Исходное сообщение
"Первый выпуск Libreboot, после перехода под крыло проекта GN..." Отправлено Аноним, 20-Авг-16 12:43
> вот из-за таких ситуаций и придумали механизм проверки целостности бут загрузчика (secureboot), и не нужно никакое шифрование его. Проблемы secureboot в том, что: 1. нужно подписать все участки кода, отвечающие за загрузку вплоть до того момента, когда расшифровываются данные (это по крайней мере сам загрузчик, ядро и initrd/initramfs); 2. secureboot можно выключить, а пользователь не будет при каждой загрузке проверять, не выключен ли он. Если #1 в Windows выполним относительно легко (загрузочные программы почти никогда не меняются, хорошо протестированы и подписаны ключами Microsoft), то с Линуксами всё значительно сложнее — либо поддерживай свою PKI, самостоятельно подписывай все бинарники (сложность в загрузке своего ключа в bios/tpm и подписывании на другом компьютере, чтобы ключ не утёк), либо ограничиться в выборе и остановиться на тех дистрибутивах, где уже всё подписали. Чтобы secureboot был полезен, нужно не только соблюсти все эти правила, но ещё и обеспечить проверку целостности остальной системы (корневого раздела). Ведь если он не будет зашифрован (или же шифрование не будет включать в себя проверку целостности), то злоумышленник сможет обеспечить исполнение своего кода уже после того, как отработали загрузочные программы. #2 можно было бы решить, принудительно останавливая загрузку, когда Secure Boot выключен. Так было сделано на первых Chromebook — режим разработчика активировался аппаратным переключателем; это приводило к появлению сообщения вроде "внимание! ты разработчик! нажми такую-то кнопку для продолжения загрузки или верни переключатель обратно".

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:
	Введите код, изображенный на картинке: