Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Критическая уязвимость в загрузчике GRUB2, позволяющая обойти UEFI Secure Boot, opennews (?), 30-Июл-20, (0) [смотреть все] 1 https www gnu org software grub manual grub grub html Using-digital-signatur, Аноним (47), 07:44 , 30-Июл-20, (47) +18   // 100 хотят дрянь типа systemd в grub засунуть под предлогом исправления из пальц, Аноним (49), 08:09 , 30-Июл-20, (49) +3   // А может дрянь не в сам grub совать будут, а в обновлённые сборки дистрибутивов , Аноним (81), 09:36 , 30-Июл-20, (81) +4   Уже есть systemd boot , Аноним (91), 10:22 , 30-Июл-20, (91) +2   // До GNU Systemd осталось немного , Анноним (?), 10:34 , 30-Июл-20, (96) –1   Обсуждаю с коллегами варианты защиты, и ребята говорят, что надо внедрять system, anonymous (??), 10:39 , 30-Июл-20, (98) –2   // лавров jpg, anonom (?), 14:56 , 30-Июл-20, (136) +2   А если откинуть эмоции, то технические аргументы какие forward-нуть , anonymous (??), 19:02 , 30-Июл-20, (174)   Форкнуть хотели сказать Описанная уязвимость boothole практично нереализуема У , Аноним (219), 11:17 , 31-Июл-20, (219)   А ключ для шифрования откуда берётся Вручную вводится Или из TPM А проблема ре, anonymous (??), 14:39 , 31-Июл-20, (238)   Да даже если разрешено шифрование с ключом в TPM -- та же проблема , anonymous (??), 14:39 , 31-Июл-20, (239)   Значит так ребята Давайте версии используемого вами grub пишите и дистрибутива , Аноним (241), 14:56 , 31-Июл-20, (241)   Не должно быть проблем ни с ручным вводом пароля ни с ключом Измененный grub cfg, Аноним (241), 14:53 , 31-Июл-20, (240)   Когда у тебя миллион серверов, это уже становится проблемным А про ключик из TPM, anonymous (??), 19:59 , 31-Июл-20, (253)   С каким конкретно TPM и какая конкретно версия GRYB не работает Если лям сервако, Аноним (255), 07:16 , 01-Авг-20, (255)   Или coreboot затрояненый проприетарные блобами обучить шифровать boot Портиров, Аноним (258), 08:09 , 01-Авг-20, (258)   Не могу распарсить написанное , anonymous (??), 10:12 , 01-Авг-20, (264)   Coreboot обучить шифровать boot портировав в него поддержку LUKS с GRUB2 или Li, Аноним (288), 14:16 , 03-Авг-20, (288)   Почему не работает Работает Просто тут выбор 1 Либо запретить менять конфиг g, anonymous (??), 10:09 , 01-Авг-20, (263)   Не понял вашей политики организации изменения конфигурации grub Для изменения ко, Аноним (288), 14:29 , 03-Авг-20, (289)   Нет такого в природе, подпись grub cfg проверяется и побитого GRUB не загрузит, Аноним (308), 14:54 , 18-Авг-20, (308)   Он курящий , Аноним (231), 13:24 , 31-Июл-20, (231)   s сертифицированный цепочку вериытцированну цепочку Вражеский спелчекер херит см, Аноним (49), 08:15 , 30-Июл-20, (50)   // Смысла нет, есть цель , Аноним (231), 13:05 , 30-Июл-20, (123)   А можно поподробнее, каким образом он подписывается И как после этого обновлять , Аноним (102), 11:36 , 30-Июл-20, (102) +1   // https www gnu org software grub manual grub grub html Using-digital-signatures, Аноним (207), 08:47 , 31-Июл-20, (207)   https www linux org ru forum admin 15742224 cid 15744272, Аноним (230), 12:59 , 31-Июл-20, (230)   Какой дистр Что мешает на компе прописать зловредные ключи при наличии физ дост, олооло (?), 16:20 , 30-Июл-20, (157)   // Сам себе дистростроитель Свой дистр свои правила Сегодня нет популярных дистров, Аноним (219), 10:46 , 31-Июл-20, (216)   Документированная фичя https www gnu org software grub manual grub grub html G, Аноним (219), 11:08 , 31-Июл-20, (218) +1   // Наверно все же лучшим решением будет перенос пароля с grub cfg в grub core img , Аноним (258), 08:03 , 01-Авг-20, (257)   Богато накопали, однако , Consta (?), 00:22 , 30-Июл-20, (1) +6 // а вот если бы писали на расте - то было бы бедно , Аноним (21), 03:05 , 30-Июл-20, (21) –17 // А раст что, телепатить умеет Там ошибка в том что все должно было вырубиться по, Аноним (30), 05:35 , 30-Июл-20, (30) +6 // Не говоря уже о том, что низкоуровневые вещи один черт в unsafe будут, а мантра , asdasd (?), 07:41 , 30-Июл-20, (46) Да просто на самом деле правда жизни такова что GRUB жирная и фичастая скотина, , Аноним (57), 08:47 , 30-Июл-20, (57) +3 Эти санитайзеры ругаются на функции glibc Приходится заменять на аналоги, на ко, Аноним (60), 08:55 , 30-Июл-20, (60) –1 Они много на что ругаются И довольно часто - имея на это некий пойнт , Аноним (-), 09:07 , 30-Июл-20, (67) p s в grub нет вызовов glibc P, Аноним (70), 09:12 , 30-Июл-20, (70) Там ошибка в том, что присутствует киллерфича переполнение буфера, которое може, Аноним (89), 10:16 , 30-Июл-20, (89) Валезание за пределы буфера заканчивается panic, который приводит к остановке пр, Forth (ok), 14:57 , 01-Авг-20, (272) так это фича , Аноним (2), 00:23 , 30-Июл-20, (2) +31 // Согласен, однако, значит ли это, что на упоротые ноутбуки с нетключаемым секуреб, Аноним (127), 14:12 , 30-Июл-20, (127) +5 А всё почему Потому что GRUB надо переписать на Rust , marios (ok), 00:41 , 30-Июл-20, (4) –10 // и вообще всю ефи тоже на раст переписать , Аноним (21), 03:06 , 30-Июл-20, (22) +3 // Так перепишите, кули А то все вы такие умные с вашими серебряными пулями Покаж, Аноним (31), 05:40 , 30-Июл-20, (31) +5 EFI лучше выуинуть к чертям собачьим Производитьелям материнок никто не запреща, Аноним (94), 10:27 , 30-Июл-20, (94) +6 // Таки да Оно породило больше проблем, чем решило , None (??), 15:37 , 30-Июл-20, (150) https www myinstants com instant counter-strike-go-go-go , Анином (?), 09:03 , 30-Июл-20, (65) Минусующие не понимают в сарказм , Аноним (94), 10:25 , 30-Июл-20, (93) –1 на JavaScript, Вы забыли заполнить поле Name (?), 12:42 , 30-Июл-20, (121) На Дерипаско , Аноним (231), 11:49 , 01-Авг-20, (268) Локальный злоумышленник с административными привилегиями или с физическим досту, Антон (??), 00:46 , 30-Июл-20, (5) // если у атакующего есть физический доступ к системе - дырка в грубом это меньшее , Аноним (6), 01:14 , 30-Июл-20, (6) +25 // если у атакующего есть физический доступ к системе То перед ним открываютс, sysrise (ok), 04:15 , 30-Июл-20, (25) // Это может быть обезьяна с подготовленной флешкой, обученная нажать несколько кно, lleeree_ (ok), 10:24 , 30-Июл-20, (92) +3 Да можно и просто с молотком Потеря машины и данных гарантирована , rshadow (ok), 15:18 , 30-Июл-20, (146) +1 Шуруповёрт надежнее , lleeree_ (ok), 16:58 , 30-Июл-20, (165) Ну и какие у него шансы с Epyc, где есть TSME и FDE Скажем так не очень большие , хотел спросить (?), 06:58 , 30-Июл-20, (45) +1 // Пункт 2 https www opennet ru openforum vsluhforumID3 121426 html 47, Аноним (49), 08:01 , 30-Июл-20, (48) если факт несанкцированной перезагрузки установлен, то всё - система скомпромети, хотел спросить (?), 09:07 , 31-Июл-20, (210) Вы серьезно на каждый проскок питания или что там у вас это делаете А не проще , Аноним (-), 07:55 , 01-Авг-20, (256) в датацентре с аптаймом 99 99 какой-такой проскок питания грузить по сети через, хотел спросить (?), 06:07 , 02-Авг-20, (275) Оптимизм это конечно круто, да Еше скажи что ты полностью понимаешь как все это, Аноним (57), 08:56 , 30-Июл-20, (61) Читаю не списки а профильные сайты И да я смотрел конференцию CCC где эпики раск, хотел спросить (?), 09:16 , 31-Июл-20, (211) Однако ж CVE были и в PSP и в ME И что характерно, хаксорский код потом вообще , Аноним (247), 18:40 , 31-Июл-20, (247) Вот, еще один Аноним задался правильным вопросом https www opennet ru openforu, Аноним (81), 09:10 , 30-Июл-20, (68) +1 // Похерили http techrights org 2020 07 30 wontboot , Аноним (290), 14:41 , 03-Авг-20, (290) Ну а что мешает ровно таким же образом вместо grub cfg подменить ядро инитрамфс , Аноним (7), 01:14 , 30-Июл-20, (7) +1 // Для самых внимательных в статье прям картинка есть - подпись ядра проверяется пр, Аноним (8), 01:19 , 30-Июл-20, (8) // Кем должно проверяется ядро если в процессе загрузки используется grub Вниматель, Аноним (81), 08:49 , 30-Июл-20, (58) // Grub, разумеется , Аноним (206), 08:41 , 31-Июл-20, (206) Ну как бы SecureBoot именно против такой подмены и существует Ты загоняешь в пр, AnonPlus (?), 01:36 , 30-Июл-20, (11) // Вот та часть вместо может и не получиться Потому что они предустановлены и не, Аноним (31), 05:43 , 30-Июл-20, (32) –2 // Это только если биос кривой, ну или еще если это ноут по акции с Microsoft купле, Аноним (35), 05:54 , 30-Июл-20, (35) Ну, блин, биос по жизни так или иначе кривой Другим он просто не бывает Уж доп, Аноним (-), 09:00 , 30-Июл-20, (64) –1 Просто не покупай Surface и подобные железки, где ключи нельзя вытряхнуть Во все, AnonPlus (?), 02:12 , 31-Июл-20, (194) На железке заранее не написано - можно там или нельзя Увы, это не особые паранои, Аноним (206), 08:36 , 31-Июл-20, (204) Кто проверяет подписи 1 Самого UEFI перед его загрузкой и испоьнением 2 Ядро g, Аноним (81), 08:58 , 30-Июл-20, (62) –1 // На интеле потенциально бутгад может Проблема в том что это подписывается ну воо, Аноним (-), 09:05 , 30-Июл-20, (66) Зависит от производителя В идеале процессором аппаратно есть возможность шифров, Аноним (81), 09:29 , 30-Июл-20, (77) +1 С точки зрения покупателя - лотерея Без возможности оверрайда, если не угадал , Аноним (126), 14:10 , 30-Июл-20, (126) Читать документацию перед покупкой системы На сколько я понял вхардкорен куда-то, Аноним (219), 10:37 , 31-Июл-20, (214) Честно сказать юзеру что его держат за лоха Это не очень популярно Вхардкожен, Аноним (-), 19:36 , 31-Июл-20, (250) Я подробностей реальной технической реализации не знаю Читал популярные, а не т, Аноним (258), 08:58 , 01-Авг-20, (262) 1 Никто, но есть такая прекрасная штука как TPM-модуль Задействуй его в процес, AnonPlus (?), 02:15 , 31-Июл-20, (195) Уточнение, есть еще BootGuard, вот он может проверять подпись прошивки Но он ли, AnonPlus (?), 02:17 , 31-Июл-20, (196) Вот, еще один Аноним задался правильным вопросом https www opennet ru openforu, Аноним (81), 09:11 , 30-Июл-20, (69) –1 // Однако демьян апдейты grub все же выкатил А то что она не эксплуатируемая в бол, Аноним (70), 09:14 , 30-Июл-20, (71) +1 systemd-boot рулит, systemd-boot неуязвим , foo (?), 01:20 , 30-Июл-20, (9) –4 Дыра в самом SB, но виноват grub think , Андрей (??), 01:30 , 30-Июл-20, (10) // Переполнение буфера в grub, читаем внимательно, да , AnonPlus (?), 01:37 , 30-Июл-20, (12) +1 // Там соль не в этом, а в том что он продолжил как ни в чем ни бывало пахать после, Аноним (31), 05:45 , 30-Июл-20, (33) // Фатальная ошибка в загрузчике кирпич , Аноним (102), 11:44 , 30-Июл-20, (103) +1 Вы только подумайте, секурбут в лучшем для вас случае ничего не делает В случае, Аноним (129), 14:22 , 30-Июл-20, (129) Поэтому в Linux есть режим lockdown, в котором хакерские модули грузить нельзя , kmeaw (?), 15:43 , 30-Июл-20, (151) А прикольно о нем рассказать тому кто его как раз у себя и включил , Аноним (-), 19:51 , 31-Июл-20, (252) Концептуально, в чем безопасность URFI секур бута если ошибка в приложении вне U, Аноньимъ (?), 11:18 , 01-Авг-20, (267) Был же старый добрый MBR, работал и есть не просил Нет, обязательно надо выпенд, qbr (?), 01:42 , 30-Июл-20, (13) +8 // Как реализовать сценарий secure boot с MBR Где будет лежать подпись Напомню, ч, kmeaw (?), 02:05 , 30-Июл-20, (14) –2 // Ваш комментарий подразумевает, что реализация сценария secure boot - это что-то , Аноним 80_уровня (ok), 02:33 , 30-Июл-20, (19) +16 // Это что-то в некоторых случаях небесполезное, т к усложняет эксплуатацию физиче, DerRoteBaron (ok), 02:43 , 30-Июл-20, (20) +2 закрой свой комп в тумбочку, ключ раствори в кислоте профит Некоторые неради, Аноним (21), 03:12 , 30-Июл-20, (23) +2 Это защита от руткитов, которые подменяют ядро на свое собственное Это не защит, RADV (?), 11:53 , 30-Июл-20, (109) А нельзя было просто в биосе прописать, что без ввода пароля от биоса запретить , Аноним (114), 12:08 , 30-Июл-20, (114) Можно снять крышку, вытащить диск, переписать на нём загрузчик и поставить обрат, kmeaw (?), 12:21 , 30-Июл-20, (117) Если каждый легко может стать vendor-ом, то смысл в vendor lock пропадает и этой, kkk (??), 12:37 , 30-Июл-20, (120) +1 Можно получить рута на компе, прописать хлам в загрузочный раздел сектор и д, Аноним (129), 14:27 , 30-Июл-20, (130) +1 А если диск зашифрован Злоумышленнику очень бы хотелось заменить загрузчик на т, kmeaw (?), 15:24 , 30-Июл-20, (148) +1 А что помешает злоумышленнику добавить свой ключ в список доверенных SB Если же, Аноним (-), 06:25 , 31-Июл-20, (198) Сделать IPL и первую статию загрузчика наглухо readonly А вот дальше в них чека, Аноним (31), 05:50 , 30-Июл-20, (34) +1 // А как обновлять этот IPL тогда И в 440 байт сложно уместить алгоритм проверки п, kmeaw (?), 12:15 , 30-Июл-20, (115) 1 А что если никак Зачем вам обновлять мелкий прелоадер Вы же не обновляете , Аноним (132), 14:40 , 30-Июл-20, (132) Вы уверены, что сможете с первого раза написать идеальный прелоадер без ошибок , kmeaw (?), 15:20 , 30-Июл-20, (147) Ну, во первых, с 1 раза и не надо - зачем вам устраивать локаут себе на тестово , Аноним (-), 11:02 , 31-Июл-20, (217) А зачем вообще нужен secure boot, кроме как для vendor lock , kkk (??), 12:07 , 30-Июл-20, (113) // Чтобы злодей, кратковременно получивший физический доступ к оборудованию или чер, kmeaw (?), 12:16 , 30-Июл-20, (116) Нет, чтобы ты не дай бог, не поставил себе чего-то несертифицированного , kkk (??), 20:31 , 30-Июл-20, (178) Злодей, имеющий физ доступ, может прописать свои ключи в биос Поэтому secureboo, Павел (??), 07:34 , 31-Июл-20, (202) Я прямо в предвкушении был этого комментария, открывая текст новости Образцовый, Annoynymous (ok), 02:26 , 30-Июл-20, (18) –3 // Он досих пор наверное под MSDOS сидит с дисками 100Мб, Аноним (35), 05:59 , 30-Июл-20, (37) // В этом все линуксоиды, взять и извратить до абсурда мысль собеседника -Я не хочу, Адекват (ok), 06:43 , 30-Июл-20, (43) –3 У меня MBR работает до сих пор, главное, чтобы размер свободного места в начале , Аноним (81), 08:44 , 30-Июл-20, (55) MBR не умеет в GPT, не умеет больше 4 физических разделов, не умеет разделы 2Т, Аноним (59), 08:52 , 30-Июл-20, (59) –1 // не MBR не умеет, а отвратительные недостаточно модульные биосы, сделанные с расч, Аноним (60), 08:59 , 30-Июл-20, (63) Ставь GPT и малюсенький раздел для BIOS GRUB, перед разделом boot и все у тебя , Аноним (81), 09:45 , 30-Июл-20, (83) добавить поддержку никто не мешает - это всего лишь прочитать пару секторовво-пе, aa (?), 09:51 , 30-Июл-20, (84) –1 1 GPT - это раздутая и искуственно усложнённая система разделения диска 2 Боль, kkk (??), 11:35 , 30-Июл-20, (101) –1 // GPT хорош наличием GUID у диска и раздела Это позволяет однозначно идентифициро, kmeaw (?), 12:35 , 30-Июл-20, (119) +1 Что ты понимаешь под однозначно идентифицировать разделы В MBR ты знаешь всё,, kkk (??), 13:25 , 30-Июл-20, (125) –1 После того, как система запустилась, ей может быть нужно найти раздел на диске , kmeaw (?), 15:36 , 30-Июл-20, (149) +1 Разве Linux до сих пор не умеет находить dev sda4 Как он вообще работал всё эт, kkk (??), 16:29 , 30-Июл-20, (159) –1 дедушка, вы таблетку от склероза забыли принять Если сожрали вместо нее эклер -, пох. (?), 17:30 , 30-Июл-20, (169) +1 Типичный напыщенный хам Это ты таблетку забыл принять Ты глуп и невежественен , kkk (??), 20:43 , 30-Июл-20, (179) лол Дальше можешь не продолжать Дос ты видел только в ютубчике, а описание парт, пох. (?), 20:53 , 30-Июл-20, (180) Эм, по-моему бутсектор логического диска не партишна искал нечто типа IO SYS и, Аноним (221), 11:38 , 31-Июл-20, (221) Да, именно так А никак не на специальные секторах диска Именно поэтому IO SYS , kkk (??), 19:22 , 31-Июл-20, (249) да ничего он не искал , в нем за вычетом bpb места еще меньше чем в mbr, и того, пох. (?), 10:25 , 01-Авг-20, (265) Дурачок, когда же ты хотя бы просто посмотришь дамп бутсектора FAT Я уже не гов, kkk (??), 17:54 , 01-Авг-20, (273) ты свой ник не в то поле вписал дамп бутсектора лолшта - FAT Отлично, просто, пох. (?), 16:28 , 02-Авг-20, (278) Первый сектор файловой системы Посмотри что написано в первом секторе, дурачок , kkk (??), 09:27 , 03-Авг-20, (286) Это ты DOS никогда не видел и даже не потрудился проверить то, что тебе говорят , kkk (??), 19:18 , 31-Июл-20, (248) Специально для тебя https www youtube com watch v V5tMCTOcg8kБудь мужиком, при, kkk (??), 19:44 , 01-Авг-20, (274) Замечательно умеет Только при очередной перезагрузке это может оказаться раздел, Sarcastic scutosaurus (?), 17:32 , 30-Июл-20, (172) +1 Ты вменяемый , AlexYeCu_not_logged (?), 20:56 , 30-Июл-20, (184) Не знаю, давно не проверялся А что Или ты просто не в курсе, что инициализация , Sarcastic scutosaurus (?), 21:24 , 30-Июл-20, (187) Т е про UUID ты не в курсе , AlexYeCu_not_logged (?), 22:08 , 30-Июл-20, (191) UUID чего У раздела в случае msdos-разметки нет никакого UUID Они могут быть у, Sarcastic scutosaurus (?), 16:34 , 31-Июл-20, (242) +1 Ну почитал у гражданина какие-то невнятные проблемы с поиском раздела sdx он х, AlexYeCu_not_logged (?), 18:18 , 31-Июл-20, (244) Проблема описана вполне внятно на разделе может быть нечто, не идентифицируемое, Sarcastic scutosaurus (?), 18:37 , 31-Июл-20, (246) ну могу тебе показать машину, где именно при каждой, угадай где у нас сегодня ди, пох. (?), 10:39 , 01-Авг-20, (266) –1 И в чём у тебя проблема с лейблами Хоть руками mount -L делай, хоть в fstab их , Аноним (102), 12:12 , 01-Авг-20, (269) то что ты даже не понял, о каких лейблах речь , пох. (?), 16:19 , 02-Авг-20, (277) Заинтриговал , Аноним (102), 20:21 , 02-Авг-20, (279) не, сам запутался - -L это именно оно, partition label в отличие от LABEL , кот, пох. (?), 03:11 , 04-Авг-20, (292) Эээ 8230 А где этот partition label лежать-то должен В DOS disk label на кажд, Аноним (102), 22:45 , 04-Авг-20, (295) в partition table, вестимо Если она, конечно, GPT Собственно, это одна из прич, пох. (?), 00:17 , 05-Авг-20, (297) А, ты про GPT 8230 Просто выше-то MBR обсуждали Но и что в GPT можно имена ра, Аноним (102), 23:01 , 05-Авг-20, (301) повторяю в той _единственной_ реальной ситуации, когда на самом деле могут возн, пох. (?), 18:49 , 06-Авг-20, (305) Впрочем, можно их при желании в fstab зафигачить dev disk by-partlabel , Аноним (102), 23:04 , 05-Авг-20, (302) о, научились Но, похоже, это фича ядер после 4 какой-то, мое так не умеет и тако, пох. (?), 13:38 , 06-Авг-20, (303) На, дарю ENV ID_PART_ENTRY_SCHEME gpt , ENV ID_PART_ENTRY_NAME , SYMLIN, Аноним (102), 16:05 , 06-Авг-20, (304) ты мне лучше найди куда вставить создание этих меток Причем - динамическое При, пох. (?), 18:55 , 06-Авг-20, (306) –1 Э не, вот это уже только за деньги , Аноним (102), 11:41 , 07-Авг-20, (307) то что в fstab вместо них автоматически записывается неведомая вредная херня мен, пох. (?), 03:18 , 04-Авг-20, (293) –1 В случае с dd лейблы никак не помогут, с ними ровно такая же путаница будет , Аноним (102), 22:50 , 04-Авг-20, (296) лэйблы помогут - тем что ты это увидишь и сможешь понять, где какой - если я сей, пох. (?), 00:23 , 05-Авг-20, (298) –1 При наличии одного SATA контроллера с несколькими портами Ты уверен Кроме того , kkk (??), 19:50 , 31-Июл-20, (251) 0_0 Эм, а вы вообще etc fstab видели когда-нибудь , AlexYeCu_not_logged (?), 20:55 , 30-Июл-20, (182) всяких бакланов, подпихивая им небольшое персональное клеймо , Аноним (-), 14:51 , 30-Июл-20, (133) –3 не будь лохом, скопируй uuid у другого баклана правда, потом будет немного обид, пох. (?), 20:55 , 30-Июл-20, (183) Ну, давай сюды свой Так зачем же CP копировать, толко гуид , Аноним (221), 11:39 , 31-Июл-20, (222) держи e139ce78-9841-40fe-8823-96a304a09859дык cp найдет товарищмайор, и решит ч, пох. (?), 00:30 , 05-Авг-20, (299) Решается на уровне ОС, а за её пределами 8212 зачем , AlexYeCu_not_logged (?), 20:53 , 30-Июл-20, (181) –1 Да блин, что за каша в головах у людей Если имеете в виду grub-pc, то так и пиш, Аноним (102), 11:50 , 30-Июл-20, (105) +3 Критическая необходимость , Аноним (15), 02:09 , 30-Июл-20, (15) +2 Когда трудности нет, то что тогда преодолевать , Alexey (??), 02:11 , 30-Июл-20, (16) // Возьми шмот и айда в горы, узнаешь , Аноним (36), 05:56 , 30-Июл-20, (36) // Куда ты его посылаеш Там сдохнуть вполне реально Прочти статистику по РФ в го, Аноним (81), 08:37 , 30-Июл-20, (54) –1 // К преодолению трудностей К тому же по своему прикольному Вообще, так по жизни , Аноним (70), 09:19 , 30-Июл-20, (72) Русский не родной , Sgt. Gram (?), 11:51 , 30-Июл-20, (106) +1 // Даже если был бы не родной, то как показать где должно быть разделение и как чит, Alexey (??), 19:03 , 30-Июл-20, (175) // Да какое препинание Союзы научись употреблять Либо s когда если , либо s то г, Sgt. Gram (?), 21:35 , 30-Июл-20, (188) Про союзы на regteston mail ru аж интересно стало, научи будь добр в данном конк, Alexey (??), 10:14 , 31-Июл-20, (213) Что тебе непонятно Если что-то, то нечто Когда что-то, нечто И никак иначе , Sgt. Gram (?), 16:43 , 31-Июл-20, (243) А почему нельзя Или он не Великий и могучий пиши разъяснения на почту с приме, Alexey (??), 20:56 , 31-Июл-20, (254) Купи учебник, найми препода нормального не репетитора для ЕГЭ Ишь какой, на х, Sgt. Gram (?), 15:10 , 02-Авг-20, (276) +1 Тебе трудно указать где это правило, когда оно было введено и на основании чего , Alexey (??), 00:14 , 04-Авг-20, (291) Чем оно лучше lilo , Аноним (17), 02:20 , 30-Июл-20, (17) +1 // Оно лучше, чем lilo, Аноним (21), 03:13 , 30-Июл-20, (24) +1 Своей громоздкостью, глючностью и вечными проблемами, Аноним (35), 06:00 , 30-Июл-20, (39) // А еще негуманоидным синтаксисом, реально нужно иметь степени по клинописи, крипт, Адекват (ok), 06:47 , 30-Июл-20, (44) +5 // но к сожалению, альтернативно-одаренным его было никак не понять Поэтому он объ, пох. (?), 09:36 , 30-Июл-20, (80) +7 Так он и теперь помещается Просто он запускает более жирный лоадер, тот догружа, Аноним (-), 14:55 , 30-Июл-20, (135) или не запускает, и ты сосешь лапу и бежишь за rescue диском а потом разгадывае, пох. (?), 16:23 , 30-Июл-20, (158) Я видел много странной фигни, но вот именно такого ни разу не встречал За десят, Аноним (-), 12:02 , 31-Июл-20, (223) зато https bugzilla redhat com show_bug cgi id 1861977 встретили это у lilo о, пох. (?), 00:59 , 05-Авг-20, (300) grub2 menuentry Arch Linux Fallback set root hd1,msdos1 linux boot , kmeaw (?), 15:45 , 30-Июл-20, (152) +1 если бы еще и работал - то цены бы ему не было Только он у тебя не сработает - , пох. (?), 16:45 , 30-Июл-20, (163) +2 Ровно так у меня и работает Только сверху есть ещё кусок if loadfont EFI boot , kmeaw (?), 17:25 , 30-Июл-20, (168) ох, да, как это - да чтоб в загрузчик сцуко - в ЗАГРУЗЧИК, Карл да не подгруз, пох. (?), 21:04 , 30-Июл-20, (185) Так не подгружай Он всё равно будет работать Разве это плохо, когда фича есть,, kmeaw (?), 21:56 , 30-Июл-20, (190) расскажи это вот теперь счастливеньким де6иллиано-убунтоюзерам У которых ночью , пох. (?), 08:52 , 31-Июл-20, (208) Кстати, там что, ссылка на файл шрифта а если вместо шрифта будет какой-то сво, Адекват (ok), 07:08 , 31-Июл-20, (201) +1 Собственно, а почему бы загрузчику и не уметь нормально рисовать в гуевый режим,, Аноним (-), 08:46 , 01-Авг-20, (260) Это для интеграции с пакетниками, апдейтами ядер и всем таким Теперь пакетник п, Аноним (259), 08:42 , 01-Авг-20, (259) вы забыли добавить - написанными вчерародившимися, ниасиляторами sed Вот вам суп, пох. (?), 13:15 , 01-Авг-20, (270) Нет, то что я показал - это реальный пример тех веремен, когда grub 0 97 был, а , Адекват (ok), 06:39 , 31-Июл-20, (200) ну в первых же строчках все интуитивно-понятно - мы написали прекрасный конфиг , пох. (?), 09:02 , 31-Июл-20, (209) +3 Абсолютно Если что-то надо - айда менять ШАБЛОН А этот список динамический, , Аноним (-), 08:48 , 01-Авг-20, (261) да, щас, щас, еще один нескучный язычок вызубрю только к0к0к0й ужос Ведь sed-то, пох. (?), 13:24 , 01-Авг-20, (271) +1 Какой смысл вообще использовать Secure Boot с GRUB Изначально понятно, что так , Аноним (26), 04:35 , 30-Июл-20, (26) +3 // Доступ к bios может быть ограничен на уровне uefi, Аноним (27), 05:00 , 30-Июл-20, (27) // UEFI давно уже выяснено ломается и из системы получается доступ к изменению наст, Аноним (38), 05:59 , 30-Июл-20, (38) +5 Ога, только ни рамдиск не положишь, ни командлайн не поменяешь небось Поэтому ф, Аноним (-), 05:22 , 30-Июл-20, (29) +2 // ну вот этим должен был заниматься как раз grub или какая-нибудь его замена В ид, пох. (?), 16:32 , 30-Июл-20, (160) Если прописывать ядро в nvram, то без проблем и командлайн, и initrd туда же мо, kmeaw (?), 17:31 , 30-Июл-20, (170) Согласен GRUB ненужен как и другие загрузчики У меня ядро напрямую грузится из, Аноним (35), 06:03 , 30-Июл-20, (40) –1 // Ramdisk и подпись для secureboot через gummiboot, Аноним (35), 06:06 , 30-Июл-20, (41) У вас, простите, 1 ядро необновляемое В том же Дебе сразу после установки систе, ryoken (ok), 08:20 , 30-Июл-20, (51) // Во всяких рачах ядро называется просто как-нибудь вроде vmlinuz-linux и раскатыв, Аноним (90), 10:18 , 30-Июл-20, (90) Чё, правда Прямо поверх, не симлинком Отчаянные ребята , Аноним (102), 11:54 , 30-Июл-20, (110) +1 А если вдруг система с новым ядром не запустилась - мы произносим удивленное ух, Аноним (-), 14:58 , 30-Июл-20, (138) +1 это рач, они даже не удивляются не может загрузиться даже со старым ведром - вед, пох. (?), 16:34 , 30-Июл-20, (161) бть Сглазил , пох. (?), 08:40 , 31-Июл-20, (205) Чего Кернел Или сабжа , Аноним (-), 12:08 , 31-Июл-20, (225) сабжа - реально все по моему сценарию и слуцилась этой же ночью - - и у убунтоид, пох. (?), 14:18 , 31-Июл-20, (233) +1 режьте ОСТОРОЖНЕЙ ц PS http bugzilla redhat com 1861977 -- оно PPS это у , Michael Shigorin (ok), 08:22 , 03-Авг-20, (285) угу, и нифига так и не понятно - ни что это было, ни где запатчено в очередной р, пох. (?), 14:50 , 04-Авг-20, (294) Ну так тем более - мне казалось, лезть каждый раз за загрузочной флехой должно б, Аноним (-), 12:07 , 31-Июл-20, (224) да куда лезть, она ж у них напостой в разъем воткнута, только диск выбрать ой, , пох. (?), 14:21 , 31-Июл-20, (236) Вот так достаточно , Аноним (102), 14:56 , 30-Июл-20, (137) +1 Дык там один из довереных ключей ms утек, так что не похрен ли Кто этого хотел , Аноним (-), 05:20 , 30-Июл-20, (28) +2 // Что мешает пользователю самостоятельно положить этот ключ в dbx , kmeaw (?), 15:47 , 30-Июл-20, (153) А можно ссылочку на ключ или сам ключ , Аноним (173), 18:58 , 30-Июл-20, (173) // Я такое не коллекционирую, но на форониксе новость была про малварь подписанную , Аноним (-), 12:12 , 31-Июл-20, (226) +1 // Ну там и ещё вариант был , Michael Shigorin (ok), 08:18 , 03-Авг-20, (284) Хахаха, как обычно Жду от мамкиных экспертов визгов про кривые руки программисто, Fracta1L (ok), 06:41 , 30-Июл-20, (42) –6 // 1 Тебе надо прочесть учебник о защите памяти в OS Можно на C написать OS котора, Аноним (49), 08:27 , 30-Июл-20, (52) +1 // Вот и начались мантры , Fracta1L (ok), 08:45 , 30-Июл-20, (56) –2 // Ну так покажи нам, ракам, как чай в варежках пить Не, не покажешь Потому что п, Аноним (75), 09:23 , 30-Июл-20, (75) +1 Ну так покажи хоть одну используемую программу на Сишке без дыр, Fracta1L (ok), 10:06 , 30-Июл-20, (88) –1 Ну дык djbdns например А так что совсем без дыр и нафиченые проги - блин, поиме, Аноним (-), 15:04 , 30-Июл-20, (143) Ахахахахаhttps www webcitation org 68AXHUSJp url http securityandthe net 200, Fracta1L (ok), 16:44 , 30-Июл-20, (162) Это не сишная дыра, а логическая Такое на любом языке могло бы быть Гугли даль, Аноним (102), 17:18 , 30-Июл-20, (167) Найс манявры , Fracta1L (ok), 07:43 , 31-Июл-20, (203) –1 Ну ладно, а вон те L4 и проч которые типа математически-доказаны ты ломать умееш, Аноним (-), 12:14 , 31-Июл-20, (227) Вы пытаетесь спорить с упоротым глупцом, который мнит себя троллем Смысл Он , Michael Shigorin (ok), 08:17 , 03-Авг-20, (283) Двоечник, марш за учебниками И чтобы до 1 сентября вот здесь https www openn, Аноним (219), 09:50 , 31-Июл-20, (212) Linux PAX тебе ничего не говорит , Аноним (219), 11:20 , 31-Июл-20, (220) +2 Она для начала вызвана игнором ошибки парсера, а это уже следствие обшего undefi, Аноним (75), 09:22 , 30-Июл-20, (73) –1 Товарищ папкин эксперт, покажи-ка свой код Интересно, писал ли ты вообще на чём, Аноним (102), 11:57 , 30-Июл-20, (111) Ха-ха-ха мы закинем в ваш раздел efi свою уязвимость что бы искать другие уязвим, Аноним (53), 08:31 , 30-Июл-20, (53) Ужас-ужас А по сути - ничего собственно не произошло Как был весь этот секуребут, Онаним (?), 09:23 , 30-Июл-20, (74) +4 // надеяться, Онаним (?), 09:23 , 30-Июл-20, (76) +2 Хм, это за частую даже удобно, можно спокойно заливать любые системы на эту бесп, svsd_val (ok), 09:35 , 30-Июл-20, (78) так это ж не уязвимость, а True-функционал дурачок Мэтью Гаррет в ногах у микрос, Hellraiser (??), 09:35 , 30-Июл-20, (79) –1 // Мальчик, ты дурачок В том и дело что НЕ может И вот те серьезные дядечки - ХРЕ, пох. (?), 09:43 , 30-Июл-20, (82) +1 // девочка, не надо обзываться, это невежливо лучше расскажи нам сказку, что тольк, Hellraiser (??), 09:58 , 30-Июл-20, (85) // Из коробки -- только с ним, увы По факту Отключение -- действие, которое дал, Michael Shigorin (ok), 08:15 , 03-Авг-20, (282) Менюшек может просто не быть - вообще ну да - зайдите в менюшку _своей_операцион, пох. (?), 13:59 , 03-Авг-20, (287) Именно благодаря этой уязвимости у меня получилось установить линукс на hp pav, Укуренный (?), 10:01 , 30-Июл-20, (86) –1 // вобщем-то ничто не мешает сделать так, чтобы после обновления остался уязвимый , Hellraiser (??), 10:05 , 30-Июл-20, (87) +1 А может мне кто-нибудь доходчиво объяснить, зачем в реальном мире нужен SecureBo, mikevmk (??), 10:35 , 30-Июл-20, (97) +3 // Загрузочные вирусы же Другое дело - кто их видел вобще за последние лет 5 , tolstushka.ru (ok), 10:51 , 30-Июл-20, (99) +1 // Ну это ж никакой критики не выдерживаетТ е получается, что вендор лок как мало-, mikevmk (??), 11:22 , 30-Июл-20, (100) +1 На самом деле этот SecureBoot - ТОЛЬКО НАЗВАНИЕ И НИЧЕГО БОЛЬЕЕ Он НЕ SECURE, о, InuYasha (??), 11:49 , 30-Июл-20, (104) // СПАСИБО, БОЛЬШИЕ БУКОВЫ ЛУЧШЕ ВИДНО, RADV (?), 11:52 , 30-Июл-20, (107) +5 В реальном мире на фиг не нужен В идеальном же должна выполняться проверка подп, Аноним (102), 12:01 , 30-Июл-20, (112) +1 // к этому и ведут облачные ОС, облачные программы, всех в сад инет, Аноним (21), 12:27 , 30-Июл-20, (118) // Ты правда думаешь, что там девляпсы что-то проверяют , Аноним (102), 14:59 , 30-Июл-20, (141) это не идеал, это антиутопия, vitalif (ok), 14:59 , 30-Июл-20, (140) // Иедальный, от слова идея 8212 воображаемый, на практике недостижимый Идеал, Аноним (102), 15:02 , 30-Июл-20, (142) ну, допустим есть сервер банка и нужно защитить его от руткитов режима ядра, Нанобот (ok), 12:52 , 30-Июл-20, (122) –4 // Ты кейс целиком расскажи А то это получается как турникеты в школах против терр, mikevmk (??), 13:24 , 30-Июл-20, (124) +4 // Ну как-то так 1 прихожу в банк2 захожу в серверную3 вставляю флэшку с руткито, Аноним (21), 14:17 , 30-Июл-20, (128) –1 А охрана банка, соответственно, спокойно на все это втыкает А не проще было тог, Аноним (-), 15:07 , 30-Июл-20, (145) +4 охрана втыкает нервно - потому что из стены в серверную хлещет дерьмо, и он вооб, пох. (?), 17:11 , 30-Июл-20, (166) не надо судить о взломе банков по американским фильмам , Аноним (21), 20:10 , 30-Июл-20, (177) Понятно Помогает только при съемке попсовых фильмов про хакеров, и то приходитс, Аноним (-), 12:20 , 31-Июл-20, (228) +1 да в чем проблема-то Было бы мне надо - вполне мог бы что-то в этом роде исполн, пох. (?), 12:38 , 31-Июл-20, (229) допустим, я уже работаю в этом банке и имею полный доступ но в один прекрасным , Нанобот (ok), 17:32 , 30-Июл-20, (171) Если есть полный доступ можно и программатор принести и переписать всю уефину на, Аноним (173), 19:05 , 30-Июл-20, (176) +1 это просто невозможно Код ядра безусловно подписан какой-то подписью, а вот вся , пох. (?), 21:14 , 30-Июл-20, (186) –1 да, 100 защиты системы оно не даёт, оно защищает только одну конкретную область, Нанобот (ok), 14:19 , 31-Июл-20, (234) ну да, о том и речь - от другой совсем модели угроз, нежели полноправный админ с, пох. (?), 14:27 , 31-Июл-20, (237) чьей именно цифровой подписью , Аноним (-), 06:29 , 31-Июл-20, (199) цифровой подписью разработчика операционной системы, Нанобот (ok), 14:20 , 31-Июл-20, (235) SecureBoot 8212 это гибкая альтернатива перемычке read-only на загрузочном но, kmeaw (?), 15:53 , 30-Июл-20, (155) Не баг, а фича , Zenitur (ok), 11:53 , 30-Июл-20, (108) +4 Атакующий столкнет меня с моего места и взломает граб чтобы добраться до UEFI У, RedEyedMan (ok), 14:35 , 30-Июл-20, (131) GRUB, GRUB2, LILO - это всё эпоха древнего Биоса Парни сейчас эпоха UEFI, давай, Аноним (-), 14:51 , 30-Июл-20, (134) –5 // Не дёргайся, они и UEFI благополучно переживут , Sarcastic scutosaurus (?), 15:05 , 30-Июл-20, (144) +3 угу, systemd-boot наше всь стоп, но это не загрузчик Он ничего без дурацкого, пох. (?), 16:58 , 30-Июл-20, (164) +1 Надоели мне эти уязвимости Физический доступ к девайсу должен означать полное, vitalif (ok), 14:58 , 30-Июл-20, (139) +2 // Тогда нельзя будет реализовать защиту от подмены компьютера или его частей, когд, kmeaw (?), 15:55 , 30-Июл-20, (156) +1 // Забавно, что именно те, кто на самом деле работает с секретными данными, таки пр, AlexYeCu_not_logged (?), 00:15 , 31-Июл-20, (192) +2 // Им проще обойтись физическими регламентами и по старинке поставить по парню с пу, kmeaw (?), 01:56 , 31-Июл-20, (193) –1 Облако в недоверенных руках будет тебе по пятницам 13-го выдавать 2 2 5 И не ср, Аноним (21), 04:14 , 31-Июл-20, (197) Забавно , AlexYeCu_not_logged (?), 18:21 , 31-Июл-20, (245) Дурацкая задача, на руку только проприерастам, vitalif (ok), 01:39 , 03-Авг-20, (280) Буквально неделю назад думал себе на ноутбуке поменять GRUB 2 на Syslinux или LI, Аноним (154), 15:50 , 30-Июл-20, (154) +2 Это фича, srgazh (?), 21:35 , 30-Июл-20, (189) Выстрел в пятку засчитан , pin (??), 13:54 , 31-Июл-20, (232) Если у кого-то шляпа не загрузится после штатных обновлений -- это сюда http , Michael Shigorin (ok), 08:08 , 03-Авг-20, (281) –1 47,1,2,4,5,7,9,10,13,15,16,17,26,28,42,53,74,78,79,86,97,108,131,134,139,154,189,232,281

Сообщения

[Сортировка по времени | RSS]

47. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	+18 +/–
Сообщение от Аноним (47), 30-Июл-20, 07:44
1. > Уязвимость проявляется при разборе содержимого файла конфигурации grub.cfg, который обычно размещается в разделе ESP (EFI System Partition) и может быть отредактирован атакующим, имеющим права администратора, без нарушения целостности подписанных исполняемых файлов shim и GRUB2. https://www.gnu.org/software/grub/manual/grub/grub.html#Usin... У меня ВСЕ модули и ВСЕ настройки grub, включая grub.cfg и прочие которые он подгружает подписаны, так же как и ВСЕ ядра и инитрд. Не подписанный файл или с плохой цифровой подписью grub незагрузит и может прервать загрузку системы: set check_signatures=enforce . Если grub.cfg изменить, то уязвимость не проявится, grub проверит цифровую подпись, увидеть что файл плохой и не будет его подгружать. Цепочку доверия и верификации между secure boot и IMA/EVM GRUB не нарушит. Значит "уважаемая" RedHat опять что-то мутит... PS: У grub2 всеже есть баг или фичя: 1. Обнаружив плохую подпись или ее отсутствие grub не остановит загрузку, просто не будет загружать данный файл, и если возможно продолжит загрузку. Например в grub.cfg можно с помощью configfile включать другие конфигурационные файлы (https://www.gnu.org/software/grub/manual/grub/grub.html#Embe...) и если изменить их то grub.cfg отработает нормально но без загрузки измененного файла. 2. Если загрузка таки невозможна grub2 вываливается в рутовую "рескуэ" консоль где можно вводить ЛЮБЫЕ команды, включая: set check_signatures=no и дальше грузить все что захочешь!!! Я лично не раз этим пользовался чтобы прервать доверительную сертифицированный цепочку между secure boot и IMA/EVM. Баг это или фичя такая? В любом случае надо или отдельно от стандартного пароля grub (в core.img) защищать вываливание в консоль граба паролем или иметь опцию на подобие set rescue_console=off и устанавливать ее в переменные окружения как и check_signatures в grub core.img который верифицируется secure boot. 2. > В большинстве Linux-дистрибутивов для верифицированной загрузки используется небольшая прослойка shim, заверенная цифровой подписью Microsoft. С secure boot ВСЕ чужие публичные ключи должны удалятся. Это незыблемое требование Integrity. Вы сами, лично, должны создать свой ключ для secure boot и подписывать им grub core.img в котором находятся установленные переменные и публичный ключ для проверки подписей модулей grub, его настроек, а также ядер и инитрд. Наличие любого чужого публичного ключа, даже, такой уважаемой фирмы как M$, в secure boot неприемлимо!
Ответить | Правка | Наверх | Cообщить модератору

	49. "Практично уязвимости CVE-2020-10713 (BootHole) не существует!!!"	+3 +/–
	Сообщение от Аноним (49), 30-Июл-20, 08:09
	> Значит "уважаемая" RedHat опять что-то мутит... 100% хотят дрянь типа systemd в grub засунуть под предлогом исправления из пальца высосанной, практично не реализуемой проблемы.
	Ответить | Правка | Наверх | Cообщить модератору

	81. "Практично уязвимости CVE-2020-10713 (BootHole) не существует!!!"	+4 +/–
	Сообщение от Аноним (81), 30-Июл-20, 09:36
	> Проблема решается только обновлением в системе списка отозванных сертификатов (dbx, UEFI Revocation List), но в этом случае будет потеряна возможность использования старых установочных носителей c Linux. Некоторые производители оборудования уже включили в свои прошивки обновлённый список отозванных сертификатов, на таких системах в режиме UEFI Secure Boot можно будет загрузить только обновлённые сборки дистрибутивов Linux. А может дрянь не в сам grub совать будут, а в "обновлённые сборки дистрибутивов Linux" уже засунули... А чтобы со старых, чистых образов не грузились и не ставили чистую систему отозвали в UEFI старые ключи! RedHat с systemd любимого Потеринга начало жесткое наступление.
	Ответить | Правка | Наверх | Cообщить модератору

	91. "Практично уязвимости CVE-2020-10713 (BootHole) не существует!!!"	+2 +/–
	Сообщение от Аноним (91), 30-Июл-20, 10:22
	Уже есть systemd boot.
	Ответить | Правка | К родителю #49 | Наверх | Cообщить модератору

	96. "Практично уязвимости CVE-2020-10713 (BootHole) не существует!!!"	–1 +/–
	Сообщение от Анноним (?), 30-Июл-20, 10:34
	До GNU/Systemd осталось немного )
	Ответить | Правка | Наверх | Cообщить модератору

	98. "Практично уязвимости CVE-2020-10713 (BootHole) не существует!!!"	–2 +/–
	Сообщение от anonymous (??), 30-Июл-20, 10:39
	Обсуждаю с коллегами варианты защиты, и ребята говорят, что надо внедрять systemd bootloader :)
	Ответить | Правка | К родителю #49 | Наверх | Cообщить модератору

	136. "Практично уязвимости CVE-2020-10713 (BootHole) не существует!!!"	+2 +/–
	Сообщение от anonom (?), 30-Июл-20, 14:56
	лавров.jpg
	Ответить | Правка | Наверх | Cообщить модератору

	174. "Практично уязвимости CVE-2020-10713 (BootHole) не существует!!!"	+/–
	Сообщение от anonymous (??), 30-Июл-20, 19:02
	А если откинуть эмоции, то технические аргументы какие forward-нуть?
	Ответить | Правка | Наверх | Cообщить модератору

	219. "Практично уязвимости CVE-2020-10713 (BootHole) не существует!!!"	+/–
	Сообщение от Аноним (219), 31-Июл-20, 11:17
	Форкнуть хотели сказать? Описанная уязвимость boothole практично нереализуема! У меня ее нет! Рассмотривалм варианты: 1. с шифрованым /boot 2. с шифрованым /boot на загрузочной флешке 3. с шифрованым заглавием LUCS на загрузочной флешке. Заметь, мало того, что grub проверит все подписи, так еще шифрование /boot не даст ничего в нем поменять.
	Ответить | Правка | Наверх | Cообщить модератору

	238. "Практично уязвимости CVE-2020-10713 (BootHole) не существует!!!"	+/–
	Сообщение от anonymous (??), 31-Июл-20, 14:39
	> шифрование /boot А ключ для шифрования откуда берётся? Вручную вводится? Или из TPM? А проблема реализуется очень просто на машинах, где запрещено шифрование данных из-за проблем с performance: просто грузишься по сети с побитым grub.cfg (который обычно не измеряется, ибо слишком динамичный) и получаешь полный контроль над системой с правильными значениями в TPM :)
	Ответить | Правка | Наверх | Cообщить модератору

	239. "Практично уязвимости CVE-2020-10713 (BootHole) не существует!!!"	+/–
	Сообщение от anonymous (??), 31-Июл-20, 14:39
	Да даже если разрешено шифрование с ключом в TPM -- та же проблема.
	Ответить | Правка | Наверх | Cообщить модератору

	241. "Практично уязвимости CVE-2020-10713 (BootHole) не существует!!!"	+/–
	Сообщение от Аноним (241), 31-Июл-20, 14:56
	Значит так ребята. Давайте версии используемого вами grub пишите и дистрибутива!
	Ответить | Правка | Наверх | Cообщить модератору

	240. "Практично уязвимости CVE-2020-10713 (BootHole) не существует!!!"	+/–
	Сообщение от Аноним (241), 31-Июл-20, 14:53
	Не должно быть проблем ни с ручным вводом пароля ни с ключом. Измененный grub.cfg не загрузится, подпись не прокатит!!! Можно и Libre BOOT шифровать диск, он тоже умеет.
	Ответить | Правка | К родителю #238 | Наверх | Cообщить модератору

	253. "Практично уязвимости CVE-2020-10713 (BootHole) не существует!!!"	+/–
	Сообщение от anonymous (??), 31-Июл-20, 19:59
	> ни с ручным вводом пароля Когда у тебя миллион серверов, это уже становится проблемным. А про ключик из TPM я сказал чуть выше. > Libre BOOT Не работает на современных серверных платформах.
	Ответить | Правка | Наверх | Cообщить модератору

	255. "Практично уязвимости CVE-2020-10713 (BootHole) не существует!!!"	+/–
	Сообщение от Аноним (255), 01-Авг-20, 07:16
	> А про ключик из TPM я сказал чуть выше. С каким конкретно TPM и какая конкретно версия GRYB не работает? > Когда у тебя миллион серверов, это уже становится проблемным. >> Libre BOOT > Не работает на современных серверных платформах. Если лям серваков то можно и Libreboot на них портировать.
	Ответить | Правка | Наверх | Cообщить модератору

	258. "Практично уязвимости CVE-2020-10713 (BootHole) не существует!!!"	+/–
	Сообщение от Аноним (258), 01-Авг-20, 08:09
	> Если лям серваков то можно и Libreboot на них портировать. Или coreboot затрояненый проприетарные блобами обучить шифровать /boot. Портировать поддержку LUKS с GRUB2 или LibreBOOT не сложная задача.
	Ответить | Правка | Наверх | Cообщить модератору

	264. "Практично уязвимости CVE-2020-10713 (BootHole) не существует!!!"	+/–
	Сообщение от anonymous (??), 01-Авг-20, 10:12
	> Или coreboot затрояненый проприетарные блобами обучить шифровать /boot. Портировать поддержку LUKS с GRUB2 или LibreBOOT не сложная задача. Не могу распарсить написанное ^ :(
	Ответить | Правка | Наверх | Cообщить модератору

	288. "Практично уязвимости CVE-2020-10713 (BootHole) не существует!!!"	+/–
	Сообщение от Аноним (288), 03-Авг-20, 14:16
	Coreboot обучить шифровать /boot портировав в него поддержку LUKS с GRUB2 или LibreBOOT.
	Ответить | Правка | Наверх | Cообщить модератору

	263. "Практично уязвимости CVE-2020-10713 (BootHole) не существует!!!"	+/–
	Сообщение от anonymous (??), 01-Авг-20, 10:09
	> С каким конкретно TPM и какая конкретно версия GRYB не работает? Почему не работает? Работает. Просто тут выбор: 1. Либо запретить менять конфиг grub, иначе потеряешь доступ к диску. А это трудновыполнимое требование (всё же постоянно надо что-то менять и улучшать). 2. Либо не измерять конфиг grub. Тогда обсуждаемая уязвимость позволяет получить ключик для шифрования диска какой-нибудь malware. Что конкретно предлагаете выбрать? :) > Если лям серваков то можно и Libreboot на них портировать. Очень похожий проект у нас тоже есть, но до полномасштабного запуска ещё несколько лет. Там есть множество сложностей, которые, к сожалению, попадают под NDA от Intel :(
	Ответить | Правка | К родителю #255 | Наверх | Cообщить модератору

	289. "Практично уязвимости CVE-2020-10713 (BootHole) не существует!!!"	+/–
	Сообщение от Аноним (288), 03-Авг-20, 14:29
	> Что конкретно предлагаете выбрать? :) Не понял вашей политики организации изменения конфигурации grub. Для изменения конфигурации надо: 1. Расшифровать и примонтировать /boot 2. Изменить конфиг 3. Изменить подпись конфига 4. Отмонтировать и закрыть /boot Как обсуждаемая уязвимость поможет получить ключ от шифрования диска когда grub.cfg подписан и его подпись проверяется при загрузке? Этой уязвимости практично не существует.
	Ответить | Правка | Наверх | Cообщить модератору

	308. "Практично уязвимости CVE-2020-10713 (BootHole) не существует!!!"	+/–
	Сообщение от Аноним (308), 18-Авг-20, 14:54
	> полный контроль над системой с правильными значениями в TPM :) Нет такого в природе, подпись grub.cfg проверяется и "побитого" GRUB не загрузит. Кроме того в TPM GRUB пишет все свои действия, которые изменяют его значение: https://www.gnu.org/software/grub/manual/grub/grub.html#Meas... "If the tpm module is loaded and the platform has a Trusted Platform Module installed, GRUB will log each command executed and each file loaded into the TPM event log and extend the PCR values in the TPM correspondingly."
	Ответить | Правка | К родителю #238 | Наверх | Cообщить модератору

	231. "Практично уязвимости CVE-2020-10713 (BootHole) не существует!!!"	+/–
	Сообщение от Аноним (231), 31-Июл-20, 13:24
	Он курящий.
	Ответить | Правка | К родителю #136 | Наверх | Cообщить модератору

	50. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	+/–
	Сообщение от Аноним (49), 30-Июл-20, 08:15
	s/сертифицированный цепочку/вериытцированну цепочку/ Вражеский спелчекер херит смысл.
	Ответить | Правка | К родителю #47 | Наверх | Cообщить модератору

	123. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	+/–
	Сообщение от Аноним (231), 30-Июл-20, 13:05
	Смысла нет, есть цель.
	Ответить | Правка | Наверх | Cообщить модератору

	102. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	+1 +/–
	Сообщение от Аноним (102), 30-Июл-20, 11:36
	> У меня ВСЕ модули и ВСЕ настройки grub, включая grub.cfg и прочие которые он подгружает подписаны А можно поподробнее, каким образом он подписывается? И как после этого обновлять ядро? Конфиг же перегенерируется, значит, его надо снова подписать, а для этого в системе должен быть приватный ключ. Но тогда вся секурность идёт лесом.
	Ответить | Правка | К родителю #47 | Наверх | Cообщить модератору

	207. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	+/–
	Сообщение от Аноним (207), 31-Июл-20, 08:47
	https://www.gnu.org/software/grub/manual/grub/grub.html#Usin... Скрипт для подписи другой, подписываю все файлы в каталоге /boot, можете начать из того что в документации. Подписывать надо только если меняете ядро, инитрд, grub или его конфиги. Обновление и настройка организованы так чтобы в рабочей системе приватных ключей не было. Если ключ граб изменился то измененный надо добавить в core.img, grub-install это делает. И потом подписать ключом UEFI.
	Ответить | Правка | Наверх | Cообщить модератору

	230. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	+/–
	Сообщение от Аноним (230), 31-Июл-20, 12:59
	https://www.linux.org.ru/forum/admin/15742224?cid=15744272
	Ответить | Правка | К родителю #102 | Наверх | Cообщить модератору

	157. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	+/–
	Сообщение от олооло (?), 30-Июл-20, 16:20
	Какой дистр? Что мешает на компе прописать зловредные ключи при наличии физ доступа?
	Ответить | Правка | К родителю #47 | Наверх | Cообщить модератору

	216. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	+/–
	Сообщение от Аноним (219), 31-Июл-20, 10:46
	> Какой дистр? Сам себе дистростроитель. Свой дистр свои правила. Сегодня нет популярных дистров с полностью включенной Integrity. Спросите Мишу пусть нам расскажет почему в ALT Linux политика IMA проверяет только модули ядра и прочие критические элементы, а не всю систему: /bin /sbin /lib /etc /usr ? > Что мешает на компе прописать зловредные ключи при наличии физ доступа? В каком месте собираешься подставить зловредный ключ: https://www.opennet.ru/openforum/vsluhforumID3/121426.html#62 Этот зловредный ключ должен иметь подпись ключа с предыдущего этапа загрузки. Есть такое понятие "верифицированная цепочка загрузки".
	Ответить | Правка | Наверх | Cообщить модератору

	218. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	+1 +/–
	Сообщение от Аноним (219), 31-Июл-20, 11:08
	> У grub2 всеже есть баг или фичя: > Если загрузка таки невозможна grub2 вываливается в рутовую "рескуэ" консоль где можно вводить ЛЮБЫЕ команды Документированная фичя: https://www.gnu.org/software/grub/manual/grub/grub.html#GRUB... https://www.gnu.org/software/grub/manual/grub/grub.html#Usin... "Note that signature checking does not prevent an attacker with (serial, physical, ...) console access from dropping manually to the GRUB console and executing: set check_signatures=no To prevent this, password-protection (see Authentication and authorisation) is essential. Note that even with GRUB password protection, GRUB itself cannot prevent someone with physical access to the machine from altering that machine’s firmware (e.g., Coreboot or BIOS) configuration to cause the machine to boot from a different (attacker-controlled) device. GRUB is at best only one link in a secure boot chain." Дыра полудокументирована. Внимание пароль на консоль grub спрашивает только после загрузки grub.cfg где этот пароль находится. До загрузки grub.cfg о паролях grub  ничего не знает и соответственно спрашивать не будет!!! Эту фичу надо профиксить через добавление переменной окружения: rescue_console=on/off она реально удобная и иногда крайне нужная.
	Ответить | Правка | К родителю #47 | Наверх | Cообщить модератору

	257. "Критическая уязвимость в загрузчике GRUB2, позволяющая обойт..."	+/–
	Сообщение от Аноним (258), 01-Авг-20, 08:03
	Наверно все же лучшим решением будет перенос пароля с grub.cfg в grub core.img. И всегда при переходе в rescue консоль запрашивать этот пароль. Здесь "уязвимость"/фичя того же порядка как shell busybox в initrd или режим single user mode в Linux. Если диски /boot и / шифрованы, то никто чужой этими фичами воспользовался не сможет.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема