Прошивка, кошмар Часть 4: Конкурс сосания члена

Отчасти беспокойство по поводу того, что ядро ​​должно обрабатывать безопасную загрузку на низком уровне, связано с тем, что ключи Microsoft могут быть использованы для взлома системы, и если это произойдет, они опасаются, что Microsoft отключит ключ и, следовательно, ПК с Linux. с этим ключом (а это никому не нужно).

Все началось с запроса на вытягивание от Дэвида Хауэллса, который позволил двоичным ключам, подписанным Microsoft, динамически загружаться в ядро, работающее в режиме безопасной загрузки. Тот, у кого было одеяло, подумал, что это чушь собачья и что лучше бы улучшить парсер X.509. Мэтью Гарретт отвечает, что существует только один орган подписи и что они подписывают только двоичные файлы PE (переносимые исполняемые файлы). И тут Линус отпускает свой острый язык и говорит:

Ребята, это не соревнование по сосанию члена. Если вы хотите анализировать двоичные файлы PE, продолжайте. Если Red Hat хочет спросить вас глубокое горло в Microsoft, это * ваша * проблема. Это не имеет ничего общего с ядром, которое я поддерживаю. Для вас тривиально иметь подписывающий компьютер, который будет анализировать двоичный файл PE, проверять подписи и подписывать полученные ключи своим собственным ключом. Они уже написали код, ей-богу, в таком чертовом порядке. Почему это должно меня беспокоить? Почему ядру должно быть наплевать на «мы подписываем только двоичные файлы PE»? Мы поддерживаем X.509, который является стандартом для подписи. Сделайте это на стороне пользователя на надежной машине. В ядре нет оправдания этому.

Мэтью отвечает:

Продавцы хотят принести ключи, подписанные доверенной третьей стороной. Теперь единственная, кто соответствует требованиям, - это Microsoft, потому что, по-видимому, единственное, что производители любят больше, чем дрянные прошивки, - это следование спецификациям Microsoft. Эквивалент - это не просто Red Hat (или что-то еще) программно повторно подписать эти ключи, это повторная подпись этих ключей доверенным ключом вышестоящим ядром. Хотели бы вы иметь доверенный ключ по умолчанию, если бы член доверенного общества размещал службу повторной подписи? Или мы предполагаем, что любой, кто хочет выпускать внешние модули, является идиотом и заслуживает быть негодяем?

Линус отвечает, что сомневается, что это кому-то интересно. Что уже глупо подписывать модули ядра ключом Microsoft. В дополнение к этому Red Hat БУДЕТ подписывать бинарные модули NVIDIA и AMD. Питер Джонс говорит, что Red Hat не будет подписывать ни один модуль, созданный другим. Гаррет добавляет, что RHEL в конечном итоге будет полагаться на ключи от NVIDIA и AMD и что весьма вероятно, что они будут основаны на сервисе подписи Microsoft.

И здесь я останавливаюсь и резюмирую частичное и жестокое для тех, кто не хочет вдаваться в технические детали:

Все разработки, связанные с безопасной загрузкой, сошли с ума, но потому что производители оборудования (по крайней мере, крупнейшие) все еще хотят глубоко загрызть Microsoft.

Итак, Линус решил сделать следующие предложения, чтобы они перестали трахаться ……:

Отрежьте это с помощью паники.

Это то, что я предлагаю, и это основано на НАСТОЯЩАЯ БЕЗОПАСНОСТЬ и УСТАНОВИТЕ ПОЛЬЗОВАТЕЛЯ ПЕРВЫМ вместо его подхода «давайте потакать Microsoft, делая дерьмо».

Итак, вместо того, чтобы радовать Microsoft, давайте попробуем посмотреть, как мы действительно можем повысить безопасность:

- дистрибутив должен подписывать свои собственные модули И НИЧЕГО БОЛЕЕ по умолчанию. И он также не должен позволять загружать любой другой модуль по умолчанию, потому что какого хрена он должен? И какое, черт возьми, отношение фирмы Microsoft ко всему остальному?

- перед загрузкой любых сторонних модулей убедитесь, что спросить у пользователя разрешения. На консоли. Без использования ключей. Ничего подобного. Ключи будут скомпрометированы. Постарайтесь ограничить ущерб, но, что более важно, позвольте пользователю контролировать ситуацию.

- Анимируйте такие вещи, как случайные ключи для каждого хоста - с отключенными тупыми проверками UEFI при необходимости. Они почти наверняка будут более безопасными, поэтому полагайтесь на какой-то безумный корень доверия, основанный на большой компании, с подписывающими органами, которые доверяют любому, у кого есть кредитная карта. Попробуйте научить этому людей. Поощряйте людей создавать свои собственные (случайные) ключи и добавлять их в свои настройки UEFI (или нет: весь UEFI - это больше контроль, чем безопасность), и старайтесь делать такие вещи, как одноразовая подпись с отказом от закрытого ключа. Другими словами, попробуйте оживить такой вид безопасности, например, «мы обязательно просим пользователя явно просить пользователя с большими предупреждениями и создавать собственный ключ для этого конкретного модуля». Настоящая безопасность, а не безопасность «мы контролируем пользователя».

Конечно, пользователи ее тоже трахнут. Они захотят загрузить бинарные модули NVIDIA и все такое дерьмо. Но пусть будет SU решение, и под SU контроля, вместо того, чтобы говорить миру, как это должно быть благословлено Microsoft.

Потому что речь должна идти не о благословениях РС, а о пользователь благословляет модули ядра.

Честно говоря, именно вас боятся антиключевые фрики. Вы продаете дерьмо "контроль, а не безопасность". Все, что «MS владеет вашей машиной» - это просто неправильный способ использования паролей.

С этого момента нить успокоилась ... и не стоит за ней следить.

Друзья DesdeLinux. Hoy cumplo mi primer aniversario como redactor en un blog de linux, a pesar de no haber debutado como tal aquí sino en el blog de frannoe que por entonces se llamaba Ubuntu Cosillas y que hoy es LMDE Cosillas. Y fue allí un 2 de marzo cuando escribí el primer capítulo de esta saga del firmware que luego continué aquí. Quisiera agradecer a todos los que me leen y me leyeron, sobretodo a Frannoe y todo el staff de Desdelinux por hacerme un lugar. Si no fuese por haber hecho aquel curso de Programación Funcional Avanzada, y un compañero que me sugirió usar un linux para trabajar con ghc, seguro que me seguiría importando 3 pepinos todo lo de linux.

Я собираюсь закончить этой фразой: «Если вы не будете кричать о своем невежестве, никто не выйдет, чтобы поправить вас, и поэтому вы будете правы, будучи неправы»

Соответствующие сообщения из списка рассылки ядра:

https://lkml.org/lkml/2013/2/21/196

https://lkml.org/lkml/2013/2/21/228

https://lkml.org/lkml/2013/2/21/275

https://lkml.org/lkml/2013/2/25/487


11 комментариев, оставьте свой

Оставьте свой комментарий

Ваш электронный адрес не будет опубликован. Обязательные для заполнения поля помечены *

*

*

  1. Ответственный за данные: Мигель Анхель Гатон
  2. Назначение данных: контроль спама, управление комментариями.
  3. Легитимация: ваше согласие
  4. Передача данных: данные не будут переданы третьим лицам, кроме как по закону.
  5. Хранение данных: база данных, размещенная в Occentus Networks (ЕС)
  6. Права: в любое время вы можете ограничить, восстановить и удалить свою информацию.

  1.   Хуан Карлос сказал

    Проблема в том, что если производители ноутбуков и другие производители определенно поддерживают UEFI Wintel (мы не должны забывать, что UEFI - это идея Intel), и, в худшем случае, все они решают не включать опцию его деактивации, дистрибутивы Linux являются будет выглядеть черным, если у них нет подписи, и я думаю, что люди в RedHat заметили это. Я хочу посмотреть, что они собираются делать через пару лет, когда Linux нельзя будет установить ни на одном новом компьютере, потому что у него нет подписи.

    1.    Анкх сказал

      В худшем случае дистрибутивы подпишут ядро ​​ключами, подписанными Microsoft. Фактически, это то, что некоторые уже делают.
      Торвальдс говорит, что эту проблему нужно решать в каждом дистрибутиве, потому что ядро ​​не собирается этого делать. И это самое разумное, возврата нет.

  2.   Павлоко сказал

    Линус - моя любимая личность в реальном мире. Как будто его вывели из фильма Квентина Тарантино и поставили руководить сообществом. Вы совершенно правы в том, что говорите.

  3.   Alf сказал

    А машины LinuxMint поставляются с загрузкой UEFI / Secure? Я настаиваю на том, чтобы, когда он мне понадобится, я купила один из них.

    Моему кругу исполнился год, и к тому времени, когда мне понадобится еще один, я думаю, что проблема с загрузкой UEFI / Secure уже будет хорошо решена, или правильно реализована, или должным образом устранена, ха.

    1.    Мерлин дебианит сказал

      Я действительно сомневаюсь в этом, это невозможно, потому что, хотя mintbox предназначен для использования с linuxmint, fedora, ubuntu и debian, как сказано в его спецификациях, было бы глупо устанавливать безопасную загрузку на что-то, что обязательно будет иметь двойную загрузку, или он разработан для бесплатного или умеренно бесплатного программного обеспечения в случае Ubuntu XD.

  4.   карликовый сказал

    Что ж, это тема, которая всегда вызывала споры с момента ее появления. Интересно наблюдать, как он прогрессирует, и как Альф я думаю, что в среднесрочной перспективе дела улучшатся. Есть производители, которые всегда позволяют отключать безопасную загрузку, и другие, у которых уже предустановлен Linux, например ThinkPenguin или System76, я надеюсь, что со временем появится все больше и больше, чтобы иметь возможность выбора ... Я всегда буду предпочитать купить что-то, что на 100% совместимо с linux, чтобы гарантированно играть в них с любой другой машины.

  5.   Elav сказал

    Я до сих пор не очень хорошо разбираюсь в махинациях этих UEFI и прочих .. Черт ... кстати diazepan: Поздравляю! Нам очень приятно видеть вас здесь.

  6.   Дэниел сказал

    В конце концов, мы купим чисто серверное оборудование, то есть если не возят туда это дерьмо.
    Это должен быть крупный человек, чтобы большинство крупных и критически важных серверов работали с Linux, и многие из них (в зависимости от их обращения) чрезвычайно безопасны, как если бы предполагать, что эта угроза безопасности убьет все это вредоносное программное обеспечение.

  7.   Чарли Браун сказал

    Как всегда, я ОЧЕНЬ согласен с тем, что выдвигает Линус, как он правильно говорит, эта тема UEFI больше касается «контроля», чем «безопасности». Со своей стороны, я вообще не верю в этот предполагаемый механизм безопасности, и если в мои руки попадет команда с UEFI, первое, что я сделаю, это деактивирую ее и продолжу, как прежде. С другой стороны, я не верю, что производители оборудования предотвратят отключение UEFI, поскольку они рискуют потерять долю рынка; что найдутся те, кто рискнет или хотя бы сделает это в некоторых конкретных моделях, я не сомневаюсь, но я думаю, что всегда будут решения, помните, что это не более чем BIOS на стероидах и возможность обновление его «открытыми» версиями всегда будет латентным.

  8.   Александр сказал

    Насколько я знаю, eufi работает только для win8, если вам нужна система с двойной загрузкой, так как вы можете деактивировать ее с помощью BIOS, само по себе, поэтому не имеет значения, если у вас только Linux, и отключите эту опцию из BIOS, и в этом нет необходимости так много суетиться по этому поводу.

  9.   Фабри сказал

    Эта тема для меня немного велика, но по личным выводам я вижу, что марионетки Microsoft начали видеть их черными, когда они увидели, насколько зрелый Linux…. И то, как они монополизируют крупных производителей с незапамятных времен, для меня ясно, почему так много проблем с этой чертовой безопасной загрузкой ... даже в какой-то крупной или средней компании, я полагаю, что я бы выбрал другие варианты, не считая дальше, и там я куплю свою следующую машину ... это точно 😉