| |
| 2.68, Жижа (?), 18:04, 26/01/2024 [^] [^^] [^^^] [ответить]
| +2 +/– |
 Самый безопасный компьютер - выключенный, не мучайте себя.
| | |
| 2.100, Аноним (-), 20:58, 26/01/2024 [^] [^^] [^^^] [ответить]
| +/– | |
Я все понимаю, но...
> Уязвимость вызвана ошибкой в коде загрузки файлов по HTTP
...но зачем вот ЭТО засовывать в начальный лоадер? А, чтобы чинить было больнее, подписей отзывать пожестче и вообще? А хотя-бы в следующую стадию, подписаную каким-то своим мелким ключом это включить - умишка не хватило?
| | |
| |
| 3.122, n00by (ok), 07:32, 27/01/2024 [^] [^^] [^^^] [ответить]
| +/– |
 Что бы в итоге по требованию трудящихся удалить этот вечно проблемный shim. WSL2 хватит всем.
| | |
| |
| 4.127, нах. (?), 09:38, 27/01/2024 [^] [^^] [^^^] [ответить]
| +1 +/– |
У tftp (серверов) в большинстве реализаций - проблемы с файлами больше 32mb
У даже самых продвинутых и в идеальной сети без маршрутизации - лимит 4G т.е. меньше образа dvd с not-so-live бубунточкой.
Т.е. в реальной жизни чаще не работает чем работает. Этот протокол был предназначен для передать максимум вот что-то размером с код grub'а пока более сложные негде разместить в недоиниченой памяти или более сложные протоколы неоткуда запускать.
Уже даже цискины образы стало общепринятым грузить по ftp или http.
С разморозочкой, в общем. Оно так уже лет 15.
| | |
| |
| 5.149, ryoken (ok), 07:51, 29/01/2024 [^] [^^] [^^^] [ответить]
| +/– |
 >> У tftp (серверов) в большинстве реализаций - проблемы с файлами больше 32mb
А как же у меня дома по PXE с OpenMediaVault всякие Parted Magic-и и ие с ними запускаются? Размеры от 700 Мб часто.
| | |
|
|
|
|
| |
| 2.66, Аноним (66), 17:39, 26/01/2024 [^] [^^] [^^^] [ответить]
| +1 +/– |
Я тоже не понял: при чём здесь какой-то сервер (тем более http) при загрузке?
| | |
| 2.117, Аноним (117), 23:54, 26/01/2024 [^] [^^] [^^^] [ответить]
| –2 +/– |
Вот я понял при чем тут удаленный HTTP сервер, но не понятно зачем какие то переполнения, если загрузчи!!! передается по сети в нешифрованном виде! Да можно простым MITMом скормить такому серваку руткит и не париться с переполнениями.
ЗЫ1 Попробуйте защититься от этого с помощью RUSTа
ЗЫ2 Попробуйте устроить ремотную уязвимость для lilo :)
| | |
|
| 1.15, Аноним (-), 14:40, 26/01/2024 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
Итого 4 "чтения из области памяти вне буфера" и 1 целочисленное переполнение...
Вспоминается картинка с девушкой на диване, только на ее месте будет пользователь)
Спасибо СИ, за то что ты есть!
И главное в комментах будет полно народу который скажет "ничего страшного, ну подумаешь уязвимость"
| | |
| |
| |
| 3.67, Аноним (-), 17:50, 26/01/2024 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> ты что, уязвимостей не видел? или видел и боялся?
Я смотрел на них с высшей степенью отвращения как на доказательство ограниченности "венца эволюции".
Как в прочем и на сам код.
| | |
|
|
| 1.16, Аноним (16), 14:40, 26/01/2024 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– | |
>Для блокирования уязвимости без отзыва цифровой подписи дистрибутивы могут использовать механизм SBAT
Но конечно же они этого не делают, ибо куда там 2.5 васянам, из федоры и каноникла до современных решений, в остальных дистрах и этих васянов нет
| | |
| |
| |
| |
| 4.46, AlexYeCu_not_logged (?), 15:20, 26/01/2024 [^] [^^] [^^^] [ответить]
| +3 +/– | |
>А зачем его отключать? Он не мешает, так-то.
Вообще-то как раз мешает: вынуждает добавлять ключи для загружаемых дистров через интерфейс, созданный анхуманми для анхуманов.
| | |
| |
| |
| 6.81, AlexYeCu (ok), 18:51, 26/01/2024 [^] [^^] [^^^] [ответить]
| +/– |
 >Если задача установки дистров возникает регулярно, то согласен, проще отключить.
Про live-usb слыхал?
| | |
|
|
|
|
|
| 1.42, Аноним (42), 15:15, 26/01/2024 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
It is a common piece of code that is safe, well-understood and audited so that it can be trusted and signed using platform keys
| | |
| |
| 2.45, Аноним (-), 15:19, 26/01/2024 [^] [^^] [^^^] [ответить]
| +/– |
Там точно написано piece of code ?
Потому что, судя по новости, там словом ошиблись...
Зато теперь мы знаем что значит "safe, well-understood and audited" в понимании авторов shim'a)
| | |
| |
| 3.69, Жижа (?), 18:07, 26/01/2024 [^] [^^] [^^^] [ответить]
| +/– |
И что вам это знание даёт? Откажетесь от его использования?
| | |
|
|
| 1.47, Аноним (47), 15:24, 26/01/2024 [ответить] [﹢﹢﹢] [ · · · ]
| –2 +/– |
И опять, оказывается, из-за невнимательности программирования на сишке.
| | |
| |
| 2.90, Аноним (90), 19:45, 26/01/2024 [^] [^^] [^^^] [ответить]
| +1 +/– |
Ну при чем тут сишка?
>выделяет буфер для принимаемых данных, учитывая не фактический размер данных, а размер, указанный в HTTP-заголовке "Content-Lenght"
Люди продолжают слепо верить тому, что написано на заборе, а не своим глазам (а за забором дрова) и ни какой ЯП этого не исправит.
| | |
|
| 1.50, InuYasha (??), 15:53, 26/01/2024 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– | |
> возвращённых HTTP-сервером, к которому обращается shim
Погодите... а зачем Шиму вообще HTTP-сервер!?!? Это разве не три байта чтобы ключом микрософта подписаться?
| | |
| 1.52, Аноним (53), 16:08, 26/01/2024 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– | |
">Shim заверен цифровой подписью Microsoft
Точка"
У вас есть что предложить? )
| | |
| 1.57, Аноним (57), 16:31, 26/01/2024 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Я не понял, он каждый раз при загрузке куда-то ломится в сеть по дефолту? На сервера МС? Или это опциоальное поведение?
| | |
| 1.58, Bottle (?), 16:31, 26/01/2024 [ответить] [﹢﹢﹢] [ · · · ]
| +3 +/– |
Если бы программисты строили дома, то первый залетевший дятел разрушил бы всю цивилизацию.
| | |
| 1.73, penetrator (?), 18:21, 26/01/2024 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
EFI модули давно подписаны кричали они
P.S. хуже незащищенной системы, только иллюзия защищенной
| | |
| 1.80, Аноним (-), 18:50, 26/01/2024 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– | |
> в большинстве Linux-дистрибутивов для верифицированной загрузки в режиме UEFI Secure Boot
Вот поэтому секурбут нужно отключать. Я ещё лет 10 назад тут писал, что вреда от него больше, чем пользы.
| | |
| |
| 2.84, Аноним (84), 18:59, 26/01/2024 [^] [^^] [^^^] [ответить]
| +/– |
польза от него только микрософту, чтобы кроме винды ничо не ставили.
| | |
|
| 1.82, Аноним (84), 18:59, 26/01/2024 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
т.е. некий вражеский код уже грузится по http и, удивительным образом, этого недостаточно чтобы контухтер был не ваш, и он ещё и может обойти секуре бут.
ну прям дыра :-)
| | |
| 1.85, Аноньимъ (ok), 19:09, 26/01/2024 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
 > Shim заверен цифровой подписью Microsoft и
Что могло пойти не так?
> Для блокирования уязвимости без отзыва цифровой подписи дистрибутивы могут использовать механизм SBAT
> SBAT разработан совместно с Microsoft
Ok.
| | |
| |
| 2.91, Аноним (-), 19:57, 26/01/2024 [^] [^^] [^^^] [ответить]
| –2 +/– | |
> Что могло пойти не так?
А разве этот Shim мелкомягкие писали? Вроде нет... Так что не нужно на них всех собак вешать.
> In the event that the developers need to be contacted related to a security incident or vulnerability, please mail secalert@redhat.com
> secalert@redhat.com
> redhat.com
Так что не нужно на них всех собак вешать.
| | |
| |
| 3.133, _ (??), 19:04, 27/01/2024 [^] [^^] [^^^] [ответить]
| +/– |
Ой-вэй! Ви таки мацы объелись? На платинового спонсора - собак?!?!?
Запомните дети:
... и на третий день сделал Биллгёц интернет ...
... и на 5 день Наделал сделал линускс ...
А бабло они во все дни делали - ну скажи что не святые?!?! :-D
| | |
| |
| 4.145, нах. (?), 10:33, 28/01/2024 [^] [^^] [^^^] [ответить]
| +/– | |
и на седьмой день они кормили украдкой африканских детей и отдыхали в тени вышек 5G!
| | |
|
|
|
| 1.87, Аноним (-), 19:28, 26/01/2024 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
> А что интересно, криминального в вопросе, почему уязвимости, от которых Rust не защищает, в такие новости чудесным образом не попадают?
В смысле не попадают? Сегодняшняя новость про GitLab чем тебе не подошла?
Или LeftoverLocals? Или "Уязвимость в патчах Red Hat к загрузчику GRUB2"?
Просто сишные дыры намного чаще приводят к уязвимостям, чем логические ошибки. И чем больше будут совершенствоваться средства тестирования, тем больше такого будут находить.
Так что расслабься и наслаждайся зрелищем.
| | |
| 1.89, Аноним (89), 19:44, 26/01/2024 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
> но для полного блокирования атаки через Shim требуется заверения новой версии в Microsoft и внедрение её в дистрибутивах.
То есть, уже всем рассказали, а исправлять будут к 25-му? Мда...
Отключение Secure Boot хоть отключает этот Shim?
| | |
| |
| 2.96, Аноним (96), 20:43, 26/01/2024 [^] [^^] [^^^] [ответить]
| +/– |
Нет. Просто даст возможность грузить неподписаные ядра. Если бы граб имеел ключ подписаный МС,то он был бы Шимом.
| | |
| |
| |
| |
| 5.107, Аноним (96), 21:36, 26/01/2024 [^] [^^] [^^^] [ответить]
| +/– |
Примечание. В конце 2012 года компания rEFInd добавила поддержку безопасной загрузки. По умолчанию срок действия локальных ключей безопасной загрузки, созданных сценарием refind-install, составляет 10 лет. Таким образом, если вы с самого начала использовали локальные ключи, вам может потребоваться обновить их.
| | |
| |
| 6.108, Аноним (89), 22:04, 26/01/2024 [^] [^^] [^^^] [ответить]
| +/– |
То есть, rEFInd будет работать с Secure Boot без Shim? Это же замечательно. :)
| | |
|
|
| 4.134, _ (??), 19:08, 27/01/2024 [^] [^^] [^^^] [ответить]
| +/– | |
>grub вполне себе грузится без секурбута без всяких шимов.
Без секурбута никому из здешних не упёрлось, у них там форточка без него отвалится :)
А теперь если шим похерят Линукс окончательно займёт своё место - в WSL :-D
| | |
|
|
| 2.98, Tron is Whistling (?), 20:50, 26/01/2024 [^] [^^] [^^^] [ответить]
| +/– |
По факту можно отключить - грузите сразу grub, а не shim.
Просто grub непосредственно для секурбута не подписан, и с секурбутом его не загрузить.
| | |
| |
| 3.103, нах. (?), 21:19, 26/01/2024 [^] [^^] [^^^] [ответить]
| +/– | |
> По факту можно отключить - грузите сразу grub, а не shim.
по сети, ага.
Стесняюсь спросить - а он вообще обучен pxe-загрузке без посторонней помощи?
| | |
|
|
| 1.101, Аноним (-), 21:00, 26/01/2024 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
> для полного блокирования атаки через Shim
> требуется заверения новой версии в Microsoft
Это просто позор какой-то! А если майкрософт не прочухается - наслаждайтесь вулнами. Круто.
| | |
| 1.105, ИмяХ (ok), 21:21, 26/01/2024 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– |
 Линукс это безопасно, линукс - это независимость от майкрософта, говорили они.
| | |
| 1.114, Аноним (114), 23:25, 26/01/2024 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Не совсем понятно, почему этот загрузчик подписывает Microsoft. Как х они тут забыли?
| | |
| |
| |
| |
| 4.135, _ (??), 19:18, 27/01/2024 [^] [^^] [^^^] [ответить]
| +/– | |
Зъисть то от зъисть ... да кто ж ему дастЬ?! (С) норот
Не забывайте что скоро вас новый системдбуут насильно вставят по самые гланды :) По моему уже в следующей федоре обещали ...
И вас перестанут волновать такие проблемы. M$ - разрешит - заработает, ну а нет - так и нет :)
| | |
| |
| 5.138, RANDOMIZE USR 15616 (?), 21:30, 27/01/2024 [^] [^^] [^^^] [ответить]
| +/– |
Переформулируем вопрос: почему нельзя а) поставить систему, б) в процессе установки вшить свой ключ, в) включить секурбут и наслаждаться секурностью? Что мешает организовать процесс таким образом и зачем тогда всовываться мелкомягкому рылу?
| | |
| |
| 6.144, n00by (ok), 08:04, 28/01/2024 [^] [^^] [^^^] [ответить]
| +1 +/– |
Потому что это требует от mikhailnov-ых непосильного: сесть и написать код, а не тупо скопировать инсталлятор из Fedora. Объяснять они могут как угодно... Я предлагал тут одному обсудить возможную реализацию, а он взял и куда-то пропал. Готовое и отлаженное, понятное дело, с радостью сджипиэлят, а разделять риски и ответственность почему-то религия не позволяет.
| | |
|
|
|
|
|
| 1.116, anonymous (??), 23:36, 26/01/2024 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Узявимости UEFI подобны узявимостям TPM - читать про них одно удовольствие. Жаль что эти подписи отзывают и на новых компах уже не прокатит.
| | |
| |
| 2.121, n00by (ok), 07:30, 27/01/2024 [^] [^^] [^^^] [ответить]
| +/– |
Видишь ли, её обломками засыпет не только тебя и твой "полностью автономный" (ц) дистрибутив.
| | |
| |
| 3.136, _ (??), 19:22, 27/01/2024 [^] [^^] [^^^] [ответить]
| +/– |
Видишь ли - ты можешь прямо сейчас стереть ключи MS из со своего компа, при этом shim ты можешь тоже выкинуть.
Но ведь напуркуа тебе лаптоп без форточки :) А потому будешь сосать, но возможность за загрузить винду "убьЁш котЁнка!" :)))
| | |
| |
| 4.137, n00by (ok), 20:45, 27/01/2024 [^] [^^] [^^^] [ответить]
| +/– | |
Могу, конечно, удалить ключи МС. И свои поставить могу, и подписать ядро могу. И shim мне для загрузки ядра вообще не нужен, как и grub. У меня ведь не его "полностью автономная" (ц) ОС.
Кстати, какая у тебя видеокарта, что ты такой оптимистичный, встроенная? ;)
| | |
|
|
|
| 1.123, Аноним (123), 08:22, 27/01/2024 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Понапридумывали всякое, какие-то подписи, удаленный доступ к загрузчику. Ну пусть как раньше сидел бы специально обученный человек в датацентре, который будет по звонку жать на ресет. Так нет, нужна удаленка.
| | |
| |
| 2.128, нах. (?), 09:45, 27/01/2024 [^] [^^] [^^^] [ответить]
| –1 +/– | |
Сократили? Сочувствую. Небось опять не на той коробке нажал ресет? ("Але, саппорт - теперь у меня ДВЕ проблемы - перезагрузите зависший сервер 15/3/21 и ОТ...СЬ от сервера в 14м ряду который вы перезагрузили вместо него!")
Но не ссы, с голоду мы с тобой на ср-ной удаленке не помрем - роботы-пылесосы в ЦОДах неактуальны, надо кому-то и шваброй возюкать.
А там глядишь повысят - в кондиционерщики перейдем. Работа почетная и непыльная, все уважают, дорогу освобождают аж бегом, а удаленного управления даже дорогущими цодовскими системами почему-то до сих пор не изобрели.
| | |
|
| 1.126, Анонимщик (?), 09:29, 27/01/2024 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
К это вообще в здравом уме может доверять полю content-length? Оно необязательно, то есть может отсутствовать, то есть проще рассчитывать, что этого поля нет вообще
| | |
| |
| 2.130, Аноним (130), 09:54, 27/01/2024 [^] [^^] [^^^] [ответить]
| +3 +/– |
Если ты в здравом уме, то не будешь читать более того, что прописано в Content-Length. Но здравомыслие сейчас модно заменять безопастными языками.
| | |
|
| 1.140, Аноним (140), 21:47, 27/01/2024 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
А кто из отечественных приблуд кода к ядру поделится своим вИдением революционных течений?
| | |
| |
| |
| |
| 4.152, пох. (?), 19:22, 29/01/2024 [^] [^^] [^^^] [ответить]
| +/– | |
извините еще раз - был не прав, вспылил, невнимательно посмотрел - глянул только код вместо описания.
Товарищмайор, ваша служба и опасна и трудна! Простите за неуместное недоверие.
Интересно, это мне вот так повезло с первого тыка, или там ВСЕ патчи такие и среди них спрятана парочка поинтереснее?
Ну и что я должен думать о майнтейнерах ведра - тут за это банят.
| | |
| |
| 5.153, n00by (ok), 07:38, 30/01/2024 [^] [^^] [^^^] [ответить]
| +1 +/– | |
Статический анализатор там пилят. Впрочем, его реклама некоторыми умиляет:
"почитайте материалы ГК Астра про _верификацию_ пересобранного ими _ядра_" (подчёркивание - моё)
"я вам что, студент что ли? Я кандидат наук.
Потрудитесь немного хотя бы, пользоваться поисковиком.
http://linuxtesting.ru/astraver "
"многие линуксоиды бы очень поспорили с вами, что модуль ядра является его частью"
(ц) Lord Kunzite
| | |
| |
| 6.157, Денис (??), 16:00, 07/02/2024 [^] [^^] [^^^] [ответить]
| +/– |
> Статический анализатор там пилят. Впрочем, его реклама некоторыми умиляет:
> "почитайте материалы ГК Астра про _верификацию_ пересобранного ими _ядра_" (подчёркивание
> - моё)
> "я вам что, студент что ли? Я кандидат наук.
> Потрудитесь немного хотя бы, пользоваться поисковиком.
> http://linuxtesting.ru/astraver "
> "многие линуксоиды бы очень поспорили с вами, что модуль ядра является его
> частью"
> (ц) Lord Kunzite
а можете поделиться ссылкой на эти опусы? Особенно про кандидата наук интересно
| | |
| |
| 7.158, n00by (ok), 08:54, 08/02/2024 [^] [^^] [^^^] [ответить]
| +/– |
>> Статический анализатор там пилят. Впрочем, его реклама некоторыми умиляет:
>> "почитайте материалы ГК Астра про _верификацию_ пересобранного ими _ядра_" (подчёркивание
>> - моё)
>> "я вам что, студент что ли? Я кандидат наук.
>> Потрудитесь немного хотя бы, пользоваться поисковиком.
>> http://linuxtesting.ru/astraver "
>> "многие линуксоиды бы очень поспорили с вами, что модуль ядра является его
>> частью"
>> (ц) Lord Kunzite
> а можете поделиться ссылкой на эти опусы? Особенно про кандидата наук интересно
Вот на сообщение о кандидатстве в науки https://vk.com/wall-91765504_25234?reply=25279&thread=25238
К сожалению, он так и не ответил, в каких науках допустимо называть статический анализ формальной верификацией, и почему факт верификации модуля ядра (драйвера) СЗИ Астры позволяет говорить о верификации всего ядра, когда модуль якобы не является частью ядра.
| | |
|
|
|
|
|
|
|
