Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI Secure Boot, opennews (??), 03-Мрт-21, (0) [смотреть все] Патрик как чувствовал, оставив просроченный лило , Аноним (1), 11:42 , 03-Мрт-21, (1) +27 // Там елило для уефи насколько помню Лучше конечно просто ядро пересобрать со стю, Аноним (20), 12:09 , 03-Мрт-21, (20) +2 // Расслабьтесь, гуляет буткит подписаный валидным MSовским ключом Ключ отзывать н, Аноним (-), 16:44 , 03-Мрт-21, (140) +1 // Выколупывается ключ MS практически на всех современных фирмварях проще некуда, и, Аноним (193), 19:10 , 03-Мрт-21, (193) +1 Это как бы не регламентировано никакими стандартами и это может сделать полтора , Аноним (-), 05:35 , 05-Мрт-21, (284) +1 Нафига на UEFI отдельный загрузчик efistub жеж Или refind на худой конец жеж , asdasd (?), 12:10 , 03-Мрт-21, (22) +1 // Но принципиально refind все равно проверяется shim ом, и если там будут уязвимос, Анонимленьлогиниться (?), 15:10 , 03-Мрт-21, (110) +1 // Куишечка, уважаемый Обделаться можно не только и не столько с буферами, хоть эт, Анон123 (?), 16:27 , 03-Мрт-21, (134) +7 Зачем shim refind-у Лень свои ключи что ли прописать и забыть про shim как стра, Арчевод (?), 16:45 , 03-Мрт-21, (143) –1 Разве что свои ключи прописать, а чужие удалить все к чертям, если всякие MSовск, Аноним (-), 16:48 , 03-Мрт-21, (146) Если ключи прописывать, так и взять последний grub2 без дыр не проблема А при тр, Stax (ok), 19:20 , 03-Мрт-21, (195) Понимаешь ли, хакер всегда может взять старый GRUB подписаный вон тем правильным, Аноним (-), 05:37 , 05-Мрт-21, (285) Не может Потому что если это изначально мой ключ и только он присутствует в био, Stax (ok), 13:16 , 08-Мрт-21, (350) Взбрыкнет у тебя новый кернел, допустим - и дальше чего В grub выбрать старый , Аноним (-), 16:47 , 03-Мрт-21, (144) –2 // Взбрыкнет кернел - загружаемся с liveusb и чиним, это бывает раз в десять лет Е, Аноним (193), 19:20 , 03-Мрт-21, (194) +1 Ага, при этом мы обнаруживаем что ключи мудасофта уже выпилили а свой собс, Аноним (-), 05:39 , 05-Мрт-21, (286) А у меня livecd liveusb и устанвливается старое ядро Или если уж так не хочетс, saasd (?), 09:37 , 04-Мрт-21, (247) Попробуй удалить ключи майкрософта как тут некоторые советуют, как раз и узнаешь, Аноним (-), 05:40 , 05-Мрт-21, (287) В биосе разве секурбут не отключается , Аноньимъ (ok), 15:34 , 05-Мрт-21, (298) Смотря где На маздайных планшетках может и не отключаться Ну, и вот как раз и , Аноним (-), 03:13 , 06-Мрт-21, (311) Позволяет обойти зонд от M - разве это не преимущество , Аноним (-), 12:12 , 03-Мрт-21, (23) +47 // Плюсую , Fractal cucumber (??), 13:00 , 03-Мрт-21, (57) Почему это зонд от MS Его же вполне себе можно настраивать на свое усмотрение, Аноним (81), 14:01 , 03-Мрт-21, (81) // Вот это воткак бы намекает , AlexYeCu_not_logged (?), 14:41 , 03-Мрт-21, (99) +2 Никто не запрещает подписать shim своим ключом и добавить его в UEFI Просто так, Аноним (103), 14:47 , 03-Мрт-21, (103) –1 Вот это воткак бы намекает , AlexYeCu_not_logged (?), 15:04 , 03-Мрт-21, (107) –1 Это не проблема Secure Boot, а просто мледует из того факта, что на большинстве , Аноним (112), 15:14 , 03-Мрт-21, (112) –1 Ну да, еще скажи что boot guard - случайность, а ME и PSP - забытые дебаговые ф, Аноним (-), 16:57 , 03-Мрт-21, (149) +1 Прикинь, именно так 171 злые умыслы 187 и выглядят , AlexYeCu_not_logged (?), 21:04 , 03-Мрт-21, (215) +1 хайли лайкли , ананим.orig (?), 01:20 , 04-Мрт-21, (231) Очень наивно полагать, что нет злого умысла Любая большая корпорация работает с, Аноним (257), 10:44 , 04-Мрт-21, (257) 1 Настраивать можно ровно столько сколько позволит и сумеет фирмваре 2 Это воо, Аноним (-), 16:56 , 03-Мрт-21, (148) +1 А есть железо, которое не позволяет добавлять свои ключи и удалять ключи от Micr, Аноним (112), 17:13 , 03-Мрт-21, (161) –1 Есть даже ноуты которые позволяют на выбор грузить только рхел и восьмерку Или , Аноним (288), 05:50 , 05-Мрт-21, (288) +1 Видишь ли, в данном случае это не зонд, а просмоленный чопик , YetAnotherOnanym (ok), 15:14 , 03-Мрт-21, (113) shim это workaround с плохим использованием Secure Boot Все делается легко, куч, Синдарин (?), 13:26 , 03-Мрт-21, (66) +9 // Под убунту для хомяков ещё проще Убунта 20 04 детектит включённый Secure Boot,, Синдарин (?), 13:32 , 03-Мрт-21, (70) +7 // Многие bios-ui для совсем ленивых - вообще умеют тупо генерить сигнатуры скармли, Синдарин (?), 13:40 , 03-Мрт-21, (75) +3 Опять же в Ubuntu для ленивых вообще сделали update-secure-policyутилита в стил, Синдарин (?), 13:43 , 03-Мрт-21, (77) +1 А ты типа умеешь в безопасТность Мутный блобик тебе что-то там пообещал, не заб, Аноним (-), 17:00 , 03-Мрт-21, (150) +1 В теории - на компьютерах предприятия - может быть В жизни на типичных десктопах, Анонимленьлогиниться (?), 15:15 , 03-Мрт-21, (114) +1 // Юзеры нвидии должны страдать , Аноним (-), 17:00 , 03-Мрт-21, (151) Гм А не странная у вас логика Тогда уже пользователи линукса должны страдать , Анонимленьлогиниться (?), 18:57 , 05-Мрт-21, (303) Логика простая - никто никому ничего не должен Если кому-то что-то не нравится,, Аноним (-), 03:18 , 06-Мрт-21, (312) Уязвимости компрометируют секюрбут, так што при помощи груба уязвим и лило и даж, такаяштука (?), 14:19 , 03-Мрт-21, (89) +1 // Да там еще раньше мсовские ключи скомпрометированы были, только отзывать их никт, Аноним (-), 17:10 , 03-Мрт-21, (157) в топку этот проприетарный уефи, для него токмо легаси режим, Леголас (ok), 11:43 , 03-Мрт-21, (2) +17 // Ну так биосы тоже проприетарные , Аноним (30), 12:18 , 03-Мрт-21, (30) +5 // у биосов нет секурных стартов, новость-то об уязвимости в таком, Леголас (ok), 12:27 , 03-Мрт-21, (42) +2 // Шило, мыло, жепь, ебрило UEFI хотя бы более открытый чем BIOSы А по сути, секур, InuYasha (??), 12:39 , 03-Мрт-21, (53) +8 Слабоумие и отвага , Синдарин (?), 13:46 , 03-Мрт-21, (79) Самокритично, чо Доверить самое критичное секурити мутному проприетарному блобв, Аноним (-), 17:02 , 03-Мрт-21, (153) +6 Как минимум одному анониму с опеннета он нужен, чтобы его подписанный загрузчик , Аноним (103), 14:53 , 03-Мрт-21, (105) Как бы, и да , но в нынешнем виде это работает только на M А вообще, имхо, от, InuYasha (??), 17:11 , 03-Мрт-21, (159) +1 Почему К нижним кольцам ты не сможешь просто доступ получить при наличии Secure , Аноним (112), 17:16 , 03-Мрт-21, (165) –1 Ну, вообще-то, все зависит от того у кого ключи от замка И таки lockdown не оч, Аноним (288), 05:52 , 05-Мрт-21, (289) Ну так SB и был создан для того чтобы тупо запретить устанавливать чтоли бо кро, Kuromi (ok), 16:06 , 03-Мрт-21, (130) +1 Вот, да Подозрение такое есть Особенно учитывая что уже есть secureboot-only-у, InuYasha (??), 17:14 , 03-Мрт-21, (162) Это конечно же не так Потребность в системе защиты имеет быть весьма широко вост, Анонимный Алкоголик (??), 03:29 , 04-Мрт-21, (237) Да И как мне вон тот баг в системном фирмваре починить Что-то не вижу сорца на, Аноним (-), 17:11 , 03-Мрт-21, (158) Ты понимаешь, что ты пишешь В биосе такой функциональности ВООБЩЕ нет Там можн, Аноним (60), 13:05 , 03-Мрт-21, (60) –1 А что мешает мне загружать в UEFI в грабе или даже в винде трояна само собой , Аноним (82), 14:02 , 03-Мрт-21, (82) +2 отличается тем, что вирусы не смогут это сделать, для чего собственно и придуман, Аноним (119), 15:37 , 03-Мрт-21, (119) –2 Именно поэтому буткиты нынче подписаны легитимным MSовским ключом, отзывать кото, Аноним (-), 17:03 , 03-Мрт-21, (155) +2 1 Что-то будет загружено пользователем в интерактивном режиме Проверка подписи , kusb (?), 19:36 , 03-Мрт-21, (200) Что за бред Какой пользователь И какая разница что будет думать какой-то польз, Анонимный Алкоголик (??), 02:33 , 04-Мрт-21, (236) +1 Разве легаси режим не через эту же прошивку работает , Аноним (20), 12:22 , 03-Мрт-21, (36) +1 // см выше, 42, Леголас (ok), 12:28 , 03-Мрт-21, (43) // То есть проприетарный биос лучше проприетарного уефи , Аноним (55), 12:46 , 03-Мрт-21, (55) +1 Да, он по крайней мере не навязывал с какой фс грузиться Теоретически, конечно,, Аноним (-), 17:13 , 03-Мрт-21, (160) Последнее время, что-то часто стали попадаться платы, где legacy тупо недоступен, llolik (ok), 12:35 , 03-Мрт-21, (49) +1 // Здравствуйте, я ваша тётя Так вроде бы в прошлом году если не раньше Интел , ryoken (ok), 13:27 , 03-Мрт-21, (67) // Ну вот, видимо, от воплей перешли к реализации , llolik (ok), 13:36 , 03-Мрт-21, (72) ничего подобного, в Asus MSI Gigabyte все работаетнапример MSI A320M-A PRO Gigab, anon14 (?), 14:22 , 03-Мрт-21, (90) // у меня ноут asus, купленный лет 5 назад, там только uefi из ноутов, которые куп, бедный буратино (ok), 15:41 , 03-Мрт-21, (120) +1 dell latitude e6430достойный ноут, ivy bridge core i5 i7, выключается, vasya (??), 17:18 , 03-Мрт-21, (167) А зачем вам включать CSM В режиме CSM не только секьюр бут отваливается который, Stax (ok), 19:31 , 03-Мрт-21, (199) +1 О новый дивный мир привет из 1984 года , Аноним (154), 17:03 , 03-Мрт-21, (154) +1 в топку так в топку, а толку от этого НОЛЬ, ибо легаси биос точно такой же пропр, Аноним (-), 14:26 , 03-Мрт-21, (92) +4 Не надо путать secure boot и uefi Secure boot - это фича, которую можно не испол, Аноним (206), 19:49 , 03-Мрт-21, (206) На некоторых новых и даже не очень, пару лет назад выпущенных материнских плат, Kuromi (ok), 23:27 , 02-Апр-21, (354) Скрыто модератором, Урри (ok), 11:43 , 03-Мрт-21, (3) +20 // Скрыто модератором, Аноним (55), 11:47 , 03-Мрт-21, (8) Скрыто модератором, Леголас (ok), 11:48 , 03-Мрт-21, (9) Скрыто модератором, КО (?), 11:54 , 03-Мрт-21, (13) +1 Скрыто модератором, пох. (?), 11:59 , 03-Мрт-21, (14) –2 Скрыто модератором, Аноним (19), 12:09 , 03-Мрт-21, (19) +1 Скрыто модератором, Ильф (?), 19:26 , 03-Мрт-21, (196) К слову о необходимости скуд для стоек доступа в цод и обеспечения физ беза в пр, Аноним (4), 11:43 , 03-Мрт-21, (4) –5 // Тут, думаю, скорее не вина даже -- а совершенно безумная надежда на то, что запр, Michael Shigorin (ok), 10:09 , 04-Мрт-21, (253) +1 // Старость , Аноним (259), 11:18 , 04-Мрт-21, (259) –1 Сменив на нечто, где даже система команд не документированная и компилер проприе, Аноним (288), 05:55 , 05-Мрт-21, (290) Скрыто модератором, Fracta1L (ok), 11:44 , 03-Мрт-21, (5) –4 // Скрыто модератором, Фракта1л (?), 13:40 , 03-Мрт-21, (74) +7 // Скрыто модератором, Синдарин (?), 13:49 , 03-Мрт-21, (80) +7 Скрыто модератором, Аноним (218), 21:40 , 03-Мрт-21, (218) +1 А писали бы на C , такого бы не произошло в принципе Язык С давно уже нужно пр, Аноним (6), 11:46 , 03-Мрт-21, (6) –26 // Эм, это потому что для C каждые три года не выходит новый стандарт с кучей новых, Леголас (ok), 11:49 , 03-Мрт-21, (11) +13 // А зачем пищать Без этого не компилится , Аноним (25), 12:15 , 03-Мрт-21, (25) –2 // метафора не, не слышал, Леголас (ok), 12:17 , 03-Мрт-21, (28) +1 Сарказм не, не слышал, Аноним (25), 12:21 , 03-Мрт-21, (34) –4 как писал анон не так давно в каком-то треде вас тут хрен разберешь, сарказм ил, Леголас (ok), 12:26 , 03-Мрт-21, (40) +7 Это не сарказм, это неумение читать , Michael Shigorin (ok), 10:10 , 04-Мрт-21, (254) Затем, что vi , некая_ычанька (?), 13:08 , 03-Мрт-21, (61) –1 Язык Си - универсальный Хочешь - пишешь безопасно, хочешь - пишешь небезопасно , Урри (ok), 12:16 , 03-Мрт-21, (26) +7 // На си нет режима безопасно Есть только по долбое ски и по идиотски , т к , Anonim (??), 14:43 , 03-Мрт-21, (100) –8 // у вас в слове Python шесть ошибок Ну или в слове Rust четыре , Урри (ok), 17:14 , 03-Мрт-21, (163) +7 Есть, но может задолбать не меньше чем ада адовиков-затейников безопасно уронивш, Аноним (288), 05:56 , 05-Мрт-21, (291) А Rust ещё универсальнее Пишешь, пишешь - и всё напрасно , Аноним (355), 11:41 , 09-Июн-21, (355) Давно пора признать устаревшими евровилки, uk вилки и прочие давно существующие , ixrws (??), 12:19 , 03-Мрт-21, (32) +5 // Вчера втыкал евровилку себе в ногу, чуть не отстелил Славо богу я съел недозрев, Аноним (213), 21:01 , 03-Мрт-21, (213) +2 // 2 чая уже можно не подавать , jfdbngh (?), 10:57 , 04-Мрт-21, (258) 10 кВ тебе прямо в квартиру , Аноним (355), 11:43 , 09-Июн-21, (356) ЗАДАЧА Прострелить себе ногу C Вы простреливаете себе ногу C Вы случайно со, Аноним (38), 12:25 , 03-Мрт-21, (38) –1 // , Аноним (256), 10:31 , 04-Мрт-21, (256) Начитаться о вреде С и пойти почитать про хруст, ничего не понять но считать что, Аноним (-), 11:57 , 11-Мрт-21, (353) +1 Скрыто модератором, neAnonim (?), 11:46 , 03-Мрт-21, (7) +5 Если позволяет обойти не нужно, то это даже хорошо , Аноним (10), 11:48 , 03-Мрт-21, (10) +7 // Почему бы просто не отключить Secure Boot в настройках BIOSа, раз не нужно , Аноним (112), 17:17 , 03-Мрт-21, (166) +2 // Читай выше по треду, не везде такая опция есть , Аноним (327), 13:58 , 06-Мрт-21, (327) Время идёт, а линукс в использование TPM и trusted boot, все так же не умеет, но, Аноним (12), 11:52 , 03-Мрт-21, (12) // Вот как мс откроет свой загрузчик, там и будем посмотреть Чую печенкой там дыр , Аноним (15), 12:07 , 03-Мрт-21, (15) +4 // Зачем открывать Или безопасность через закрытость вдруг стала работать Если ес, Аноним (55), 12:38 , 03-Мрт-21, (52) +1 // таки да, безопасность через закрытость работает Из за того, что дыры тяжелее об, Аноним (15), 13:11 , 03-Мрт-21, (63) Пока не утечет мастерключ https www opennet ru opennews art shtml num 44950, Аноним84701 (ok), 16:03 , 03-Мрт-21, (129) +1 Нет SecureBoot хорошая и нужная вещь Выаидывай ключи M и ставь свои , Аноним (171), 17:22 , 03-Мрт-21, (171) –1 Только когда мастерключ можно самому прописать, заверив им опенсорсную реализаци, Аноним (288), 05:58 , 05-Мрт-21, (292) Boot Guard и Secure Boot решают разные задачи, да и на десктопных платах часто м, kmeaw (?), 20:21 , 05-Мрт-21, (304) Это как Насколько я помню, мастерключ однократно шьется в фузы И кто первый вс, Аноним (-), 03:30 , 06-Мрт-21, (313) Пройдись по новостям на Опеннете, выбери новости Mшcrosoft открыла код и найди, YetAnotherOnanym (ok), 15:37 , 03-Мрт-21, (118) +1 Подвижки идут, в Clevis есть планы по добавлению TPM 2 0 Authorized Policies, но, sage (??), 15:16 , 03-Мрт-21, (115) +1 // IMA EVM имеет птдержку TPM Пробовали IMA EVM без TPM и с открытием закрытым ключ, Аноним (171), 17:30 , 03-Мрт-21, (173) У GNU Linux Integrity уже есть более 10 лет https www opennet ru openforum vs, Аноним (169), 17:19 , 03-Мрт-21, (169) А чего тут удивительного Пусть Винда умеет все эти ваши TPM и trusted boot А з, Аноним (355), 11:51 , 09-Июн-21, (357) Складывается такое впечатление, что безопасники своими навороченными новшествами, Аноним (19), 12:07 , 03-Мрт-21, (16) +10 // С разморозкой вас , Последний из могикан (?), 12:22 , 03-Мрт-21, (35) +2 походу совсем не те заявленные цели они преследуют, Аноним (19), 12:27 , 03-Мрт-21, (41) +2 Чудище обло, огромно, озорно, стозевно и лайяй , трурль (?), 15:51 , 03-Мрт-21, (126) В этой ветке не хватает анонима из оупеннета, который напишет как положено А по, Аноним (213), 21:03 , 03-Мрт-21, (214) +1 Оно ради вендорлок пилилось, пусть и не полного Безопасность так, как повод , Аноним (246), 09:34 , 04-Мрт-21, (246) // Вендорлок полный не дали сделать антимонопольные органы в США и Европе Но думаю, Аноним (259), 11:24 , 04-Мрт-21, (261) // Ради DRM а и копирасии, вообще-то В идеале сделать из винды второй ифон, с уста, Аноним (288), 05:59 , 05-Мрт-21, (293) КТО использует всё это дерьмо в реальности и в полном объективном осмыслении , pin (??), 12:07 , 03-Мрт-21, (17) +2 // _некоторое_ понижение шансов, что попавший в руки других васянов ноут не получит, пох. (?), 13:41 , 03-Мрт-21, (76) +1 // -что-то последнее время мы или проигрываем или опаздываем -ну не знаю, у меня с, Аноним (-), 16:13 , 03-Мрт-21, (133) Так это не уязвимости, это фичи, секуребут как и уефи - ересь поганая, должна бы, Аноним (18), 12:08 , 03-Мрт-21, (18) +5 // формально она есть - берешь и своим ключем подписываешь то, что надо запустить, Аноним (55), 12:10 , 03-Мрт-21, (21) +1 // Ну да - ты подписываешь, а оно не грузит Потому что в железе прошит ключ майков, Урри (ok), 12:17 , 03-Мрт-21, (27) +2 // Формально она есть - берёшь и делаешь своё железо заливая туда свой ключ Видимо, Аноним (31), 12:18 , 03-Мрт-21, (31) –3 ты подписываешь, а оно грузит, потому что ты сгенерировал через openssl ключи, к, Аноним (55), 12:30 , 03-Мрт-21, (44) Буду знать, спасибо , Урри (ok), 20:23 , 03-Мрт-21, (210) Так это тоже скоро выпилятДля вашей безопасности , Аноним (246), 22:54 , 03-Мрт-21, (225) Secure Boot нужен в первую очередь крупным организациям Они просто не купят жел, kmeaw (?), 20:25 , 05-Мрт-21, (305) Для чего Организациям нужно шифрование диска Чтобы если кто-то ночью вломится и, Аноним (309), 21:00 , 05-Мрт-21, (309) - Как грубо А вот бывает прямо среди дня Какой-то неприметный сотрудник а, Алкоганон (?), 05:57 , 06-Мрт-21, (322) Вообще не понял, о чём это Средь бела дня троян в систему ставится методом запус, Аноним (309), 08:30 , 06-Мрт-21, (324) +1 А если не ставится Потому что система не разрешает запустить Да ещё сначала на, Алкоганон (?), 17:51 , 06-Мрт-21, (336) Что значит а если Вы подгоняете условие под ответ Я тоже так могу а если сис, Аноним (309), 00:01 , 07-Мрт-21, (347) Очень крутые организации договорятся, а для крестьян выпилят , Аноним (327), 14:03 , 06-Мрт-21, (328) А не будут покупать, отключим газ Пусть походят по рынку в поисках оборудован, Аноним (355), 11:58 , 09-Июн-21, (358) А в чем проблема самому загенерить свой ключ, подписать им ядро и загрузить в UE, Аноним (103), 14:13 , 03-Мрт-21, (85) Только вот вчера ночью ставил на локалхост себе арч и выбирал бутлоадер Выбрал , Аноним (31), 12:12 , 03-Мрт-21, (24) –2 // Нахрена Чем тебе efistub не нравится Пысы выбор был я так понимаю из lilo и gr, Аноним (54), 12:45 , 03-Мрт-21, (54) // Я выбирал по табличке из вики арча Там у граба были везде плюсы А stub я так п, Аноним (31), 19:40 , 03-Мрт-21, (201) +1 // Не еще одно, а ровно то, которое надо загрузить Просто так оно грузится напряму, Аноним (112), 21:51 , 03-Мрт-21, (219) Можно же EFISTUB и systemd-boot или rEFInd использовать И PreLoader для SecureB, anonymous (??), 14:15 , 03-Мрт-21, (86) +4 // Из этих слов я слышал только systemd и grub При этом про первое было куча мата, , Аноним (31), 19:42 , 03-Мрт-21, (202) +2 // Не советую брать за ориентир мнение среднестатистического опеннетовца , Последний из могикан. (?), 01:26 , 04-Мрт-21, (233) +2 systemd-boot совсем не равно systemd, edo (ok), 18:14 , 04-Мрт-21, (266) +1 Это легко решить массово и на корню просто отозвав микрософтный ключ , Аноним (31), 12:17 , 03-Мрт-21, (29) +3 A local attacker with administrative privileges or with physical access to the, Аноним (33), 12:21 , 03-Мрт-21, (33) +5 Нет слов, одни междометия Почему в языках программирования я делаю string repla, Аноним (31), 12:23 , 03-Мрт-21, (37) –2 // не шатай скрепы, смузихлеб, так наши батьки писали, деды писали, и ты пиши, Аноним (55), 12:33 , 03-Мрт-21, (47) +6 // Аминь , Последний из могикан. (?), 01:23 , 04-Мрт-21, (232) Ну и ладно Всё равно вещь бестолковая , iPony129412 (?), 12:25 , 03-Мрт-21, (39) –1 А так можно было 8857 _ 8857 , Аноним (45), 12:30 , 03-Мрт-21, (45) // Да, вот именно так удалось прописать P-state на частоту 900MHz для AMD A8-4555M , Аноним (181), 18:00 , 03-Мрт-21, (181) +1 Coreboot, Последний из могикан (?), 12:32 , 03-Мрт-21, (46) +2 // Эти тоже те ещё деятели Зачем-то откидывают поддержку железа, которое люди испо, ryoken (ok), 13:30 , 03-Мрт-21, (68) +2 // Среднестатистический пользователь должен страдать за свою глупость,лень и эгоизм, Последний из могикан (?), 14:27 , 03-Мрт-21, (93) –2 // Да ладно Железо покупать каждые два года Это как с Андроид который не обновить, Аноним (20), 14:40 , 03-Мрт-21, (98) Все верно И главное побольше нововведений как символично чтоб от соседа с его ум, Последний из могикан (?), 14:46 , 03-Мрт-21, (101) +2 Маркетолог однако , Аноним (20), 15:45 , 03-Мрт-21, (124) +2 Какая связь В чём заключается глупость, лень или эгоизм пользователя в данном с, Аноним (45), 15:49 , 03-Мрт-21, (125) 1 Глупость Отсутствие знаний Шаман сказал ему принести двух свиней чтоб он дождь, Последний из могикан (?), 16:33 , 03-Мрт-21, (135) –2 Кто-то запретил использовать те версии, в которых ещё есть поддержка этого желез, kmeaw (?), 20:26 , 05-Мрт-21, (306) dbx в прошивке обновиться автоматически Нужно ли вручную заходить в uefi и что-, Аноним (48), 12:35 , 03-Мрт-21, (48) –1 Как будто это что-то плохое , Аноним (51), 12:37 , 03-Мрт-21, (51) Мда, список таких детских CVE GRUB по-прежнему pешето , nuclight (??), 12:56 , 03-Мрт-21, (56) –4 давно такого не было и вот опять , jura12 (ok), 13:02 , 03-Мрт-21, (58) +1 Поправьте плз По сабжу - SecureBoot в печь Ну и вместо GRUB2 тогда rEFInd для , ryoken (ok), 13:22 , 03-Мрт-21, (65) –3 // На верифакапцию , n00by (ok), 14:32 , 03-Мрт-21, (96) Был же grub 0 97 и горя не знали, а теперь жду новость после обновления grub2 у, Адекват (ok), 13:31 , 03-Мрт-21, (69) –1 // Не знали, только вот он немного не умеет грузиться на компьютерах десятилетней , пох. (?), 13:44 , 03-Мрт-21, (78) +1 Все секур бут уязвимости решаются одним переключателем в прошивке Только полное, mymedia (ok), 13:37 , 03-Мрт-21, (73) +1 // Я понимаю твою точку зрения, но ты мне не нравишься Я считаю её ошибочной Гора, Аноним (54), 14:10 , 03-Мрт-21, (84) // если тайная аркадия делает ружье, то оно стреляет на 359 градусов и у пользовате, Аноним (-), 19:05 , 03-Мрт-21, (192) –1 Если ты его отключишь, то безопаснее от этого не станет Просто атакующему не , Аноним (103), 14:27 , 03-Мрт-21, (94) +3 // Ну загрузит он недоверенную ОС и загрузит Шифрованные разделы от этого не расши, Онаним (?), 14:52 , 03-Мрт-21, (104) +3 // Если подменить загрузчик он же в принципе не может быть зашифрованным , то впол, Аноним (103), 14:55 , 03-Мрт-21, (106) –1 Secure Boot внезапно от этого не защищает вообще, потому что при наличии возможн, Онаним (?), 15:04 , 03-Мрт-21, (108) +5 Что значит root-доступ Кто-то писал что не видит проблем с загрузкой недовере, Алкоганон (?), 06:31 , 06-Мрт-21, (323) Это значит, что никакой secure boot уже не важен и не интересен, поскольку сторо, Онаним (?), 09:57 , 06-Мрт-21, (326) Это без SecureBoot оно DOS имеет доступ, поскольку загрузилось своим загрузчи, Алкоганон (?), 16:24 , 06-Мрт-21, (330) Оно никуда не загружалось, оно туда в результате юзера, кликнувшего на поступив, Онаним (?), 16:33 , 06-Мрт-21, (331) Говорилось о загрузке недоверенной ОС Теперь уже поступивший счёт exe - Ну , Алкоганон (?), 17:32 , 06-Мрт-21, (332) Ты то ли читать не умеешь, то ли осмысливать, уж извини Говорилось о том, что ес, Онаним (?), 17:46 , 06-Мрт-21, (333) Так права такие потому что ОС такая загружена, недоверенная, потому что Secure B, Алкоганон (?), 18:16 , 06-Мрт-21, (338) И замок висит Амбарный , Онаним (?), 18:45 , 06-Мрт-21, (339) Ага И секуритати туда сюда прогуливаются Такие С восточными чертами , Алкоганон (?), 18:49 , 06-Мрт-21, (341) ну или Папу следует самое позднее к завтраку ждать - , Алкоганон (?), 18:52 , 06-Мрт-21, (343) если проще, secure boot - это иллюзия мнимой безопасности нет смысла менять за, Онаним (?), 17:53 , 06-Мрт-21, (337) Ага Началось Продолжение а может просто сразу в морду А если не прощ, Алкоганон (?), 18:46 , 06-Мрт-21, (340) Как ты собрался подменять загрузчик без доступа к системе А если у тебя есть дос, Онаним (?), 18:52 , 06-Мрт-21, (342) А ведь делали вид что зашифрованные разделы что-то особенного для вас , Алкоганон (?), 19:04 , 06-Мрт-21, (344) Ты серьёзно читать не умеешь Ну реально Ещё раз по буквам 1 Если есть достаточ, Онаним (?), 19:54 , 06-Мрт-21, (345) Вообще-то, через физический доступ намного проще Троян для загрузчика ещё написа, Аноним (309), 23:42 , 06-Мрт-21, (346) если проще 1 В случае root доступа secure boot уже не важен2 В случае физичес, Онаним (?), 15:09 , 03-Мрт-21, (109) +2 У людей заботящихся о своей безопасности одного пароля для расшифровки диска мал, Арчевод (?), 22:43 , 04-Мрт-21, (270) Как насчёт модулей DRAM, на которых есть немножечко логики и флеша, и которые по, Онаним (?), 17:48 , 06-Мрт-21, (334) никогда не думали, что физический доступ открывает безграничные возможности , Онаним (?), 17:49 , 06-Мрт-21, (335) Подменённый загрузчик ещё не означает расшифрованные разделы, его подменяют как , Аноним (54), 17:15 , 03-Мрт-21, (164) +2 А как именно , Аноним (121), 15:43 , 03-Мрт-21, (121) –1 // Переключателем read-only, который запрещает софтверно обновлять все важные компо, kmeaw (?), 20:29 , 05-Мрт-21, (307) // Проблема в том что хакеры ничем таким принципиально от этого админа не отличаютс, Аноним (-), 03:35 , 06-Мрт-21, (314) Некоторым конечно и ограничивать нужно, но паролем, а не подписями которые любой, Аноним (82), 15:51 , 03-Мрт-21, (127) Ну, это даже хорошая новость если подумать Лучше была бы новость только о том, , jOKer (ok), 14:10 , 03-Мрт-21, (83) –1 // Здесь скорее дырявое его использование в основных дистрибутивах и загрузка всего, Аноним (103), 14:17 , 03-Мрт-21, (88) +1 // Ну, для того надо выполнить несколько условий версия не ниже 3 13 поправьте, е, ryoken (ok), 14:28 , 03-Мрт-21, (95) +1 // Если используется ядро ниже 3 13 которое уже давно устарело или отключен EFIST, Аноним (103), 14:37 , 03-Мрт-21, (97) +3 Ну вот смотрите, 5 8 уязвимостей это манипуляции с памятью и буфером Ну если , Анон Анонов (?), 14:23 , 03-Мрт-21, (91) +1 Кому нужен этот гроб, когда ядро поддерживает EFI Stub , Аноним (111), 15:13 , 03-Мрт-21, (111) +1 А почему все сертификаты для загрузчиков надо заверять в Microsoft , village_coder (ok), 15:32 , 03-Мрт-21, (117) –1 // Потому что в чужой монастырь со своим уставом не ходят Дадада, материнская плат, YetAnotherOnanym (ok), 15:44 , 03-Мрт-21, (122) +2 Осторожная правда почему сертификаты опасны , не плохо ты понял , но не остальны, anonim234 (?), 16:12 , 03-Мрт-21, (132) Не надо SecureBoot на x86 позволяет сгеренировать и использовать свои ключи для, Арчевод (?), 16:42 , 03-Мрт-21, (139) Потому что у тебя с твоими 1 десктопов не выйдет убедить всех производителей, в, пох. (?), 17:19 , 03-Мрт-21, (168) –1 // Да они и без нас прогадили, вон даже линк на новость нашли Отзывать не будут, в, Аноним (-), 03:38 , 06-Мрт-21, (316) Потому что не надо Можешь загрузить свой ключ, почти все платформы поддерживают, Онаним (?), 18:25 , 03-Мрт-21, (189) +1 Потому что быть богом и держать всю планету за вымя - круто , Аноним (-), 03:37 , 06-Мрт-21, (315) Народ, почему долго может загружаться Линукс причем разные дистрибутивы, сначал, Николай (??), 15:44 , 03-Мрт-21, (123) –1 // Причин может быть коллосальное множество так что рецепта не дадим ибо диагноз не, Последний из могикан (?), 16:42 , 03-Мрт-21, (138) –1 Попробуйте утилиту systemd-analysis Она может показать что долго запускается , Аноним (31), 22:39 , 04-Мрт-21, (269) Плохо что-ли Хорошо , Аноним (128), 15:57 , 03-Мрт-21, (128) Опять загрузчик GRUB атакуют, чтобы свои буткиты пихать Напомню, что согласно с , Аноним (131), 16:11 , 03-Мрт-21, (131) +1 // https www gnu org software grub manual grub grub html Using-digital-signatures, Аноним (169), 16:53 , 03-Мрт-21, (147) –1 Тут в коментариях столько экспертов что нужно провести разъяснительную работу,, Арчевод (?), 16:37 , 03-Мрт-21, (136) –7 // Зри в корень Ставиш libreboot и этим рубишь гордиев узел Не хочешь-ну затыкай с, Последний из могикан (?), 16:44 , 03-Мрт-21, (141) // Это если железка поддерживает А если нет как оно бывает в большинстве случаев , Арчевод (?), 16:48 , 03-Мрт-21, (145) –1 // значит придёться смириться, что где-то там на железе крутится полноценная ось , Аноним (-), 17:44 , 03-Мрт-21, (178) +2 Это всё очень плохо, но я предпочитаю защищиться от реальных угроз для чего Sec, Арчевод (?), 18:18 , 03-Мрт-21, (187) +1 Как говорится, безопасность бывает только 2 уровней - high и нехай , Аноним (-), 03:41 , 06-Мрт-21, (317) А systemd-boot, тем более, не нужен , Аноним (355), 17:01 , 03-Мрт-21, (152) // Только потому что у него в имени есть systemd К сведению всех systemd-хейтеров,, Арчевод (?), 18:51 , 03-Мрт-21, (191) –1 Это очень хорошо и необходимо для Integrity Меня беспокоит вопрос отсутствия в с, Аноним (169), 17:10 , 03-Мрт-21, (156) // Многие прошивки позволяют выбирать устройство для загрузки и без GRUB а , Аноним (112), 17:21 , 03-Мрт-21, (170) // Мне не надо выбор загрузочного устройства Мне надо бутнуть ISO образ LiveCD DVD , Антним (?), 17:37 , 03-Мрт-21, (175) GRUB2 может бутнуть ISO образ с LiveCD DVD даже по сети , Антним (?), 17:38 , 03-Мрт-21, (176) А, понял, неправильно прочитал исходное сообщение , Аноним (112), 17:41 , 03-Мрт-21, (177) во-во вот что нужно обсуждать, а не столько функционал уефи и какие-то там фичи, Аноним (-), 17:50 , 03-Мрт-21, (179) +4 // Вообще-то на совсеменных платах для этих целей есть TPM Проблема не в том, что , Арчевод (?), 18:43 , 03-Мрт-21, (190) –1 Чего экономии Надо всего отвести однy дорожку от контакта 1 SPI flash, другую д, Аноним (243), 07:17 , 04-Мрт-21, (243) При том это еще один проц с мутной блобварью Которому предлагается доверять все, Аноним (-), 03:42 , 06-Мрт-21, (318) На чипсетах Intel, UEFI и его ключи защищены Корневым ключом платформы который, Аноним (243), 07:29 , 04-Мрт-21, (244) +1 Вашим То есть я могу добавить туда свой ключ Но тогда и злоумышленник может , Аноним (309), 22:43 , 04-Мрт-21, (271) уже нет, если ты свой добавил правильно уже нет, если только ты не соберешь себе, пох. (?), 17:52 , 05-Мрт-21, (302) А правильно 8212 это как Как это сныкан Он ещё не добавлен же Почему я могу , Аноним (309), 20:58 , 05-Мрт-21, (308) Да, замечание верное Кстати, болта в хромбуках нет уже несколько лет - использу, Арчевод (?), 18:02 , 03-Мрт-21, (183) –1 boot на корневом разделе, который зашифрован LUKS Ни один загрузчик кроме grub, BSD_Cuck_BTFO (?), 17:29 , 03-Мрт-21, (172) –2   // Такое реально сделать и с загрузкой через EFISTUB Подписанные ядро и initramfs , Аноним (112), 17:31 , 03-Мрт-21, (174) +1   // Могут А что, если сами ядро и initramfs находятся на зашифрованном разделе Вот, BSD_Cucks_BTFO (?), 17:54 , 03-Мрт-21, (180)   А зачем Все равно что-то должно быть не зашифровано - либо GRUB, либо ядро В ч, Аноним (112), 18:00 , 03-Мрт-21, (182)   Ну либо у вас только один EFI-раздел где только один грубовский efi-executable , BSD_Cucks_BTFO (?), 18:05 , 03-Мрт-21, (184)   В моем случае на EFI-разделе лежит всего один файл - ядро initramfs параметры ко, Аноним (112), 18:16 , 03-Мрт-21, (186) +1   Так а при каждом обновлении ядра переподписывать выходит надо , Аноним (31), 22:47 , 04-Мрт-21, (273)   И при каждой смене параметров А если обновился, и новое ядро не грузится, то хре, Аноним (309), 22:58 , 04-Мрт-21, (275)   При кооперативном boot loader в SPI флехе может быть в принципе шифровано вообще, Аноним (-), 03:44 , 06-Мрт-21, (319)   Как уже сказали выше, efi раздел всё-равно остаётся незашифрованным Так что пра, Арчевод (?), 18:16 , 03-Мрт-21, (185) +2   Ого, круто Про unified kernel image не знал Спасибо за инфу , BSD_Cucks_BTFO (?), 18:23 , 03-Мрт-21, (188) +2   Чувак ты не прав 1 ГУАШ секурбут это плохо, ибо приколочем к ключам МС, которая, Аноним (209), 20:18 , 03-Мрт-21, (209) –4 // Каким образом Без уязвимостей в прошивке такое сделать довольно проблематично Ос, Аноним (112), 21:58 , 03-Мрт-21, (222) Хорошо для чего Или от чего От какой угрозы она должна меня защитить , Аноним (309), 00:05 , 04-Мрт-21, (228) // https en wikipedia org wiki Evil_maid_attack, Арчевод (?), 05:18 , 04-Мрт-21, (240) // А конкретнее Например, под это описание подходит аппаратный кейлоггер, записываю, Аноним (309), 05:35 , 04-Мрт-21, (241) +1 Причем здесь кейлогер Integrity это верификация аутентичности и целостности загр, Аноним (248), 09:40 , 04-Мрт-21, (248) Был вопрос От какой угрозы она должна меня защитить Кинули ссылку По ссылке , Аноним (309), 22:43 , 04-Мрт-21, (272) https www opennet ru openforum vsluhforumID3 123444 html 244Где в этом процесс, Аноним (248), 09:45 , 04-Мрт-21, (249) Задача SecureBoot это защита от подмены встраивания вредоносного кода в процесс , Арчевод (?), 22:36 , 04-Мрт-21, (268) Позволит, конечно Иначе было бы невозможно переустановить ОС, ведь загрузчик пр, Аноним (309), 23:07 , 04-Мрт-21, (276) Нет Её и невозможно переустановить без отключение SecureBoot - ничего просто не, Арчевод (?), 00:43 , 05-Мрт-21, (280) Опасная затея В случае проблем например после апдейта система не грузится ис, Аноним (309), 00:58 , 05-Мрт-21, (281) Можно проще Без Yubikey-я и SecureBoot-а Просто шифруем ВЕСЬ диск LUKS-ом А за, Аноним (309), 02:10 , 05-Мрт-21, (282) +1 Флешка плохая замена Yubikey, потому что Yubikey нельзя скопировать, его можно т, Арчевод (?), 06:15 , 05-Мрт-21, (294) Можно не копировать На ней просто стандартный загрузчик, как на live-диске убун, Аноним (309), 16:10 , 05-Мрт-21, (299) Ну, не копировать, а подменить на затрояненный с кейлоггером И нет, это не надё, Арчевод (?), 02:18 , 06-Мрт-21, (310) Нет, он гарантирует лишь то, что загрузчик подписан ключами из UEFI Но там мо, Аноним (309), 08:46 , 06-Мрт-21, (325) Скрыто модератором, msgod (ok), 16:45 , 03-Мрт-21, (142) –1 // Скрыто модератором, kusb (?), 19:27 , 03-Мрт-21, (197) –4 // Скрыто модератором, kusb (?), 21:52 , 03-Мрт-21, (220) А вот ещё какой вопрос, немного не к месту, но всё-таки Есть UEFI для BIOS, прос, kusb (?), 19:47 , 03-Мрт-21, (204) –2 // Нет никакого uefi для bios Это вообще понятия из разных веков У тебя в голове, пох. (?), 19:51 , 03-Мрт-21, (207) // Я поумнее тебя буду , kusb (?), 20:42 , 03-Мрт-21, (211) –2 // Кто у нас самозванец , kusb (?), 21:56 , 03-Мрт-21, (221) Не спорю В чём А вообще - конечно обидно Uefi для биос это DUET И я скорее не , kusb (?), 22:01 , 03-Мрт-21, (223) –1 // хотя бы почитать, что такое uefi, как устроен, и что такое биос uefi к basic in, пох. (?), 22:39 , 03-Мрт-21, (224) пох, оппонент косноязычен но ключевое слово назвал Читать здесь http www rodsb, RM (ok), 01:18 , 04-Мрт-21, (230) и еще https wiki archlinux org index php Clover, RM (ok), 01:30 , 04-Мрт-21, (234) оппонент, похоже, слышал звон, но не понял, что он - об эмуляторе uefi прошлого , пох. (?), 10:09 , 04-Мрт-21, (252) Я про эмулятор UEFI и говорил, я же там задавал вопрос про обратный эмулятор, то, kusb (?), 17:21 , 04-Мрт-21, (264) Не факт что такое есть Но наверное при сильном желании можно что-то напоминающе, Аноним (-), 04:42 , 06-Мрт-21, (321) Вообще-то есть Минимальные затычки времени бутлоадера, предоставляющие EFI ser, Аноним (-), 03:52 , 06-Мрт-21, (320) Это г но еще и уязвимо не удивили, Аноним (-), 19:53 , 03-Мрт-21, (208) +2 // это ты про grub Ну да, ничего удивительного Как им таким ms доверила свои ключ, пох. (?), 20:55 , 03-Мрт-21, (212) –1 // grub2 хотя откуда школьнику знать о grub, Аноним (-), 09:47 , 04-Мрт-21, (250) me до сих пор не понимает, какие преимущества для просто пользователя дает этот, Аноним (216), 21:25 , 03-Мрт-21, (216) // простому пользователю не нужен никакой uefi Кнопку нажимаешь, немножко ждешь, г, пох. (?), 22:56 , 03-Мрт-21, (226) +1 Это фича , Аноним (218), 21:38 , 03-Мрт-21, (217) опять сишные дырени ну сколько можно , Аноним (227), 23:14 , 03-Мрт-21, (227) –2 // А что такого , Аноним (327), 14:14 , 06-Мрт-21, (329) Что за паника и ересь на ровном месте Баг в grub-е Значит, даже если мы хотим п, Аноним (309), 00:16 , 04-Мрт-21, (229) –1 // Хакеры могут использовать старые shim и grub, наверное, они же подписаны , kusb (?), 03:49 , 04-Мрт-21, (238) // Использовать для чего Хакеры могут и свой ключ в UEFI прописать, как тут в ком, Аноним (309), 05:01 , 04-Мрт-21, (239) // Ты ничего не понял Новые версии системы протроянили Задача заставить пользоват, Аноним (243), 07:04 , 04-Мрт-21, (242) –1 только если ты полный лох и оставил его доступным для записи При включенном tpm, пох. (?), 09:58 , 04-Мрт-21, (251) Опять пофантазирую Тогда лучше все сторонние и тоже потенциально опасные ключи , kusb (?), 13:48 , 04-Мрт-21, (263) А если система сломалась и не грузится, то всё, приехали Загрузиться с live-дис, Аноним (309), 22:57 , 04-Мрт-21, (274) С TPM - да, конечно Иначе кто-то левый тебе с диска с убунточкой загрузится С, пох. (?), 23:09 , 04-Мрт-21, (277) Ну да Есть аппаратное шифрование диска Оно гарантирует целостность И работает, Аноним (309), 00:10 , 05-Мрт-21, (278) вообще-то хер его знает, чего оно там гарантирует Пару раз уже оказывались таки, пох. (?), 08:18 , 05-Мрт-21, (297) Смотря на что ксорить Шифрование 8212 это довольно часто ксор Например, в A, Аноним (309), 16:24 , 05-Мрт-21, (301) Да я не о том Я имею ввиду откуда вообще столько беспокойств Ну нашли баг в гру, Аноним (309), 00:36 , 05-Мрт-21, (279) Тебе что непонятно в системе с trusted keys Переподписать можно - но с тем же у, пох. (?), 08:11 , 05-Мрт-21, (296) А зачем тебе для этого старая версия груба Откуда вообще беспокойства по поводу, Аноним (309), 16:15 , 05-Мрт-21, (300) Безопасный Secure Boot говорили они 8230 Как говорится на Microsoft надейся, а , fuggy (ok), 02:24 , 04-Мрт-21, (235) –2 // Да, безопасность превращается в тыкву если один из подписанных загрузчиков можно, kusb (?), 17:26 , 04-Мрт-21, (265) груб был успехом с удовольствием свитчились с лило синтаксис, красота конфига,, олдфаг (?), 09:09 , 04-Мрт-21, (245) +2 // grub2 придуман неосиляторами sed и человекочитаемых конфигов, что ты от них хоте, пох. (?), 10:11 , 04-Мрт-21, (255) +3 // gummiboot хватит для всех , n00by (ok), 12:29 , 04-Мрт-21, (262) Именно, вот тебе и двойка в названии - а г нище редкостное , Аноним (351), 15:18 , 08-Мрт-21, (351) +1 // Именно Эффект второй системы в чистейшем и незамутнённомThe second-system effe, олдфаг (?), 09:29 , 09-Мрт-21, (352) Как это мне удержаться и не заржать так сильно, что аж вселенная могла бы тресну, Ананоним (?), 22:13 , 04-Мрт-21, (267) дяденька Red Hat, а это точно уязвимость , Аноним (283), 02:13 , 05-Мрт-21, (283) У кого-нибудь были сомнения что СерураБУТ - и есть дыра в безопастности Чем про, Аноним (295), 07:15 , 05-Мрт-21, (295) ох ительная безопасность которую можно обойти загрузившись со старой версией заг, Аноним (348), 17:56 , 07-Мрт-21, (348) // Можно и с новой подписанной версии загрузиться Не понимаю, откуда вся эта паника, Аноним (309), 00:34 , 08-Мрт-21, (349) 1,2,4,6,10,12,16,17,18,24,29,33,37,39,45,46,48,51,56,58,65,69,73,83,91,111,117,123,128,131,136,204,208,216,217,227,229,235,245,267,283,295,348

Сообщения

[Сортировка по времени | RSS]

	172. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	–2 +/–
	Сообщение от BSD_Cuck_BTFO (?), 03-Мрт-21, 17:29
	>Есть ли здесь те, кто использует grub не потому, что он вместе с дистром поставился, а осознанно, для решения какой-то конкретной задачи - поделитесь /boot на корневом разделе, который зашифрован LUKS. Ни один загрузчик кроме grub'a не умеет расшифровывать luks разделы.
	Ответить | Правка | К родителю #136 | Наверх | Cообщить модератору

	174. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+1 +/–
	Сообщение от Аноним (112), 03-Мрт-21, 17:31
	Такое реально сделать и с загрузкой через EFISTUB. Подписанные ядро и initramfs на EFI-разделе вполне себе могут расшифровать зашифрованный корневой раздел.
	Ответить | Правка | Наверх | Cообщить модератору

	180. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от BSD_Cucks_BTFO (?), 03-Мрт-21, 17:54
	Могут. А что, если сами ядро и initramfs находятся на зашифрованном разделе? Вот тут только GRUB поможет.
	Ответить | Правка | Наверх | Cообщить модератору

	182. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Аноним (112), 03-Мрт-21, 18:00
	> А что, если сами ядро и initramfs находятся на зашифрованном разделе? А зачем? Все равно что-то должно быть не зашифровано - либо GRUB, либо ядро. В чем преимущество оставлять именно GRUB незашифрованным? Если проблема в том, чтобы подписать и ядро, и initramfs, то их можно объединить в один файл и подписать вместе.
	Ответить | Правка | Наверх | Cообщить модератору

	184. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от BSD_Cucks_BTFO (?), 03-Мрт-21, 18:05
	>А зачем? Все равно что-то должно быть не зашифровано - либо GRUB, либо ядро. В чем преимущество оставлять именно GRUB незашифрованным? Ну либо у вас только один EFI-раздел (где только один грубовский efi-executable лежит), а всё остальное зашифровано, либо у вас и ядро, и initrd, и насторойки загрузчика лежат в голом виде. Да, можно сказать "а зачем?", но, мне кажется, что если уж замороачиваться с full disk encryption и с шифрованием вообще, то хотелось бы зашифровать как можно больше.
	Ответить | Правка | Наверх | Cообщить модератору

	186. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+1 +/–
	Сообщение от Аноним (112), 03-Мрт-21, 18:16
	В моем случае на EFI-разделе лежит всего один файл - ядро+initramfs+параметры командной строки в одном подписанном бинарнике, все остальное зашифровано. GRUB в этой цепочке просто не нужен.
	Ответить | Правка | Наверх | Cообщить модератору

	273. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Аноним (31), 04-Мрт-21, 22:47
	Так а при каждом обновлении ядра переподписывать выходит надо?
	Ответить | Правка | Наверх | Cообщить модератору

	275. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Аноним (309), 04-Мрт-21, 22:58
	> Так а при каждом обновлении ядра переподписывать выходит надо? И при каждой смене параметров! А если обновился, и новое ядро не грузится, то хрен ты переключишься на старое ядро. Удобно-же!
	Ответить | Правка | Наверх | Cообщить модератору

	319. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Аноним (-), 06-Мрт-21, 03:44
	> А зачем? Все равно что-то должно быть не зашифровано - либо GRUB, При кооперативном boot loader в SPI флехе может быть в принципе шифровано вообще все. Ну, вот, кроме spi-флехи, конечно.
	Ответить | Правка | К родителю #182 | Наверх | Cообщить модератору

	185. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+2 +/–
	Сообщение от Арчевод (?), 03-Мрт-21, 18:16
	Как уже сказали выше, efi раздел всё-равно остаётся незашифрованным. Так что правильным подходом будет зашифровать всё, оставив только efi partition. Дальше, используем такую штуку как Unified Kernel Image ( https://wiki.archlinux.org/index.php/Systemd-boot#Preparing_... ), которая позволяет запаковать ядро, initramfs, splash, коммандную строку ядра в один файл, который напрямут загружается через из EFI или посредством загрузчика типа refind. Ну и ествественно этот бинарь подписывается своим ключём, который сконфигурен в SecureBoot. Собственно всё - получаем полностью зашифрованную систему + SecureBoot с только одним незашифрованным, но подписанным файлом, в котором собственно нет никаких секретов. Понятное дело, что так как он подписан, изменить или подменить его не выйдет. Создание образа и его подписка делается автоматически при обновлении ядра или вручную, после, например, изменения командной строки ядра.
	Ответить | Правка | К родителю #180 | Наверх | Cообщить модератору

	188. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+2 +/–
	Сообщение от BSD_Cucks_BTFO (?), 03-Мрт-21, 18:23
	Ого, круто. Про unified kernel image не знал. Спасибо за инфу.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема