forum.opennet.ru - "Релиз дистрибутива Tails 4.5 с поддержкой UEFI Secure Boot " (24)

"Релиз дистрибутива Tails 4.5 с поддержкой UEFI Secure Boot "

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Релиз дистрибутива Tails 4.5 с поддержкой UEFI Secure Boot "	+/–
Сообщение от opennews (??), 08-Апр-20, 11:55
Представлен релиз специализированного дистрибутива Tails 4.5 (The Amnesic Incognito Live System), основанного на пакетной базе Debian и предназначенного для обеспечения анонимного выхода в сеть. Анонимный выход в Tails обеспечивается системой Tor. Все соединения, кроме трафика через сеть Tor, по умолчанию блокируются пакетным фильтром. Для хранения пользовательских данных в режиме сохранения пользовательских данных между запусками применяется шифрование. Для загрузки подготовлен iso-образ (1.1 ГБ), способный работать в Live-режиме... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=52693
Ответить \| Правка \| Cообщить модератору

Оглавление

Скрыто модератором, Аноним (2), 12:40 , 08-Апр-20, (2) +1

Скрыто модератором, Аноним (3), 12:47 , 08-Апр-20, (3) +3
Скрыто модератором, gogo (?), 13:18 , 08-Апр-20, (8) +2
Скрыто модератором, КО (?), 13:47 , 08-Апр-20, (10) –1
Скрыто модератором, Аноним (11), 14:06 , 08-Апр-20, (11) –1

Единственный дистр где поддержка Secure Boot действительно оправдана , Аноним (4), 12:48 , 08-Апр-20, (4)

А другим почему не надо верифицировать загрузку , Аноним (6), 13:01 , 08-Апр-20, (6) +2
Все было бы идеально, вот только их ключи для secure boot в мамки не завезли , gogo (?), 13:23 , 08-Апр-20, (9) +1

Вообще то во всех нормальных серверных и десктопных системах есть custom enroll , Вася (??), 14:15 , 08-Апр-20, (12) +1

а арч походу никогда не сделаею секьюрити бут, Аноним (5), 12:50 , 08-Апр-20, (5)

Да что там арч Clear блять Linux за N лет до сих пор не поддерживает Secure Boo, Вася (??), 14:19 , 08-Апр-20, (13) +3

Пора бы уже осознать, что Clear Linux -- это пет проект по фану, единственная це, Аноним (15), 15:04 , 08-Апр-20, (15) +2

Дело не в одном secureboot Загрузка должна быть полностью верифицирована Включа, Аноним (6), 13:04 , 08-Апр-20, (7) –1

Так же не допустима загрузка без онлайн проверки самого верификатора, Anonymouse (?), 15:00 , 08-Апр-20, (14) +1

А также ядра, init, ВСЕХ программ, библиотек, настройки , Аноним (16), 18:58 , 08-Апр-20, (16)
Это шутка Несмешно Хочешь чтобы тебя все майоры рочили еще во время загрузки , Аноним (18), 08:15 , 09-Апр-20, (18)
https www linux org ru forum admin 15194240 cid 15195110, Аноним (18), 08:33 , 09-Апр-20, (20)
Правильно Через ШТТПС и Летсенкрипт, Геймер (?), 09:57 , 09-Апр-20, (21)

Вы что все обкурились Какая проверка через интернет сертификатов используемых в , Аноним (24), 12:39 , 09-Апр-20, (24)
В системе Integrity каждый админ должен для своей сети компа лично выступать удо, Аноним (25), 09:56 , 11-Апр-20, (25)

Кому должна , Аноним (17), 06:36 , 09-Апр-20, (17)

Пользователю системы , Аноним (18), 08:16 , 09-Апр-20, (19)

Ядро верифицировать -- не проблема Проблема в user space-е, но тут вот недавно , anonymous (??), 10:59 , 09-Апр-20, (22) –1

https www opennet ru openforum vsluhforumID3 120270 html 135Использую Integrit, Аноним (24), 12:35 , 09-Апр-20, (23)

Сообщения [Сортировка по ответам | RSS]

2. Сообщение от Аноним (2), 08-Апр-20, 12:40 +1 +/–

Ждём ретроградов-неосиляторов кричащих UEFI НЕНУЖНА!!!

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #3, #8, #10, #11

3. Сообщение от Аноним (3), 08-Апр-20, 12:47 +3 +/–

Ну не нужна, успокойся уже. Не надо так кричать.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

4. Сообщение от Аноним (4), 08-Апр-20, 12:48 +/–

Единственный дистр где поддержка Secure Boot действительно оправдана.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #6, #9

5. Сообщение от Аноним (5), 08-Апр-20, 12:50 +/–

а арч походу никогда не сделаею секьюрити бут

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #13

6. Сообщение от Аноним (6), 08-Апр-20, 13:01 +2 +/–

А другим почему не надо верифицировать загрузку?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

7. Сообщение от Аноним (6), 08-Апр-20, 13:04 –1 +/–

Дело не в одном secureboot.
Загрузка должна быть полностью верифицирована. Включая не только первый этап - загрузчик. А также ядро, init, ВСЕ программы, библиотеки, настройки.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #14, #17, #22

8. Сообщение от gogo (?), 08-Апр-20, 13:18 +2 +/–

что именно нужно "ниосилить", чтобы иметь моральное право так кричать? 8)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

9. Сообщение от gogo (?), 08-Апр-20, 13:23 +1 +/–

Все было бы идеально, вот только их ключи для secure boot в мамки не завезли...
Так что это глумление, если загрузчик "секюрной" ОС подписан чужими ключами.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #12

10. Сообщение от КО (?), 08-Апр-20, 13:47 –1 +/–

Не нужна установка

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

11. Сообщение от Аноним (11), 08-Апр-20, 14:06 –1 +/–

Потому, что заточен на формат PE.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

12. Сообщение от Вася (??), 08-Апр-20, 14:15 +1 +/–

Вообще то во всех нормальных серверных и десктопных системах есть custom enroll своих ключей, подписал загрузчик утилитой mokutil и воткнул свои ключи в db, а все другие убрал.
Просто так и скажите "лень вникать и разбираться"
Что может быть плохого в валидации чексуммы загружаемых на ранних стадиях bin-блобах? Это только плюс. Хотя и не гарантия, что вы не цепанете в онлайне эксплойт который исполнит malware прошивку, для этого надо посложнее заморочиться (во первых есть модуль ядра от поляков который делает превентивную эвристическую защиту от всех известных в общем плане подходов к arbitrary code и обрубает их, ну или вот решение недавние от ms для Линукс или его альтернативы.
В хромось это реализовано из коробки

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9

13. Сообщение от Вася (??), 08-Апр-20, 14:19 +3 +/–

Да что там арч! Clear блять Linux за N лет до сих пор не поддерживает Secure Boot из коробки... Это чтоб вы понимали это Linux от Intel созданный под флагом "secure by design" и не поддерживающий секьюре технологию придуманную в Intel... мир сошел с ума (с)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #15

14. Сообщение от Anonymouse (?), 08-Апр-20, 15:00 +1 +/–

Так же не допустима загрузка без онлайн проверки самого верификатора

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #16, #18, #20, #21

15. Сообщение от Аноним (15), 08-Апр-20, 15:04 +2 +/–

Пора бы уже осознать, что Clear Linux -- это пет проект по фану, единственная цель его существования -- унижать конкурирующие компиляторы в попугаеметрах. По-моему, он никогда и не позиционировался как дистрибутив для пользователей. Может там с alpine поконкурирует ещё.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13

16. Сообщение от Аноним (16), 08-Апр-20, 18:58 +/–

А также ядра, init, ВСЕХ программ, библиотек, настройки.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14

17. Сообщение от Аноним (17), 09-Апр-20, 06:36 +/–

> Загрузка должна быть полностью верифицирована
Кому должна?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #19

18. Сообщение от Аноним (18), 09-Апр-20, 08:15 +/–

> Так же не допустима загрузка без онлайн проверки самого верификатора
Это шутка? Несмешно. Хочешь чтобы тебя все майоры *рочили еще во время загрузки?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14

19. Сообщение от Аноним (18), 09-Апр-20, 08:16 +/–

Пользователю системы.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

20. Сообщение от Аноним (18), 09-Апр-20, 08:33 +/–

https://www.linux.org.ru/forum/admin/15194240?cid=15195110

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14

21. Сообщение от Геймер (?), 09-Апр-20, 09:57 +/–

Правильно. Через ШТТПС и Летсенкрипт

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #24, #25

22. Сообщение от anonymous (??), 09-Апр-20, 10:59 –1 +/–

Ядро верифицировать -- не проблема. Проблема в user space-е, но тут вот недавно новость проскочила и на эту тему тоже: https://www.opennet.ru/opennews/art.shtml?num=52691

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #23

23. Сообщение от Аноним (24), 09-Апр-20, 12:35 +/–

https://www.opennet.ru/openforum/vsluhforumID3/120270.html#135
Использую Integrity очень давно, в том числе при доступе. У меня проблем в юзерспейсе не было и нет!
Какие, конкретно ты, проблемы испытуешь при верификации всего начиная с init? Здесь даже внедрение systemd не должно стать помехой, хоть я его и не использую.
Проблем нет:
1. Создал пару секретный/публичный ключ.
2. Публичный подгрузил в ядро.
3. Секретным подписал хеши, атрибуты и далеко упрятал.
4. При загрузке в параметры ядру передал проверять. Все!!!
Даже сам Потеринг в этой цепочке не способен что-то испортить. За дело взялся M$...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22

24. Сообщение от Аноним (24), 09-Апр-20, 12:39 +/–

Вы что все обкурились?
Какая проверка через интернет сертификатов используемых в Integrity?
Вас Бил Гейц с товарищем майором всех покусали?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21

25. Сообщение от Аноним (25), 11-Апр-20, 09:56 +/–

> Так же не допустима загрузка без онлайн проверки самого верификатора
> Через https и Летсенкрипт
В системе Integrity каждый админ должен для своей сети/компа лично выступать удостоверяющим центром! ЛИЧНО выпустить СВОЙ корневой сертификат CA для подписи других СВОИХ сертификатов используемых в Integrity.
Публичная часть этого корневого сертификата CA грузится в CONFIG_SYSTEM_TRUSTED_KEYS="путь"
и этим сертификатом удостоверяюца другие, созданные исключительно вами, сертификаты для проверки Integrity, публичная часть которого подгружается например в CONFIG_EVM_X509_PATH="путь". Поддержку других сертификатов в ядре можно отключить, как и возможность добавления новых. Все эти сертификаты ядерные и способны подписывать даже модули ядра.
Приватной части сертификатов ядра Linux в рабочей системе физически быть не должно в любом виде!
Доверять чужомым сертификатам для системы Integrity нельзя. Даже если это фирма с непорочной репутацией как M$. Админа который в подсистему Integrity добавляет чужой, не созданный им самим, сертификат можно уволить как не соответствующего к требованиям занимаемой должности!!!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

2. Сообщение от Аноним (2), 08-Апр-20, 12:40	+1 +/–
Ждём ретроградов-неосиляторов кричащих UEFI НЕНУЖНА!!!
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #3, #8, #10, #11

3. Сообщение от Аноним (3), 08-Апр-20, 12:47	+3 +/–
Ну не нужна, успокойся уже. Не надо так кричать.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2

4. Сообщение от Аноним (4), 08-Апр-20, 12:48	+/–
Единственный дистр где поддержка Secure Boot действительно оправдана.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #6, #9

5. Сообщение от Аноним (5), 08-Апр-20, 12:50	+/–
а арч походу никогда не сделаею секьюрити бут
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #13

6. Сообщение от Аноним (6), 08-Апр-20, 13:01	+2 +/–
А другим почему не надо верифицировать загрузку?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4

7. Сообщение от Аноним (6), 08-Апр-20, 13:04	–1 +/–
Дело не в одном secureboot. Загрузка должна быть полностью верифицирована. Включая не только первый этап - загрузчик. А также ядро, init, ВСЕ программы, библиотеки, настройки.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #14, #17, #22

8. Сообщение от gogo (?), 08-Апр-20, 13:18	+2 +/–
что именно нужно "ниосилить", чтобы иметь моральное право так кричать? 8)
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2

9. Сообщение от gogo (?), 08-Апр-20, 13:23	+1 +/–
Все было бы идеально, вот только их ключи для secure boot в мамки не завезли... Так что это глумление, если загрузчик "секюрной" ОС подписан чужими ключами.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4 Ответы: #12

10. Сообщение от КО (?), 08-Апр-20, 13:47	–1 +/–
Не нужна установка
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2

11. Сообщение от Аноним (11), 08-Апр-20, 14:06	–1 +/–
Потому, что заточен на формат PE.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2

12. Сообщение от Вася (??), 08-Апр-20, 14:15	+1 +/–
Вообще то во всех нормальных серверных и десктопных системах есть custom enroll своих ключей, подписал загрузчик утилитой mokutil и воткнул свои ключи в db, а все другие убрал. Просто так и скажите "лень вникать и разбираться" Что может быть плохого в валидации чексуммы загружаемых на ранних стадиях bin-блобах? Это только плюс. Хотя и не гарантия, что вы не цепанете в онлайне эксплойт который исполнит malware прошивку, для этого надо посложнее заморочиться (во первых есть модуль ядра от поляков который делает превентивную эвристическую защиту от всех известных в общем плане подходов к arbitrary code и обрубает их, ну или вот решение недавние от ms для Линукс или его альтернативы. В хромось это реализовано из коробки
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #9

13. Сообщение от Вася (??), 08-Апр-20, 14:19	+3 +/–
Да что там арч! Clear блять Linux за N лет до сих пор не поддерживает Secure Boot из коробки... Это чтоб вы понимали это Linux от Intel созданный под флагом "secure by design" и не поддерживающий секьюре технологию придуманную в Intel... мир сошел с ума (с)
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #5 Ответы: #15

14. Сообщение от Anonymouse (?), 08-Апр-20, 15:00	+1 +/–
Так же не допустима загрузка без онлайн проверки самого верификатора
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #7 Ответы: #16, #18, #20, #21

15. Сообщение от Аноним (15), 08-Апр-20, 15:04	+2 +/–
Пора бы уже осознать, что Clear Linux -- это пет проект по фану, единственная цель его существования -- унижать конкурирующие компиляторы в попугаеметрах. По-моему, он никогда и не позиционировался как дистрибутив для пользователей. Может там с alpine поконкурирует ещё.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #13

16. Сообщение от Аноним (16), 08-Апр-20, 18:58	+/–
А также ядра, init, ВСЕХ программ, библиотек, настройки.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #14

17. Сообщение от Аноним (17), 09-Апр-20, 06:36	+/–
> Загрузка должна быть полностью верифицирована Кому должна?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #7 Ответы: #19

18. Сообщение от Аноним (18), 09-Апр-20, 08:15	+/–
> Так же не допустима загрузка без онлайн проверки самого верификатора Это шутка? Несмешно. Хочешь чтобы тебя все майоры *рочили еще во время загрузки?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #14

19. Сообщение от Аноним (18), 09-Апр-20, 08:16	+/–
Пользователю системы.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #17

20. Сообщение от Аноним (18), 09-Апр-20, 08:33	+/–
https://www.linux.org.ru/forum/admin/15194240?cid=15195110
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #14

21. Сообщение от Геймер (?), 09-Апр-20, 09:57	+/–
Правильно. Через ШТТПС и Летсенкрипт
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #14 Ответы: #24, #25

22. Сообщение от anonymous (??), 09-Апр-20, 10:59	–1 +/–
Ядро верифицировать -- не проблема. Проблема в user space-е, но тут вот недавно новость проскочила и на эту тему тоже: https://www.opennet.ru/opennews/art.shtml?num=52691
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #7 Ответы: #23

23. Сообщение от Аноним (24), 09-Апр-20, 12:35	+/–
https://www.opennet.ru/openforum/vsluhforumID3/120270.html#135 Использую Integrity очень давно, в том числе при доступе. У меня проблем в юзерспейсе не было и нет! Какие, конкретно ты, проблемы испытуешь при верификации всего начиная с init? Здесь даже внедрение systemd не должно стать помехой, хоть я его и не использую. Проблем нет: 1. Создал пару секретный/публичный ключ. 2. Публичный подгрузил в ядро. 3. Секретным подписал хеши, атрибуты и далеко упрятал. 4. При загрузке в параметры ядру передал проверять. Все!!! Даже сам Потеринг в этой цепочке не способен что-то испортить. За дело взялся M$...
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #22

24. Сообщение от Аноним (24), 09-Апр-20, 12:39	+/–
Вы что все обкурились? Какая проверка через интернет сертификатов используемых в Integrity? Вас Бил Гейц с товарищем майором всех покусали?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #21

25. Сообщение от Аноним (25), 11-Апр-20, 09:56	+/–
> Так же не допустима загрузка без онлайн проверки самого верификатора > Через https и Летсенкрипт В системе Integrity каждый админ должен для своей сети/компа лично выступать удостоверяющим центром! ЛИЧНО выпустить СВОЙ корневой сертификат CA для подписи других СВОИХ сертификатов используемых в Integrity. Публичная часть этого корневого сертификата CA грузится в CONFIG_SYSTEM_TRUSTED_KEYS="путь" и этим сертификатом удостоверяюца другие, созданные исключительно вами, сертификаты для проверки Integrity, публичная часть которого подгружается например в CONFIG_EVM_X509_PATH="путь". Поддержку других сертификатов в ядре можно отключить, как и возможность добавления новых. Все эти сертификаты ядерные и способны подписывать даже модули ядра. Приватной части сертификатов ядра Linux в рабочей системе физически быть не должно в любом виде! Доверять чужомым сертификатам для системы Integrity нельзя. Даже если это фирма с непорочной репутацией как M$. Админа который в подсистему Integrity добавляет чужой, не созданный им самим, сертификат можно уволить как не соответствующего к требованиям занимаемой должности!!!
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #21