The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Выпуск Wayland-Protocols 1.32, opennews (?), 04-Июл-23, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


49. "Выпуск Wayland-Protocols 1.32"  +/
Сообщение от Аноним (48), 04-Июл-23, 14:54 
Протокола, позволяющего расшаривать в каком-нибудь зуме отдельно взятое окно (а не весь экран) у них в планах нет? Едва ли не единственное что мешает мне окончательно выбросить иксы.
Ответить | Правка | Наверх | Cообщить модератору

51. "Выпуск Wayland-Protocols 1.32"  –1 +/
Сообщение от Аноним (51), 04-Июл-23, 15:03 
пока нет. но ты жди...
Ответить | Правка | Наверх | Cообщить модератору

62. "Выпуск Wayland-Protocols 1.32"  –1 +/
Сообщение от Аноним (7), 04-Июл-23, 16:40 
> Протокола, позволяющего расшаривать в каком-нибудь зуме отдельно взятое окно
> (а не весь экран) у них в планах нет?

KVM :))). Заодно и файлы кроме как с своей виртуалки стырить не сможет.

Ответить | Правка | К родителю #49 | Наверх | Cообщить модератору

71. "Выпуск Wayland-Protocols 1.32"  +/
Сообщение от Аноним (71), 04-Июл-23, 18:17 
Конечно, сможет. Ты всё не так понял, там было про KVM switch. Это аппаратная приблуда.
Ответить | Правка | Наверх | Cообщить модератору

81. "Выпуск Wayland-Protocols 1.32"  +/
Сообщение от Аноним (85), 04-Июл-23, 21:09 
> Конечно, сможет. Ты всё не так понял, там было про KVM switch. Это аппаратная приблуда.

Я про подсистему виртуализации KVM. Спереть через виртуалку файло с хоста можно только если вы сами это сдуру позволите. И его окна тоже не видно.

Еще можно кормить зумоту и прочий шит виртуальной камерой. Для софта она как настоящая, только источником данных воооон тот файл.

Ответить | Правка | Наверх | Cообщить модератору

86. "Выпуск Wayland-Protocols 1.32"  +/
Сообщение от Аноним (71), 04-Июл-23, 21:32 
Программа детектит виртуализацию и дальше делает всё что хочет на хосте, её никто не остановит. Тут безопаснее запускать сразу на хосте, хоть как-то контролировать поведение можно, да и сесурити хоста обычно повыше. Виртуалки это очень опасная тема, не только стырит, но и бэкдор в биос прошьёт. Кстати, это всё не теория.
Ответить | Правка | Наверх | Cообщить модератору

107. "Выпуск Wayland-Protocols 1.32"  +/
Сообщение от Аноним (7), 05-Июл-23, 14:51 
> Программа детектит виртуализацию и дальше

Если вообще детектит. Гипервизор может показывать гуесту что хочет. Особенно если сорц есть.

> делает всё что хочет на хосте, её никто не остановит.

Агащас. У меня VM сконфигурены так что доступ к ресурсам хоста минимальный, только то что нужно для задачи, ничего лишнего.

> Тут безопаснее запускать сразу на хосте,

А свобода это рабство, видимо.

> хоть как-то контролировать поведение можно,

Виртуализатор дает более крутой контроль. VM даже с недружественным кернелом (!!!) напакостить не может, не то что апликухой. Абстракция такая: гуест не имеет привилегированого доступа в хост. Даже если выглядит как будто это работает, это лишь фикция под арбитражем гипервизора. На самом деле эксепшн в непривилегированой программе + эмуляция гипервизором что якобы-прокатило.

А бонсуом у меня есть god-mode debugger. Я на уровень выше кернела VM. Могу остановить их на время. Пошагово пощелкать. Память сдампить или пропатчить. Типа жытага, только силами гипервизора. Даже если кернел виртуалки помер, виртуализатор дебаг-хост реализует сам, это пофиг. Контроля при этом более чем. Я над кернелами ОСей...

> да и сесурити хоста обычно повыше.

С чего? Если недружественная программа нанесет урон системе в VM, это затронет только виртуалку с ней. А если хосту - все что там было.

Вот вы видите меня. А на самом деле контейнер. Показывающий браузуеру иной системный view, в нем только Downloads и есть. Так что сломав браузер сможете спереть аж недавние даунлоады. Они из интернета слиты, смысла возиться нет. А больше ничего и нет.

Если допустить что вы сможете прошибить кернел (гуеста) и обойти тот контейнер, вы обнаружите что это "VM для запуска браузера". Ее доступ к хосту ограничен счетом, RAM, показом картинок и оооочнь маргинальным доступом в сеть. Очень интересно как вы собираетесь хост с нее долбануть. Теоретически, в гипервизоре тоже могут быть баги, но теперь это все же 2 барьера изоляции и арбитража а не 1.

> Виртуалки это очень опасная тема, не только стырит, но и бэкдор в биос прошьёт.

Каким бы чудом? Для этого ну вот например тут надо пробить сперва контейнер и кернел виртуалки, потом гипервизор. Кстати, даже если чисто теоретически допустить что вы сможете пробить гипервизор эскалировав с гуеста в хост, вас будет ждать интересный сюрприз. Не, BIOS не перешьется.

Даже прошивалка легитимно пущеная на хосте от рута - выкуривает бамбук. Знакомьтесь, режим Lockdown. Он не дает физическую память трогать даже руту. И вот вам а не перешивка соответственно. И ключи подписи модулей ядра - вот лично мои. И настроено так что отключается не в раз не тривиально и незаметно не выйдет. Это _моя_ система. Она работает на _меня_.

> Кстати, это всё не теория.

Хотите поучить капитана звездного крейсера правильной конфигурации силовых щитов в его кастомном дизайне? Удачи. Но эта штука таки выдерживает довольно жесткий й0пс. Просто потому что я сам умею в атаки. А потому неплохо понимаю от чего и почему защищаюсь.

Ответить | Правка | Наверх | Cообщить модератору

109. "Выпуск Wayland-Protocols 1.32"  +/
Сообщение от Аноним (71), 05-Июл-23, 16:02 
SMM передаёт привет любителю изоляции через виртуализацию. Ну а вообще, о чём ты говоришь, если даже qubes os регулярно ёкают хорошенько? Посмотри, как используют виртуализацию инженеры антивирусных компаний. Какой-нибудь Bochs берут, да, но не будешь же ты его использовать для реального ПО. Изоляция на хосте не существует, если тебе пробили виртуалку (чаще всего через кривые дровишки криво сэмулированного железа) и у гипервизора слишком много прав. Рут не понадобится, если уже есть полный доступ к оборудованию (например, изоляция шин только недавно начала входить в тренд, когда понадобилось DRM железо и возможность прикрывать трояны от атак).
Ответить | Правка | Наверх | Cообщить модератору

124. "Выпуск Wayland-Protocols 1.32"  +/
Сообщение от Аноним (124), 07-Июл-23, 12:31 
> SMM передаёт привет любителю изоляции через виртуализацию.

1) Внезапно, SMM в виртуалках - виртуальный! Более того - у меня и тот BIOS опенсорсный, так что его обработчик виртуального SMM при желании и пропатчить можно. Правда, смысла особо нет.

2) Хостовый SMM вообще не особо в курсе насчет виртуалок, он для хоста работает, арбитраж виртуалок ни разу не по его части.

3) Если вы про то что гипервизор может поиметь виртуалку, вызвав виртуальный SMM... он и так арбитрировал все доступы и мог иметь ее более 9000 иных способов. Ну вот например поменяв ее RAM по своей инициативе, поставив на паузу, сменив состояние vCPU. См выше про god mode debugger, он следствие фич гипервизора. Отношения такие же как кернел vs юзермод. Ну вот линукскернел подпихивает прогам виртуальный DSO для ускорения некоторых вызовов. По сути хакая программу. Гипервизор может так же, относительно кернела, но там абстракции низкоуровневее.

4) И кстати что такое SMM на вооооое том ARM или RISCV? В их терминологии вообще нет этого понятия. Поэтому вы при всем желании не сможете там SMM# дернуть.

> Ну а вообще, о чём ты говоришь, если даже qubes os регулярно ёкают хорошенько?

Я говорю о том что у меня кастомная структура подобного плана разумеется :). И один из пойнтов заморочиться это как раз усиление безопасности и минимизация урона. Типа задраиваемых переборок на корабле. Чтобы 1 пробоина не была фатальной.

> Посмотри, как используют виртуализацию инженеры антивирусных компаний.

Мои дизайны шли по той же дороге но прошли этот путь дальше.

> Какой-нибудь Bochs берут, да, но не будешь же ты его использовать для реального ПО.

Я могу и поинтереснее. Можете попробовать сломать вот этот RISCV или ARM, при том что он из x86 синтезирован. Добро пожаловать в мир бесконечных абстракций. А вон та камера в принципе может быть довольно точной эмуляцией, если я линух на одноплатнике попрошу вывесить класс UVC на OTG интерфейсе, это отличить от любой другой камеры станет напряжно. Ну вот например у меня "сетевая карта" от "длинка". Правда на самом деле это конечно одноплатник с usb косит под usb-ethernet адаптер :). Очень умный адаптер - имеющий свое мнение что, кому и почему можно.

> Изоляция на хосте не существует, если тебе пробили виртуалку (чаще всего через
> кривые дровишки криво сэмулированного железа)

Проблемы драйверов гуеста не выходят за проблемы гуеста. Гипервизор оперирует иными абстракциями. Сейчас таковой вообще virtio часто бывает, при этом гуест таки знает что это виртуальная штука и может сильно более короткий маршрут использовать - не эмулируя железки от и до на уровне регистров. Через этот интерфейс нанесение урона хосту не предусмотрено, а гуест как бы не знает как это на уровне бэкэнда вообще реализовано. Вы видите virtio-blk какой - но понятия не имеете как оно там на хосте реально рюхается. Может быть дюжина вариантов чем это было на самом деле.

> и у гипервизора слишком много прав.

У него by design прав "больше чем у кернела VM". Тем не менее, его абстракции простые, низкоуровневые, и хотя в этом тоже можно облажаться, но во первых это случается довольно редко, а во вторых это второй уровень изоляции "над кернелом" его отсутствие с полной халявой для атакующего не может быть фичой.

> Рут не понадобится, если уже есть полный доступ к оборудованию (например,
> изоляция шин только недавно начала входить в тренд, когда понадобилось DRM
> железо и возможность прикрывать трояны от атак).

У меня реальное железо в общем случае не вывешивается в виртуалки, так что и изолировать его не требуется. Виртуалкам вообще не видна конкретика железа хоста. Они даже на x86 проц получают


$ cat /proc/cpuinfo
processor    : 0
...
model name    : Common KVM processor

Ну вот такой вот процессор. Да, конечно, сильно замороченный софт по нему может догадаться что это VM. Но можно и поменять - в qemu длиииинный список процов которые можно вывесить гуесту.
Ответить | Правка | Наверх | Cообщить модератору

84. "Выпуск Wayland-Protocols 1.32"  +/
Сообщение от Анонус (?), 04-Июл-23, 21:30 
А через вложенный Weston не получится?
Ответить | Правка | К родителю #49 | Наверх | Cообщить модератору

117. "Выпуск Wayland-Protocols 1.32"  +/
Сообщение от Аноним (117), 07-Июл-23, 01:27 
С разморозкой https://ibb.co/YDZWp96 :)
Ответить | Правка | К родителю #49 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру