The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы
правила/FAQ
поиск
регистрация
вход
слежка
RSS


Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Леннарт Поттеринг предложил новую архитектуру верифицированной загрузки Linux, opennews (?), 26-Окт-22, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


10. "Леннарт Поттеринг предложил новую архитектуру верифицированн..."  +19 +/–
Сообщение от Аноним (-), 26-Окт-22, 10:49 
Казалось бы почему бы не облегчить использование пользователем своих ключей? И Но нет, все это делается в конечном итоге не для безопасности пользователя, а для безопасности ОТ владельца. Почти всегда владельцы-пользователи отключают Secure Boot и TPM, так как это дико неудобно. И не только в Linux.
Ответить | Правка | Наверх | Cообщить модератору

93. "Леннарт Поттеринг предложил новую архитектуру верифицированн..."  +4 +/–
Сообщение от Аноним (86), 26-Окт-22, 12:38 
Так в использовании своих ключей особых сложностей и нет. Просто обычно никто даже минимально заморачиваться не хочет.
Ответить | Правка | Наверх | Cообщить модератору

168. "Леннарт Поттеринг предложил новую архитектуру верифицированн..."  +1 +/–
Сообщение от n00by (ok), 26-Окт-22, 14:52 
> Так в использовании своих ключей особых сложностей и нет.

То есть можно написать скрипт из нескольких команд, собрать его в пакетик, жалательно немного доработать инсталлятор. И вопрос решён на уровне дистрибутива. Правильно?

> Просто обычно никто
> даже минимально заморачиваться не хочет.

Угу. РедХат ведь не сделала это за майнтайнеров, значит виноваты пользователи. :)

Ответить | Правка | Наверх | Cообщить модератору

195. "Леннарт Поттеринг предложил новую архитектуру верифицированн..."  +2 +/–
Сообщение от Аноним (86), 26-Окт-22, 16:40 
> То есть можно написать скрипт из нескольких команд, собрать его в пакетик, жалательно немного доработать инсталлятор. И вопрос решён на уровне дистрибутива. Правильно?

Да. Вот несложный скрипт, генерящий ключи https://www.rodsbooks.com/efi-bootloaders/mkkeys.sh
Нужно сгенерить ключи, перезагрузиться в BIOS, переключить там режим SB в user mode, загрузиться обратно в систему, вызвать sbkeysync из пакета sbsigntools (если соответствующие EFI-переменные всё еще будут защищены от записи, то надо будет скопировать ключи на ESP, еще раз перезагрузиться, запустив KeyTool.efi из efitools, и за-enroll-ить KEK, db и dbx ключи вручную). Подписывать ядра и загрузчики можно командой sbsign из того же пакета.
С systemd ядра можно подписывать автоматически, кинув в /etc/kernel/install.d/ скрипт примерно такого вида
$ cat /etc/kernel/install.d/90-kernel-sign.install
COMMAND="$1"

case "$COMMAND" in
        add) sbsign --cert /etc/secureboot/keys/local.crt --key /etc/secureboot/keys/local.key --output "/boot/vmlinuz-${2}" "/lib/modules/${2}/vmlinuz" ;;
        *) ;;
esac

Если хочешь UKI, описываемый в статье, то сначала склей его через стандартный objcopy из binutils, а затем уже подписывай.

Все это несложно интегрировать в дистрибутивы, было бы желание. Если у тебя оно есть, то предложи своему любимому дистрибутиву помощь.

Ответить | Правка | Наверх | Cообщить модератору

252. "Леннарт Поттеринг предложил новую архитектуру верифицированн..."  +/–
Сообщение от ivan_erohin (?), 26-Окт-22, 19:51 
> сгенерить ключи, перезагрузиться в BIOS, переключить там режим SB в user mode, загрузиться
> обратно в систему, вызвать sbkeysync из пакета sbsigntools

как вы считаете, вирус типа "шифровальщик" (или его оператор) смогут сделать это все вместо легитимного пользователя ?

вводные такие: локальный юзер взят на удаленное управление, привилегии подняты до уровня "локальный root" или "локальный Administrator" через пока неизвестный 0day.

Ответить | Правка | Наверх | Cообщить модератору

291. "Леннарт Поттеринг предложил новую архитектуру верифицированн..."  +/–
Сообщение от n00by (ok), 27-Окт-22, 08:36 
Попробуйте выполнить systemctl reboot --firmware-setup без прав рута. Работает? А дальше то что будет делать оператор? Куда интереснее варианты с централизованной подписью и ключами для LUKS в TPM, что и предлагается.
Ответить | Правка | Наверх | Cообщить модератору

306. "Леннарт Поттеринг предложил новую архитектуру верифицированн..."  +1 +/–
Сообщение от Аноним (86), 27-Окт-22, 10:53 
Прописать свои ключи - нет. Но если есть локальный рут, то малварь и так может делать всё, что захочет. В случае secure boot будет, конечно, ограничен доступ к системным интерфейсам из юзерспейса (msr регистры, порты ввода-вывода и т.п.), т.к. linux-ядро при включенном секурбуте автоматически активирует lockdown, но это всё уже неважно, т.к. самое ценное в системе - это всё равно пользовательские данные и вычислительные ресурсы, а с рутом доступ до всего этого есть. Ну и, если ключи для подписи хранить локально (а не на HSM), то тогда, разумеется, зловред и lockdown обойдет, загрузив свой подписанный модуль ядра.

Но, вообще, основной вектор атаки, от которого должен защищать SB - это evil maid, т.е. от атакующего с локальным доступом к системе. Если система взломана удаленно (да еще и с получением рута), то к процессу загрузки это имеет уже слабое отношение, а значит и обеспечение безопасности загрузки никак не поможет.

Ответить | Правка | К родителю #252 | Наверх | Cообщить модератору

292. "Леннарт Поттеринг предложил новую архитектуру верифицированн..."  +2 +/–
Сообщение от n00by (ok), 27-Окт-22, 08:39 
Спасибо. То есть тут основная сложность - объяснить пользователю, что нажать в биосе. Кому это действительно надо, тот нажмёт или попросит специалиста. Вот мне и не понятно, почему в дистрибутивах нет штатных инструментов, если они так беспокоятся о пользователях, что потребовалась аж инициатива Леннарта.
Ответить | Правка | К родителю #195 | Наверх | Cообщить модератору

307. "Леннарт Поттеринг предложил новую архитектуру верифицированн..."  +/–
Сообщение от Аноним (86), 27-Окт-22, 10:56 
Думаю, потому что делают механизм, работающий из коробки, рассчитанный на массового неквалифицированного пользователя.
Квалифицированные пользователи при наличии желания и так себе всё настроят, тем более, что там ничего сложного нет. А если желание есть, но настроить не получается, то, видимо, пользователь неквалифицированный и см. п. 1.
Ответить | Правка | Наверх | Cообщить модератору

318. "Леннарт Поттеринг предложил новую архитектуру верифицированн..."  +/–
Сообщение от n00by (ok), 27-Окт-22, 12:22 
В вышеприведённом скрипте есть сложность - он непонятен пользователю. Инструкции, которые надо сначала найти, опять непонятны пользователю. Если же инструкции «нажмите в биосе вот эту кнопку» покажет установщик системы - это квалифицированному пользователю понятно. Если кто-то сам нашёл скрипт, это уже не пользователь, это уже уровень майнтайнера дистрибутива. :)
Ответить | Правка | Наверх | Cообщить модератору

337. "Леннарт Поттеринг предложил новую архитектуру верифицированн..."  +/–
Сообщение от Аноним (86), 27-Окт-22, 16:12 
> В вышеприведённом скрипте есть сложность - он непонятен пользователю

В том скрипте особо ничего понимать и не требуется, он просто генерирует все необходимые ключи в текущем каталоге. Ну и, если он непонятен пользователю, то он определенно неквалифицированный: серьезно, назвать себя квалифицированным пользователем Linux и не знать основы shell-скриптинга?

Можно их, кстати, еще проще сгенерировать командой https://github.com/Foxboron/sbctl. Они их еще и сразу в нужный каталог поместит.

> Если же инструкции «нажмите в биосе вот эту кнопку» покажет установщик системы

Биосы разные, и их функциональность тоже: какие-то в user mode открывают переменные с ключаси на запись из ОС, какие-то нет. Какие-то сразу имеют UI для управления ключами в setup, а для каких-то нужно запускать keytool.efi. Какие-то при включении user mode сбрасывают хранилище ключей в ноль, а какие-то просто дают в него писать (тем или иным упомянутым ранее способом).
В общем, API-то у UEFI унифицированный, а вот пользовательский интерфейс и особенности реализации - нет. Потому простой инструкции для якобы "квалифицированных" пользоватей, которые не могут понять скрипт из десятка строк, нет и в ближайшее время не предвидится.

Ответить | Правка | Наверх | Cообщить модератору

389. "Леннарт Поттеринг предложил новую архитектуру верифицированн..."  +/–
Сообщение от n00by (ok), 28-Окт-22, 11:18 
>> В вышеприведённом скрипте есть сложность - он непонятен пользователю
> В том скрипте особо ничего понимать и не требуется, он просто генерирует
> все необходимые ключи в текущем каталоге.

Это проблема не понимания, а, скорее, психологического плана. Пользователь использует продукт и делает это в рамках руководства по эксплуатации.

> Ну и, если он непонятен
> пользователю, то он определенно неквалифицированный: серьезно, назвать себя квалифицированным
> пользователем Linux и не знать основы shell-скриптинга?

Создаёт ли интерпретатор новый инстанс, когда исполняет команду eval? Вот это, как я понимаю, основы shell-скриптинга. Я их не знаю, мне это не надо.

> Можно их, кстати, еще проще сгенерировать командой https://github.com/Foxboron/sbctl.
> Они их еще и сразу в нужный каталог поместит.
>> Если же инструкции «нажмите в биосе вот эту кнопку» покажет установщик системы
> Биосы разные, и их функциональность тоже: какие-то в user mode открывают переменные
> с ключаси на запись из ОС, какие-то нет.

На уровне дистрибутива достаточно поддерживать первые, для начала.


Ответить | Правка | Наверх | Cообщить модератору

352. "Леннарт Поттеринг предложил новую архитектуру верифицированн..."  +/–
Сообщение от Michael Shigorinemail (ok), 27-Окт-22, 21:57 
А там нет "вот этой кнопки" -- фирмварешлёпы резвятся очень по-разному.
Ответить | Правка | К родителю #318 | Наверх | Cообщить модератору

390. "Леннарт Поттеринг предложил новую архитектуру верифицированн..."  +/–
Сообщение от n00by (ok), 28-Окт-22, 11:24 
> А там нет "вот этой кнопки" -- фирмварешлёпы резвятся очень по-разному.

Помню, в ответ на вопрос «что можно сделать в rpm нового», написал я про обеспечение целостности системы пакетным менеджером. Прошло время, RH это реализовали (иначе - но суть не в этом). Сейчас, в общем-то, похожая ситуация. Для начала хватило бы записи ключей в user mode и пары-тройки скриншотов от биосов основных производителей материнских плат.

Ответить | Правка | Наверх | Cообщить модератору

174. "Леннарт Поттеринг предложил новую архитектуру верифицированн..."  +5 +/–
Сообщение от AlexYeCu_not_logged (?), 26-Окт-22, 15:12 
>Так в использовании своих ключей особых сложностей и нет. Просто обычно никто даже минимально заморачиваться не хочет.

Простые вещи не сопровождаются инструкциями, начинающимися словами «ключей понадобится сгенерировать три штуки».

Ответить | Правка | К родителю #93 | Наверх | Cообщить модератору

381. "Леннарт Поттеринг предложил новую архитектуру верифицированн..."  +/–
Сообщение от AxaRuemail (?), 28-Окт-22, 07:38 
>>> Просто обычно никто даже минимально заморачиваться не хочет.

А я не понимаю какая мне дома польза от этого?

Ответить | Правка | К родителю #93 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей 		Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру