Dla tych, którzy nie znają Canonical, jest to firma z siedzibą w Wielkiej Brytanii, założona i finansowana przez Marka Shuttlewortha pochodzącego z RPA. Firma jest odpowiedzialna za rozwój oprogramowania dla komputerów i zorientowanych na rynek usług Ubuntu, System operacyjny Gnu / Linux oraz aplikacje oparte na wolnym oprogramowaniu.
W przypadku GRUB lub GRAND Unified BootloaderMożna powiedzieć, że jest używany do uruchamiania jednego lub więcej systemów operacyjnych dla tego samego komputera, jest to tak zwany menedżer rozruchu, całkowicie open source.
Teraz porozmawiamy o Luka w zabezpieczeniach dnia zerowego w GRUB2. Po raz pierwszy znaleźli to Ismael Ripoll i Hector Marco, dwóch programistów z Uniwersytetu w Walencji w Hiszpanii. Zasadniczo jest to niewłaściwe użycie klucza usuwania, gdy konfiguracja rozruchu jest zaimplementowana za pomocą hasła. Jest to nieprawidłowe użycie kombinacji klawiszy, gdzie naciśnięcie dowolnego klawisza może ominąć wprowadzenie hasła. Ten problem jest zlokalizowany w pakietach pod prąd i oczywiście sprawiają, że informacje przechowywane w komputerze są bardzo wrażliwe.
W przypadku Ubuntu, kilka wersji zawiera tę lukę w zabezpieczeniach, podobnie jak wiele dystrybucji, które są na nim oparte.
Wśród dotkniętych wersji Ubuntu mamy:
- Ubuntu 15.10
- Ubuntu 15.04
- Ubuntu LTS 14.04
- Ubuntu LTS 12.04
Problem można rozwiązać aktualizując system w wersjach następujących pakietów:
- Ubuntu 15.10: grub2-common a 2.02 ~ beta2-29ubuntu0.2
- Ubuntu 15.04: grub2-common a 2.02 ~ beta2-22ubuntu1.4
- Ubuntu 14.04 LTS: grub2-common a 2.02 ~ beta2-9ubuntu1.6
- Ubuntu 12.04 LTS: grub2-common a 1.99–21ubuntu3.19
Po aktualizacji konieczne jest ponowne uruchomienie komputera, aby wprowadzić wszystkie istotne zmiany.
Pamiętaj, że ta luka może zostać wykorzystana do ominięcia hasła GRUB, dlatego zaleca się wykonanie aktualizacji, aby zapewnić sobie bezpieczeństwo.
W przeciwieństwie do systemów Windows i OS x, w których te błędy są korygowane w ciągu kilku lat [http://www.cnnexansion.com/tecnologia/2015/02/12/microsoft-corrige-falla-critica-en-windows-15-anos - po], luki w systemie GNU / Linux są naprawiane w ciągu kilku minut lub godzin (naprawiono to dopiero po wykryciu luki)
Wygląda na to, że nawet nie przeczytałeś własnego linku.
Luka istniała przez 15 lat, ale została odkryta rok temu.
W Linuksie przez dziesięciolecia istniały również ukryte luki w zabezpieczeniach, mimo że głoszenie zapewniało, że luki zostały wykryte szybciej lub natychmiast, ponieważ źródło było otwarte.
Natychmiast po zgłoszeniu luki Microsoft zaczął pracować nad rozwiązaniem, które było powolne ze względu na złożoność bezpiecznego i skutecznego rozwiązania oraz testów, i nie było to pilne, ponieważ nie było znane atakującym.
To, że coś jest szybko naprawione, oznacza tylko, że tworzenie łatki nie było skomplikowane lub że nie jest stosowana kontrola jakości przy wydawaniu jakichkolwiek zmian w kodzie, nic więcej.
Ale firma Canonical niczego nie odkryła… .. Po prostu nie wpływa na ich dystrybucje
Co? Jak?
Popraw ten tytuł, ponieważ jest to ogromne kłamstwo… kłamstwo w informacjach i kłamstwo w treści artykułu…
W GRUB wykryto lukę, ale firma Canonical nie miała z nią nic wspólnego. Ta luka dotyczy każdej dystrybucji podobnej do Linuksa, nie tylko Ubuntu.
Mówiąc o tle, taka luka nie jest tak niebezpieczna, ponieważ używanie hasła w GRUB jest tak samo bezpieczne, jak używanie hasła w BIOS-ie. Jeśli użytkownik chce bezpieczeństwa, oczywiście będzie miał hasło użytkownika i szyfrowanie dysku (na wypadek, gdyby atakujący miał dostęp do urządzenia).
To nie będzie więcej niż anegdota.
pozdrowienia
To nie jest tak proste, jak chcesz wierzyć.
Tutaj wyjaśniają trochę, dlaczego hasło jest ważne w GRUB i że nie można go rozwiązać za pomocą hasła użytkownika lub szyfrowania rzeczy.
https://blog.desdelinux.net/como-proteger-grub-con-una-contrasena-linux/
Bez wątpienia
Ilekroć coś dzieje się w Linuksie, jest to najpierw natychmiast dewaluowane, a następnie zapomniane.
PS: czy zaostrzyli cenzurę desdelinux że komentarze nie pojawiają się już podczas wysyłania?
co?. Przeczytałeś wpis, że twoje cudzysłowy ... nie mówi nic o szyfrowaniu dysku lub haśle użytkownika, wyjaśnia tylko do czego służy i jak jest używane hasło w GRUB2 ... Potwierdza również, że musisz mieć dostęp do urządzenie naruszające bezpieczeństwo zespołu (istnieje wiele innych skuteczniejszych sposobów niż przez GRUB ...)
I bez względu na to, do jakiego stopnia masz dostęp jako administrator przez GRUB, jeśli masz uprawnienia do partycji, klucze użytkownika i szyfrowanie LUKS dobrze ugruntowane (między innymi), nie uzyskają dostępu do twoich danych (jeśli mają oczywiście dostęp do twojego urządzenia) ).
Dlatego nadal nie widzę sensu (chyba że ufasz tylko hasłu GRUB do zabezpieczenia danych).
Swoją nową odpowiedzią potwierdzasz, że nie widzisz sensu problemu, ponieważ pozostajesz prosty i nie możesz nawet wyobrazić sobie prostych możliwości wynikających z tej luki.
Oczywiście przeczytałem, ale też zrozumiałem.
A może chodzi o to, że potrafię zrozumieć konsekwencje i zakres otwarcia każdej luki.
Luka, której nie powinno tam być, luka w mechanizmie bezpieczeństwa, która powstała z jakiegoś powodu.
Jeśli przeczytasz link, dowiesz się, że ponieważ ten login bezpieczeństwa jest możliwy do pominięcia, możliwy jest dostęp do systemu jako root, z którym twoje hasło superużytkownika jest niczym. A jeśli wiesz coś o tym, co komentujesz, nie powinienem ci wyjaśniać, że po zalogowaniu się jako root można byłoby przeglądać lub edytować skróty haseł, edytować użytkowników, modyfikować system w celu załadowania lub zastąpienia procesów, które monitorują cała aktywność użytkownika po uwierzytelnieniu, która może przejść od przechwytywania ich haseł do zabrania ich odszyfrowanych danych i wysłania tego „do domu”; wśród tysięcy innych rzeczy, które mogą się przydarzyć napastnikowi, który ma więcej wiedzy niż ludzie tacy jak ty, którzy żyją w bańkach samozadowolenia, fałszywego bezpieczeństwa i „nigdy nie odniesie sukcesu, jeśli masz dobrze ugruntowaną pozycję bla bla bla”.
To, że nie możesz myśleć o rzeczach, nie oznacza, że nie możesz niczego robić.
Nie ma też znaczenia, że istnieje wiele „skuteczniejszych” metod, problem polega na tym, że teraz jest jeszcze jedna metoda, której nie powinno być z powodu luki w zabezpieczeniach.
Jest to wysoce dostępna i łatwa metoda, oceniana przez osoby oceniające podatności.
Nie potrzebujesz już Livecdów, USB, odblokowywania BIOS-u, otwierania pudełek, wyjmowania dysków twardych, wkładania dysków zewnętrznych itp. po prostu stań przed klawiaturą i naciśnij JEDEN klawisz.
I nie martw się, że jutro, gdy pojawi się wiadomość, że twój super LUKS ma dziś lukę, ludzie tacy jak ty wyjdą i powiedzą, że „prawdziwy poważny Szkot” nie ufa szyfrowaniu dysku, ale innym rzeczom (nawet GRUB).
Oczywiście …. często nagłówek: „Canonical odkrywa lukę w GRUB2”. I co za sposób na pisanie wiadomości. Po tych wiadomościach ostatecznie wydaje się, że Canonical / Ubuntu są jedynymi, którzy robią rzeczy za wolne oprogramowanie. Colin watson opiekuje się pakietem dla Debiana i już przesłał go do Ubuntu, jak wskazano w wersji pakietu. Nie ma też żadnego komentarza na temat sposobu wyzwalania luki, czyli 28-krotnego naciśnięcia klawisza Backspace.
Pozdrowienia.
To, co jest dla mnie naganne, to to, że wielokrotnie powtarzano, że luka jest spowodowana „niewłaściwym użyciem klawiatury”. To brzmi tak: „źle trzymają iPhone'a”.
Nie, luka jest spowodowana złym programowaniem, jak zawsze, kropka. Jest niewybaczalne, że naciśnięcie X razy klawisza pomija logowanie bezpieczeństwa.
Co za nagłówek, powiedzą też, że podczas gdy grub zaczynał, wykryto błąd naciskając "e", próbowałem też w Linuksie Mint i nic się nie dzieje tylko w Ubuntu.
PS: najpierw muszą wejść do mojego domu, aby użyć tego oka podatności, najpierw odinstaluj mennicę i zainstaluj Ubuntu.
Twoja pisownia pozostawia wiele do życzenia
W końcu lokalne luki to luki.
Na stacjach roboczych, firmach i innych krytycznych środowiskach nie będą rozbawione posiadaniem tej luki, a tym bardziej korzystania z „bezpiecznego linuksa”. Ale gram dobrze, bo nie wchodzą do twojego domu.
E to również ryzyko, które należy zablokować. Nie wiem, czy wiedziałeś.
Hahaha Paco22, jak bronisz tej luki ...
Uwierz mi, że w poważnej firmie istnieje wiele protokołów bezpieczeństwa, aby a) uzyskać dostęp do fizycznego urządzenia b) aby chronić dostęp do danych.
A jeśli nadal interesuje Cię GRUB, łatwiej go zablokować, aby nie mieć do niego dostępu ...
@Hugo
Nie jest kwestią, że „naprawdę poważny Szkot” użyłby innych protokołów bezpieczeństwa, ale to jest jeden z tych protokołów i kropka NIE POWIODŁA SIĘ. Nawiasem mówiąc, niepowodzenie może zagrozić reszcie, jak te, o których wspomniałeś, przysięgając, że są one maksymalną gwarancją.
Ta luka nie wymaga ode mnie obrony, ponieważ została odkryta i zakwalifikowana przez specjalistów, którzy znają się na bezpieczeństwie, a dewaluacje naśladowców rozumieją, że dużo wiedzą, korzystając z dystrybucji, nie ma to znaczenia.
Rozumiem, że boli ich to, że stopniowo rozrywa się mit o „bezpiecznym Linuksie”, nawet po naciśnięciu jednego klawisza.
Typowe, nigdy się nie zmieniają, zawsze takie same, aby zminimalizować wady Superlinux.
człowiek nie żyje tylko na Ubuntu