The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]



"Релиз дистрибутива Tails 4.5 с поддержкой UEFI Secure Boot "
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"Релиз дистрибутива Tails 4.5 с поддержкой UEFI Secure Boot "  +/
Сообщение от opennews (??), 08-Апр-20, 11:55 
Представлен релиз специализированного дистрибутива Tails 4.5 (The Amnesic Incognito Live System), основанного на пакетной базе Debian и предназначенного для обеспечения анонимного выхода в сеть. Анонимный выход в Tails обеспечивается системой Tor. Все соединения, кроме трафика через сеть Tor, по умолчанию блокируются пакетным фильтром. Для хранения пользовательских данных в режиме сохранения пользовательских данных между запусками применяется шифрование. Для загрузки подготовлен iso-образ (1.1 ГБ), способный работать в Live-режиме...

Подробнее: https://www.opennet.ru/opennews/art.shtml?num=52693

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения [Сортировка по ответам | RSS]

2. Сообщение от Аноним (2), 08-Апр-20, 12:40   +1 +/
Ждём ретроградов-неосиляторов кричащих UEFI НЕНУЖНА!!!
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #3, #8, #10, #11

3. Сообщение от Аноним (3), 08-Апр-20, 12:47   +3 +/
Ну не нужна, успокойся уже. Не надо так кричать.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

4. Сообщение от Аноним (4), 08-Апр-20, 12:48   +/
Единственный дистр где поддержка Secure Boot действительно оправдана.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #6, #9

5. Сообщение от Аноним (5), 08-Апр-20, 12:50   +/
а арч походу никогда не сделаею секьюрити бут
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #13

6. Сообщение от Аноним (6), 08-Апр-20, 13:01   +2 +/
А другим почему не надо верифицировать загрузку?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

7. Сообщение от Аноним (6), 08-Апр-20, 13:04   –1 +/
Дело не в одном secureboot.

Загрузка должна быть полностью верифицирована. Включая не только первый этап - загрузчик. А также ядро, init, ВСЕ программы, библиотеки, настройки.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #14, #17, #22

8. Сообщение от gogo (?), 08-Апр-20, 13:18   +2 +/
что именно нужно "ниосилить", чтобы иметь моральное право так кричать? 8)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

9. Сообщение от gogo (?), 08-Апр-20, 13:23   +1 +/
Все было бы идеально, вот только их ключи для secure boot в мамки не завезли...
Так что это глумление, если загрузчик "секюрной" ОС подписан чужими ключами.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #12

10. Сообщение от КО (?), 08-Апр-20, 13:47   –1 +/
Не нужна установка
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

11. Сообщение от Аноним (11), 08-Апр-20, 14:06   –1 +/
Потому, что заточен на формат PE.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

12. Сообщение от Вася (??), 08-Апр-20, 14:15   +1 +/
Вообще то во всех нормальных серверных и десктопных системах есть custom enroll своих ключей, подписал загрузчик утилитой mokutil и воткнул свои ключи в db, а все другие убрал.

Просто так и скажите "лень вникать и разбираться"

Что может быть плохого в валидации чексуммы загружаемых на ранних стадиях bin-блобах? Это только плюс. Хотя и не гарантия, что вы не цепанете в онлайне эксплойт который исполнит malware прошивку, для этого надо посложнее заморочиться (во первых есть модуль ядра от поляков который делает превентивную эвристическую защиту от всех известных в общем плане подходов к arbitrary code и обрубает их, ну или вот решение недавние от ms для Линукс или его альтернативы.

В хромось это реализовано из коробки

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9

13. Сообщение от Вася (??), 08-Апр-20, 14:19   +3 +/
Да что там арч! Clear блять Linux за N лет до сих пор не поддерживает Secure Boot из коробки... Это чтоб вы понимали это Linux от Intel созданный под флагом "secure by design" и не поддерживающий секьюре технологию придуманную в Intel... мир сошел с ума (с)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #15

14. Сообщение от Anonymouse (?), 08-Апр-20, 15:00   +1 +/
Так же не допустима загрузка без онлайн проверки самого верификатора
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #16, #18, #20, #21

15. Сообщение от Аноним (15), 08-Апр-20, 15:04   +2 +/
Пора бы уже осознать, что Clear Linux -- это пет проект по фану, единственная цель его существования -- унижать конкурирующие компиляторы в попугаеметрах. По-моему, он никогда и не позиционировался как дистрибутив для пользователей. Может там с alpine поконкурирует ещё.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13

16. Сообщение от Аноним (16), 08-Апр-20, 18:58   +/
А также ядра, init, ВСЕХ программ, библиотек, настройки.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14

17. Сообщение от Аноним (17), 09-Апр-20, 06:36   +/
> Загрузка должна быть полностью верифицирована

Кому должна?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #19

18. Сообщение от Аноним (18), 09-Апр-20, 08:15   +/
> Так же не допустима загрузка без онлайн проверки самого верификатора

Это шутка? Несмешно. Хочешь чтобы тебя все майоры *рочили еще во время загрузки?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14

19. Сообщение от Аноним (18), 09-Апр-20, 08:16   +/
Пользователю системы.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

20. Сообщение от Аноним (18), 09-Апр-20, 08:33   +/
https://www.linux.org.ru/forum/admin/15194240?cid=15195110
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14

21. Сообщение от Геймер (?), 09-Апр-20, 09:57   +/
Правильно. Через ШТТПС и Летсенкрипт
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #24, #25

22. Сообщение от anonymous (??), 09-Апр-20, 10:59   –1 +/
Ядро верифицировать -- не проблема. Проблема в user space-е, но тут вот недавно новость проскочила и на эту тему тоже: https://www.opennet.ru/opennews/art.shtml?num=52691
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #23

23. Сообщение от Аноним (24), 09-Апр-20, 12:35   +/
https://www.opennet.ru/openforum/vsluhforumID3/120270.html#135

Использую Integrity очень давно, в том числе при доступе. У меня проблем в юзерспейсе не было и нет!

Какие, конкретно ты, проблемы испытуешь при верификации всего начиная с init? Здесь даже внедрение systemd не должно стать помехой, хоть я его и не использую.

Проблем нет:
1. Создал пару секретный/публичный ключ.
2. Публичный подгрузил в ядро.
3. Секретным подписал хеши, атрибуты и далеко упрятал.
4. При загрузке в параметры ядру передал проверять. Все!!!

Даже сам Потеринг в этой цепочке не способен что-то испортить. За дело взялся M$...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22

24. Сообщение от Аноним (24), 09-Апр-20, 12:39   +/
Вы что все обкурились?

Какая проверка через интернет сертификатов используемых в Integrity?

Вас Бил Гейц с товарищем майором всех покусали?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21

25. Сообщение от Аноним (25), 11-Апр-20, 09:56   +/
> Так же не допустима загрузка без онлайн проверки самого верификатора
> Через https и Летсенкрипт

В системе Integrity каждый админ должен для своей сети/компа лично выступать удостоверяющим центром! ЛИЧНО выпустить СВОЙ корневой сертификат CA для подписи других СВОИХ сертификатов используемых в Integrity.

Публичная часть этого корневого сертификата CA грузится в CONFIG_SYSTEM_TRUSTED_KEYS="путь"
и этим сертификатом удостоверяюца другие, созданные исключительно вами, сертификаты для проверки Integrity, публичная часть которого подгружается например в CONFIG_EVM_X509_PATH="путь". Поддержку других сертификатов в ядре можно отключить, как и возможность добавления новых. Все эти сертификаты ядерные и способны подписывать даже модули ядра.

Приватной части сертификатов ядра Linux в рабочей системе физически быть не должно в любом виде!

Доверять чужомым сертификатам для системы Integrity нельзя. Даже если это фирма с непорочной репутацией как M$. Админа который в подсистему Integrity добавляет чужой, не созданный им самим, сертификат можно уволить как не соответствующего к требованиям занимаемой должности!!!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21


Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Спонсоры:
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2020 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру