> я заколeбусь пересобирать и втискивать туда свои инструменты. да, у меня не только баш.Ну ой, это какие-то твои местечковые закидоны. Право на жизнь имеют, но если рассматривать в "сферическом вакууме" - это весьма нишевые заморочки конкретного индивида. А по факту девайс с 128Mb RAM например потянет довольно много чего. Вплоть до форума на пыхе какого-нибудь, если там не очень дофига народа. Разумеется, опач с форками под толпу народа или крутую бизнес-аналитику туда ставить глуповато. А все остальное там примерно такое же как и везде.
>> А что ему помешает сломать один и удовольствоваться этим результатом?
> и что он будет делать в соседней камере? ну, попал он в клетку без полномочий.
Как что? Запустит там проксь/спамер/майнер биткоинов или чего там еще. Все, халява получена. А что еще взломщикам надо? Лично тебя раздолбать? Не факт что у тебя есть что либо оправдывающее кастомную возню ради тебя в таком масштабе.
> оттуда теперь выбираться надо. или ты действительно думаешь,
> что у меня всем юзерам позволено заходить?
Нет. А ты действительно думаешь что целью взломщиков как правило является именно поимение инфраструктуры по самые гланды? Обычно они напротив заинтересованы в ее сохранности - чтобы оно на них работало и им бабло приносило.
> крал «ламборджини», а спёр ржавый «запор».
Это их мало волнует, особенно если это на автоматие. Ну и в этом плане роутер еще более скромная штука.
>> К тому же я знаю железо роутера как облупленное и технологически имею
>> доступ во ВСЕ закоулки, вплоть до самого раннего бутлоадера
> шо, таки совсем всё? вся-вся схематика есть? и wi-fi чипы? опубликуй, блин!
Не тупи, я про 100% контроль над софтом в девайсе. От power-up до полного взлета. В порядке приоритетов это наиболее важное для меня свойство готовой железки, гарантирующее что оно будет вести себя так как мне надо а не как-то иначе. Что для сетевой железки IMHO важно. Переделывать железо подобного масштаба (многослойки, BGA) в мои планы (пока?) не входит: это не очень дешевое и не сильно просто, хоть и ничего невозможного. По поводу чего меня намного меньше парит схема. Тем более что 80% оной я и сам нарисую для такой железки. Плюс-минус всякие резисторы и прочая по мелочи интересуют только тех кто намерен перевыпускать это.
Тем не менее, вот примерчик того что ты хотел, если оно тебе зачем-то вдруг надо: http://files.wl500g.info/asus/wl500gx/document/ce%20rep... - правда я не очень понимаю что ты с ним делать будешь. Подобное добрецо можно найти на много какие железки
Даташиты на некоторые чипы тоже в природе встречаются. Не всегда и не на все, но - бывают. К тому же есть драйвера, где все что что касается работы с чипом с точки зрения софта - есть.
> у роутера тоже. то, что чёрные ящики в виде микросхем *вроде бы*
> не занимаются неучтённой активностью — не значит, что не могут, если захотят.
А тут ряд простых моментов:
1) Сложно скрывать неучтенную энеоргонезависимую память в большом объеме. Поэтому девайс не сможет долговременный логгинг/трекинг и подобную активность.
2) Опять же, большую программную память сложно сделать незаметно. В конечном итоге софт в привилегированных режимах (e.g. кернел) может шариться по всем закоулкам памяти.
3) Равно как сложно реализовать и продвинутую логику в железе.
4) Ни производитель ни чип не знают заранее как именно их применят. В пару с чем его запаяют и прочая.
5) В конечном итоге запускаемые бутлоадер и OS полностью берут управление на себя и их работа вообше не подразумевает сосуществования с кем либо еще.
Поэтому с учетом вышеуказанных факторов, работоспособный бэкдор выглядит довольно фантастично. Теоретически, можно перебить всех комаров на планете. Практически - ну, попробуй. Вот и с работоспособным бэкдором в таком девайсе как-то так же. Если мыслить как автор бэкдора, очень скоро обнаружится что в этом уравнении слишком дофига неизвестных при том что слишком много площади кристалла на такое просто невозможно выделить, т.к. удорожает чип. А внешние чипы - 100% паливо. Внешний микрокод - тем паче. Но об этом ниже.
> даже в открытом софте при некоторой хитрости можно спрятать дверцу
> для кошки. а уж в закрытых проприетарных железяках — тем более.
Проблема только в том что к x86 это все тоже относится. Но там все многократно хуже. Например, "BIOS" для x86. Это многометровый блоб без сорцев. Там кроме всего прочего есть не только код BIOS (занимающийся довольно чувствительными вещами), но и например обработчик SMM, который потенциально может работать независимо от ОС. Более того, в современных BIOS, особенно для интеловских платформ - есть еще и кучка фирмварей для сервисных процессоров. А на оные нет ни даташитов, ни сорсов. А вот доступ в систему они зато имеют самый непосредственный. Собственно интел и не скрывает даже - ремотное управление в vpro/amt сделано как раз на одном из сервисных процессоров. А вот в такую штуку бэкдор засунуть - как два пальца об асфальт. Потому что есть место для реализации сложной логики. Есть тот кто работает резидентно и не вырубается при старте ОС. Есть доступ в память/сеть и прочая. А вот это уже проходит по классификации как "потенциальный бэкдор". Тем паче что совсем вырубить фирмваре EC нельзя: оно оборотами кулеров рулит и прочая. Так что остается только на честное слово поверить что оно не хулиганит.
В чем отличие? В том что на роутере всего этого блобья делающего черти-что у меня нету. И это как раз самый сомнительный компонент. Он может реализовывать продвинутую логику и нежелательно себя вести. И через это штатно вывешивается ремотное управление машинами для корпорастов, интел даже и не скрывает это. Мне такое на сетевом девайсе, который является гейтвеем - совсем не надо. Он как раз от всего такого сеть своей тушкой закрывает.
>> Любая машина — «ограниченная по ресурсам коробочка» :).
> только роутер — *очень* ограниченая.
По сравнению с моими первыми 3-4 компьютерами, мой роутер - очень мощная коробочка. По сравнению с суперкомпьютером - очень ограниченная. Но на роутинг на скорости провода + файрволинг + всякие сервисные операции типа сетевых сервисов(впн, ...) и прочая вполне хватает. А больше от него ничего и не требуется. Бизнес-аналитику на этом я гонять не собираюсь.
> а вот с этим:
> а) справится скрипт;
Спору нет, но он на чем-то должен работать. И намного лучше если это мелкая и маложручая железка, в том плане что упс ее будет тянуть фиг знает сколько. А полновесный сервак надолго упсой не подопрешь. А вот роутер - без проблем. С него и логично разослать вэйкапы.
> б) если уж пропала энергия, то по появлению оной все, кто надо,
> и сами проснутся — чай, не дебилы.
Тогда их не получится нормально упсой подпереть и они срубятся некорректно? Ну или как они во время спячки узнают кто их питает - упса или 220 из розетки? От чипсета/bios/... сложно ожидать большого ума в этом плане. Вот зондаж они могут. А вот умно мониторить упс в low-power режиме - а хрен тебе, золотая рыбка. И сорц не даден, так что сам ты тоже такое не сделаешь.
>> клиенты таки могут и остаться.
> у меня нет ноутбука, а N900 я не использую для интернетов.
Ну это у тебя. А у меня - есть. И как раз выигрышно то что при отсутствии сети он еще часов 7 проработает. Так что в экстренном случае можно с него что-то требовавшее онлайна доделать. А N900 без интернетов как-то странно, имхо.
>> Как какая, по ssh можно зайти на роутер и оттуда отпинать по WoL остальное.
> сервер поднимется сам, он неваляшка.
Я как-то туго представляю себе как это увязать с подпиранием упсом. Оно или должно без упса фигачить и видеть состояние питания 220 вольт, или если упс замаскирует это - по какому критерию оно тогда взлетит? Мне не нравится идея грубого шатдауна без подготовки у мощных серверов, а как такое вэйкапать когда 220 вольт появилось при подпирании упсой - мне как-то не совсем очевидно. Кроме вот таких пинков по WoL с той мелочи которая всегда включена (т.к. упсом подпирается на много-много часов и заряда батарей после шатдауна всего остального роутеру хватит на много часов работы, чего достаточно для появления электричества обратно).
> а дальше уже при необходимости волшебные пинки
> раздаются с него. если же сервер не поднялся — то тут
> уже никакой вол не поможет, тут надо ногами и руками работать.
Ну вот а роутер для начала и не валится никогда. У него аптайм в полгода - норма жизни. Потому что упсы ему хватает на черти-сколько. У меня на столько электричество не выключают :). А вот подпереть сервак упсой на 2 часа я уже могу обломаться. Тем более что не совсем понятно как дружить логику включения сервака с упсой.
>> В твоей схеме как я понимаю надо еще чтобы сервак не сдох.
> если он сдох, мне больше ничего во внутренней сети не надо: всё
> равно там удалённо делать уже нечего.
У меня многие операции делаются небольшими железками, которые вполне актуаьльны и полезны. Большой сервак тоже есть. Но под специфичные нужды, требующие больших объемов HDD и просто скоростного счета. Он не является критичной частью инфраструктуры. Его можно выключить. Сетевые сервисы и прочая совсем не пострадают.
> сервер должен работать 24/7. если сервер не работает — всё, приплыли, всё
> равно надо спешить домой разбираться, что сгорело.
Я осторожно отношусь к идее оставлять мощные писюки с сравнительно ненадежными вентиляторами в долговременном автономном плавании дома, а не в ДЦ (где есть системы пожаротушения и персонал). Потому что по дефолту вентиляторы пхают черти какие, а при их отказе факап будет качественный. Особенно блоков питания касается (есть совершенно западляцкая тенденция экономить несколько десятков центов на вентиляторе, получая в результате клинч оного и все шансы на очень мощный дестрой когда силовуха перегреется далеко за свои absolute maximum ratings). С другой стороны, в железке без вентиляторов вентиль не сломается. А мелкий БП при катастрофическом отказе как правило просто быстренько испаряется н...й и более не создает проблем :).
>> Смотря что за сервисы.
> от почты, жабира, www — и до фермы сборки софта.
У меня с сборкой софта и просто мой писюк хорошо справляется. Хотя мало ли, ты упоминал что у тебя своя фирма - может там конторские проекты билдуются и оно актуально. Я хз, мне это пофигу :).
>> OpenVPN — просто.
> это если есть админские права на установку софта.
У меня на моем роутере как ты понимаешь они есть. У меня на всех моих устройствах есть административные права. Секрет прост: если я не могу получить административные права, устройство просто не считается моей собственностью.
> меня красивые. и ломать их об мелкоустройства не хочу. это —
> на самый-самый-самый крайний случай.
Как ты понимаешь, я их тоже не ломаю без причины. Но мобильность десктопа равна нулю. Ноут таскать зачастую лениво. А вот n900 может позволить юзать ssh даже в чистом поле, где на 10 километров вокруг только туалет типа сортир да вышка опсoса. Это не является штатным или предпочитаемым вариантом, но иногда можно сунуться и посмотреть на ситуацию из интранета. На то и vpn чтобы я был в моей сети из любой точки мира :).
> мне тоже. именно поэтому один из роботов с планеты Шелесяка занимается этим
> сам. если, конечно, ему вовремя не скомандовать «отбой тревоги!»
Вариант, кстати. В целом интересный. Я о чем-то таком задумывался но поленился реализовать. А ты как, синхронно генеришь пассворды по одному алгоритму на всех участниках или на одном из них генеришь ключ и распихиваешь на остальных? А может я упустил еще какие-то красивые варианты подобных схем?
В целом же я поленился и выбираю достаточно сильные пароли. Я достаточно подкован в вопросах брута паролей и потому прекрасно представляю себе как сделать так чтобы мои пароли в ближайшие 1000 лет никто не вскрыл, а потом мне все-равно уже будет пофиг :)
>> А всякие putty еще и в реестр срут записями о сессиях.
> да на здоровье. реестр не мой, мне не жалко.
Я не хочу оставлять хрен знает кому указатели на мои хосты и прочая.
