The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

В рамках проекта HermiTux развивается unikernel, бинарно сов..., opennews (??), 07-Апр-19, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


38. "В рамках проекта HermiTux развивается unikernel, бинарно сов..."  +/
Сообщение от Аноним (36), 07-Апр-19, 15:18 
Ты хотел сказать во время? Уязвимости как были так и остались. Ещё как минимум UEFI всякие есть и прочая проприетарщина, которая неизвестно чем занимается ещё.
Ответить | Правка | Наверх | Cообщить модератору

45. "В рамках проекта HermiTux развивается unikernel, бинарно сов..."  +1 +/
Сообщение от Аноним (40), 07-Апр-19, 15:55 
Uefi известно чем занимается, а вот Intel me вот там тайны. Но забавно что ФСБ норм компы сертифицирует с Intel me, а вот про уровень секретности не скажу потому что не помню, спросите у генерала
Ответить | Правка | Наверх | Cообщить модератору

81. "В рамках проекта HermiTux развивается unikernel, бинарно сов..."  +/
Сообщение от Аноним (74), 08-Апр-19, 11:06 
Тов. генерал, мы Вас ждём. Приоткройте нам. :)
Ответить | Правка | Наверх | Cообщить модератору

90. "В рамках проекта HermiTux развивается unikernel, бинарно сов..."  +/
Сообщение от Aliechemail (ok), 08-Апр-19, 15:20 
Потому что спец. исследование BIOS'а, с его дизассемблированием и построчным изучением результата, с проверкой того, что ты там наизучал товарищами из какого-нибудь Атласа (если речь про ФСБ), никто не отменял.

А мы вообще отгружаем с BIOS'ом, соответствующим 2НДВ МО РФ, и ME там зарезан намертво.

Ответить | Правка | К родителю #45 | Наверх | Cообщить модератору

97. "В рамках проекта HermiTux развивается unikernel, бинарно сов..."  –1 +/
Сообщение от пох (?), 09-Апр-19, 07:12 
> Потому что спец. исследование BIOS'а, с его дизассемблированием и построчным изучением
> результата,

оу... у них ТАК все плохо?
(дизассемблирование и построчное изучение современного uefi - это такое, благодатное занятие, из серии обожаемых буддистами - толку никакого, результат недостижим, но к просветлению приближает)

> А мы вообще отгружаем с BIOS'ом, соответствующим 2НДВ МО РФ, и ME там зарезан намертво.

а... тогда понятно.

(для понимания незамутненными личностями- и процессор там pentium4, не иначе. Современный без ME или его аналогов не проинитить)

Ответить | Правка | Наверх | Cообщить модератору

100. "В рамках проекта HermiTux развивается unikernel, бинарно сов..."  –1 +/
Сообщение от Aliechemail (ok), 09-Апр-19, 11:37 
> оу... у них ТАК все плохо?
> (дизассемблирование и построчное изучение современного uefi - это такое, благодатное занятие,
> из серии обожаемых буддистами - толку никакого, результат недостижим, но к
> просветлению приближает)

Безопасность - это комплекс мер. Изучение BIOS'а - одна из них. Изолированные сегменты с контролем на границах - ещё одна. А там люди хитрые сидят. Много разных мер придумали...

> а... тогда понятно.
> (для понимания незамутненными личностями- и процессор там pentium4, не иначе. Современный
> без ME или его аналогов не проинитить)

Ну я и понял, что это "незамутнённая личность - незамутнённым личностям". Потому что ME таки режется нонче даже такой штукой, как me_cleaner (см. в гугле). У ребят из coreboot'а это даже опцией идёт при сборке образа.

В рамках того же coreboot'а есть для intel sandybridge/ivybridge "native ram init", когда блоб intel MSR выкидывается и используется открытая реализация инициализации памяти. Так что при желании даже школьник может себе позволить "свободную" прошивку в свой компьютер. И не беда, если его материнка отсутсвует в списке поддерживаемых. Там в составе coreboot'а есть autoport, который матери на чипсетах 6x и 7x портирует таки с успехом, как минимум до рабочего состояния (мелочи, типа int15, конечно, придётся обязательно поправить руками).

Итак, любой желающий, при наличии мозгов и желания (больше желания, конечно), может:
1. взять материнку с intel sandybridge/ivy bridge;
2. портировать её в coreboot;
3. вырезать ME оттуда;
4. использовать "native ram init";
5. использовать VGA init из состава coreboot (libgfxinit - да, они написали свой инит для графона, который прекрасно работает на выше упомянутых процессорах);
6. получить тем самым полностью свободную прошивку (там только микрокоды процессора остаются, но тут уж ничего не поделаешь).

Самое крайнее, что может случится на выше упомянутых процессорах, при отказе от ME, - невозможность выставить номиналы четырёх задающих генераторов, которые есть в мосте (это такая опция от intel для производителей материнок, что позволяет экономить последним по центов 50 с каждой материнки). Но большинство производителей проектируют материнки опираясь на базовую частоту задающего генератора (там их четыре, повторюсь, на старте имеют определённые частоты каждый). А производители дорогих промышленных материнок обычно вообще кварцы отдельные ставят, так как они стабильней. И вот только если кто-то решил подать клок от вывода GPIO_65, например, где подаётся 33MHz, пытается заводить SuperIO, которому надо 24/48MHz, то тут могут начаться проблемы. Так как такт он настроил в ME, а мы его потушили...

Но не все материнки одинаково хороши. Впрочем... Это легко можно исправить паяльником и навесным кварцем (smd'шник, обвязку прямо на него, GPIO моста просто из native в input_low), коли не хочется покупать более подходящую мать.

Так любой желающий, кто хоть чуть-чуть готов что-то сделать, может получить рабочую машину, без intel MSR, intel ME, проприетарного vga.bin. А при наличии логического анализатора, парочки асцилов, умения читать даташиты, может себе позволить и более поздние... Впрочем я пока только Haswell осилил. В планах 170й и 310й. Но это не раньше, чем через год...

Ответить | Правка | Наверх | Cообщить модератору

101. "В рамках проекта HermiTux развивается unikernel, бинарно сов..."  +/
Сообщение от пох (?), 09-Апр-19, 20:43 
> Безопасность - это комплекс мер. Изучение BIOS'а - одна из них.

изучение пары гигабайт бинарника, возможно шифрованного, написанного на сях по преимуществу, дизассемблером - это мартышкин труд как он есть, неужели не очевидно?

> Потому что ME таки режется нонче даже такой штукой, как me_cleaner (см. в гугле)

ну так посмотрите же в гугле, что она на самом деле "режет", и на чем. И что ее полное название "tool for _partial_ deblobing".

Сейчас, благодари nsa и родственных им исследователей из рассейской секьюрити конторки, нашедших незадокументированную галочку (ну ок, на самом деле они болтали что сначала нашли то что она отключала, а потом уже расслеповали галочку в гуйне, а мы, конечно, рады верить), можно целиком отключать ту часть ME, которая работает после загрузки (точнее, отключать ту часть которая авторебутила процессор через 30 минут ее неработы) - правда, что при этом происходит с низкими power states - остается под большим вопросом, работает ли в последних интеловских платах - не проверял.

> В рамках того же coreboot'а есть для intel sandybridge/ivybridge "native ram init", когда блоб
> intel MSR выкидывается и используется открытая реализация инициализации памяти.

у него конечно "прекрасная" документация (то есть вообще никакой, автоизвлекаемый мусор из комментов в коде), но вообще-то при настройке он требовал трех блобов. Итого вы избавились от целого одного, ценой потери нормальной работы с двумя мониторами разных разрешений (насколько можно понять из беглого взгляда в эту "документацию") ? Умеет ли оно в принципе память новее ddr3 тоже осталось невыясненным.

Ответить | Правка | Наверх | Cообщить модератору

102. "В рамках проекта HermiTux развивается unikernel, бинарно сов..."  +/
Сообщение от Aliechemail (ok), 09-Апр-19, 23:07 
> изучение пары гигабайт бинарника, возможно шифрованного, написанного на сях по преимуществу, дизассемблером - это мартышкин труд как он есть, неужели не очевидно?

Порядок такой. Но это не отменяет других мер.

> ну так посмотрите же в гугле, что она на самом деле "режет", и на чем. И что ее полное название "tool for _partial_ deblobing".

Да, и она вырезает ME с 5.7МБ до >100КБ. Так бодро, что потом ME вообще никак ни с чем не общается. Даже клоки на плате не может выставить. Очень успешно, надо отметить.

> у него конечно "прекрасная" документация (то есть вообще никакой, автоизвлекаемый мусор из комментов в коде), но вообще-то при настройке он требовал трех блобов.

Эмм... Native Ram Init требует блобов? Вы точно ознакомились, перед тем, как писать это, с предметом обсуждения? На втором/третьем поколении он ПОЛНОСТЬЮ закрывает в данный момент вопрос инициализации памяти. И если в 4.3 были ещё ограничения (типа невозможности юзать LPDDR3), то сейчас всё огонь. И да, это не касается четвёртого поколения. Там intel FSP в полный рост в coreboot'е.

И да, кто сказал, что код инициализации памяти должен быть досконально документирован? Там же килотонны последовательного взбадривания сначала регистров, потом линий и банков. И так, пока не отколлибрует тайминги... Не ясно, зачем там подробная документация.

>  Итого вы избавились от целого одного, ценой потери нормальной работы с двумя мониторами разных разрешений (насколько можно понять из беглого взгляда в эту "документацию") ?

Причём тут raminit? Он работает. Мониторы работают. Всё огонь. Может вы имели ввиду libgfxinit? Так он тоже работает... Не понятно...

И вот, внезапно, оказывается, что ME зарублен, память не требует блобов для инициализации, даже vga.bin выкинут... А что это значит? А это значит, что уровень оналитеги имени opennet'овских специалистов по скоростному гуглению снова подтверждён. Занавес!

PS: в предыдущем сообщении читать Intel MSR как Intel MRC. MRC - их блобный инит для памяти, MSR - базовые регистры чипсета. Очепятка...

Ответить | Правка | Наверх | Cообщить модератору

63. "В рамках проекта HermiTux развивается unikernel, бинарно сов..."  –1 +/
Сообщение от AnonPlus (?), 07-Апр-19, 20:24 
Скажем прямо, домашнему пользователю на Spectre и Meltdown плевать. Или у вас дома крутится сервер, на котором одновременно работает куча пользователей? А в браузерах защиту сделали, перекрыли единственный реальный вектор атаки на хоум-юзеров.
Ответить | Правка | К родителю #38 | Наверх | Cообщить модератору

73. "В рамках проекта HermiTux развивается unikernel, бинарно сов..."  +1 +/
Сообщение от Биарей Гиесс и Котт (?), 08-Апр-19, 00:16 
И hermitux ему не нужен.
Ответить | Правка | Наверх | Cообщить модератору

83. "В рамках проекта HermiTux развивается unikernel, бинарно сов..."  –1 +/
Сообщение от пох (?), 08-Апр-19, 11:32 
> И hermitux ему не нужен.

А он и не будет знать о том, что этот хренотух у него в вумномтелевизоре, вумномхолодильнике и шибковумном замке на входной двери, устроивших вечеринку для грабителей.

Ответить | Правка | Наверх | Cообщить модератору

79. "В рамках проекта HermiTux развивается unikernel, бинарно сов..."  +/
Сообщение от Аноним (74), 08-Апр-19, 10:58 
Spoiler софтовым способом заворкарраундить нельзя.

PS Да и эта фиговая, как бы, защита, что там в браузерах сделали, лично у меня, вызывает сомнение.

Ответить | Правка | К родителю #63 | Наверх | Cообщить модератору

88. "В рамках проекта HermiTux развивается unikernel, бинарно сов..."  +/
Сообщение от Аноним (88), 08-Апр-19, 14:31 
Как раз таки он мало интересен на однопользовательском сервере выделенном под какую-нибудь задачу (nas, шлюз). И то до первого "вторжения". А на домашнем компе есть браузеры и всякая приприетарь, и что хуже - тут ещё вопрос.
Ответить | Правка | К родителю #63 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру