Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI Secure Boot, opennews (??), 03-Мрт-21, (0) [смотреть все] Патрик как чувствовал, оставив просроченный лило , Аноним (1), 11:42 , 03-Мрт-21, (1) +27 // Там елило для уефи насколько помню Лучше конечно просто ядро пересобрать со стю, Аноним (20), 12:09 , 03-Мрт-21, (20) +2 // Расслабьтесь, гуляет буткит подписаный валидным MSовским ключом Ключ отзывать н, Аноним (-), 16:44 , 03-Мрт-21, (140) +1 // Выколупывается ключ MS практически на всех современных фирмварях проще некуда, и, Аноним (193), 19:10 , 03-Мрт-21, (193) +1 Это как бы не регламентировано никакими стандартами и это может сделать полтора , Аноним (-), 05:35 , 05-Мрт-21, (284) +1 Нафига на UEFI отдельный загрузчик efistub жеж Или refind на худой конец жеж , asdasd (?), 12:10 , 03-Мрт-21, (22) +1 // Но принципиально refind все равно проверяется shim ом, и если там будут уязвимос, Анонимленьлогиниться (?), 15:10 , 03-Мрт-21, (110) +1 // Куишечка, уважаемый Обделаться можно не только и не столько с буферами, хоть эт, Анон123 (?), 16:27 , 03-Мрт-21, (134) +7 Зачем shim refind-у Лень свои ключи что ли прописать и забыть про shim как стра, Арчевод (?), 16:45 , 03-Мрт-21, (143) –1 Разве что свои ключи прописать, а чужие удалить все к чертям, если всякие MSовск, Аноним (-), 16:48 , 03-Мрт-21, (146) Если ключи прописывать, так и взять последний grub2 без дыр не проблема А при тр, Stax (ok), 19:20 , 03-Мрт-21, (195) Понимаешь ли, хакер всегда может взять старый GRUB подписаный вон тем правильным, Аноним (-), 05:37 , 05-Мрт-21, (285) Не может Потому что если это изначально мой ключ и только он присутствует в био, Stax (ok), 13:16 , 08-Мрт-21, (350) Взбрыкнет у тебя новый кернел, допустим - и дальше чего В grub выбрать старый , Аноним (-), 16:47 , 03-Мрт-21, (144) –2 // Взбрыкнет кернел - загружаемся с liveusb и чиним, это бывает раз в десять лет Е, Аноним (193), 19:20 , 03-Мрт-21, (194) +1 Ага, при этом мы обнаруживаем что ключи мудасофта уже выпилили а свой собс, Аноним (-), 05:39 , 05-Мрт-21, (286) А у меня livecd liveusb и устанвливается старое ядро Или если уж так не хочетс, saasd (?), 09:37 , 04-Мрт-21, (247) Попробуй удалить ключи майкрософта как тут некоторые советуют, как раз и узнаешь, Аноним (-), 05:40 , 05-Мрт-21, (287) В биосе разве секурбут не отключается , Аноньимъ (ok), 15:34 , 05-Мрт-21, (298) Смотря где На маздайных планшетках может и не отключаться Ну, и вот как раз и , Аноним (-), 03:13 , 06-Мрт-21, (311) Позволяет обойти зонд от M - разве это не преимущество , Аноним (-), 12:12 , 03-Мрт-21, (23) +47 // Плюсую , Fractal cucumber (??), 13:00 , 03-Мрт-21, (57) Почему это зонд от MS Его же вполне себе можно настраивать на свое усмотрение, Аноним (81), 14:01 , 03-Мрт-21, (81) // Вот это воткак бы намекает , AlexYeCu_not_logged (?), 14:41 , 03-Мрт-21, (99) +2 Никто не запрещает подписать shim своим ключом и добавить его в UEFI Просто так, Аноним (103), 14:47 , 03-Мрт-21, (103) –1 Вот это воткак бы намекает , AlexYeCu_not_logged (?), 15:04 , 03-Мрт-21, (107) –1 Это не проблема Secure Boot, а просто мледует из того факта, что на большинстве , Аноним (112), 15:14 , 03-Мрт-21, (112) –1 Ну да, еще скажи что boot guard - случайность, а ME и PSP - забытые дебаговые ф, Аноним (-), 16:57 , 03-Мрт-21, (149) +1 Прикинь, именно так 171 злые умыслы 187 и выглядят , AlexYeCu_not_logged (?), 21:04 , 03-Мрт-21, (215) +1 хайли лайкли , ананим.orig (?), 01:20 , 04-Мрт-21, (231) Очень наивно полагать, что нет злого умысла Любая большая корпорация работает с, Аноним (257), 10:44 , 04-Мрт-21, (257) 1 Настраивать можно ровно столько сколько позволит и сумеет фирмваре 2 Это воо, Аноним (-), 16:56 , 03-Мрт-21, (148) +1 А есть железо, которое не позволяет добавлять свои ключи и удалять ключи от Micr, Аноним (112), 17:13 , 03-Мрт-21, (161) –1 Есть даже ноуты которые позволяют на выбор грузить только рхел и восьмерку Или , Аноним (288), 05:50 , 05-Мрт-21, (288) +1 Видишь ли, в данном случае это не зонд, а просмоленный чопик , YetAnotherOnanym (ok), 15:14 , 03-Мрт-21, (113) shim это workaround с плохим использованием Secure Boot Все делается легко, куч, Синдарин (?), 13:26 , 03-Мрт-21, (66) +9 // Под убунту для хомяков ещё проще Убунта 20 04 детектит включённый Secure Boot,, Синдарин (?), 13:32 , 03-Мрт-21, (70) +7 // Многие bios-ui для совсем ленивых - вообще умеют тупо генерить сигнатуры скармли, Синдарин (?), 13:40 , 03-Мрт-21, (75) +3 Опять же в Ubuntu для ленивых вообще сделали update-secure-policyутилита в стил, Синдарин (?), 13:43 , 03-Мрт-21, (77) +1 А ты типа умеешь в безопасТность Мутный блобик тебе что-то там пообещал, не заб, Аноним (-), 17:00 , 03-Мрт-21, (150) +1 В теории - на компьютерах предприятия - может быть В жизни на типичных десктопах, Анонимленьлогиниться (?), 15:15 , 03-Мрт-21, (114) +1 // Юзеры нвидии должны страдать , Аноним (-), 17:00 , 03-Мрт-21, (151) Гм А не странная у вас логика Тогда уже пользователи линукса должны страдать , Анонимленьлогиниться (?), 18:57 , 05-Мрт-21, (303) Логика простая - никто никому ничего не должен Если кому-то что-то не нравится,, Аноним (-), 03:18 , 06-Мрт-21, (312) Уязвимости компрометируют секюрбут, так што при помощи груба уязвим и лило и даж, такаяштука (?), 14:19 , 03-Мрт-21, (89) +1 // Да там еще раньше мсовские ключи скомпрометированы были, только отзывать их никт, Аноним (-), 17:10 , 03-Мрт-21, (157) в топку этот проприетарный уефи, для него токмо легаси режим, Леголас (ok), 11:43 , 03-Мрт-21, (2) +17 // Ну так биосы тоже проприетарные , Аноним (30), 12:18 , 03-Мрт-21, (30) +5 // у биосов нет секурных стартов, новость-то об уязвимости в таком, Леголас (ok), 12:27 , 03-Мрт-21, (42) +2 // Шило, мыло, жепь, ебрило UEFI хотя бы более открытый чем BIOSы А по сути, секур, InuYasha (??), 12:39 , 03-Мрт-21, (53) +8 Слабоумие и отвага , Синдарин (?), 13:46 , 03-Мрт-21, (79) Самокритично, чо Доверить самое критичное секурити мутному проприетарному блобв, Аноним (-), 17:02 , 03-Мрт-21, (153) +6 Как минимум одному анониму с опеннета он нужен, чтобы его подписанный загрузчик , Аноним (103), 14:53 , 03-Мрт-21, (105) Как бы, и да , но в нынешнем виде это работает только на M А вообще, имхо, от, InuYasha (??), 17:11 , 03-Мрт-21, (159) +1 Почему К нижним кольцам ты не сможешь просто доступ получить при наличии Secure , Аноним (112), 17:16 , 03-Мрт-21, (165) –1 Ну, вообще-то, все зависит от того у кого ключи от замка И таки lockdown не оч, Аноним (288), 05:52 , 05-Мрт-21, (289) Ну так SB и был создан для того чтобы тупо запретить устанавливать чтоли бо кро, Kuromi (ok), 16:06 , 03-Мрт-21, (130) +1 Вот, да Подозрение такое есть Особенно учитывая что уже есть secureboot-only-у, InuYasha (??), 17:14 , 03-Мрт-21, (162) Это конечно же не так Потребность в системе защиты имеет быть весьма широко вост, Анонимный Алкоголик (??), 03:29 , 04-Мрт-21, (237) Да И как мне вон тот баг в системном фирмваре починить Что-то не вижу сорца на, Аноним (-), 17:11 , 03-Мрт-21, (158) Ты понимаешь, что ты пишешь В биосе такой функциональности ВООБЩЕ нет Там можн, Аноним (60), 13:05 , 03-Мрт-21, (60) –1 А что мешает мне загружать в UEFI в грабе или даже в винде трояна само собой , Аноним (82), 14:02 , 03-Мрт-21, (82) +2 отличается тем, что вирусы не смогут это сделать, для чего собственно и придуман, Аноним (119), 15:37 , 03-Мрт-21, (119) –2 Именно поэтому буткиты нынче подписаны легитимным MSовским ключом, отзывать кото, Аноним (-), 17:03 , 03-Мрт-21, (155) +2 1 Что-то будет загружено пользователем в интерактивном режиме Проверка подписи , kusb (?), 19:36 , 03-Мрт-21, (200) Что за бред Какой пользователь И какая разница что будет думать какой-то польз, Анонимный Алкоголик (??), 02:33 , 04-Мрт-21, (236) +1 Разве легаси режим не через эту же прошивку работает , Аноним (20), 12:22 , 03-Мрт-21, (36) +1 // см выше, 42, Леголас (ok), 12:28 , 03-Мрт-21, (43) // То есть проприетарный биос лучше проприетарного уефи , Аноним (55), 12:46 , 03-Мрт-21, (55) +1 Да, он по крайней мере не навязывал с какой фс грузиться Теоретически, конечно,, Аноним (-), 17:13 , 03-Мрт-21, (160) Последнее время, что-то часто стали попадаться платы, где legacy тупо недоступен, llolik (ok), 12:35 , 03-Мрт-21, (49) +1 // Здравствуйте, я ваша тётя Так вроде бы в прошлом году если не раньше Интел , ryoken (ok), 13:27 , 03-Мрт-21, (67) // Ну вот, видимо, от воплей перешли к реализации , llolik (ok), 13:36 , 03-Мрт-21, (72) ничего подобного, в Asus MSI Gigabyte все работаетнапример MSI A320M-A PRO Gigab, anon14 (?), 14:22 , 03-Мрт-21, (90) // у меня ноут asus, купленный лет 5 назад, там только uefi из ноутов, которые куп, бедный буратино (ok), 15:41 , 03-Мрт-21, (120) +1 dell latitude e6430достойный ноут, ivy bridge core i5 i7, выключается, vasya (??), 17:18 , 03-Мрт-21, (167) А зачем вам включать CSM В режиме CSM не только секьюр бут отваливается который, Stax (ok), 19:31 , 03-Мрт-21, (199) +1 О новый дивный мир привет из 1984 года , Аноним (154), 17:03 , 03-Мрт-21, (154) +1 в топку так в топку, а толку от этого НОЛЬ, ибо легаси биос точно такой же пропр, Аноним (-), 14:26 , 03-Мрт-21, (92) +4 Не надо путать secure boot и uefi Secure boot - это фича, которую можно не испол, Аноним (206), 19:49 , 03-Мрт-21, (206) На некоторых новых и даже не очень, пару лет назад выпущенных материнских плат, Kuromi (ok), 23:27 , 02-Апр-21, (354) Скрыто модератором, Урри (ok), 11:43 , 03-Мрт-21, (3) +20 // Скрыто модератором, Аноним (55), 11:47 , 03-Мрт-21, (8) Скрыто модератором, Леголас (ok), 11:48 , 03-Мрт-21, (9) Скрыто модератором, КО (?), 11:54 , 03-Мрт-21, (13) +1 Скрыто модератором, пох. (?), 11:59 , 03-Мрт-21, (14) –2 Скрыто модератором, Аноним (19), 12:09 , 03-Мрт-21, (19) +1 Скрыто модератором, Ильф (?), 19:26 , 03-Мрт-21, (196) К слову о необходимости скуд для стоек доступа в цод и обеспечения физ беза в пр, Аноним (4), 11:43 , 03-Мрт-21, (4) –5 // Тут, думаю, скорее не вина даже -- а совершенно безумная надежда на то, что запр, Michael Shigorin (ok), 10:09 , 04-Мрт-21, (253) +1 // Старость , Аноним (259), 11:18 , 04-Мрт-21, (259) –1 Сменив на нечто, где даже система команд не документированная и компилер проприе, Аноним (288), 05:55 , 05-Мрт-21, (290) Скрыто модератором, Fracta1L (ok), 11:44 , 03-Мрт-21, (5) –4 // Скрыто модератором, Фракта1л (?), 13:40 , 03-Мрт-21, (74) +7 // Скрыто модератором, Синдарин (?), 13:49 , 03-Мрт-21, (80) +7 Скрыто модератором, Аноним (218), 21:40 , 03-Мрт-21, (218) +1 А писали бы на C , такого бы не произошло в принципе Язык С давно уже нужно пр, Аноним (6), 11:46 , 03-Мрт-21, (6) –26 // Эм, это потому что для C каждые три года не выходит новый стандарт с кучей новых, Леголас (ok), 11:49 , 03-Мрт-21, (11) +13 // А зачем пищать Без этого не компилится , Аноним (25), 12:15 , 03-Мрт-21, (25) –2 // метафора не, не слышал, Леголас (ok), 12:17 , 03-Мрт-21, (28) +1 Сарказм не, не слышал, Аноним (25), 12:21 , 03-Мрт-21, (34) –4 как писал анон не так давно в каком-то треде вас тут хрен разберешь, сарказм ил, Леголас (ok), 12:26 , 03-Мрт-21, (40) +7 Это не сарказм, это неумение читать , Michael Shigorin (ok), 10:10 , 04-Мрт-21, (254) Затем, что vi , некая_ычанька (?), 13:08 , 03-Мрт-21, (61) –1 Язык Си - универсальный Хочешь - пишешь безопасно, хочешь - пишешь небезопасно , Урри (ok), 12:16 , 03-Мрт-21, (26) +7 // На си нет режима безопасно Есть только по долбое ски и по идиотски , т к , Anonim (??), 14:43 , 03-Мрт-21, (100) –8 // у вас в слове Python шесть ошибок Ну или в слове Rust четыре , Урри (ok), 17:14 , 03-Мрт-21, (163) +7 Есть, но может задолбать не меньше чем ада адовиков-затейников безопасно уронивш, Аноним (288), 05:56 , 05-Мрт-21, (291) А Rust ещё универсальнее Пишешь, пишешь - и всё напрасно , Аноним (355), 11:41 , 09-Июн-21, (355) Давно пора признать устаревшими евровилки, uk вилки и прочие давно существующие , ixrws (??), 12:19 , 03-Мрт-21, (32) +5 // Вчера втыкал евровилку себе в ногу, чуть не отстелил Славо богу я съел недозрев, Аноним (213), 21:01 , 03-Мрт-21, (213) +2 // 2 чая уже можно не подавать , jfdbngh (?), 10:57 , 04-Мрт-21, (258) 10 кВ тебе прямо в квартиру , Аноним (355), 11:43 , 09-Июн-21, (356) ЗАДАЧА Прострелить себе ногу C Вы простреливаете себе ногу C Вы случайно со, Аноним (38), 12:25 , 03-Мрт-21, (38) –1 // , Аноним (256), 10:31 , 04-Мрт-21, (256) Начитаться о вреде С и пойти почитать про хруст, ничего не понять но считать что, Аноним (-), 11:57 , 11-Мрт-21, (353) +1 Скрыто модератором, neAnonim (?), 11:46 , 03-Мрт-21, (7) +5 Если позволяет обойти не нужно, то это даже хорошо , Аноним (10), 11:48 , 03-Мрт-21, (10) +7 // Почему бы просто не отключить Secure Boot в настройках BIOSа, раз не нужно , Аноним (112), 17:17 , 03-Мрт-21, (166) +2 // Читай выше по треду, не везде такая опция есть , Аноним (327), 13:58 , 06-Мрт-21, (327) Время идёт, а линукс в использование TPM и trusted boot, все так же не умеет, но, Аноним (12), 11:52 , 03-Мрт-21, (12) // Вот как мс откроет свой загрузчик, там и будем посмотреть Чую печенкой там дыр , Аноним (15), 12:07 , 03-Мрт-21, (15) +4 // Зачем открывать Или безопасность через закрытость вдруг стала работать Если ес, Аноним (55), 12:38 , 03-Мрт-21, (52) +1 // таки да, безопасность через закрытость работает Из за того, что дыры тяжелее об, Аноним (15), 13:11 , 03-Мрт-21, (63) Пока не утечет мастерключ https www opennet ru opennews art shtml num 44950, Аноним84701 (ok), 16:03 , 03-Мрт-21, (129) +1 Нет SecureBoot хорошая и нужная вещь Выаидывай ключи M и ставь свои , Аноним (171), 17:22 , 03-Мрт-21, (171) –1 Только когда мастерключ можно самому прописать, заверив им опенсорсную реализаци, Аноним (288), 05:58 , 05-Мрт-21, (292) Boot Guard и Secure Boot решают разные задачи, да и на десктопных платах часто м, kmeaw (?), 20:21 , 05-Мрт-21, (304) Это как Насколько я помню, мастерключ однократно шьется в фузы И кто первый вс, Аноним (-), 03:30 , 06-Мрт-21, (313) Пройдись по новостям на Опеннете, выбери новости Mшcrosoft открыла код и найди, YetAnotherOnanym (ok), 15:37 , 03-Мрт-21, (118) +1 Подвижки идут, в Clevis есть планы по добавлению TPM 2 0 Authorized Policies, но, sage (??), 15:16 , 03-Мрт-21, (115) +1 // IMA EVM имеет птдержку TPM Пробовали IMA EVM без TPM и с открытием закрытым ключ, Аноним (171), 17:30 , 03-Мрт-21, (173) У GNU Linux Integrity уже есть более 10 лет https www opennet ru openforum vs, Аноним (169), 17:19 , 03-Мрт-21, (169) А чего тут удивительного Пусть Винда умеет все эти ваши TPM и trusted boot А з, Аноним (355), 11:51 , 09-Июн-21, (357) Складывается такое впечатление, что безопасники своими навороченными новшествами, Аноним (19), 12:07 , 03-Мрт-21, (16) +10 // С разморозкой вас , Последний из могикан (?), 12:22 , 03-Мрт-21, (35) +2 походу совсем не те заявленные цели они преследуют, Аноним (19), 12:27 , 03-Мрт-21, (41) +2 Чудище обло, огромно, озорно, стозевно и лайяй , трурль (?), 15:51 , 03-Мрт-21, (126) В этой ветке не хватает анонима из оупеннета, который напишет как положено А по, Аноним (213), 21:03 , 03-Мрт-21, (214) +1 Оно ради вендорлок пилилось, пусть и не полного Безопасность так, как повод , Аноним (246), 09:34 , 04-Мрт-21, (246) // Вендорлок полный не дали сделать антимонопольные органы в США и Европе Но думаю, Аноним (259), 11:24 , 04-Мрт-21, (261) // Ради DRM а и копирасии, вообще-то В идеале сделать из винды второй ифон, с уста, Аноним (288), 05:59 , 05-Мрт-21, (293) КТО использует всё это дерьмо в реальности и в полном объективном осмыслении , pin (??), 12:07 , 03-Мрт-21, (17) +2 // _некоторое_ понижение шансов, что попавший в руки других васянов ноут не получит, пох. (?), 13:41 , 03-Мрт-21, (76) +1 // -что-то последнее время мы или проигрываем или опаздываем -ну не знаю, у меня с, Аноним (-), 16:13 , 03-Мрт-21, (133) Так это не уязвимости, это фичи, секуребут как и уефи - ересь поганая, должна бы, Аноним (18), 12:08 , 03-Мрт-21, (18) +5 // формально она есть - берешь и своим ключем подписываешь то, что надо запустить, Аноним (55), 12:10 , 03-Мрт-21, (21) +1 // Ну да - ты подписываешь, а оно не грузит Потому что в железе прошит ключ майков, Урри (ok), 12:17 , 03-Мрт-21, (27) +2 // Формально она есть - берёшь и делаешь своё железо заливая туда свой ключ Видимо, Аноним (31), 12:18 , 03-Мрт-21, (31) –3 ты подписываешь, а оно грузит, потому что ты сгенерировал через openssl ключи, к, Аноним (55), 12:30 , 03-Мрт-21, (44) Буду знать, спасибо , Урри (ok), 20:23 , 03-Мрт-21, (210) Так это тоже скоро выпилятДля вашей безопасности , Аноним (246), 22:54 , 03-Мрт-21, (225) Secure Boot нужен в первую очередь крупным организациям Они просто не купят жел, kmeaw (?), 20:25 , 05-Мрт-21, (305) Для чего Организациям нужно шифрование диска Чтобы если кто-то ночью вломится и, Аноним (309), 21:00 , 05-Мрт-21, (309) - Как грубо А вот бывает прямо среди дня Какой-то неприметный сотрудник а, Алкоганон (?), 05:57 , 06-Мрт-21, (322) Вообще не понял, о чём это Средь бела дня троян в систему ставится методом запус, Аноним (309), 08:30 , 06-Мрт-21, (324) +1 А если не ставится Потому что система не разрешает запустить Да ещё сначала на, Алкоганон (?), 17:51 , 06-Мрт-21, (336) Что значит а если Вы подгоняете условие под ответ Я тоже так могу а если сис, Аноним (309), 00:01 , 07-Мрт-21, (347) Очень крутые организации договорятся, а для крестьян выпилят , Аноним (327), 14:03 , 06-Мрт-21, (328) А не будут покупать, отключим газ Пусть походят по рынку в поисках оборудован, Аноним (355), 11:58 , 09-Июн-21, (358) А в чем проблема самому загенерить свой ключ, подписать им ядро и загрузить в UE, Аноним (103), 14:13 , 03-Мрт-21, (85) Только вот вчера ночью ставил на локалхост себе арч и выбирал бутлоадер Выбрал , Аноним (31), 12:12 , 03-Мрт-21, (24) –2 // Нахрена Чем тебе efistub не нравится Пысы выбор был я так понимаю из lilo и gr, Аноним (54), 12:45 , 03-Мрт-21, (54) // Я выбирал по табличке из вики арча Там у граба были везде плюсы А stub я так п, Аноним (31), 19:40 , 03-Мрт-21, (201) +1 // Не еще одно, а ровно то, которое надо загрузить Просто так оно грузится напряму, Аноним (112), 21:51 , 03-Мрт-21, (219) Можно же EFISTUB и systemd-boot или rEFInd использовать И PreLoader для SecureB, anonymous (??), 14:15 , 03-Мрт-21, (86) +4 // Из этих слов я слышал только systemd и grub При этом про первое было куча мата, , Аноним (31), 19:42 , 03-Мрт-21, (202) +2 // Не советую брать за ориентир мнение среднестатистического опеннетовца , Последний из могикан. (?), 01:26 , 04-Мрт-21, (233) +2 systemd-boot совсем не равно systemd, edo (ok), 18:14 , 04-Мрт-21, (266) +1 Это легко решить массово и на корню просто отозвав микрософтный ключ , Аноним (31), 12:17 , 03-Мрт-21, (29) +3 A local attacker with administrative privileges or with physical access to the, Аноним (33), 12:21 , 03-Мрт-21, (33) +5 Нет слов, одни междометия Почему в языках программирования я делаю string repla, Аноним (31), 12:23 , 03-Мрт-21, (37) –2 // не шатай скрепы, смузихлеб, так наши батьки писали, деды писали, и ты пиши, Аноним (55), 12:33 , 03-Мрт-21, (47) +6 // Аминь , Последний из могикан. (?), 01:23 , 04-Мрт-21, (232) Ну и ладно Всё равно вещь бестолковая , iPony129412 (?), 12:25 , 03-Мрт-21, (39) –1 А так можно было 8857 _ 8857 , Аноним (45), 12:30 , 03-Мрт-21, (45) // Да, вот именно так удалось прописать P-state на частоту 900MHz для AMD A8-4555M , Аноним (181), 18:00 , 03-Мрт-21, (181) +1 Coreboot, Последний из могикан (?), 12:32 , 03-Мрт-21, (46) +2 // Эти тоже те ещё деятели Зачем-то откидывают поддержку железа, которое люди испо, ryoken (ok), 13:30 , 03-Мрт-21, (68) +2 // Среднестатистический пользователь должен страдать за свою глупость,лень и эгоизм, Последний из могикан (?), 14:27 , 03-Мрт-21, (93) –2 // Да ладно Железо покупать каждые два года Это как с Андроид который не обновить, Аноним (20), 14:40 , 03-Мрт-21, (98) Все верно И главное побольше нововведений как символично чтоб от соседа с его ум, Последний из могикан (?), 14:46 , 03-Мрт-21, (101) +2 Маркетолог однако , Аноним (20), 15:45 , 03-Мрт-21, (124) +2 Какая связь В чём заключается глупость, лень или эгоизм пользователя в данном с, Аноним (45), 15:49 , 03-Мрт-21, (125) 1 Глупость Отсутствие знаний Шаман сказал ему принести двух свиней чтоб он дождь, Последний из могикан (?), 16:33 , 03-Мрт-21, (135) –2 Кто-то запретил использовать те версии, в которых ещё есть поддержка этого желез, kmeaw (?), 20:26 , 05-Мрт-21, (306) dbx в прошивке обновиться автоматически Нужно ли вручную заходить в uefi и что-, Аноним (48), 12:35 , 03-Мрт-21, (48) –1 Как будто это что-то плохое , Аноним (51), 12:37 , 03-Мрт-21, (51) Мда, список таких детских CVE GRUB по-прежнему pешето , nuclight (??), 12:56 , 03-Мрт-21, (56) –4 давно такого не было и вот опять , jura12 (ok), 13:02 , 03-Мрт-21, (58) +1 Поправьте плз По сабжу - SecureBoot в печь Ну и вместо GRUB2 тогда rEFInd для , ryoken (ok), 13:22 , 03-Мрт-21, (65) –3 // На верифакапцию , n00by (ok), 14:32 , 03-Мрт-21, (96) Был же grub 0 97 и горя не знали, а теперь жду новость после обновления grub2 у, Адекват (ok), 13:31 , 03-Мрт-21, (69) –1 // Не знали, только вот он немного не умеет грузиться на компьютерах десятилетней , пох. (?), 13:44 , 03-Мрт-21, (78) +1 Все секур бут уязвимости решаются одним переключателем в прошивке Только полное, mymedia (ok), 13:37 , 03-Мрт-21, (73) +1 // Я понимаю твою точку зрения, но ты мне не нравишься Я считаю её ошибочной Гора, Аноним (54), 14:10 , 03-Мрт-21, (84) // если тайная аркадия делает ружье, то оно стреляет на 359 градусов и у пользовате, Аноним (-), 19:05 , 03-Мрт-21, (192) –1 Если ты его отключишь, то безопаснее от этого не станет Просто атакующему не , Аноним (103), 14:27 , 03-Мрт-21, (94) +3 // Ну загрузит он недоверенную ОС и загрузит Шифрованные разделы от этого не расши, Онаним (?), 14:52 , 03-Мрт-21, (104) +3 // Если подменить загрузчик он же в принципе не может быть зашифрованным , то впол, Аноним (103), 14:55 , 03-Мрт-21, (106) –1 Secure Boot внезапно от этого не защищает вообще, потому что при наличии возможн, Онаним (?), 15:04 , 03-Мрт-21, (108) +5 Что значит root-доступ Кто-то писал что не видит проблем с загрузкой недовере, Алкоганон (?), 06:31 , 06-Мрт-21, (323) Это значит, что никакой secure boot уже не важен и не интересен, поскольку сторо, Онаним (?), 09:57 , 06-Мрт-21, (326) Это без SecureBoot оно DOS имеет доступ, поскольку загрузилось своим загрузчи, Алкоганон (?), 16:24 , 06-Мрт-21, (330) Оно никуда не загружалось, оно туда в результате юзера, кликнувшего на поступив, Онаним (?), 16:33 , 06-Мрт-21, (331) Говорилось о загрузке недоверенной ОС Теперь уже поступивший счёт exe - Ну , Алкоганон (?), 17:32 , 06-Мрт-21, (332) Ты то ли читать не умеешь, то ли осмысливать, уж извини Говорилось о том, что ес, Онаним (?), 17:46 , 06-Мрт-21, (333) Так права такие потому что ОС такая загружена, недоверенная, потому что Secure B, Алкоганон (?), 18:16 , 06-Мрт-21, (338) И замок висит Амбарный , Онаним (?), 18:45 , 06-Мрт-21, (339) Ага И секуритати туда сюда прогуливаются Такие С восточными чертами , Алкоганон (?), 18:49 , 06-Мрт-21, (341) ну или Папу следует самое позднее к завтраку ждать - , Алкоганон (?), 18:52 , 06-Мрт-21, (343) если проще, secure boot - это иллюзия мнимой безопасности нет смысла менять за, Онаним (?), 17:53 , 06-Мрт-21, (337) Ага Началось Продолжение а может просто сразу в морду А если не прощ, Алкоганон (?), 18:46 , 06-Мрт-21, (340) Как ты собрался подменять загрузчик без доступа к системе А если у тебя есть дос, Онаним (?), 18:52 , 06-Мрт-21, (342) А ведь делали вид что зашифрованные разделы что-то особенного для вас , Алкоганон (?), 19:04 , 06-Мрт-21, (344) Ты серьёзно читать не умеешь Ну реально Ещё раз по буквам 1 Если есть достаточ, Онаним (?), 19:54 , 06-Мрт-21, (345) Вообще-то, через физический доступ намного проще Троян для загрузчика ещё написа, Аноним (309), 23:42 , 06-Мрт-21, (346) если проще 1 В случае root доступа secure boot уже не важен2 В случае физичес, Онаним (?), 15:09 , 03-Мрт-21, (109) +2 У людей заботящихся о своей безопасности одного пароля для расшифровки диска мал, Арчевод (?), 22:43 , 04-Мрт-21, (270) Как насчёт модулей DRAM, на которых есть немножечко логики и флеша, и которые по, Онаним (?), 17:48 , 06-Мрт-21, (334) никогда не думали, что физический доступ открывает безграничные возможности , Онаним (?), 17:49 , 06-Мрт-21, (335) Подменённый загрузчик ещё не означает расшифрованные разделы, его подменяют как , Аноним (54), 17:15 , 03-Мрт-21, (164) +2 А как именно , Аноним (121), 15:43 , 03-Мрт-21, (121) –1 // Переключателем read-only, который запрещает софтверно обновлять все важные компо, kmeaw (?), 20:29 , 05-Мрт-21, (307) // Проблема в том что хакеры ничем таким принципиально от этого админа не отличаютс, Аноним (-), 03:35 , 06-Мрт-21, (314) Некоторым конечно и ограничивать нужно, но паролем, а не подписями которые любой, Аноним (82), 15:51 , 03-Мрт-21, (127) Ну, это даже хорошая новость если подумать Лучше была бы новость только о том, , jOKer (ok), 14:10 , 03-Мрт-21, (83) –1 // Здесь скорее дырявое его использование в основных дистрибутивах и загрузка всего, Аноним (103), 14:17 , 03-Мрт-21, (88) +1 // Ну, для того надо выполнить несколько условий версия не ниже 3 13 поправьте, е, ryoken (ok), 14:28 , 03-Мрт-21, (95) +1 // Если используется ядро ниже 3 13 которое уже давно устарело или отключен EFIST, Аноним (103), 14:37 , 03-Мрт-21, (97) +3 Ну вот смотрите, 5 8 уязвимостей это манипуляции с памятью и буфером Ну если , Анон Анонов (?), 14:23 , 03-Мрт-21, (91) +1 Кому нужен этот гроб, когда ядро поддерживает EFI Stub , Аноним (111), 15:13 , 03-Мрт-21, (111) +1 А почему все сертификаты для загрузчиков надо заверять в Microsoft , village_coder (ok), 15:32 , 03-Мрт-21, (117) –1 // Потому что в чужой монастырь со своим уставом не ходят Дадада, материнская плат, YetAnotherOnanym (ok), 15:44 , 03-Мрт-21, (122) +2 Осторожная правда почему сертификаты опасны , не плохо ты понял , но не остальны, anonim234 (?), 16:12 , 03-Мрт-21, (132) Не надо SecureBoot на x86 позволяет сгеренировать и использовать свои ключи для, Арчевод (?), 16:42 , 03-Мрт-21, (139) Потому что у тебя с твоими 1 десктопов не выйдет убедить всех производителей, в, пох. (?), 17:19 , 03-Мрт-21, (168) –1 // Да они и без нас прогадили, вон даже линк на новость нашли Отзывать не будут, в, Аноним (-), 03:38 , 06-Мрт-21, (316) Потому что не надо Можешь загрузить свой ключ, почти все платформы поддерживают, Онаним (?), 18:25 , 03-Мрт-21, (189) +1 Потому что быть богом и держать всю планету за вымя - круто , Аноним (-), 03:37 , 06-Мрт-21, (315) Народ, почему долго может загружаться Линукс причем разные дистрибутивы, сначал, Николай (??), 15:44 , 03-Мрт-21, (123) –1 // Причин может быть коллосальное множество так что рецепта не дадим ибо диагноз не, Последний из могикан (?), 16:42 , 03-Мрт-21, (138) –1 Попробуйте утилиту systemd-analysis Она может показать что долго запускается , Аноним (31), 22:39 , 04-Мрт-21, (269) Плохо что-ли Хорошо , Аноним (128), 15:57 , 03-Мрт-21, (128) Опять загрузчик GRUB атакуют, чтобы свои буткиты пихать Напомню, что согласно с , Аноним (131), 16:11 , 03-Мрт-21, (131) +1 // https www gnu org software grub manual grub grub html Using-digital-signatures, Аноним (169), 16:53 , 03-Мрт-21, (147) –1 Тут в коментариях столько экспертов что нужно провести разъяснительную работу,, Арчевод (?), 16:37 , 03-Мрт-21, (136) –7   // Зри в корень Ставиш libreboot и этим рубишь гордиев узел Не хочешь-ну затыкай с, Последний из могикан (?), 16:44 , 03-Мрт-21, (141)   // Это если железка поддерживает А если нет как оно бывает в большинстве случаев , Арчевод (?), 16:48 , 03-Мрт-21, (145) –1   // значит придёться смириться, что где-то там на железе крутится полноценная ось , Аноним (-), 17:44 , 03-Мрт-21, (178) +2   Это всё очень плохо, но я предпочитаю защищиться от реальных угроз для чего Sec, Арчевод (?), 18:18 , 03-Мрт-21, (187) +1   Как говорится, безопасность бывает только 2 уровней - high и нехай , Аноним (-), 03:41 , 06-Мрт-21, (317)   А systemd-boot, тем более, не нужен , Аноним (355), 17:01 , 03-Мрт-21, (152)   // Только потому что у него в имени есть systemd К сведению всех systemd-хейтеров,, Арчевод (?), 18:51 , 03-Мрт-21, (191) –1   Это очень хорошо и необходимо для Integrity Меня беспокоит вопрос отсутствия в с, Аноним (169), 17:10 , 03-Мрт-21, (156)   // Многие прошивки позволяют выбирать устройство для загрузки и без GRUB а , Аноним (112), 17:21 , 03-Мрт-21, (170)   // Мне не надо выбор загрузочного устройства Мне надо бутнуть ISO образ LiveCD DVD , Антним (?), 17:37 , 03-Мрт-21, (175)   GRUB2 может бутнуть ISO образ с LiveCD DVD даже по сети , Антним (?), 17:38 , 03-Мрт-21, (176)   А, понял, неправильно прочитал исходное сообщение , Аноним (112), 17:41 , 03-Мрт-21, (177)   во-во вот что нужно обсуждать, а не столько функционал уефи и какие-то там фичи, Аноним (-), 17:50 , 03-Мрт-21, (179) +4   // Вообще-то на совсеменных платах для этих целей есть TPM Проблема не в том, что , Арчевод (?), 18:43 , 03-Мрт-21, (190) –1   Чего экономии Надо всего отвести однy дорожку от контакта 1 SPI flash, другую д, Аноним (243), 07:17 , 04-Мрт-21, (243)   При том это еще один проц с мутной блобварью Которому предлагается доверять все, Аноним (-), 03:42 , 06-Мрт-21, (318)   На чипсетах Intel, UEFI и его ключи защищены Корневым ключом платформы который, Аноним (243), 07:29 , 04-Мрт-21, (244) +1   Вашим То есть я могу добавить туда свой ключ Но тогда и злоумышленник может , Аноним (309), 22:43 , 04-Мрт-21, (271)   уже нет, если ты свой добавил правильно уже нет, если только ты не соберешь себе, пох. (?), 17:52 , 05-Мрт-21, (302)   А правильно 8212 это как Как это сныкан Он ещё не добавлен же Почему я могу , Аноним (309), 20:58 , 05-Мрт-21, (308)   Да, замечание верное Кстати, болта в хромбуках нет уже несколько лет - использу, Арчевод (?), 18:02 , 03-Мрт-21, (183) –1   boot на корневом разделе, который зашифрован LUKS Ни один загрузчик кроме grub, BSD_Cuck_BTFO (?), 17:29 , 03-Мрт-21, (172) –2   // Такое реально сделать и с загрузкой через EFISTUB Подписанные ядро и initramfs , Аноним (112), 17:31 , 03-Мрт-21, (174) +1   // Могут А что, если сами ядро и initramfs находятся на зашифрованном разделе Вот, BSD_Cucks_BTFO (?), 17:54 , 03-Мрт-21, (180)   А зачем Все равно что-то должно быть не зашифровано - либо GRUB, либо ядро В ч, Аноним (112), 18:00 , 03-Мрт-21, (182)   Ну либо у вас только один EFI-раздел где только один грубовский efi-executable , BSD_Cucks_BTFO (?), 18:05 , 03-Мрт-21, (184)   В моем случае на EFI-разделе лежит всего один файл - ядро initramfs параметры ко, Аноним (112), 18:16 , 03-Мрт-21, (186) +1   Так а при каждом обновлении ядра переподписывать выходит надо , Аноним (31), 22:47 , 04-Мрт-21, (273)   И при каждой смене параметров А если обновился, и новое ядро не грузится, то хре, Аноним (309), 22:58 , 04-Мрт-21, (275)   При кооперативном boot loader в SPI флехе может быть в принципе шифровано вообще, Аноним (-), 03:44 , 06-Мрт-21, (319)   Как уже сказали выше, efi раздел всё-равно остаётся незашифрованным Так что пра, Арчевод (?), 18:16 , 03-Мрт-21, (185) +2   Ого, круто Про unified kernel image не знал Спасибо за инфу , BSD_Cucks_BTFO (?), 18:23 , 03-Мрт-21, (188) +2   Чувак ты не прав 1 ГУАШ секурбут это плохо, ибо приколочем к ключам МС, которая, Аноним (209), 20:18 , 03-Мрт-21, (209) –4   // Каким образом Без уязвимостей в прошивке такое сделать довольно проблематично Ос, Аноним (112), 21:58 , 03-Мрт-21, (222)   Хорошо для чего Или от чего От какой угрозы она должна меня защитить , Аноним (309), 00:05 , 04-Мрт-21, (228)   // https en wikipedia org wiki Evil_maid_attack, Арчевод (?), 05:18 , 04-Мрт-21, (240)   // А конкретнее Например, под это описание подходит аппаратный кейлоггер, записываю, Аноним (309), 05:35 , 04-Мрт-21, (241) +1   Причем здесь кейлогер Integrity это верификация аутентичности и целостности загр, Аноним (248), 09:40 , 04-Мрт-21, (248)   Был вопрос От какой угрозы она должна меня защитить Кинули ссылку По ссылке , Аноним (309), 22:43 , 04-Мрт-21, (272)   https www opennet ru openforum vsluhforumID3 123444 html 244Где в этом процесс, Аноним (248), 09:45 , 04-Мрт-21, (249)   Задача SecureBoot это защита от подмены встраивания вредоносного кода в процесс , Арчевод (?), 22:36 , 04-Мрт-21, (268)   Позволит, конечно Иначе было бы невозможно переустановить ОС, ведь загрузчик пр, Аноним (309), 23:07 , 04-Мрт-21, (276)   Нет Её и невозможно переустановить без отключение SecureBoot - ничего просто не, Арчевод (?), 00:43 , 05-Мрт-21, (280)   Опасная затея В случае проблем например после апдейта система не грузится ис, Аноним (309), 00:58 , 05-Мрт-21, (281)   Можно проще Без Yubikey-я и SecureBoot-а Просто шифруем ВЕСЬ диск LUKS-ом А за, Аноним (309), 02:10 , 05-Мрт-21, (282) +1   Флешка плохая замена Yubikey, потому что Yubikey нельзя скопировать, его можно т, Арчевод (?), 06:15 , 05-Мрт-21, (294)   Можно не копировать На ней просто стандартный загрузчик, как на live-диске убун, Аноним (309), 16:10 , 05-Мрт-21, (299)   Ну, не копировать, а подменить на затрояненный с кейлоггером И нет, это не надё, Арчевод (?), 02:18 , 06-Мрт-21, (310)   Нет, он гарантирует лишь то, что загрузчик подписан ключами из UEFI Но там мо, Аноним (309), 08:46 , 06-Мрт-21, (325)   Скрыто модератором, msgod (ok), 16:45 , 03-Мрт-21, (142) –1 // Скрыто модератором, kusb (?), 19:27 , 03-Мрт-21, (197) –4 // Скрыто модератором, kusb (?), 21:52 , 03-Мрт-21, (220) А вот ещё какой вопрос, немного не к месту, но всё-таки Есть UEFI для BIOS, прос, kusb (?), 19:47 , 03-Мрт-21, (204) –2 // Нет никакого uefi для bios Это вообще понятия из разных веков У тебя в голове, пох. (?), 19:51 , 03-Мрт-21, (207) // Я поумнее тебя буду , kusb (?), 20:42 , 03-Мрт-21, (211) –2 // Кто у нас самозванец , kusb (?), 21:56 , 03-Мрт-21, (221) Не спорю В чём А вообще - конечно обидно Uefi для биос это DUET И я скорее не , kusb (?), 22:01 , 03-Мрт-21, (223) –1 // хотя бы почитать, что такое uefi, как устроен, и что такое биос uefi к basic in, пох. (?), 22:39 , 03-Мрт-21, (224) пох, оппонент косноязычен но ключевое слово назвал Читать здесь http www rodsb, RM (ok), 01:18 , 04-Мрт-21, (230) и еще https wiki archlinux org index php Clover, RM (ok), 01:30 , 04-Мрт-21, (234) оппонент, похоже, слышал звон, но не понял, что он - об эмуляторе uefi прошлого , пох. (?), 10:09 , 04-Мрт-21, (252) Я про эмулятор UEFI и говорил, я же там задавал вопрос про обратный эмулятор, то, kusb (?), 17:21 , 04-Мрт-21, (264) Не факт что такое есть Но наверное при сильном желании можно что-то напоминающе, Аноним (-), 04:42 , 06-Мрт-21, (321) Вообще-то есть Минимальные затычки времени бутлоадера, предоставляющие EFI ser, Аноним (-), 03:52 , 06-Мрт-21, (320) Это г но еще и уязвимо не удивили, Аноним (-), 19:53 , 03-Мрт-21, (208) +2 // это ты про grub Ну да, ничего удивительного Как им таким ms доверила свои ключ, пох. (?), 20:55 , 03-Мрт-21, (212) –1 // grub2 хотя откуда школьнику знать о grub, Аноним (-), 09:47 , 04-Мрт-21, (250) me до сих пор не понимает, какие преимущества для просто пользователя дает этот, Аноним (216), 21:25 , 03-Мрт-21, (216) // простому пользователю не нужен никакой uefi Кнопку нажимаешь, немножко ждешь, г, пох. (?), 22:56 , 03-Мрт-21, (226) +1 Это фича , Аноним (218), 21:38 , 03-Мрт-21, (217) опять сишные дырени ну сколько можно , Аноним (227), 23:14 , 03-Мрт-21, (227) –2 // А что такого , Аноним (327), 14:14 , 06-Мрт-21, (329) Что за паника и ересь на ровном месте Баг в grub-е Значит, даже если мы хотим п, Аноним (309), 00:16 , 04-Мрт-21, (229) –1 // Хакеры могут использовать старые shim и grub, наверное, они же подписаны , kusb (?), 03:49 , 04-Мрт-21, (238) // Использовать для чего Хакеры могут и свой ключ в UEFI прописать, как тут в ком, Аноним (309), 05:01 , 04-Мрт-21, (239) // Ты ничего не понял Новые версии системы протроянили Задача заставить пользоват, Аноним (243), 07:04 , 04-Мрт-21, (242) –1 только если ты полный лох и оставил его доступным для записи При включенном tpm, пох. (?), 09:58 , 04-Мрт-21, (251) Опять пофантазирую Тогда лучше все сторонние и тоже потенциально опасные ключи , kusb (?), 13:48 , 04-Мрт-21, (263) А если система сломалась и не грузится, то всё, приехали Загрузиться с live-дис, Аноним (309), 22:57 , 04-Мрт-21, (274) С TPM - да, конечно Иначе кто-то левый тебе с диска с убунточкой загрузится С, пох. (?), 23:09 , 04-Мрт-21, (277) Ну да Есть аппаратное шифрование диска Оно гарантирует целостность И работает, Аноним (309), 00:10 , 05-Мрт-21, (278) вообще-то хер его знает, чего оно там гарантирует Пару раз уже оказывались таки, пох. (?), 08:18 , 05-Мрт-21, (297) Смотря на что ксорить Шифрование 8212 это довольно часто ксор Например, в A, Аноним (309), 16:24 , 05-Мрт-21, (301) Да я не о том Я имею ввиду откуда вообще столько беспокойств Ну нашли баг в гру, Аноним (309), 00:36 , 05-Мрт-21, (279) Тебе что непонятно в системе с trusted keys Переподписать можно - но с тем же у, пох. (?), 08:11 , 05-Мрт-21, (296) А зачем тебе для этого старая версия груба Откуда вообще беспокойства по поводу, Аноним (309), 16:15 , 05-Мрт-21, (300) Безопасный Secure Boot говорили они 8230 Как говорится на Microsoft надейся, а , fuggy (ok), 02:24 , 04-Мрт-21, (235) –2 // Да, безопасность превращается в тыкву если один из подписанных загрузчиков можно, kusb (?), 17:26 , 04-Мрт-21, (265) груб был успехом с удовольствием свитчились с лило синтаксис, красота конфига,, олдфаг (?), 09:09 , 04-Мрт-21, (245) +2 // grub2 придуман неосиляторами sed и человекочитаемых конфигов, что ты от них хоте, пох. (?), 10:11 , 04-Мрт-21, (255) +3 // gummiboot хватит для всех , n00by (ok), 12:29 , 04-Мрт-21, (262) Именно, вот тебе и двойка в названии - а г нище редкостное , Аноним (351), 15:18 , 08-Мрт-21, (351) +1 // Именно Эффект второй системы в чистейшем и незамутнённомThe second-system effe, олдфаг (?), 09:29 , 09-Мрт-21, (352) Как это мне удержаться и не заржать так сильно, что аж вселенная могла бы тресну, Ананоним (?), 22:13 , 04-Мрт-21, (267) дяденька Red Hat, а это точно уязвимость , Аноним (283), 02:13 , 05-Мрт-21, (283) У кого-нибудь были сомнения что СерураБУТ - и есть дыра в безопастности Чем про, Аноним (295), 07:15 , 05-Мрт-21, (295) ох ительная безопасность которую можно обойти загрузившись со старой версией заг, Аноним (348), 17:56 , 07-Мрт-21, (348) // Можно и с новой подписанной версии загрузиться Не понимаю, откуда вся эта паника, Аноним (309), 00:34 , 08-Мрт-21, (349) 1,2,4,6,10,12,16,17,18,24,29,33,37,39,45,46,48,51,56,58,65,69,73,83,91,111,117,123,128,131,136,204,208,216,217,227,229,235,245,267,283,295,348

Сообщения

[Сортировка по времени | RSS]

136. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	–7 +/–
Сообщение от Арчевод (?), 03-Мрт-21, 16:37
Тут в коментариях столько "экспертов" что нужно провести разъяснительную работу, иначе так невеждами и останутся. 1. UEFI SecureBoot это скорее хорошо, чем плохо. Потому что лучшего ничего для PC не придумали пока. Вон ARM который внезапно все полюбили в последнее время, даже аналог UEFI пока не смог. Всё так же под каждую железку свой специальный образ со своими загрузчиками и прочим хламом. Спасибо, но мне подхож с UEFI больше импонирует. 2. Legacy boot никак не альтернатива UEFI, просто потому что ничего не умеет. Глупо советовать её как альтернативу, т.к. в ней в принципе нет ничего похожего на SecureBoot и никак нельзя организовать доверенную загрузку. Если не некий админ локалхоста в доверенной загрузке не нуждается, то достаточно просто отключить SecureBoot, который опционален на всех x64 железках. 3. В 2021 grub не нужен, за ислючением каких-то уж совсем маргинальных сетапов. Для простой загрузки есть efistub и/или systemd-boot. Для тех кому нужна поддержка других осей или всяких btrfs на корневом разделе есть refind. Есть ли здесь те, кто использует grub не потому, что он вместе с дистром поставился, а осознанно, для решения какой-то конкретной задачи - поделитесь (и да, я имею в виду относительно новое железо с поддержкой UEFI, более старое меня не интересует). 4. Как уже отписались некоторые разумные анонимы, SecureBoot нужно использовать только со своими ключами! Все встроенные ключи и ключи от MS удаляются сразу при настройке. Если при этом нужно грузить винду, то достаточно просто подписать её загрузчик своим ключём и всё будет работать (правда подписывать придётся после каждого крупного обновления, раз в пару месяцев; зато делается это быстро и просто, если кому-то интересно, вот мой shell скрипт для этого: https://gist.github.com/ava1ar/eb5827158aa035c3e5ca2829dd083373). 5. Ну и да, как я уже сказал, grub в 2021 не нужен. Спасибо тебе за наше счастливое детсво, но дальше мы уж сами, без тебя.
Ответить | Правка | Наверх | Cообщить модератору

	141. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Последний из могикан (?), 03-Мрт-21, 16:44
	Зри в корень!© Ставиш libreboot и этим рубишь гордиев узел.Не хочешь-ну затыкай сотни дыр,как волк в ну погоди.
	Ответить | Правка | Наверх | Cообщить модератору

	145. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	–1 +/–
	Сообщение от Арчевод (?), 03-Мрт-21, 16:48
	Это если железка поддерживает. А если нет (как оно бывает в большинстве случаев)?
	Ответить | Правка | Наверх | Cообщить модератору

	178. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+2 +/–
	Сообщение от Аноним (-), 03-Мрт-21, 17:44
	> А если нет (как оно бывает в большинстве случаев)? значит придёться смириться, что "где-то там" на железе крутится полноценная ось на базе миникс, которая вроде как по уверениям ничего плохо из себя не представляет... ага... всё для вашего блага... даже доступ к сети оно имеет, минуя вашу ос и всё, что уровнем выше...
	Ответить | Правка | Наверх | Cообщить модератору

	187. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+1 +/–
	Сообщение от Арчевод (?), 03-Мрт-21, 18:18
	Это всё очень плохо, но я предпочитаю защищиться от реальных угроз (для чего SecureBoot очень полезен), чем от мнимых, в стиле "мы все умрём".
	Ответить | Правка | Наверх | Cообщить модератору

	317. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Аноним (-), 06-Мрт-21, 03:41
	> Это всё очень плохо, но я предпочитаю защищиться от реальных угроз (для > чего SecureBoot очень полезен), чем от мнимых, в стиле "мы все умрём". Как говорится, безопасность бывает только 2 уровней - high и нехай.
	Ответить | Правка | Наверх | Cообщить модератору

	152. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Аноним (355), 03-Мрт-21, 17:01
	А systemd-boot, тем более, не нужен.
	Ответить | Правка | К родителю #136 | Наверх | Cообщить модератору

	191. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	–1 +/–
	Сообщение от Арчевод (?), 03-Мрт-21, 18:51
	Только потому что у него в имени есть systemd? К сведению всех systemd-хейтеров, в нём от systemd только название (раньше он назывался gummiboot). И нет, в нём нет никаких привязок к systemd, можно использовать на системах без него.
	Ответить | Правка | Наверх | Cообщить модератору

	156. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Аноним (169), 03-Мрт-21, 17:10
	> 1. UEFI SecureBoot это скорее хорошо, чем плохо. Это очень хорошо и необходимо для Integrity. Меня беспокоит вопрос отсутствия в современных материнских платах аппаратной блокировки изменений в UEFI за исключением Chrome Book где есть болт блокирующий аппаратно запись в SPI flash. Ходят слухи что в SPI есть дорожка, возможно 1, и если ее заземлить то запись в SPI будет невозможна. Почему только Google использует эту возможность, а другие производители игнорируют? > Есть ли здесь те, кто использует grub не потому, что он вместе с дистром поставился, а осознанно, для решения какой-то конкретной задачи - поделитесь 1. Загрузка с ISO образов LiveCD/DVD 2. Загрузка по сети
	Ответить | Правка | К родителю #136 | Наверх | Cообщить модератору

	170. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Аноним (112), 03-Мрт-21, 17:21
	> 1. Загрузка с ISO образов LiveCD/DVD Многие прошивки позволяют выбирать устройство для загрузки и без GRUB'а.
	Ответить | Правка | Наверх | Cообщить модератору

	175. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Антним (?), 03-Мрт-21, 17:37
	Мне не надо выбор загрузочного устройства. Мне надо бутнуть ISO образ LiveCD/DVD который лежит не диске! GRUB может бутнуть ISO образ.
	Ответить | Правка | Наверх | Cообщить модератору

	176. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Антним (?), 03-Мрт-21, 17:38
	GRUB2 может бутнуть ISO образ с LiveCD/DVD даже по сети!
	Ответить | Правка | Наверх | Cообщить модератору

	177. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Аноним (112), 03-Мрт-21, 17:41
	А, понял, неправильно прочитал исходное сообщение :)
	Ответить | Правка | К родителю #175 | Наверх | Cообщить модератору

	179. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+4 +/–
	Сообщение от Аноним (-), 03-Мрт-21, 17:50
	> Меня беспокоит вопрос отсутствия в современных материнских > платах аппаратной блокировки изменений во-во! вот что нужно обсуждать, а не столько функционал уефи и какие-то там фичи вроде ефистабов, скоростной загрузки или видео-режимом. ключевой момент в том, что аппаратная часть по сути голая и ничем не защищена. и если уефи-кит будет имплантирован, то толку от всех защит выше уровнем будет ноль. вот у меня на десктопе такая матплата, даже нет защиты от ре-флэша... я время от времени делаю дамп своего биоса и сравниваю побайтно с заводским, делая поправку на забитую секцию dmi пула. вообще биос-киты и уефи-киты сейчас не редкость. и инфы по этому вопросу в инете куча.
	Ответить | Правка | К родителю #156 | Наверх | Cообщить модератору

	190. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	–1 +/–
	Сообщение от Арчевод (?), 03-Мрт-21, 18:43
	> ключевой момент в том, что аппаратная часть по сути голая и ничем не защищена. и если уефи-кит будет имплантирован, то толку от всех защит выше уровнем будет ноль. Вообще-то на совсеменных платах для этих целей есть TPM. Проблема не в том, что нет необходимых инстументов - они есть. Проблема в том, что сертификация не обязывает производителей эти иструменты реализовывать и они этого не делают из-за этономии и пофигизма. А вот сертификация от гугла для хромбуков обязывает реализовывать всё по спеке.
	Ответить | Правка | Наверх | Cообщить модератору

	243. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Аноним (243), 04-Мрт-21, 07:17
	> сертификация не обязывает производителей эти иструменты реализовывать и они этого не делают из-за этономии и пофигизма Чего экономии? Надо всего отвести однy дорожку от контакта 1 SPI flash, другую дорожку от заземление и поставить между ними Джаспер или болт. Если джампера/болта нет в SPI flash писать можно, а если есть то ты туда не запишишь.
	Ответить | Правка | Наверх | Cообщить модератору

	318. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Аноним (-), 06-Мрт-21, 03:42
	> Вообще-то на совсеменных платах для этих целей есть TPM. При том это еще один проц с мутной блобварью. Которому предлагается доверять все критичные проверки безопасности. Мне кажется, или в такой формулировке порыта некая на-о-бка? :)
	Ответить | Правка | К родителю #190 | Наверх | Cообщить модератору

	244. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+1 +/–
	Сообщение от Аноним (243), 04-Мрт-21, 07:29
	> аппаратная часть по сути голая и ничем не защищена На чипсетах Intel, UEFI и его ключи защищены "Корневым ключом платформы" который должен создаваться пользователем при первом включении материнской платы после покупки. Integrity - верифицируемая цепочка загрузки OS! 0. Расшифровка «аппаратным ключом платформы» уникального для каждого компа «корневого ключа платформы». 1. Проверка публичным «корневым ключом платыормы» UEFI перед его загрузкой и исполнением, а также всех ключей с UEFI. 2. Проверка ВАШИМ публичным ключом с UEFI ядра grub core.img которое включает: необходимые модули крыптографии для расшифровки /boot, публичный ключ grub, модули grub для проверки подписей и переменные окружения grub, модули файловой системы. 3. Верификация публичным ключом grub всех подгружаемых по требованию модулей, настроек grub. 4. Верификация публичным ключом grub ядра OS с публичными ключами IMA/EVM и инитрд. 5. Верификация ядром публичными ключами IMA/EVM процесса #1 init и ВСЕХ остальных исполняемых в системе файлов, библиотек, настроек и неизменяемых данных. Система Integrity дает гарантию аутентичности и целостности всей системы.
	Ответить | Правка | К родителю #179 | Наверх | Cообщить модератору

	271. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Аноним (309), 04-Мрт-21, 22:43
	> 2. Проверка ВАШИМ публичным ключом с UEFI ядра grub core.img которое включает: > необходимые модули крыптографии для расшифровки /boot, публичный ключ grub, модули grub > для проверки подписей и переменные окружения grub, модули файловой системы. "Вашим"? То есть я могу добавить туда свой ключ. Но тогда и злоумышленник может. Потом он отредактирует мой /boot и подпишет СВОИМ ключом, только что добавленным в UEFI. Или ещё проще: на компе можно грузиться с live-диска убунты? Тогда пишем в /boot загрузчик убунты, конфиг заполняем на своё усмотрение. > Система Integrity дает гарантию аутентичности и целостности всей системы. Если злоумышленник может прописать свой ключ в UEFI, то не даёт. 🙂 А если злоумышленник не может, то и я не могу. Чем я, имеющий физический доступ, отличаюсь от злоумышленника, имеющего физический доступ?
	Ответить | Правка | Наверх | Cообщить модератору

	302. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от пох. (?), 05-Мрт-21, 17:52
	> "Вашим"? То есть я могу добавить туда свой ключ. Но тогда и > злоумышленник может. уже нет, если ты свой добавил правильно. > Или ещё проще: на компе можно грузиться с live-диска убунты? Тогда пишем уже нет, если только ты не соберешь себе свой уникальный live, подписанный именно этим же ключом. > А если злоумышленник не может, то и я не могу. Чем я, > имеющий физический доступ, отличаюсь от злоумышленника, имеющего физический доступ? тем что у тебя, возможно, где-то сныкан _закрытый_ ключ. Если он сныкан ненадежно или наоборот ты его уже просохатил - то сам виноват. Но это все крайне неудобно и ненадежно для среднего васяна, поэтому никем не применялось. А теперь вот придется, потому что вариантов ровно два - либо уже не защищает, либо вот так. Скажи спасибо глупой ms, сдуру подписавшей впопенсосного троянца своим ключом. Корпорация, блин, зла не хватает.
	Ответить | Правка | Наверх | Cообщить модератору

	308. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Аноним (309), 05-Мрт-21, 20:58
	> уже нет, если ты свой добавил правильно. А правильно — это как? > тем что у тебя, возможно, где-то сныкан _закрытый_ ключ. Как это сныкан? Он ещё не добавлен же. Почему я могу свой ключ добавить "правильно", а злоумышленник не может? > Скажи спасибо глупой ms, сдуру подписавшей впопенсосного троянца своим ключом. Корпорация, > блин, зла не хватает. Это ещё ничего. Она, как известно, даже свой приватный ключ выложила: https://arstechnica.com/information-technology/2016/08/micro.../ Тот, которым всё по-дефолту подписано. И, в ретроспективе, это было ожидаемо. Если вся безопасность держится на одном единственном ключе, то, ясное дело, рано или поздно он утечёт.
	Ответить | Правка | Наверх | Cообщить модератору

	183. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	–1 +/–
	Сообщение от Арчевод (?), 03-Мрт-21, 18:02
	> Меня беспокоит вопрос отсутствия в современных материнских платах аппаратной блокировки изменений в UEFI за исключением Chrome Book где есть болт блокирующий аппаратно запись в SPI flash. Да, замечание верное. Кстати, болта в хромбуках нет уже несколько лет - используется cr50 (специальный чип), а для снятия нужен специальный SuzyQ кабель. > Загрузка с ISO образов LiveCD/DVD Согласен. Мне самому такое не было нужно уже очень давно, но было бы удобно иметь такую фичу в том же refind. > Загрузка по сети Refind умеет PXE boot.
	Ответить | Правка | К родителю #156 | Наверх | Cообщить модератору

	172. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	–2 +/–
	Сообщение от BSD_Cuck_BTFO (?), 03-Мрт-21, 17:29
	>Есть ли здесь те, кто использует grub не потому, что он вместе с дистром поставился, а осознанно, для решения какой-то конкретной задачи - поделитесь /boot на корневом разделе, который зашифрован LUKS. Ни один загрузчик кроме grub'a не умеет расшифровывать luks разделы.
	Ответить | Правка | К родителю #136 | Наверх | Cообщить модератору

	174. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+1 +/–
	Сообщение от Аноним (112), 03-Мрт-21, 17:31
	Такое реально сделать и с загрузкой через EFISTUB. Подписанные ядро и initramfs на EFI-разделе вполне себе могут расшифровать зашифрованный корневой раздел.
	Ответить | Правка | Наверх | Cообщить модератору

	180. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от BSD_Cucks_BTFO (?), 03-Мрт-21, 17:54
	Могут. А что, если сами ядро и initramfs находятся на зашифрованном разделе? Вот тут только GRUB поможет.
	Ответить | Правка | Наверх | Cообщить модератору

	182. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Аноним (112), 03-Мрт-21, 18:00
	> А что, если сами ядро и initramfs находятся на зашифрованном разделе? А зачем? Все равно что-то должно быть не зашифровано - либо GRUB, либо ядро. В чем преимущество оставлять именно GRUB незашифрованным? Если проблема в том, чтобы подписать и ядро, и initramfs, то их можно объединить в один файл и подписать вместе.
	Ответить | Правка | Наверх | Cообщить модератору

	184. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от BSD_Cucks_BTFO (?), 03-Мрт-21, 18:05
	>А зачем? Все равно что-то должно быть не зашифровано - либо GRUB, либо ядро. В чем преимущество оставлять именно GRUB незашифрованным? Ну либо у вас только один EFI-раздел (где только один грубовский efi-executable лежит), а всё остальное зашифровано, либо у вас и ядро, и initrd, и насторойки загрузчика лежат в голом виде. Да, можно сказать "а зачем?", но, мне кажется, что если уж замороачиваться с full disk encryption и с шифрованием вообще, то хотелось бы зашифровать как можно больше.
	Ответить | Правка | Наверх | Cообщить модератору

	186. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+1 +/–
	Сообщение от Аноним (112), 03-Мрт-21, 18:16
	В моем случае на EFI-разделе лежит всего один файл - ядро+initramfs+параметры командной строки в одном подписанном бинарнике, все остальное зашифровано. GRUB в этой цепочке просто не нужен.
	Ответить | Правка | Наверх | Cообщить модератору

	273. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Аноним (31), 04-Мрт-21, 22:47
	Так а при каждом обновлении ядра переподписывать выходит надо?
	Ответить | Правка | Наверх | Cообщить модератору

	275. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Аноним (309), 04-Мрт-21, 22:58
	> Так а при каждом обновлении ядра переподписывать выходит надо? И при каждой смене параметров! А если обновился, и новое ядро не грузится, то хрен ты переключишься на старое ядро. Удобно-же!
	Ответить | Правка | Наверх | Cообщить модератору

	319. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Аноним (-), 06-Мрт-21, 03:44
	> А зачем? Все равно что-то должно быть не зашифровано - либо GRUB, При кооперативном boot loader в SPI флехе может быть в принципе шифровано вообще все. Ну, вот, кроме spi-флехи, конечно.
	Ответить | Правка | К родителю #182 | Наверх | Cообщить модератору

	185. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+2 +/–
	Сообщение от Арчевод (?), 03-Мрт-21, 18:16
	Как уже сказали выше, efi раздел всё-равно остаётся незашифрованным. Так что правильным подходом будет зашифровать всё, оставив только efi partition. Дальше, используем такую штуку как Unified Kernel Image ( https://wiki.archlinux.org/index.php/Systemd-boot#Preparing_... ), которая позволяет запаковать ядро, initramfs, splash, коммандную строку ядра в один файл, который напрямут загружается через из EFI или посредством загрузчика типа refind. Ну и ествественно этот бинарь подписывается своим ключём, который сконфигурен в SecureBoot. Собственно всё - получаем полностью зашифрованную систему + SecureBoot с только одним незашифрованным, но подписанным файлом, в котором собственно нет никаких секретов. Понятное дело, что так как он подписан, изменить или подменить его не выйдет. Создание образа и его подписка делается автоматически при обновлении ядра или вручную, после, например, изменения командной строки ядра.
	Ответить | Правка | К родителю #180 | Наверх | Cообщить модератору

	188. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+2 +/–
	Сообщение от BSD_Cucks_BTFO (?), 03-Мрт-21, 18:23
	Ого, круто. Про unified kernel image не знал. Спасибо за инфу.
	Ответить | Правка | Наверх | Cообщить модератору

	209. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	–4 +/–
	Сообщение от Аноним (209), 03-Мрт-21, 20:18
	Чувак ты не прав. 1. ГУАШ секурбут это плохо, ибо приколочем к ключам МС, которая ни разу не линукс. Обнеовлять ядра в Gentoo или любом другом линуксе заморочно, если ядро самостоятельно собрано. В уникальном ядре нет каках от мелкомягких. 2. Легаси бут это то же самое, что и поддержка в BIOS платах разделов более 2Тб. Очень нужная штука когда линукс использует GRUB. Не переустанавливать же линукс, если пришлось завести шинду на соседнем разделе. 3. GRUB нужен для загрузки на платах с BIOS ибо только тупые дятлы пользуются грабом когда им надо одну систему грузить, ведь в ГУАШе есть загрузчик. 4. Ненужно париться с ключами на  десктопе. Это приходится делать только на ноутбуках, которые какая-нибудь сволочь может снинзить. Да и то эта сволочь может иметь прищепку и она просто запишет новый ГУАШ. 5. GRUB нужен, потому что есть платы на BIOS с поддержкой больших томоч размером более 2 Тб.
	Ответить | Правка | К родителю #136 | Наверх | Cообщить модератору

	222. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Аноним (112), 03-Мрт-21, 21:58
	> ибо приколочем к ключам МС, которая ни разу не линукс. Каким образом? > Да и то эта сволочь может иметь прищепку и она просто запишет новый ГУАШ. Без уязвимостей в прошивке такое сделать довольно проблематично. Остальные пункты не вполне понял.
	Ответить | Правка | Наверх | Cообщить модератору

	228. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Аноним (309), 04-Мрт-21, 00:05
	> 1. UEFI SecureBoot это скорее хорошо, чем плохо. Хорошо для чего? Или от чего? От какой угрозы она должна меня защитить?
	Ответить | Правка | К родителю #136 | Наверх | Cообщить модератору

	240. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Арчевод (?), 04-Мрт-21, 05:18
	https://en.wikipedia.org/wiki/Evil_maid_attack
	Ответить | Правка | Наверх | Cообщить модератору

	241. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+1 +/–
	Сообщение от Аноним (309), 04-Мрт-21, 05:35
	> https://en.wikipedia.org/wiki/Evil_maid_attack А конкретнее? Например, под это описание подходит аппаратный кейлоггер, записывающий все логины и пароли (гуглить USB keylogger). Или перезаписанный биос, который даёт удалённый доступ к компу по сети (гуглить intel amt, amd dash, hp ilo... — обязательная фича для серверов). Даже просто камера, установленная возле компа, подходит под это описание. Ну и как SecureBoot от этого защитит?
	Ответить | Правка | Наверх | Cообщить модератору

	248. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Аноним (248), 04-Мрт-21, 09:40
	Причем здесь кейлогер? Integrity это верификация аутентичности и целостности загружаемой системы. Верификация проходит с помощью криптографии на основе открытого и закрытого ключа. Любые кейлогеры, против установленного и настроенного Integrity ничего не сделают. Кейлогер только способен перехватить пароль секретного ключа используемого для Integrity! Создавайте ключи на отдельном компе.. Секретный ключ и его пароль для установки и настройки Integrity в общем не нужны, а в рабочей системе категорически запрещены. Верификация в Integrity идет по публичному ключу, без всяких паролей.
	Ответить | Правка | Наверх | Cообщить модератору

	272. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Аноним (309), 04-Мрт-21, 22:43
	> Причем здесь кейлогер? Был вопрос "От какой угрозы она должна меня защитить?" Кинули ссылку. По ссылке абстрактное описание. Кейлоггер подходит под это описание. > Integrity это верификация аутентичности и целостности загружаемой системы. Подожди. Ты говоришь о том, как это сделано. Я ещё не спрашиваю "как", я спрашиваю "зачем". Верификация с какой целью? С целью безопасности? Безопасности от какой угрозы?
	Ответить | Правка | Наверх | Cообщить модератору

	249. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Аноним (248), 04-Мрт-21, 09:45
	https://www.opennet.ru/openforum/vsluhforumID3/123444.html#244 Где в этом процессе есть работа для любого кейлогера?
	Ответить | Правка | К родителю #241 | Наверх | Cообщить модератору

	268. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Арчевод (?), 04-Мрт-21, 22:36
	Задача SecureBoot это защита от подмены/встраивания вредоносного кода в процесс загрузки ОС (те самые руткиты). SecureBoot не позволит подменить загрузчик или встроить туда дополнительные модули. Для защиты от кейлоггеров придумали многофакторную аутентификацию. Лично я для этого использую LUKS, который шифруется ключём, который генерируется Yubikey (https://github.com/agherzan/yubikey-full-disk-encryption). Т.е. если даже пароль для шифрования который я ввожу при загрузке утечёт, то без самого Yubikey он не сможет расшифровать диск. Т.е. придётся ещё и украсть yubikey, что уже сложнее. А теперь поясню причём тут SecureBoot и как он помогает в этом сетапе. Если у меня система с включённым SecureBoot, в котором прописаны мои собственные ключи, то когда я получаю запрос на расшифровку диска LUKS, я уверен, что подписанный моим ключём загрузчик загрузил подписанное моим ключём ядро и пароль можно вводить. Если же secureboot нет, то загрузчик/образ ядра/что-у-вас-там-незашифрованное, можно легко модифицировать, внедрив туда руткит, который будет работать в фоне, собирать и сохранять то, что ему нужно во время загрузки и работы системы и отправит при случае куда нужно, когда Вы к интернету подключитесь. И об этом никак не узнать. Ещё раз повторю, SecureBoot не идеален, но без него на x86 невозможно добится защиты от злоумышленника, имеющего доступ к выключенному компьютеру. Если такой вектор атаки Вас не интересует, то SecureBoot Вам не нужен, отключайте его и не парьтесь.
	Ответить | Правка | К родителю #241 | Наверх | Cообщить модератору

	276. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Аноним (309), 04-Мрт-21, 23:07
	> SecureBoot не позволит подменить загрузчик или встроить туда дополнительные модули. Позволит, конечно! Иначе было бы невозможно переустановить ОС, ведь загрузчик при этом меняется. > Для защиты от кейлоггеров придумали многофакторную аутентификацию. > [LUKS, Yubikey и т.д.] Ну да. И всё это работает без SecureBoot. Об этом и речь — SecureBoot от кейлоггеров не защищает. > А теперь поясню причём тут SecureBoot и как он помогает в этом > сетапе. Если у меня система с включённым SecureBoot, в котором прописаны > мои собственные ключи, то когда я получаю запрос на расшифровку диска > LUKS, я уверен, что подписанный моим ключём загрузчик загрузил подписанное моим > ключём ядро и пароль можно вводить. А где гарантия, что кто-то не подменил ключи в SecureBoot-е своими, а потом не подписал этими ключами изменённый загрузчик?
	Ответить | Правка | Наверх | Cообщить модератору

	280. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Арчевод (?), 05-Мрт-21, 00:43
	>> Позволит, конечно! Иначе было бы невозможно переустановить ОС, ведь загрузчик при этом меняется. Нет. Её и невозможно переустановить без отключение SecureBoot - ничего просто не загрузится. Если удалить ключи от MS, то перестанет грузится всё, что не подписано Вашим собственным ключём, включая Windows и любые дистрибутивы линукс с shim. А что бы отключить SecureBoot, нужно попасть в UEFI. >> Ну да. И всё это работает без SecureBoot. Об этом и речь — SecureBoot от кейлоггеров не защищает. Защищает, если например попытаться keyloagger вшить в изменённый загрузочный образ. SecureBoot это про доверенную загрузку. Но без него LUKS ничего не гарантирует, потому что там может быть руткит, а Вы этого не заметите. >> А где гарантия, что кто-то не подменил ключи в SecureBoot-е своими, а потом не подписал этими ключами изменённый загрузчик? Для этого нужно попасть в EFI, удалить старые ключи, установить новые. А он естественно запаролен. И нет, вытаскивание батарейки не снимает пароль на современных платах. Но вообще в этом случае правильным способом будет задействовать TPM, который проверяет целостность NVRAM и прочих вещей и любые изменения в PCR регистрах.
	Ответить | Правка | Наверх | Cообщить модератору

	281. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Аноним (309), 05-Мрт-21, 00:58
	> Если удалить ключи от MS, то перестанет грузится всё, что не подписано > Вашим собственным ключём, включая Windows и любые дистрибутивы линукс > с shim. Опасная затея. В случае проблем (например: после апдейта система не грузится) исправить ситуацию становится очень сложно... Имеет ли смысл так рисковать? Всё-таки проблемы после апдейта куда более вероятны, чем троян в загрузчике. > Для этого нужно попасть в EFI, удалить старые ключи, установить новые. А > он естественно запаролен. И нет, вытаскивание батарейки не снимает пароль на > современных платах. Не батарейкой, так джампером. Вряд ли есть материнки, на которых нельзя сбросить пароль. Иначе сервисным центрам пришлось бы тяжело.
	Ответить | Правка | Наверх | Cообщить модератору

	282. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+1 +/–
	Сообщение от Аноним (309), 05-Мрт-21, 02:10
	> SecureBoot не позволит подменить загрузчик или встроить туда дополнительные модули. > Для защиты от кейлоггеров придумали многофакторную аутентификацию. > Лично я для этого использую LUKS, который шифруется ключём, который генерируется > Yubikey (https://github.com/agherzan/yubikey-full-disk-encryption). Т.е. если даже > пароль для шифрования который я ввожу при загрузке утечёт, то без > самого Yubikey он не сможет расшифровать диск. Можно проще. Без Yubikey-я и SecureBoot-а. Просто шифруем ВЕСЬ диск LUKS-ом. А загрузчик кладём на любую флешку (такой себе дешёвый заменитель Yubikey). Это даст ещё более высокую безопасность ­— никто никогда не сможет изменить загрузчик на диске, потому что его там нет. И никаких проблем с восстановлением, загрузкой с флешки, перепрошивкой ключей и так далее. Опять SecureBoot не нужен.
	Ответить | Правка | К родителю #268 | Наверх | Cообщить модератору

	294. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Арчевод (?), 05-Мрт-21, 06:15
	> А загрузчик кладём на любую флешку (такой себе дешёвый заменитель Yubikey). Флешка плохая замена Yubikey, потому что Yubikey нельзя скопировать, его можно только украсть. А это заметно. Вашу же мегафлешку скопировать проблемы не составит ни разу. Она не замеряет Yubikey и не может служить вторым фактором ("something you have"), потому что легко клонируется. Ну а дальше все по тому же сценарию - сделать другую флешку, в которой Ваш загрузчик + руткит. В общем описываевым Вами способом можно получить суррогат с иллюзией защиты, но никакой доверенной загрузки не будет и вы никогда не будете знать, то загружаете именно то, что сделали сами.
	Ответить | Правка | Наверх | Cообщить модератору

	299. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Аноним (309), 05-Мрт-21, 16:10
	>> А загрузчик кладём на любую флешку (такой себе дешёвый заменитель Yubikey). > Флешка плохая замена Yubikey, потому что Yubikey нельзя скопировать, его можно только > украсть. А это заметно. Вашу же мегафлешку скопировать проблемы не составит Можно не копировать. На ней просто стандартный загрузчик, как на live-диске убунты. Диск зашифрован обычным LUKS-ом. Для него любой загрузчик подойдёт, надо только пароль знать. А пароля на флешке нет, его надо всё равно руками вводить. > Она не замеряет Yubikey и не может служить вторым фактором ("something you have"), потому что легко клонируется. Это не "второй фактор", это просто надёжная защита от того, что кто-то поменяет мой загрузчик, пока меня нет. Надёжнее, чем SecureBoot.
	Ответить | Правка | Наверх | Cообщить модератору

	310. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Арчевод (?), 06-Мрт-21, 02:18
	>> Можно не копировать. На ней просто стандартный загрузчик, как на live-диске убунты. Ну, не копировать, а подменить на затрояненный с кейлоггером. И нет, это не надёжнее чем SecureBoot, это просто суррогат. Ещё раз повторю в чём смысл SecureBoot - он гарантирует что Вы грузите именно СВОЙ загразчик, свой рамдиск и т.п., а не тот, который должен быть Ваш, но вы в этом не можете быть уверены (потому что только криптографические методы могут гарантировать уверенность, а не факт, что флешка у Вас в кармане.
	Ответить | Правка | Наверх | Cообщить модератору

	325. "Трудноустранимые уязвимости в GRUB2, позволяющие обойти UEFI..."	+/–
	Сообщение от Аноним (309), 06-Мрт-21, 08:46
	> Ещё раз повторю в чём смысл SecureBoot - он гарантирует что Вы > грузите именно СВОЙ загразчик Нет, он "гарантирует" лишь то, что загрузчик подписан ключами из UEFI. Но там могут быть уже не мои ключи. >> Можно не копировать. На ней просто стандартный загрузчик, как на live-диске убунты. > И нет, это не надёжнее чем SecureBoot, это просто суррогат. Суррогат, да. Но даже он надёжнее секуребута. Флешку я ношу с собой, её сохранность зависит только от меня. А комп с SecureBoot я оставил без присмотра, и сохранность ключей в UEFI от меня не зависит. Поэтому доверия к ним на порядок меньше, разве нет? > потому что только криптографические методы могут гарантировать уверенность, а не факт, что флешка у Вас в кармане. Если я зашифрую диск паролем 12345, то даже самый надёжный криптографический метод меня не спасёт. Одних методов мало. Их надо правильно применять. SecureBoot — пример плохого применения. Мне иногда кажется, что SecureBoot — это попытка вендор-лок-ина от майкрософт, чтобы не давать юзерам ставить другие ОС. А сказки про "безопасность" были лишь оправданием. Разве с самого начала не было очевидно, что "one key to rule them all" — плохая идея? Или что если я могу прошить свои ключи в биос, то и кто-то другой сможет?
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема