Hlavní navigace

Vlákno názorů k článku Secure Boot: nepodepsaným systémům vstup zakázán od Pavel - Předpokládejme, že SecureBoot je tu opravdu kvůli bezpečnosti....

  • Článek je starý, nové názory již nelze přidávat.
  • 29. 6. 2012 8:44

    Pavel (neregistrovaný)

    Předpokládejme, že SecureBoot je tu opravdu kvůli bezpečnosti. Aby si uživatel omylem nespustil něco, co nechce. Když bude jádro/zavaděč win8 změněn, SecureBoot zakáže boot. Pak nezbývá než vzít podepsané instalační CD a obnovit špatné soubory (na ARM SecureBoot nejde vypnout).

    Proč je tohle řešeno na úrovni BIOSu(vlastně UEFI)? Když by se to řešilo v jádře, nedejbože v userspace, bylo by možné uživatele varovat, že je něco v nepořádku. Nebylo by potřeba instalační CD, prudit výrobce HW s nějakejma klíčema ani prudit uživatele.

    Jo, kontrolní mechanismus na disku by bylo možné deaktivovat, což ubírá na bezpečnosti. Ale to musí být možné i s UEFI; protože co když někdo ukradne Micro$oftu privátní klíč? Celý SecureBoot půjde do kytek. MS musí systém aktualizovat -> musí být přepsatelný.

    Takže nechápu logiku. Vysvětlete mi to někdo :)

    PS: ÁÁÁááaa nezabíjejte mi Gentoo :)

  • 29. 6. 2012 10:06

    VViki (neregistrovaný)

    Tohle se v jádře vyřešit nedá - když nějaký škodlivý kód (díky nějaké bezpečnostní chybě např.) vymění zavaděč, tak se původní jádro vůbec nemusí k nějakým kontrolám dostat.
    Secure Boot řeší právě především ochranu zavaděče.

    A co se týče ukradení privátního klíče, to není dost dobře možné (u žádné aspoň trošku rozumné certifikační autority se to nikdy nestalo). Privátní klíče toho typu jsou vygenerovány na HW zařízení (přímo oním zařízením), ze kterého je není možné žádným běžným způsobem zkopírovat (klíč nikdy ten HW neopouští, pracuje s ním pouze kryptografický procesor na onom zařízení). Ano, určitě lze vymyslet postup, který za použití velmi speciálního vybavení umožní po poměrně dlouhé době klíč z HW vytáhnout, ale k tomu se útočník nedostane, protože onen HW je obvykle zamčený v trezoru ve velmi chráněné místnosti ve velmi chráněné budově. Pro přístup k němu je obvykle potřeba několika lidí a všechno je monitorováno...

    Prostě takové klíče jsou opravdu velmi velmi dobře chráněny. I v případě komprominatace certifikačních autorit, ke kterým nedávno došlo, nešlo o to, že by někdo získal přímo root klíč, ale pouze přístup k operátorským klíčům a dokázal si nechat vystavit podvržené certifikáty.

    Co se týče přepsatelnosti - samozřejmě, každá komponenta bude přepsatelná. Ale musí být podepsaná, jinak nebude natažená do paměti. A pokud bude podepsaná, tak si můžeme být jistí, že nemohla být upravená (napadená). Pouze třeba vyměněná za novější verzi (od toho samého dodavatele).

    Ta technologie je velmi dobře vymyšlená (její součástí je třeba i logování bootu do chráněné oblasti biosu, kterou není možné modifikovat a možnost zpětného ověření čistého bootu) a jejím cílem je skutečně maximalizace bezpečnosti operačního systému. Může být obejita především tehdy, když bude nesprávně implementovaná - při správné implementaci zvýší bezpečnost OS velmi podstatně (minimalizuje možnosti rootkitů). Možnost vypnout secure boot považuji za chybu (když to můžu udělat já, tak to dost pravděpodobně půjde udělat i softwarově - a pokud to tak skutečně je, tak je to bohužel pouze iluze zabezpečení).

    Útoky na svobodu jsou především výplodem paranoi některých lidí (na druhou stranu určitě platí: "to, že jsi paranoidní neznamená, že tě nesledují ;-) )

  • 29. 6. 2012 10:21

    Pavel (neregistrovaný)

    A typ útoku, který vymění zavaděč se opravdu v praxi používá??? Například?

  • 30. 6. 2012 0:37

    kaacz (neregistrovaný)

    Neomezujte se jen na viry a podívejte se jak funguje nelegální spouštění kradených Win 7. Pomocí "Grub for DOS" se pustí jednoduchý asm rezident (=>jiný kód co se pustí) který podvrhuje mulitilicenční OEM HW mainboard. Věci na této Bios úrovni jsem programoval před 25 roky. Je to easy.
    Na druhou stranu, tato obrana je pro MS důležitá u x86, kde to jde vypnout, a u ARM zařízení budou widle vždy v ceně, takže to pozbývá výnamu.

  • 1. 7. 2012 12:36

    j (neregistrovaný)

    To bych netvrdil, protoze zamezeni piratstvi widli je jen sekundarni efekt, primarni je znemozneni instalace konkurencnich systemu.

    Uz davno totiz nejde o prachy za OS jako takovej - ostatne, mimofirmy by M$ klido moh widle rozdavat zadarmo, jde o to, ze kdo ma widle na jednom, bude chtit i na druhym - aby mu to spolu fungovalo (viz ten flastr v jinym clanecku)

  • 29. 6. 2012 10:58

    j (neregistrovaný)

    Posledni boot virus sem videl v dobach win95 ... od ty doby sem vlastne nevidel vubec zadny poradny virus. Neco co si uzivatel spusti sam za virus nepovazuju.

    Takze tohle sou leda zvasty.

    Ono totiz napsat boot vir tak, aby to nebylo videt na prvni pohled (= aby system nastartoval) neni zadna prdel, a je daleko jednodussi podlat pitomcum "to je bomba, to musite videt".