Názory k článku
Dvě závažné zranitelnosti Windows 11
-
"Microsoft zatím nemá opravu a vypadá to, že Nightmare-Eclipse o nových chybách neinformuje s předstihem, jak bývá dobrým zvykem."
U toho yellow key, kdyz je presvedceny o tom, ze to je zamerny backdoor microsoftu, tak mi dava smysl s tim jit rovnou na verejnost.
U green plasma zase nezverejnil cely poc, ale nijak to hajit nechci :)
-
Kdyby byl autor noticky gramotny, tak by se treba docet, ze o tom MS informoval opakovane a oni ho s tim poslali dorite, s tim, ze zadny problem neexistuje. Tak to zverejnil vcetne kompletniho postupu jak na to.
Navic k tomu neni potreba zadny "specielni" USB, jsou obycejny soubory a funguje to i kdyz se nakopirujou do efi partysny. Coz je ... zcela nijak nezabezpecena FATka ze?
A vis v cem je nejvetsi gol? Ze je to nelecitelny.
Proc? Protoze soudruzi z MS nezvladnou ani neco tak trivialniho, jako si treba aspon zjistit, jestli se neco nekam vejde. Natoz pocitat s !vlastni! konfiguraci.
Tudiz aktualni KB5089549 ... se hromade lidem vubec nenainstaluje (a ani zadny budouci) ... protoze se nevejde na EFI partysnu, kterou si soudruzi sami pri instalaci tech widli vyrabej. A samozrejme protoze je to M$, neumej to ani nahlasit, natoz zalogovat zejo, takova zbytecna infomace ... takze se dovis, ze se "neco nepovedlo", pres 4 rebooty se provede hodinovej rollback ... a pak se ten kram snazi nainstalovat znova dokola (3 rebooty na instalaci JEDNY aktualizace ... lol ... po tom tretim bezi ten rollback, protoze to zdechne).
Chci videt bfu, jak zmensuje Ccko ... posouva ho .. aby si moh zvetsit efi partysnu ... lol.
-
No nevím, nálezce chyby tvrdí něco jiného:
Second thing is, No, TPM+PIN does not help, the issue is still exploitable regardless, I asked myself this question, can it still work in a TPM+PIN environment ? Yes it does, I'm just not publishing the PoC, I think what's out there is already bad enough.
https://deadeclipse666.blogspot.com/2026/05/were-doing-silent-patches-now-huh-also.html
-
-
Nejak bych rek, ze to cely je zalozeny ciste na tom, jestli ti TPM klic da nebo neda. A garantuju ti, ze se s naprostym klidem da presvedcit k tomu ze da, at uz tam nejakej pin mas nebo ne.
Navic je to backdoor a ten by jinak moc pouzitelnej nebyl.
Ostatne dlouhy roky si moh do hesla MS uctu napsat co si chtel, ale soudruzi z MS to proste orizli na prvnich 6 znaku. A presne takhle vypada bezpecnost u MS uplne vsude.
19. 5. 2026, 07:45 editováno autorem komentáře
-
Chápu to tedy dobře, že zadávaný PIN pro odemčení jednotky vlastně není vůbec použitý jako součást šifrování, ale je to jen ověření pro přístup do TPM, kde je šifrovací klíč?
To je celkem zásadní rozdíl proti truecryptu a podporuje to teorii, že byl záměrně odstřelen jako nepohodlná součást systému.
-
Filip JirsákStříbrný podporovatelSamozřejmě, že PIN není součástí šifrování. A žádný rozdíl od ničeho to není, dělá to tak každý příčetný šifrovací software včetně TrueCryptu.
Kdyby totiž vstup od uživatele byl součástí šifrovacího klíče, kterým se přímo šifrují data, pak by:- Změna PINu/hesla uživatele znamenala přešifrovat celé úložiště.
- Byla by k ničemu záloha klíče.
- Nebyl by možný víceuživatelský přístup. Třeba ve firmách běžně musí mít firma možnost v případě potřeba (třeba nemoc, odchod zaměstnance) dostat se k šifrovaným datům, protože jsou to data firmy, ne zaměstnance.
-
Filip JirsákStříbrný podporovatel
Proč už tu dávno nemáte ban? Nevyvrátil jste jediné tvrzení z mého komentáře. Částečně jste můj komentář potvrdil a částečně píšete o něčem jiném. Když neumíte komentovat bez nadávek, nekomentujte vůbec.
-
jj, kdyz nicemu nerozumim a nic neumim, dozaduju se banu tech, kteri tomu rozumi a vedi vid jisak?
Tudiz zmena hesla NEZNAMENA a nikdy neznamenala presiforvani naprosto niceho KROME toho klice, coz TY samozrejme naprosto nechapes.
Stejne jako to ze zaloha klice MUSI byt samozrejme sifrovana taktez, jinak je uplne knicemu cele sifrovani. Coz pochopitelne taky nechapes.
Stejne jako uz vubec nechapes, ze kupodivu a naprostym zazrakem muze jednak vice uzivatelu znat stejne heslo ... divne ja vim, zcela bezne se to tak dela ... duhak ... nejakym naprostym zazrakej spousta systemu umoznuje mit stejny klic ulozen nekolikrat pod ruznymi hesly ... ci dokonce, to je vesmiranska technologie zcela mimo tvoje moznozsti, mit vice klicu.
-
Filip JirsákStříbrný podporovatel
Nemyslím si, že by bylo v souladu s pravidly diskuse to, že když dostanete ban, pokračujete v diskusi stejným stylem pod jiným svým účtem.
A protože nechápete podstatu věci, na rozloučenou vám to vysvětlím. Data na disku jsou zašifrována klíčem, který je náhodně vygenerován při inicializaci šifrování a je uložen v zašifrované podobě (v případě VeraCryptu na disku vedle těch šifrovaných dat). Heslo od uživatele nebo jiný podobný vstup je použit jen na dešifrování tohoto hlavního šifrovacího klíče.
Takže když si uživatel změní heslo, zašifruje se heslem jenom ten hlavní šifrovací klíč a uloží se na disk. Ale samotná data (souborový systém) zůstává dál šifrovaný tím původním hlavním šifrovacím klíčem, nic není potřeba znovu zašifrovat. Když k tomu má mít přístup více uživatelů, prostě má jen každý zašifrovaný hlavní šifrovací klíč svým vlastním heslem. V záloze je zase uložen nějak chráněný ten hlavní šifrovací klíč. Když se má přidat přístup dalšímu uživateli, musí to udělat někdo, kdo už tam přístup má, svým heslem získá onen hlavní dešifrovací klíč, ten (na pozadí) předá novému uživateli a ten jej (opět na pozadí, dělá to systém) zašifruje svým heslem a uloží.Takže zadávaný PIN/heslo není použit přímo jako součást šifrování, jak se domníval Skrivy, nýbrž slouží jen pro přístup k samotnému hlavnímu šifrovacímu klíči. Přímo jako součást šifrování/dešifrování tedy ten uživatelský vstup nefiguruje.
-
Až na to, že podle Dejva z Garáže je to s tím YellowKey jako obvykle ÚPLNĚ JINAK. A že by zrovna on netušil o čem mluví ho fakt nepodezírám:
https://www.youtube.com/watch?v=I14yjt00Fl8Podle něj je to by-design, protože WinRE od začátku mělo být BEZPEČNÉ A DŮVĚRYHODNÉ prostředí k opravě systému, které už z tohoto titulu RW zápis do filesystému jaksi vyžaduje.
Akorát bych pak čekal, že i tak bude nutná nějaká autorizace uživatele, WinRE spouštějícího, aby bylo zajištěno že se do něj dostane jen vlastník a jeho data budou ochráněna před únikem v případě krádeže zařízení.
Takže problémem není to, že to na BL zašifrovaný disk dokáže vlézt, nýbrž to, že to může bez dalšího spustit úplně kdokoli a ono ho to na ten disk pustí.16. 5. 2026, 20:27 editováno autorem komentáře
-
Pokud se tajemstvi nezadava pri bootu, ale az po startu OS, tak musi byt vsem jasne, ze se o zadne sifrovani nejedna, ktere by chranilo vuci odcizeni stroje - kdo ma hw, se tam dostane, ne ze ne.
Pak jeste zustava moznost sifrovat uzivateluv home adresar (ntfs ma per file sifrovani) - treba to mohlo byt chraneno jinym klicem.. ale neni?
-
IMO pokud někdo nevynese interní komunikaci, těžko zjistíme, jestli je to důsledek chybných rozhodnutí nekompetentních lidí, nebo záměrný backdoor. Je fakt, že neúčinnost útoku na 10ky při účinnosti na 11ky tomu druhému docela napovídá, ale s jistotou to zatím nikdo říct nedokáže.
Jak praví klasik: je zbytečné hledat zlý úmysl tam, kde k vysvětlení stačí obyčejná blbost.
Ovšem druhý klasik říká: je naivní hledat pouhou blbost tam, kde k vysvětlení stačí zlý úmysl.IMO na tom úplně nezáleží.
-
Rozdíl je v tom, že v Linuxu se na ty chyby přijde dříve, protože existují otevřené zdrojáky. Takže se to opraví, oprava se aplikuje a je klid.
Pro Windows sice zdrojáky volně k dispozici nemáme, ale to neznamená že je někdo nemá nebo že někdo jiný umí odhalit bezpečnostní nedostatky bez zdrojáků pouhým pohledem do binárek. Třeba kdysi jakýsi Russinovich, kterého Microsoft raději koupil, aby se moc nerozkřiklo, že Windows jsou už jen by-design děravý jako řešeto a vlastně žádný exploity nepotřebujete.
19. 5. 2026, 23:05 editováno autorem komentáře
-
Filip JirsákStříbrný podporovatel
Rozdíl je v tom, že v Linuxu se na ty chyby přijde dříve, protože existují otevřené zdrojáky … nebo že někdo jiný umí odhalit bezpečnostní nedostatky bez zdrojáků pouhým pohledem do binárek
K odhalení většiny chyb nebyl pohled do zdrojáků potřeba. Nevím o tom, že by se někdy prokázalo, že v opensource je méně chyb. Nebo že by se na ně přicházelo dříve, protože se někdo dívá na zdrojáky. To bylo spíš takové zbožné přání.Výhoda opensource v tomhle je, že když už někdo na chybu přijde nebo na ni má silné podezření, snáz ji ověří a hlavně ji snáz může opravit. A pokud je zveřejněná oprava, může s ní už každý nakládat dle libosti, připravit si vlastní záplatu, hotfix apod. U closed source většinou nezbývá než čekat, než autor vydá oficiální opravu.
Teď s AI je možná situace jiná, protože LLM se zatím asi orientují převážně ve zdrojovém kódu. Ale je to jen otázka času, než někdo usoudí, že už se vyplatí natrénovat model i na strojovém kódu.
-
Filip JirsákStříbrný podporovatel
Ne.
Neřešíme totiž, jestli OSS pomáhá, ale jestli přínos OSS pro bezpečnost je vyšší, než přínos proprietárního software.
Takže proti vašemu MR stojí třeba to, že firma u proprietárního softwaru platí někoho, kdo se aktivně zabývá vyhledáváním bezpečnostních chyb.
-
-
Filip JirsákStříbrný podporovatel
Původní tvrzení bylo, že opensource obecně je bezpečnější než proprietární software, protože existují otevřené zdrojáky. pro porovnání tedy těžko můžeme vzít jen nějakou část opensource a tvrdit, že závěry platí pro veškerý opensource.
Ano, argumentace, že jeden PR opravující bezpečnostní chybu u opensource znamená, že je opensource bezpečnější, je opravdu chabá. Jak jsem psal, otevřené zdrojové kódy pomáhají v tom, že opravu chyby může udělat každý. Ale co se týče nalezení chyby, nezáleží na tom, zda jsou zdrojové kódy otevřené, ale na tom, zda v nich někdo chyby hledá. Zastánci tvrzení, že opensource je bezpečnější, vycházejí z předpokladu, že si spousta lidí jen tak po večerech čte zdrojáky opensource a hledá v nich chyby. Jenže tento předpoklad zjevně neplatí, jak ukazují mnohé nalezené triviální chyby, kterých si dlouho nikdo nevšiml a byly objevené náhodou (a nezávisle na tom, zda je kód otevřený).
I když firma neplatí nezávislý audit (mimochodem, já jsem nepsal, že nezávislý), pořád platí vývojáře za to, aby se zabývali kódem.
Aby bylo jasno – já netvrdím, že proprietární software je bezpečnější. Jenom vyvracím častou představu, že samotné zveřejnění kódu jej automaticky dělá bezpečnějším. Nedělá, protože pro bezpečnost není důležité, zda ten kód je veřejný, ale zda ho někdo „čte“.
