https://www.opennet.ru/openforum/vsluhforumID3/101763.html Компания Oracle объявила (https://blogs.oracle.com/wim/entry/secure_boot_support_with_oracle) о реализации в выпуске дистрибутива Oracle Linux 7.1 возможности верификации процесса загрузки на системах с UEFI Secure Boot. Мэтью Гаррет (Matthew Garrett), один из разработчиков ядра Linux, активно занимающийся обеспечением загрузки Linux на системах с UEFI, выступил (http://www.theregister.co.uk/2015/03/15/oracle_adds_secure_boot_support_to_its_linux_disto/) с критикой поддержки UEFI Secure Boot в Oracle Linux и указал на серьёзные проблемы с безопасностью, позволяющие выполнить произвольный код, незаверенный цифровой подписью.<br><br><br>Механизм UEFI Secure Boot позволяет гарантировать использование на этапе загрузки системы только оригинальных компонентов, заверенных цифровой подписью. В RHEL и Oracle Linux, при использовании UEFI Secure Boot, обеспечивается проверка загрузчика, ядра, загружаемых ядром драйверов и модулей ядра. Для обеспечения защиты от выполнения непроверенных компонентов, при загрузке с верификаци https://www.opennet.ru/openforum/vsluhforumID3/101763.html#127 Thu, 26 Mar 2015 14:13:38 GMT &gt;&gt; Бэкдор делается с умыслом. а это про.. ...<br>&gt; Не представляю себе как можно накодить инженерный пароль без умысла. Нечаянно такое <br>&gt; не кодится.<br><br>кодится дебаговая секция для своих нужд - потом кто-то забывает убрать -DDEBUG из makefile и на выходе такое получается.. пример с паролями от станций диагностики мерсов - я приводил.. тож видимо бэкдоры.<br> https://www.opennet.ru/openforum/vsluhforumID3/101763.html#126 Thu, 26 Mar 2015 14:05:32 GMT девелопер кода - который использовался при тестировании паролей<br> https://www.opennet.ru/openforum/vsluhforumID3/101763.html#125 Tue, 24 Mar 2015 01:19:59 GMT &gt; То есть в Oracle Linux нет включенного kexec? А если есть это <br>&gt; не позволяет обойти цепочку доверия? Вас так надо понимать?<br><br>Нет. Не позволяет это обойти. Цепочку....<br> https://www.opennet.ru/openforum/vsluhforumID3/101763.html#124 Tue, 24 Mar 2015 00:55:13 GMT &gt; видя код биосов и где находится данная опция - можно.<br><br>Код BIOSов конечно лютейшее г-но, ОДНАКО без осмысленного желания того или иного индивида такая фича в принципе не может появиться. Так что никаких случайностей там в принципе быть не может - это точно не спихнешь на опечатки и прочее. Это вполне осмысленный кусок троянского кода.<br> https://www.opennet.ru/openforum/vsluhforumID3/101763.html#123 Tue, 24 Mar 2015 00:53:28 GMT &gt; Бэкдор делается с умыслом. а это про.. ...<br><br>Не представляю себе как можно накодить инженерный пароль без умысла. Нечаянно такое не кодится.<br><br>&gt; Мерседес - компилятор забыл мертвый код с паролями для перепрошивки флэшей <br>&gt; которые имеют разные пароли на чтение и запись данных.<br>&gt; это тоже сознательный бэкдор ?<br><br>Не очень понимаю как можно в коде впихать мастер пароль без умысла. Это как если бы серийный убийца добыл где-то пулемет, выкосил полрайона, целенаправленно охотясь за гражданами, а потом начал вещать что он все это нечаянно, дескать.<br><br>&gt; ps. о качестве кода биосов знаю слегка не понаслышке.<br><br>А я видел код парочки из таковых. Что еще интереснее - там ченжлог был. Вот это заставляет волосы шевелиться. Даже на ж..е! Потому что почитав его я не понял: а как это вообще работало то? :)<br><br> https://www.opennet.ru/openforum/vsluhforumID3/101763.html#122 Tue, 24 Mar 2015 00:29:55 GMT &gt; Поэтому предлагается на честное слово поверить проприерасам с <br>&gt; мутным бэкдореным уефанством что их мутный блоб делает по части ключей <br>&gt; именно то что вы попросили, а не что-нибудь еще. А попытки <br>&gt; взять управление на себя путем прошивания своего BIOS по типу опенсорсного <br>&gt; coreboot - безнадежно зарублены.<br><br>А что ещё их мутный блоб может делать с ключами?<br>Он должен проверять подпись загружаемой системы. Можете проверить, что проверяет, и неправильно подписанное не загружается.<br>Может статься, что там есть возможность обойти ваш ключ. Но если её туда вставил производитель... То он в общем-то скорее и так не имел бы сложностей сделать замену БИОС... (если имел бы доступ)...<br>Хотя технология и по-моему слишком явно оставляет желать лучшего так сказать.<br> https://www.opennet.ru/openforum/vsluhforumID3/101763.html#121 Mon, 23 Mar 2015 05:56:24 GMT видя код биосов и где находится данная опция - можно.<br> https://www.opennet.ru/openforum/vsluhforumID3/101763.html#120 Sun, 22 Mar 2015 11:30:07 GMT Спасибо, посмеялся. :)<br> https://www.opennet.ru/openforum/vsluhforumID3/101763.html#119 Fri, 20 Mar 2015 15:25:18 GMT &gt; Бэкдор делается с умыслом. а это про.. ...<br><br>Был там умысел или нет, узнать невозможно. Поэтому чётко утверждать, что продолб странно.<br>