вы ж не думаете что то что вы галочку в биосе поставили и правда его полностью отрубает, не? Низя быть столь наивным лохом - лучше посмотреть на процедуру старта платформы. И если он вам DRAM подымает, если вы его реально вырубите - то обломаетесь по полной :) Меня не спрашивал никто когда строили этот мир. Да сегодня государства хотят шпионить за своими гражданами. Intel наверняка попросили поделится нужным, а быть может даже обязали сделать. Производителей поставят раком и обяжут сделать так чтобы государство имело возможность пасти своих граждан. Пример: КОЛЛЕГИЯ ЕВРАЗИЙСКОЙ ЭКОНОМИЧЕСКОЙ КОМИССИИ РЕШЕНИЕ от 21 апреля 2015 года N 30 "О мерах нетарифного регулирования" http://docs.cntd.ru/document/420269541 блок 40 Кажись о компах. Всех неугодных на рынок не пустят административными методами, а если кто ввезет неудобный для государства комп - посадят. Да вы правы, что речь о лохах, но не в магазине без выбора, а на избирательных участках и изберательных коммисиях... > В Nokia N900 так например было сделано - ROM OMAP-а честно проверял X-Loader, но далее тот запускал более жирный лоадер которому пофиг на подписи, цепочка прерывается и юзерам доступна загрузка любых ядер которые они там хотят.  Это так и было задумано, но зачем они вообще активиоровали секурбут чтобы потом его картинно зарубить на ранней стадии так и осталось небольшой инженерной загадкой. Похоже на недоделку. Или технически не знали как сделать или им административно запретили. > Насчет замечательно - ну, вообще, оно никогда не делалось с настолько параноидальной security in mind - и поэтому логических лазеек бывает довольно много. IBM нормально сделало IMA/EVM я его патчу чтобы ACL и PAX мне защищало, а SELinux, SMAC не использую. Оно работает очень быстро. Есть документированна лазейка в ввиде подмены каталога на символьческую ссылку, но она проявляется не во всех политиках IMA и подробно описаны методы чтобы от нее защитится. > Но, блин, для этого по факту надо стать ... почти сам себе OEM'ом. Пока топовые дистры игнорируют Integrity, а в РФ есть административный запрет: https://www.linux.org.ru/forum/security/15283293?cid=15285785
	Ответить | Правка | Наверх | Cообщить модератору

	250. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	+/–
	Сообщение от Аноним (-), 31-Июл-20, 19:36
	> Читать документацию перед покупкой системы. Честно сказать юзеру что его держат за лоха? Это не очень популярно :) > На сколько я понял вхардкорен куда-то только "аппаратный ключ платформы", Вхардкожено то что делает owner'а настоящим owner'ом - первый ключ который и дает полный, безусловный, фактический руль от системы. Точнее, вроде, как обычно, его хэш в фьюзы. Это самый крутой ключ который есть в системе с такой технологией. И он "почему-то" не ваш. И стало быть вы там всего лишь гость и делаете там не более чем одобрил хозяин того ключа. А все остальные ключи в системе соотносятся с этим так же как фуфельные кольца соотносились с кольцом Саурона, прикольно абстракция разрисована. > "корневого ключа платформы", которым и подписывается UEFI. "Корневой ключ платформы уже > уникален для каждого компа и может создаватся его владельцем! Угу, угу, как там, 9 [фуфельных] колец каким-то лохам-гномам, другим тоже побрякушек отсыпать. Лохи будут ходить с важным видом, думая что чем-то рулят. Хмырь в темной башне ржот в тряпочку, а когда наступит время - популярно объяснит. > может даже обязали сделать. Довольно трудно обязать людей что-то сделать если они это не хотят сделать. Судя по тому что я вижу wintel это все для себя прежде всего сделали, в DRMно-ограничительных и бабкоотжимательных целях, а остальное до кучи, коли оно уж есть. > Производителей поставят раком и обяжут сделать так чтобы государство имело возможность > пасти своих граждан. Не надо мерять по совдепу все остальное. В США например если такое реально всплывет, скандалы будут знатные, производитель по судам задолбается бегать. См. чего было после сноудэна. Но интель свои замашки порулить планетой, на пару с мс, демонстрировал давно. SMM они сделали аж в 386, когда компы были уделом узкой группы фриков и никого не интересовали особо. Кроме руководства интеля, которое видимо уже тогда прочухало что порулить планетой - прикольно. > выбора, а на избирательных участках и изберательных коммисиях... Ну я и выбрал - голосануть ногами, в место поприличней. Надоели бандюки. > Похоже на недоделку. Нет. У них была полная схема в других девайсах. Вполне эффективная. Просто это был первый девайс с Linux - и это было для dev-like народца. Который зарубать не очень катит, и репутационно, и с точки зрения разработки, так что 99% что это именно осмысленная целенаправленная активность. Они специально подписали разлоченый бут походу, специфика девайса. Я только не понял почему они не могли в камне разлочить. Может техасцы не такие гибкие в этом. Большая часть ARM идет с фаб нулевые: секур бут вырублен, ключ в фузах не прописан. Можно самому свой вписать - кто первый встал, того и тапки. Возможно техасцы настолько наглые что сами и лезли в тапки, не доверяя нокии, или черт их там знает. > Или технически не знали как сделать или им административно запретили. Все они знали и умели - в соседних "BB5" и даже сотовом модеме того же N900 (он архитектурно второй чип похожий по структуре, но с RTOS) это активно и работает. > IBM нормально сделало IMA/EVM я его патчу чтобы ACL и PAX мне > защищало, а SELinux, SMAC не использую. На мой вкус selinux - куча геморроя с минимальным результатом. Я предпочитаю контейнеры и виртуалки - эффект в ограничении урона и изоляции сравнимый, нарулить неизмеримо проще. > Пока топовые дистры игнорируют Integrity, Можно придумать множество иных вариантов, сравнимых по эффективности. Ну там readonly файлуху. Собственно половина "мыльниц" так и сделаны. Там чисто технически записать в ФС ничего нельзя, squashfs вообще запись не предусматривает. > а в РФ есть административный запрет: > https://www.linux.org.ru/forum/security/15283293?cid=15285785 Я не по паспорту а по морде. И спокойно ходил с GPS когда какого-то неудачника пытались посадить за это. Но как вы поняли, естественно, я дважды подумаю до оказания таких услуг на коммерческой основе гражданам РФ. В РФ видите ли вообще бизнес вести в принципе достаточно опасно.
	Ответить | Правка | Наверх | Cообщить модератору

	262. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	+/–
	Сообщение от Аноним (258), 01-Авг-20, 08:58
	> Вхардкожено то что делает owner'а настоящим owner'ом - первый ключ который и дает полный, безусловный, фактический руль от системы. Точнее, вроде, как обычно, его хэш в фьюзы. Это самый крутой ключ который есть в системе с такой технологией. И он "почему-то" не ваш. И стало быть вы там всего лишь гость и делаете там не более чем одобрил хозяин того ключа. > А все остальные ключи в системе соотносятся с этим так же как фуфельные кольца соотносились с кольцом Саурона, прикольно абстракция разрисована. Я подробностей реальной технической реализации не знаю. Читал популярные, а не технические статейки с официальных сайтов. > Честно сказать юзеру что его держат за лоха? Это не очень популярно :) Да! Вы правы. Но если допустить, что Intel не солгала о "аппаратном ключе платформы" и о "корневом ключе платформы", то из их док следует: 1. "Аппаратный ключ платформы" изменить невозможно и он идентичен для одной модели чипсета. Разные модели чипсетов имеют разные "аппаратные ключи платформы". 2. "Аппаратный ключ платформы" Intel никому не дает. ;) 3. "Аппаратный ключ платформы это не сертификат и не публичный ключ, он не может ничего проверять и ничего не удостоверяет. Его задача обеспечить шифрование/расшифровку приватного "корневого ключа платформы". 4. "Корневой ключ платформы" уникален для каждого компа. Создается на самом компе пользователя и никогда его не покидает. ;) Охраняется "аппаратным ключом платформы". Приватный "Корневой ключ платформы" подписывает UEFI. Публичный "корневой ключ платформы" проверяет целостность UEFI и Secure Boot ключей в нем каждый раз при загрузки компа. Можно Intel сказать спасибо за работу. > Угу, угу, как там, 9 [фуфельных] колец каким-то лохам-гномам, другим тоже побрякушек отсыпать. Лохи будут ходить с важным видом, думая что чем-то рулят. Хмырь в темной башне ржот в тряпочку, а когда наступит время - популярно объяснит. Хотя бы от Васи соседа защитит. > Довольно трудно обязать людей что-то сделать если они это не хотят сделать. Судя по тому что я вижу wintel это все для себя прежде всего сделали, в DRMно-ограничительных и бабкоотжимательных целях, а остальное до кучи, коли оно уж есть. Да, "корневой ключ платформы" защищает DRM идентификатор вашего компа EPID (Enhanced Privacy ID) от вас! Чтобы вы его не изменили и не выдали свой комп за другой в сети. > Не надо мерять по совдепу все остальное. В США например если такое реально всплывет, скандалы будут знатные, производитель по судам задолбается бегать. См. чего было после сноудэна. Но интель свои замашки порулить планетой, на пару с мс, демонстрировал давно. SMM они сделали аж в 386, когда компы были уделом узкой группы фриков и никого не интересовали особо. Кроме руководства интеля, которое видимо уже тогда прочухало что порулить планетой - прикольно. Сравнивать можно и с северной Кореей и радоваться что у нас лучше. Скандалы будут, но их замнут... > Ну я и выбрал - голосануть ногами, в место поприличней. Надоели бандюки. Сам прикол в том что Путин с Единой Россией думают, что они решением N 30 "О мерах нетарифного регулирования" решают какая криптография в РФ разрешена. В реалиях на 90% разрешенные алгоритмы криптографии на территории РФ определяют экспортные ограничения в США. > На мой вкус selinux - куча геморроя с минимальным результатом. Я предпочитаю контейнеры и виртуалки - эффект в ограничении урона и изоляции сравнимый, нарулить неизмеримо проще Нравится RSBAC от Grsecurity. Кто чему верит, я так изолируют: https://wiki.gentoo.org/wiki/Chrooting_proxy_services > В РФ видите ли вообще бизнес вести в принципе достаточно опасно. Точно, особенно в ИТ и с Secure Boot: https://www.linux.org.ru/forum/security/15283293?cid=15285785
	Ответить | Правка | Наверх | Cообщить модератору

	195. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	+/–
	Сообщение от AnonPlus (?), 31-Июл-20, 02:15
	1. Никто, но есть такая прекрасная штука как TPM-модуль. Задействуй его в процессе шифрования накопителя (у TPM один из регистров отвечает за контрольную сумму прошивки). В этом случае, если хоть байт в прошивке изменится, регистры TPM выдадут иное значение и накопитель не расшифруется. А дальше уже по цепочке: UEFI проверяет подпись загрузчка, загрузчик - подпись ядра.
	Ответить | Правка | К родителю #62 | Наверх | Cообщить модератору

	196. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	+/–
	Сообщение от AnonPlus (?), 31-Июл-20, 02:17
	Уточнение, есть еще BootGuard, вот он может проверять подпись прошивки. Но он лишает тебя возможности самому модифицировать прошивку. Поэтому я предпочитаю связку "шифрование системного раздела + TPM", что обеспечивает защиту от незаметного изменения прошивки.
	Ответить | Правка | Наверх | Cообщить модератору

	69. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	–1 +/–
	Сообщение от Аноним (81), 30-Июл-20, 09:11
	Вот, еще один Аноним задался правильным вопросом! https://www.opennet.dev/openforum/vsluhforumID3/121426.html#47 Практично уязвимости CVE-2020-10713 (BootHole) не существует!!! Зачем же ее придумали в TedHat? Правильно, чтобы под предлогом исправления внести какую-то дрянь и что-то похерить...
	Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору

	71. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	+1 +/–
	Сообщение от Аноним (70), 30-Июл-20, 09:14
	> Зачем же ее придумали в TedHat? Однако демьян апдейты grub все же выкатил. А то что она не эксплуатируемая в большинстве конфиг - отлично, но баги чинить все же надо.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема