| |
| |
| |
| 4.28, хотел спросить (?), 14:18, 27/02/2019 [^] [^^] [^^^] [ответить] [к модератору]
| –1 +/– |
Не знаю про мак ОС, но на семерочке замечательно настраивается групповая политика, которая не разрешает устанавливать устройства в систему никому кроме админа.
Притом админ должен явно это сделать в Device Manager.
В линухе USB Guard вроде активно развивается.
Так что вроде не так всё печально.
| | |
| 4.37, Xasd (ok), 17:35, 27/02/2019 [^] [^^] [^^^] [ответить] [к модератору]
| +1 +/– |
 > Ну на тот же линух есть USBGuard хотябы как попытка
делать на каждую уязвимость по отдельной программе? (или по отдельной настройке?)
нет.
всё должно быть защищено *поумолчанию*.
а иначе это ппц какой-то -- "озвучте перечень пожалуйста всех уязвимостей, против которых я должен установить дополнительные программы! (выполнить дополнительно изменение настроек)"
| | |
|
|
| 2.57, КО (?), 11:27, 28/02/2019 [^] [^^] [^^^] [ответить] [↑] [к модератору]
| +/– |
Если в твоей OS мышка и клавиатура подхватываются после того как ты их воткнул в USB разъем, без участия пользователя по старым девайсам, то OS уязвима. :)
| | |
|
| |
| |
| 3.11, Аноним (-), 12:05, 27/02/2019 [^] [^^] [^^^] [ответить] [к модератору]
| +5 +/– | |
Meltdown: Shipped without vulnerability to Meltdown.
Spectre: Shipped with full, highly conservative Spectre mitigation by default, including both inter-process and intra-process mitigations. This carries a substantial performance cost compared to "mitigated" x86, which does not mitigate against intra-process Spectre.
The intra-process Spectre mitigation may be disabled if desired, in order to obtain performance and protection comparable to "mitigated" x86. In this case, it is the responsibility of application programmers who require intra-process Spectre protection to apply mitigations such as retpoline.
| | |
|
|
| |
| 2.16, Аноним (-), 12:10, 27/02/2019 [^] [^^] [^^^] [ответить] [к модератору]
| +4 +/– |
Уязвимость касается только thunderbolt разъемов с форм-фактором type-c. Обычному USB type-c ничего не грозит.
| | |
| 2.38, Xasd (ok), 17:38, 27/02/2019 [^] [^^] [^^^] [ответить] [к модератору]
| +/– | |
> + все телефоны с usb-c.
и с дырявым GSM-стеком.
(а если телефон на Андроиде -- то вероятнее всего ещё и с дырявой версией linux-ядра)
| | |
|
| |
| 2.12, Аноним (-), 12:07, 27/02/2019 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
Уязвимость касается только thunderbolt разъемов с форм-фактором type-c. Обычному USB type-c ничего не грозит.
| | |
| |
| |
| 4.15, Аноним (-), 12:10, 27/02/2019 [^] [^^] [^^^] [ответить] [к модератору]
| +2 +/– |
Никак, только смотреть на коробку устройства/сайт производителя/bios, там должны написать type-c это или thunderbolt. Ну ещё иногда бывает рядом с портом thunderbolt молния нарисована.
| | |
|
| 3.17, Аноним (-), 12:14, 27/02/2019 [^] [^^] [^^^] [ответить] [↑] [к модератору]
| +2 +/– |
Написал криво, меня могут не так понять. Поправка: уязвимость касается всех thunderbolt в т.ч. с форм-фактором type-c. Обычному USB type-c ничего не грозит. К слову, в BIOS'е Thinkpad'ов можно включить режим display port and usb only, тогда у thunderbolt устройств не будет прямого доступа к памяти, но и поддерживаемое количество устройств снизится до usb/display port.
| | |
| |
| 4.54, Аноним (54), 11:17, 28/02/2019 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
Ага, только в комментарии выше говорилось конкретно про Thunderclap. А вообще, от BadUSB и подобных должен спасать вышеупомянутый USBGuard.
| | |
|
|
|
| 1.13, Аноним (10), 12:08, 27/02/2019 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [к модератору]
| +2 +/– | |
Не очень понятно, на что расчитывали, ведь, по сути TB - это PCIe, торчащий наружу. С точки зрения безопасности всегда было странно на это смотреть. Приснопамятный Firewire туда же.
Тут другое вызывает раздражение - то, что физически разъем TB часто совпадает с USB и даже с зарядкой.
| | |
| |
| 2.29, J.L. (?), 14:26, 27/02/2019 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
 > Не очень понятно, на что расчитывали, ведь, по сути TB - это
> PCIe, торчащий наружу. С точки зрения безопасности всегда было странно на
> это смотреть. Приснопамятный Firewire туда же.
> Тут другое вызывает раздражение - то, что физически разъем TB часто совпадает
> с USB и даже с зарядкой.
там как бы предполагается что безопасность от зловредного устройства обеспечивается через IOMMU, но как оказалось - в реальности это не так
| | |
| |
| 3.52, КО (?), 09:56, 28/02/2019 [^] [^^] [^^^] [ответить] [к модератору]
| +/– | |
>там как бы предполагается что безопасность от зловредного устройства обеспечивается через IOMMU
Если построить забор то через него пройти тяжело, а если оставить открытую калитку (нам же надо 100500 мильёнов пакетов в секунду разруливать) то забор строили зря. :)
| | |
|
|
| 1.18, corvuscor (ok), 12:17, 27/02/2019 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [к модератору]
| +2 +/– |
 Еще хрен знает когда я читал, что подключение к PCI-e напрямую через мультиплексор является потенциально небезопасным.
Ну вот, теперь петух клюнул куда положено.
| | |
| |
| 2.30, J.L. (?), 14:28, 27/02/2019 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
> Еще хрен знает когда я читал, что подключение к PCI-e напрямую через
> мультиплексор является потенциально небезопасным.
там как бы предполагается что безопасность от зловредного устройства обеспечивается через IOMMU, но как оказалось - в реальности это не так
| | |
|
| 1.20, noize (ok), 12:44, 27/02/2019 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [к модератору]
| –1 +/– |
 >> Разработчики FreeBSD посчитали проблему не заслуживающей исправления, так как в данной ОС не поддерживается горячее подключение Thunderbolt-устройств
мухаха
| | |
| |
| 2.23, анонн (?), 13:30, 27/02/2019 [^] [^^] [^^^] [ответить] [к модератору]
| +8 +/– |
>>> Разработчики FreeBSD посчитали проблему не заслуживающей исправления, так как в данной ОС не поддерживается горячее подключение Thunderbolt-устройств
> мухаха
>>> В macOS 10.12.4 добавлена блокировка конкретной атаки на базе сетевой карты, но сама уязвимость остаётся неисправленной
Но вы продолжайте нахваливать проприетарное, обложенное патентами и роялти ненужно от интеля и ябла )
| | |
| 2.27, Ivan_83 (ok), 13:50, 27/02/2019 [^] [^^] [^^^] [ответить] [к модератору]
| –3 +/– |
 FreeBSD 11 уже давно EOL, нужно было тестить на 12.0, тогда бы с ними стали разговаривать как с серьёзными людьми.
| | |
|
| |
| 2.53, КО (?), 10:00, 28/02/2019 [^] [^^] [^^^] [ответить] [к модератору]
| +/– | |
>Странно, почему iommu не задеёствуется для сетевых карт.
Так Линус же всегда был за то, чтоб безопасность не мешала скорости.
| | |
|
| |
| 2.43, Аноним (43), 18:46, 27/02/2019 [^] [^^] [^^^] [ответить] [к модератору]
| +6 +/– |
Оно: Здравствуйте, я сетевая карта, и я хочу поговорить о памяти.
Ядро: Обожди нах, сейчас отключу иомму.
Ядро: Стапэ, а ты точно сетевая карта?
Оно: Я же представилась, и даже пару пакетов отправила.
Ядро: А, ну да. Заходи, спрашивай, рассказывай.
Звуки мата, грохот мебели и возьни.
Оно: Такое большое, а в сказки верит.
| | |
|
| 1.26, Анонимусис (?), 13:49, 27/02/2019 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [к модератору]
| +5 +/– | |
>Производители были уведомлены о проблеме ещё в 2016 году
Эта бага (полный доступ внешнего девайса к оперативе) тянется еще с firewire и о ней производители "уведомлены" уже более 10 лет
| | |
| |
| 2.31, Stax (ok), 14:48, 27/02/2019 [^] [^^] [^^^] [ответить] [к модератору]
| +1 +/– |
 Так они и сделали решения. Во-первых на уровне фирмвари можно выбрать Security Level. Например, на ближайшем ноуте с TB3 вижу там варианты "No Security", "User Authorization", "Secure Connect", "Display Port and USB", "USB Docking Only". По умолчанию предпоследний, т.е. строго говоря, из коробки что-либо кроме DP и USB вообще не будет работать. Никакой баги, все защищено.
Во-вторых если выбран вариант с подтверждением, то дальше можно в ОС определять, кому подключаться.
Так-то проблема была на ранних TB1/2, но в 2016 году уже вовсю ставили TB3, где эту проблему решили.
| | |
| |
| 3.45, COBA (?), 19:51, 27/02/2019 [^] [^^] [^^^] [ответить] [↓] [↑] [к модератору]
| +1 +/– |
И как это защитит от внешней сетевой карты, у которой производитель запихнул недокументированный функционал?
| | |
| |
| 4.60, Stax (ok), 13:55, 28/02/2019 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
Никак, нечего пихать что попало. Ну так знаете ли, от волшебного USB с сюрпризом, куда-то лезущим тоже не защитит. Или от клавиатуры с чипом кейлоггера. Включать можно только то, чему доверяем - тут же речь не про защиту от вредоносного устройства, которое втыкаешь сам и разрешаешь доступ, а про втыкание злоумышленником в твой ноут, когда ты на него не смотрел. Вот от последнего защита есть...
| | |
|
| 3.55, КО (?), 11:22, 28/02/2019 [^] [^^] [^^^] [ответить] [↑] [к модератору]
| +/– | |
>Во-первых на уровне фирмвари
Которая рулит ровно до того момента, пока не запустятся драйвера OS?
| | |
|
|
| 1.32, abi (?), 15:28, 27/02/2019 [ответить] [﹢﹢﹢] [ · · · ] [↑] [к модератору]
| –1 +/– | |
>> Разработчики FreeBSD посчитали проблему не заслуживающей исправления, так как в данной ОС не поддерживается горячее подключение Thunderbolt-устройств.
devctl rescan pcixx
| | |
| |
| 2.48, Stax (ok), 00:02, 28/02/2019 [^] [^^] [^^^] [ответить] [к модератору]
| +/– | |
Там будет все хуже, т.к. вообще никто не заморачивался с запросом доступа при подключении нового устройства, IOMMU и прочим.
Но M.2 это совсем на материнке и физически в плане разъема не умеет горячее подключение. Его надо превратить в U.2 либо же какой-нибудь SFF8644, чтобы был доступен hot swap..
| | |
|
| 1.47, DHCPep (?), 20:51, 27/02/2019 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [к модератору]
| –1 +/– | |
А подскажите, эта атака работает в случае если подключаемое устройство представилось условно сетевухой, но в ядре драйвера для данной сетевухи нет?
Ну т.е. например в FreeBSD ядро пересобрано лишь с драйверами имеющихся физически устройств, а тут эту бяку воткнули.
| | |
| |
| |
| 3.59, DHCPep (?), 12:08, 28/02/2019 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
Т.е. никакой проблемы нет через usb или tb представиться pci устройством? там же для определённой сетевухи и общение в драйвере через интерфейс для которого эта сетевуха создана?
| | |
|
|
|
