1. Forum
  2. Usenet
  3. LINUX.DEBIAN.USER.RUSSIAN

  • =?UTF-8?B?0JrQsNC6INC/0YDQsNCy0LjQu9GM0L3QviDQv9C+0LTQv9C40YHRi9Cy0LDRg

    From =?UTF-8?B?0JfQuNCz0LDQvdGI0LjQvSDQo@21:1/5 to All on Mon Jan 30 18:50:01 2023
    0KHQu9C10LTRg9GPINC40L3RgdGC0YDRg9C60YbQuNC4INC90LAgaHR0cHM6Ly93aWtpLmRlYmlh bi5vcmcvU2VjdXJlQm9vdCwg0Y8g0L3QsNGC0YvQutCw0Y7RgdGMINC90LANCtC/0YDQvtCx0LvQ tdC80YM6DQoNCiQgY2QgIiRNT0RVTEVTX0RJUi91cGRhdGVzL2RrbXMiDQpiYXNoOiBjZDogL2xp Yi9tb2R1bGVzLzYuMC4wLTAuZGViMTEuNi1hbWQ2NC91cGRhdGVzL2RrbXM6INCd0LXRgiDRgtCw 0LrQvtCz0L4g0YTQsNC50LvQsA0K0LjQu9C4INC60LDRgtCw0LvQvtCz0LANCg== PGRpdiBkaXI9Imx0ciI+0KHQu9C10LTRg9GPINC40L3RgdGC0YDRg9C60YbQuNC4INC90LDCoDxh IGhyZWY9Imh0dHBzOi8vd2lraS5kZWJpYW4ub3JnL1NlY3VyZUJvb3QiPmh0dHBzOi8vd2lraS5k ZWJpYW4ub3JnL1NlY3VyZUJvb3Q8L2E+LCDRjyDQvdCw0YLRi9C60LDRjtGB0Ywg0L3QsCDQv9GA 0L7QsdC70LXQvNGDOsKgPGRpdj48YnI+PC9kaXY+PGRpdj48c3BhbiBzdHlsZT0iZm9udC1mYW1p bHk6bW9ub3NwYWNlIj48c3BhbiBzdHlsZT0iY29sb3I6cmdiKDAsMCwwKSI+JCBjZCAmcXVvdDsk TU9EVUxFU19ESVIvdXBkYXRlcy9ka21zJnF1b3Q7DQo8L3NwYW4+PGJyPmJhc2g6IGNkOiAvbGli L21vZHVsZXMvNi4wLjAtMC5kZWIxMS42LWFtZDY0L3VwZGF0ZXMvZGttczog0J3QtdGCINGC0LDQ utC+0LPQviDRhNCw0LnQu9CwINC40LvQuCDQutCw0YLQsNC70L7Qs9CwPGJyPg0KPGJyPjwvc3Bh bj48L2Rpdj48L2Rpdj4NCg==

    --- SoupGate-Win32 v1.05
    * Origin: fsxNet Usenet Gateway (21:1/5)
  • From Tim Sattarov@21:1/5 to All on Mon Jan 30 19:20:02 2023
    This is a multi-part message in MIME format.
    On 1/30/23 12:47, Зиганшин Руслан wrote:
    Следуя инструкции на https://wiki.debian.org/SecureBoot, я натыкаюсь на проблему:

    $ cd "$MODULES_DIR/updates/dkms"
    bash: cd: /lib/modules/6.0.0-0.deb11.6-amd64/updates/dkms: Нет такого файла или каталога


    А откуда установлены драйвера сейчас? Этот путь есть только там, где есть dkms дрова...

    ```
    $ ls -l $MODULES_DIR/updates/dkms/nvidia-current*
    -rw-r--r-- 1 root root   150373 Jan 27 09:15 /lib/modules/6.1.0-1-amd64/updates/dkms/nvidia-current-drm.ko
    -rw-r--r-- 1 root root 46155045 Jan 27 09:15 /lib/modules/6.1.0-1-amd64/updates/dkms/nvidia-current.ko
    -rw-r--r-- 1 root root  1554549 Jan 27 09:15 /lib/modules/6.1.0-1-amd64/updates/dkms/nvidia-current-modeset.ko
    -rw-r--r-- 1 root root     7101 Jan 27 09:15 /lib/modules/6.1.0-1-amd64/updates/dkms/nvidia-current-peermem.ko
    -rw-r--r-- 1 root root  2321037 Jan 27 09:15 /lib/modules/6.1.0-1-amd64/updates/dkms/nvidia-current-uvm.ko
    ```
    <html>
    <head>
    <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
    </head>
    <body>
    On 1/30/23 12:47, Зиганшин Руслан wrote:<br>
    <blockquote type="cite" cite="mid:CAB_jnmi1UD7iGv5oqobE3BN5gvbpcA+i7dGhsgLOLoWW+4AWoQ@mail.gmail.com">
    <meta http-equiv="content-type" content="text/html; charset=UTF-8">
    <div dir="ltr">Следуя инструкции на <a
    href="https://wiki.debian.org/SecureBoot"
    moz-do-not-send="true" class="moz-txt-link-freetext">https://wiki.debian.org/SecureBoot</a>,
    я натыкаюсь на проблему: 
    <div><br>
    </div>
    <div><span style="font-family:monospace"><span
    style="color:rgb(0,0,0)">$ cd "$MODULES_DIR/updates/dkms"
    </span><br>
    bash: cd: /lib/modules/6.0.0-0.deb11.6-amd64/updates/dkms:
    Нет такого файла или каталога<br>
    <br>
    </span></div>
    </div>
    </blockquote>
    <br>
    А откуда установлены драйвера сейчас? Этот путь есть только там, где
    есть dkms дрова...<br>
    <br>
    ```<br>
    $ ls -l $MODULES_DIR/updates/dkms/nvidia-current*<br>
    -rw-r--r-- 1 root root   150373 Jan 27 09:15
    /lib/modules/6.1.0-1-amd64/updates/dkms/nvidia-current-drm.ko<br>
    -rw-r--r-- 1 root root 46155045 Jan 27 09:15
    /lib/modules/6.1.0-1-amd64/updates/dkms/nvidia-current.ko<br>
    -rw-r--r-- 1 root root  1554549 Jan 27 09:15
    /lib/modules/6.1.0-1-amd64/updates/dkms/nvidia-current-modeset.ko<br>
    -rw-r--r-- 1 root root     7101 Jan 27 09:15
    /lib/modules/6.1.0-1-amd64/updates/dkms/nvidia-current-peermem.ko<br>
    -rw-r--r-- 1 root root  2321037 Jan 27 09:15
    /lib/modules/6.1.0-1-amd64/updates/dkms/nvidia-current-uvm.ko<br>
    ```<br>
    </body>
    </html>

    --- SoupGate-Win32 v1.05
    * Origin: fsxNet Usenet Gateway (21:1/5)
  • From Tim Sattarov@21:1/5 to All on Mon Jan 30 21:20:01 2023
    On 1/30/23 14:29, Зиганшин Руслан wrote:
    Сейчас драйвера временно удалены, но вообще они были установлены командой sudo apt install
    nvidia-driver.

    P.S. Сейчас подумал, что, возможно, помешало то, что первоначально драйвера устанавливал от
    bullseye, а ядро от bullseye-updates. Если дело в этом, то предстоит также выяснить, как
    установить приоритет драйверов для updates, поскольку там, как ни странно, более старая версия,
    чем в bullseye.



    По ссылке указанной ранее:

    Следуя инструкции на https://wiki.debian.org/SecureBoot, я натыкаюсь на проблему:


      cd "$MODULES_DIR/updates/dkms" # For dkms packages


    То есть ожидается что установлен nvidia-kernel-dkms который кладёт драйвер в эту папку.
    Как можно подписывать что-то, если оно не установлено?

    --- SoupGate-Win32 v1.05
    * Origin: fsxNet Usenet Gateway (21:1/5)
  • From Andrey Jr. Melnikov@21:1/5 to [email protected] on Mon Jan 30 23:30:01 2023
    Зиганшин Руслан <[email protected]> wrote:
    [-- text/plain, encoding base64, charset: UTF-8, 5 lines --]

    Следуя инструкции на https://wiki.debian.org/SecureBoot, я натыкаюсь на
    проблему:

    А можно поинтересоваться - зачем? Если кто-то получил физический доступ к
    машине, он свой shim принесёт, подписанный тем-же микрософтом и загрузится.
    Удалишь ключи от M$ (ну если сможешь конечно) - поимеешь незапускаемый
    видео-биос и отсутствие видеокарты. Или у тебя есть coreboot для своей платы?

    $ cd "$MODULES_DIR/updates/dkms"
    bash: cd: /lib/modules/6.0.0-0.deb11.6-amd64/updates/dkms: Нет такого файла
    или каталога

    Дык, это задача dkms подписывать автоматически собранные модуля. Там правда
    как всегда за последние пол года всё сломали три раза, но вроде последние
    релизы dkms умеют отличать unsigned модули от signed и не падать после
    сборки (подписывать при наличии ключей если это действительно требуется).

    --- SoupGate-Win32 v1.05
    * Origin: fsxNet Usenet Gateway (21:1/5)
  • From Tim Sattarov@21:1/5 to Andrey Jr. Melnikov on Tue Jan 31 01:40:02 2023
    On 1/30/23 17:09, Andrey Jr. Melnikov wrote:

    Дык, это задача dkms подписывать автоматически собранные модуля. Там правда
    как всегда за последние пол года всё сломали три раза, но вроде последние
    релизы dkms умеют отличать unsigned модули от signed и не падать после
    сборки (подписывать при наличии ключей если это действительно требуется).

    И вправду, только вот проапдейтил одну машину с nvidia и там лог выглядит вот так:

    ```
    Building module:
    Cleaning build area...
    env NV_VERBOSE=1 make -j8 modules KERNEL_UNAME=6.1.0-2-amd64....................
    Signing module /var/lib/dkms/nvidia-current/510.108.03/build/nvidia.ko
    Signing module /var/lib/dkms/nvidia-current/510.108.03/build/nvidia-modeset.ko Signing module /var/lib/dkms/nvidia-current/510.108.03/build/nvidia-drm.ko Signing module /var/lib/dkms/nvidia-current/510.108.03/build/nvidia-uvm.ko Signing module /var/lib/dkms/nvidia-current/510.108.03/build/nvidia-peermem.ko ```

    --- SoupGate-Win32 v1.05
    * Origin: fsxNet Usenet Gateway (21:1/5)
  • From Maksim Dmitrichenko@21:1/5 to All on Tue Jan 31 15:40:02 2023
    0LLRgiwgMzEg0Y/QvdCyLiAyMDIzINCzLiDQsiAwNDozMSwgVGltIFNhdHRhcm92IDxzdGltdXJA Z21haWwuY29tPjoNCg0KPiBgYGANCj4gQnVpbGRpbmcgbW9kdWxlOg0KPiBDbGVhbmluZyBidWls ZCBhcmVhLi4uDQo+IGVudiBOVl9WRVJCT1NFPTEgbWFrZSAtajggbW9kdWxlcw0KPiBLRVJORUxf VU5BTUU9Ni4xLjAtMi1hbWQ2NC4uLi4uLi4uLi4uLi4uLi4uLi4uDQo+IFNpZ25pbmcgbW9kdWxl IC92YXIvbGliL2RrbXMvbnZpZGlhLWN1cnJlbnQvNTEwLjEwOC4wMy9idWlsZC9udmlkaWEua28N Cj4gU2lnbmluZyBtb2R1bGUNCj4gL3Zhci9saWIvZGttcy9udmlkaWEtY3VycmVudC81MTAuMTA4 LjAzL2J1aWxkL252aWRpYS1tb2Rlc2V0LmtvDQo+IFNpZ25pbmcgbW9kdWxlIC92YXIvbGliL2Rr bXMvbnZpZGlhLWN1cnJlbnQvNTEwLjEwOC4wMy9idWlsZC9udmlkaWEtZHJtLmtvDQo+IFNpZ25p bmcgbW9kdWxlIC92YXIvbGliL2RrbXMvbnZpZGlhLWN1cnJlbnQvNTEwLjEwOC4wMy9idWlsZC9u dmlkaWEtdXZtLmtvDQo+IFNpZ25pbmcgbW9kdWxlDQo+IC92YXIvbGliL2RrbXMvbnZpZGlhLWN1 cnJlbnQvNTEwLjEwOC4wMy9idWlsZC9udmlkaWEtcGVlcm1lbS5rbw0KPiBgYGANCj4NCg0K0KHR g9C00Y8g0L/QviDRgtCy0L7QtdC80YMg0YPQtNC40LLQu9C10L3QuNGOLCDQvdC4INC60LvRjtGH INGB0L7Qt9C00LDRgtGMLCDQvdC4INCy0LLQtdGB0YLQuCDQvtGCINC90LXQs9C+INC/0LDRgNC+ 0LvRjCDQv9GA0LgNCtC/0L7QtNC/0LjRgdCw0L3QuNC4INGC0LXQsdC1INC90LUg0LHRi9C70L4g 0L/RgNC10LTQu9C+0LbQtdC90L4uDQrQn9GA0LXQu9C10YHRgtC90L4uINCa0LDQuiDQsiDRgtC+ 0Lwg0LzRg9C70YzRgtC40LrQtSDQv9GA0L4g0YPQsdC+0YDRidC40YbRgyDQsiDQsdCw0L3QutC+ 0LLRgdC60L7QvCDRhdGA0LDQvdC40LvQuNGJ0LUuLi4gKQ0KDQotLSANCldpdGggYmVzdCByZWdh cmRzDQogIE1ha3NpbSBEbWl0cmljaGVua28NCg== PGRpdiBkaXI9Imx0ciI+PGRpdiBkaXI9Imx0ciI+PC9kaXY+PGRpdiBjbGFzcz0iZ21haWxfcXVv dGUiPjxkaXYgZGlyPSJsdHIiIGNsYXNzPSJnbWFpbF9hdHRyIj7QstGCLCAzMSDRj9C90LIuIDIw MjMg0LMuINCyIDA0OjMxLCBUaW0gU2F0dGFyb3YgJmx0OzxhIGhyZWY9Im1haWx0bzpzdGltdXJA Z21haWwuY29tIj5zdGltdXJAZ21haWwuY29tPC9hPiZndDs6PGJyPjwvZGl2PjxibG9ja3F1b3Rl IGNsYXNzPSJnbWFpbF9xdW90ZSIgc3R5bGU9Im1hcmdpbjowcHggMHB4IDBweCAwLjhleDtib3Jk ZXItbGVmdDoxcHggc29saWQgcmdiKDIwNCwyMDQsMjA0KTtwYWRkaW5nLWxlZnQ6MWV4Ij5gYGA8 YnI+DQpCdWlsZGluZyBtb2R1bGU6PGJyPg0KQ2xlYW5pbmcgYnVpbGQgYXJlYS4uLjxicj4NCmVu diBOVl9WRVJCT1NFPTEgbWFrZSAtajggbW9kdWxlcyBLRVJORUxfVU5BTUU9Ni4xLjAtMi1hbWQ2 NC4uLi4uLi4uLi4uLi4uLi4uLi4uPGJyPg0KU2lnbmluZyBtb2R1bGUgL3Zhci9saWIvZGttcy9u dmlkaWEtY3VycmVudC81MTAuMTA4LjAzL2J1aWxkL252aWRpYS5rbzxicj4NClNpZ25pbmcgbW9k dWxlIC92YXIvbGliL2RrbXMvbnZpZGlhLWN1cnJlbnQvNTEwLjEwOC4wMy9idWlsZC9udmlkaWEt bW9kZXNldC5rbzxicj4NClNpZ25pbmcgbW9kdWxlIC92YXIvbGliL2RrbXMvbnZpZGlhLWN1cnJl bnQvNTEwLjEwOC4wMy9idWlsZC9udmlkaWEtZHJtLmtvPGJyPg0KU2lnbmluZyBtb2R1bGUgL3Zh ci9saWIvZGttcy9udmlkaWEtY3VycmVudC81MTAuMTA4LjAzL2J1aWxkL252aWRpYS11dm0ua288 YnI+DQpTaWduaW5nIG1vZHVsZSAvdmFyL2xpYi9ka21zL252aWRpYS1jdXJyZW50LzUxMC4xMDgu MDMvYnVpbGQvbnZpZGlhLXBlZXJtZW0ua288YnI+DQpgYGA8YnI+DQo8L2Jsb2NrcXVvdGU+PC9k aXY+PGJyPtCh0YPQtNGPINC/0L4g0YLQstC+0LXQvNGDINGD0LTQuNCy0LvQtdC90LjRjiwg0L3Q uCDQutC70Y7RhyDRgdC+0LfQtNCw0YLRjCwg0L3QuCDQstCy0LXRgdGC0Lgg0L7RgiDQvdC10LPQ viDQv9Cw0YDQvtC70Ywg0L/RgNC4INC/0L7QtNC/0LjRgdCw0L3QuNC4INGC0LXQsdC1INC90LUg 0LHRi9C70L4g0L/RgNC10LTQu9C+0LbQtdC90L4uPGJyPtCf0YDQtdC70LXRgdGC0L3Qvi4g0JrQ sNC6INCyINGC0L7QvCDQvNGD0LvRjNGC0LjQutC1INC/0YDQviDRg9Cx0L7RgNGJ0LjRhtGDINCy INCx0LDQvdC60L7QstGB0LrQvtC8INGF0YDQsNC90LjQu9C40YnQtS4uLiApPGJyIGNsZWFyPSJh bGwiPjxkaXY+PGJyPjwvZGl2Pi0tIDxicj48ZGl2IGRpcj0ibHRyIiBjbGFzcz0iZ21haWxfc2ln bmF0dXJlIj48ZGl2IGRpcj0ibHRyIj48ZGl2PldpdGggYmVzdCByZWdhcmRzPGJyPsKgIE1ha3Np bSBEbWl0cmljaGVua288L2Rpdj48L2Rpdj48L2Rpdj48L2Rpdj4NCg==

    --- SoupGate-Win32 v1.05
    * Origin: fsxNet Usenet Gateway (21:1/5)
  • From Tim Sattarov@21:1/5 to Maksim Dmitrichenko on Tue Jan 31 15:50:01 2023
    This is a multi-part message in MIME format.
    On 1/31/23 09:31, Maksim Dmitrichenko wrote:
    вт, 31 янв. 2023 г. в 04:31, Tim Sattarov <[email protected]>:

    ```
    Building module:
    Cleaning build area...
    env NV_VERBOSE=1 make -j8 modules KERNEL_UNAME=6.1.0-2-amd64....................
    Signing module /var/lib/dkms/nvidia-current/510.108.03/build/nvidia.ko
    Signing module /var/lib/dkms/nvidia-current/510.108.03/build/nvidia-modeset.ko
    Signing module /var/lib/dkms/nvidia-current/510.108.03/build/nvidia-drm.ko
    Signing module /var/lib/dkms/nvidia-current/510.108.03/build/nvidia-uvm.ko
    Signing module /var/lib/dkms/nvidia-current/510.108.03/build/nvidia-peermem.ko
    ```


    Судя по твоему удивлению, ни ключ создать, ни ввести от него пароль при подписании тебе не было
    предложено.
    Прелестно. Как в том мультике про уборщицу в банковском хранилище... )


    Ты прав, ничего вводить не пришлось, всё само. Автоматически. Даже без моего ведома.
    Я думаю в остальных операционках (винда, мак) та же ситуация и драйвера не подписываются юзером
    осознанно.
    Но они и не компилируются (и не подписываются) на пользовательской машине.

    Тут встаёт вопрос а зачем вообще нужен Secure Boot.

    В моём случае когда то давно, когда я ставил дуал бут на лаптопе, 11-я винда очень хотела его и
    нельзя было иметь secure boot только для одной операционки.


    <html>
    <head>
    <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
    </head>
    <body>
    On 1/31/23 09:31, Maksim Dmitrichenko wrote:<br>
    <blockquote type="cite" cite="mid:CAMRqRqzowc3XKEfFaPifD=[email protected]">
    <meta http-equiv="content-type" content="text/html; charset=UTF-8">
    <div dir="ltr">
    <div class="gmail_quote">
    <div dir="ltr" class="gmail_attr">вт, 31 янв. 2023 г. в 04:31,
    Tim Sattarov &lt;<a href="mailto:[email protected]"
    moz-do-not-send="true" class="moz-txt-link-freetext">[email protected]</a>&gt;:<br>
    </div>
    <blockquote class="gmail_quote" style="margin:0px 0px 0px
    0.8ex;border-left:1px solid
    rgb(204,204,204);padding-left:1ex">```<br>
    Building module:<br>
    Cleaning build area...<br>
    env NV_VERBOSE=1 make -j8 modules
    KERNEL_UNAME=6.1.0-2-amd64....................<br>
    Signing module
    /var/lib/dkms/nvidia-current/510.108.03/build/nvidia.ko<br>
    Signing module
    /var/lib/dkms/nvidia-current/510.108.03/build/nvidia-modeset.ko<br>
    Signing module
    /var/lib/dkms/nvidia-current/510.108.03/build/nvidia-drm.ko<br>
    Signing module
    /var/lib/dkms/nvidia-current/510.108.03/build/nvidia-uvm.ko<br>
    Signing module
    /var/lib/dkms/nvidia-current/510.108.03/build/nvidia-peermem.ko<br>
    ```<br>
    </blockquote>
    </div>
    <br>
    Судя по твоему удивлению, ни ключ создать, ни ввести от него
    пароль при подписании тебе не было предложено.<br>
    Прелестно. Как в том мультике про уборщицу в банковском
    хранилище... )<br clear="all">
    <div><br>
    </div>
    </div>
    </blockquote>
    <br>
    Ты прав, ничего вводить не пришлось, всё само. Автоматически. Даже
    без моего ведома.<br>
    Я думаю в остальных операционках (винда, мак) та же ситуация и
    драйвера не подписываются юзером осознанно. <br>
    Но они и не компилируются (и не подписываются) на пользовательской
    машине.<br>
    <br>
    Тут встаёт вопрос а зачем вообще нужен Secure Boot. <br>
    <br>
    В моём случае когда то давно, когда я ставил дуал бут на лаптопе,
    11-я винда очень хотела его и нельзя было иметь secure boot только
    для одной операционки.<br>
    <br>
    <br>
    </body>
    </html>

    --- SoupGate-Win32 v1.05
    * Origin: fsxNet Usenet Gateway (21:1/5)
  • From Alexander Gerasiov@21:1/5 to [email protected] on Wed Feb 1 13:50:01 2023
    On Mon, 30 Jan 2023 20:47:11 +0300
    Зиганшин Руслан <[email protected]> wrote:

    Следуя инструкции на https://wiki.debian.org/SecureBoot, я натыкаюсь
    на проблему:

    $ cd "$MODULES_DIR/updates/dkms"
    bash: cd: /lib/modules/6.0.0-0.deb11.6-amd64/updates/dkms: Нет такого
    файла или каталога

    [gq@fran:/etc]$ cat /etc/dkms/framework.conf
    ## This configuration file modifies the behavior of
    ## DKMS (Dynamic Kernel Module Support) and is sourced
    ## in by DKMS every time it is run.

    ## Source Tree Location (default: /usr/src)
    # source_tree="/usr/src"

    ## DKMS Tree Location (default: /var/lib/dkms)
    # dkms_tree="/var/lib/dkms"

    ## Install Tree Location (default: /lib/modules)
    # install_tree="/lib/modules"

    ## tmp Location (default: /tmp)
    # tmp_location="/tmp"

    ## verbosity setting (verbose will be active if you set it to a non-null value) # verbose=""

    ## symlink kernel modules (will be active if you set it to a non-null value)
    ## This creates symlinks from the install_tree into the dkms_tree instead of
    ## copying the modules. This preserves some space on the costs of being less
    ## safe.
    # symlink_modules=""

    ## Automatic installation and upgrade for all installed kernels (if set to a
    ## non-null value)
    # autoinstall_all_kernels=""

    ## Script to sign modules during build, script is called with kernel version
    ## and module name
    sign_tool="/etc/dkms/sign_helper.sh"
    [gq@fran:/etc]$ cat /etc/dkms/sign_helper.sh
    #!/bin/sh
    /lib/modules/"$1"/build/scripts/sign-file sha512 /etc/sicherboot/keys/db.key /etc/sicherboot/keys/db.cer "$2"



    --
    Best regards,
    Alexander Gerasiov

    Contacts:
    e-mail: [email protected] WWW: https://gerasiov.net TG/Skype: gerasiov
    PGP fingerprint: 04B5 9D90 DF7C C2AB CD49 BAEA CA87 E9E8 2AAC 33F1

    --- SoupGate-Win32 v1.05
    * Origin: fsxNet Usenet Gateway (21:1/5)
  • From Maksim Dmitrichenko@21:1/5 to All on Wed Feb 1 14:40:01 2023
    0YHRgCwgMSDRhNC10LLRgC4gMjAyMyDQsy4g0LIgMTY6NDAsIEFsZXhhbmRlciBHZXJhc2lvdiA8 YUBnZXJhc2lvdi5uZXQ+Og0KDQo+IC9saWIvbW9kdWxlcy8iJDEiL2J1aWxkL3NjcmlwdHMvc2ln bi1maWxlIHNoYTUxMg0KPiAvZXRjL3NpY2hlcmJvb3Qva2V5cy9kYi5rZXkgL2V0Yy9zaWNoZXJi b290L2tleXMvZGIuY2VyICIkMiINCj4NCg0K0KjRgtGA0LjQu9C40YLRhiDQtdGJ0ZEg0L3QuNC6 0L7Qs9C00LAg0L3QtSDQsdGL0Lsg0YLQsNC6INCx0LvQuNC30L7QuiDQuiDQv9GA0L7QstCw0LvR gyApDQoNCtCU0LvRjyDQvdC1INC30L3QsNGO0YnQuNGFINC90LXQvNC10YbQutC40LksICJzaWNo ZXIiIC0g0L/Qvi3QvdC10LzQtdGG0LrQuCAi0LHQtdC30L7Qv9Cw0YHQvdGL0LkiINCyINGB0LzR i9GB0LvQtQ0KInNlY3VyZSIgKQ0KDQrQkCDQutGC0L4g0Lgg0LIg0LrQsNC60L7QuSDQvNC+0LzQ tdC90YIg0YLQtdCx0LUg0Y3RgtC4INC60LvRjtGH0Lgg0YHQvtC30LTQsNC7PyDQmCDQsdGL0LvQ sCDQu9C4INCy0L7Qt9C80L7QttC90L7RgdGC0Ywg0LfQsNC00LDRgtGMDQrQv9Cw0YDQvtC70Lgg 0L/RgNC4INCz0LXQvdC10YDQsNGG0LjQuD8NCtCf0L7RgtC+0LzRgyDRh9GC0L4g0L/RgNC10LTR i9C00YPRidC40Lkg0L7RgNCw0YLQvtGAINCy0YDQvtC00LUg0LrQsNC6INC00LDQttC1INC90LUg 0LfQsNC80LXRgtC40LssINC60LDQuiDRjdGC0L4g0LLRgdGRDQrQv9GA0L7QuNC30L7RiNC70L4u DQoNCi0tIA0KV2l0aCBiZXN0IHJlZ2FyZHMNCiAgTWFrc2ltIERtaXRyaWNoZW5rbw0K PGRpdiBkaXI9Imx0ciI+PGRpdiBkaXI9Imx0ciI+0YHRgCwgMSDRhNC10LLRgC4gMjAyMyDQsy4g 0LIgMTY6NDAsIEFsZXhhbmRlciBHZXJhc2lvdiAmbHQ7PGEgaHJlZj0ibWFpbHRvOmFAZ2VyYXNp b3YubmV0Ij5hQGdlcmFzaW92Lm5ldDwvYT4mZ3Q7Ojxicj48L2Rpdj48ZGl2IGNsYXNzPSJnbWFp bF9xdW90ZSI+PGJsb2NrcXVvdGUgY2xhc3M9ImdtYWlsX3F1b3RlIiBzdHlsZT0ibWFyZ2luOjBw eCAwcHggMHB4IDAuOGV4O2JvcmRlci1sZWZ0OjFweCBzb2xpZCByZ2IoMjA0LDIwNCwyMDQpO3Bh ZGRpbmctbGVmdDoxZXgiPi9saWIvbW9kdWxlcy8mcXVvdDskMSZxdW90Oy9idWlsZC9zY3JpcHRz L3NpZ24tZmlsZSBzaGE1MTIgL2V0Yy9zaWNoZXJib290L2tleXMvZGIua2V5IC9ldGMvc2ljaGVy Ym9vdC9rZXlzL2RiLmNlciAmcXVvdDskMiZxdW90Ozxicj48L2Jsb2NrcXVvdGU+PGRpdj48YnI+ 0KjRgtGA0LjQu9C40YLRhsKg0LXRidGRINC90LjQutC+0LPQtNCwINC90LUg0LHRi9C7INGC0LDQ uiDQsdC70LjQt9C+0Log0Log0L/RgNC+0LLQsNC70YMgKcKgPGJyPjxicj7QlNC70Y8g0L3QtSDQ t9C90LDRjtGJ0LjRhSDQvdC10LzQtdGG0LrQuNC5LCAmcXVvdDtzaWNoZXImcXVvdDsgLSDQv9C+ LdC90LXQvNC10YbQutC4ICZxdW90O9Cx0LXQt9C+0L/QsNGB0L3Ri9C5JnF1b3Q7INCyINGB0LzR i9GB0LvQtSAmcXVvdDtzZWN1cmUmcXVvdDsgKTxicj48YnI+0JAg0LrRgtC+INC4INCyINC60LDQ utC+0Lkg0LzQvtC80LXQvdGCINGC0LXQsdC1INGN0YLQuCDQutC70Y7Rh9C4INGB0L7Qt9C00LDQ uz8g0Jgg0LHRi9C70LAg0LvQuCDQstC+0LfQvNC+0LbQvdC+0YHRgtGMINC30LDQtNCw0YLRjCDQ v9Cw0YDQvtC70Lgg0L/RgNC4INCz0LXQvdC10YDQsNGG0LjQuD88YnI+0J/QvtGC0L7QvNGDINGH 0YLQviDQv9GA0LXQtNGL0LTRg9GJ0LjQuSDQvtGA0LDRgtC+0YAg0LLRgNC+0LTQtSDQutCw0Log 0LTQsNC20LUg0L3QtSDQt9Cw0LzQtdGC0LjQuywg0LrQsNC6INGN0YLQviDQstGB0ZEg0L/RgNC+ 0LjQt9C+0YjQu9C+Ljxicj48YnI+PC9kaXY+PC9kaXY+LS0gPGJyPjxkaXYgZGlyPSJsdHIiIGNs YXNzPSJnbWFpbF9zaWduYXR1cmUiPjxkaXYgZGlyPSJsdHIiPjxkaXY+V2l0aCBiZXN0IHJlZ2Fy ZHM8YnI+wqAgTWFrc2ltIERtaXRyaWNoZW5rbzwvZGl2PjwvZGl2PjwvZGl2PjwvZGl2Pg0K

    --- SoupGate-Win32 v1.05
    * Origin: fsxNet Usenet Gateway (21:1/5)
  • From Alexander Gerasiov@21:1/5 to Maksim Dmitrichenko on Wed Feb 1 15:50:01 2023
    On Wed, 1 Feb 2023 17:34:22 +0400
    Maksim Dmitrichenko <[email protected]> wrote:

    ср, 1 февр. 2023 г. в 16:40, Alexander Gerasiov <[email protected]>:

    /lib/modules/"$1"/build/scripts/sign-file sha512 /etc/sicherboot/keys/db.key /etc/sicherboot/keys/db.cer "$2"


    Штрилитц ещё никогда не был так близок к провалу )

    Для не знающих немецкий, "sicher" - по-немецки "безопасный" в смысле
    "secure" )

    А кто и в какой момент тебе эти ключи создал? И была ли возможность
    задать пароли при генерации?
    Потому что предыдущий оратор вроде как даже не заметил, как это всё
    произошло.
    Ты не поверишь, их создал sicherboot.
    Пароль можно добавить, но в моей модели угроз он не нужен. Для меня
    secureboot это гарантия, что на моем хосте нельзя забутить другую ОС
    и/или подменить ядро/загрузчик получив физический доступ к ноутбуку.


    --
    Best regards,
    Alexander Gerasiov

    Contacts:
    e-mail: [email protected] WWW: https://gerasiov.net TG/Skype: gerasiov
    PGP fingerprint: 04B5 9D90 DF7C C2AB CD49 BAEA CA87 E9E8 2AAC 33F1

    --- SoupGate-Win32 v1.05
    * Origin: fsxNet Usenet Gateway (21:1/5)
  • From Maksim Dmitrichenko@21:1/5 to All on Wed Feb 1 15:30:01 2023
    0LLRgiwgMzEg0Y/QvdCyLiAyMDIzINCzLiDQsiAxODo0MywgVGltIFNhdHRhcm92IDxzdGltdXJA Z21haWwuY29tPjoNCg0KPiDQotGD0YIg0LLRgdGC0LDRkdGCINCy0L7Qv9GA0L7RgSDQsCDQt9Cw 0YfQtdC8INCy0L7QvtCx0YnQtSDQvdGD0LbQtdC9IFNlY3VyZSBCb290Lg0KPg0KPiDQkiDQvNC+ 0ZHQvCDRgdC70YPRh9Cw0LUg0LrQvtCz0LTQsCDRgtC+INC00LDQstC90L4sINC60L7Qs9C00LAg 0Y8g0YHRgtCw0LLQuNC7INC00YPQsNC7INCx0YPRgiDQvdCwINC70LDQv9GC0L7Qv9C1LCAxMS3R jw0KPiDQstC40L3QtNCwINC+0YfQtdC90Ywg0YXQvtGC0LXQu9CwINC10LPQviDQuCDQvdC10LvR jNC30Y8g0LHRi9C70L4g0LjQvNC10YLRjCBzZWN1cmUgYm9vdCDRgtC+0LvRjNC60L4g0LTQu9GP INC+0LTQvdC+0LkNCj4g0L7Qv9C10YDQsNGG0LjQvtC90LrQuC4NCj4NCg0K0J3QtdGD0LbQtdC7 0Ywg0L3QsCDQstC40L3QtNC1INC90LXQu9GM0LfRjyDQvtGC0LvRjtGH0LjRgtGMIFNlY3VyZUJv b3Q/INCS0YDQvtC00LUg0LzQvtC20L3Qvi4NCg0K0JLQuNC90LTQtSDQvtC9INC90YPQttC10L0s INGH0YLQvtCx0Ysg0L3QtdC70YzQt9GPINCx0YvQu9C+INC10ZEg0LDQutGC0LjQstC40YDQvtCy 0LDRgtGMINC80LjQvNC+INC60LDRgdGB0YssINC10YHRgtC10YHRgtCy0LXQvdC90L4uDQrQm9C4 0L3Rg9C60YHRgywg0LTQu9GPINGC0L7Qs9C+LCDRh9GC0L7QsdGLINGA0YPRgtC60LjRgtC+0LIg 0LjQt9Cx0LXQttCw0YLRjCDQv9C+INC80LDQutGB0LjQvNGD0LzRgy4g0J3QviDQtdGB0LvQuCDQ vNC+0LbQvdC+INC00LDQttC1DQrQv9GD0YHQutCw0Lkg0YEg0YDRg9GC0L7QstGL0LzQuCDQv9GA 0LDQstCw0LzQuCwg0L3QviDQsdC10Lcg0LLQstC+0LTQsCDQv9Cw0YDQvtC70Y8sINC/0L7QtNC/ 0LjRgdCw0YLRjCDQu9GO0LHQvtC5INC80L7QtNGD0LvRjCDQsg0K0LHRjdC60LPRgNCw0YPQvdC0 0LUsINGC0L4g0YPQstGLLCDRjdGC0L4g0LPQvtCy0L3Qvi4NCg0KLS0gDQpXaXRoIGJlc3QgcmVn YXJkcw0KICBNYWtzaW0gRG1pdHJpY2hlbmtvDQo= PGRpdiBkaXI9Imx0ciI+PGRpdiBkaXI9Imx0ciI+0LLRgiwgMzEg0Y/QvdCyLiAyMDIzINCzLiDQ siAxODo0MywgVGltIFNhdHRhcm92ICZsdDs8YSBocmVmPSJtYWlsdG86c3RpbXVyQGdtYWlsLmNv bSI+c3RpbXVyQGdtYWlsLmNvbTwvYT4mZ3Q7OjwvZGl2PjxkaXYgY2xhc3M9ImdtYWlsX3F1b3Rl Ij48YmxvY2txdW90ZSBjbGFzcz0iZ21haWxfcXVvdGUiIHN0eWxlPSJtYXJnaW46MHB4IDBweCAw cHggMC44ZXg7Ym9yZGVyLWxlZnQ6MXB4IHNvbGlkIHJnYigyMDQsMjA0LDIwNCk7cGFkZGluZy1s ZWZ0OjFleCI+PGRpdj4NCiAgICDQotGD0YIg0LLRgdGC0LDRkdGCINCy0L7Qv9GA0L7RgSDQsCDQ t9Cw0YfQtdC8INCy0L7QvtCx0YnQtSDQvdGD0LbQtdC9IFNlY3VyZSBCb290LiA8YnI+DQogICAg PGJyPg0KICAgINCSINC80L7RkdC8INGB0LvRg9GH0LDQtSDQutC+0LPQtNCwINGC0L4g0LTQsNCy 0L3Qviwg0LrQvtCz0LTQsCDRjyDRgdGC0LDQstC40Lsg0LTRg9Cw0Lsg0LHRg9GCINC90LAg0LvQ sNC/0YLQvtC/0LUsDQogICAgMTEt0Y8g0LLQuNC90LTQsCDQvtGH0LXQvdGMINGF0L7RgtC10LvQ sCDQtdCz0L4g0Lgg0L3QtdC70YzQt9GPINCx0YvQu9C+INC40LzQtdGC0Ywgc2VjdXJlIGJvb3Qg 0YLQvtC70YzQutC+DQogICAg0LTQu9GPINC+0LTQvdC+0Lkg0L7Qv9C10YDQsNGG0LjQvtC90LrQ uC48YnI+DQogIDwvZGl2Pg0KDQo8L2Jsb2NrcXVvdGU+PC9kaXY+PGJyPtCd0LXRg9C20LXQu9GM INC90LAg0LLQuNC90LTQtSDQvdC10LvRjNC30Y8g0L7RgtC70Y7Rh9C40YLRjMKgU2VjdXJlQm9v dD8g0JLRgNC+0LTQtSDQvNC+0LbQvdC+Ljxicj48YnI+0JLQuNC90LTQtSDQvtC9INC90YPQttC1 0L0sINGH0YLQvtCx0Ysg0L3QtdC70YzQt9GPINCx0YvQu9C+INC10ZEg0LDQutGC0LjQstC40YDQ vtCy0LDRgtGMINC80LjQvNC+INC60LDRgdGB0YssINC10YHRgtC10YHRgtCy0LXQvdC90L4uINCb 0LjQvdGD0LrRgdGDLCDQtNC70Y8g0YLQvtCz0L4sINGH0YLQvtCx0Ysg0YDRg9GC0LrQuNGC0L7Q siDQuNC30LHQtdC20LDRgtGMINC/0L4g0LzQsNC60YHQuNC80YPQvNGDLiDQndC+INC10YHQu9C4 INC80L7QttC90L4g0LTQsNC20LUg0L/Rg9GB0LrQsNC5INGBINGA0YPRgtC+0LLRi9C80Lgg0L/R gNCw0LLQsNC80LgsINC90L4g0LHQtdC3INCy0LLQvtC00LAg0L/QsNGA0L7Qu9GPLCDQv9C+0LTQ v9C40YHQsNGC0Ywg0LvRjtCx0L7QuSDQvNC+0LTRg9C70Ywg0LIg0LHRjdC60LPRgNCw0YPQvdC0 0LUsINGC0L4g0YPQstGLLCDRjdGC0L4g0LPQvtCy0L3Qvi48YnIgY2xlYXI9ImFsbCI+PGRpdj48 YnI+PC9kaXY+LS0gPGJyPjxkaXYgZGlyPSJsdHIiIGNsYXNzPSJnbWFpbF9zaWduYXR1cmUiPjxk aXYgZGlyPSJsdHIiPjxkaXY+V2l0aCBiZXN0IHJlZ2FyZHM8YnI+wqAgTWFrc2ltIERtaXRyaWNo ZW5rbzwvZGl2PjwvZGl2PjwvZGl2PjwvZGl2Pg0K

    --- SoupGate-Win32 v1.05
    * Origin: fsxNet Usenet Gateway (21:1/5)
  • From Victor Wagner@21:1/5 to All on Wed Feb 1 16:30:02 2023
    В Wed, 1 Feb 2023 16:42:47 +0200
    Alexander Gerasiov <[email protected]> пишет:


    Пароль можно добавить, но в моей модели угроз он не нужен. Для меня
    secureboot это гарантия, что на моем хосте нельзя забутить другую ОС
    и/или подменить ядро/загрузчик получив физический доступ к ноутбуку.

    А можно подробнее про эту модель угроз?

    Что мы защищаем - данные на диске ноутбука или сам ноутбук как набор
    вычислительных ресурсов?

    Каким временем располагает атакующий, получивший физический доступ к
    ноутбуку, и какие средства обнаружения такого доступа предусмотрены?




    --
    Victor Wagner <[email protected]>

    --- SoupGate-Win32 v1.05
    * Origin: fsxNet Usenet Gateway (21:1/5)
  • From Tim Sattarov@21:1/5 to Maksim Dmitrichenko on Wed Feb 1 16:20:01 2023
    This is a multi-part message in MIME format.
    On 2/1/23 09:28, Maksim Dmitrichenko wrote:
    вт, 31 янв. 2023 г. в 18:43, Tim Sattarov <[email protected]>:

    Тут встаёт вопрос а зачем вообще нужен Secure Boot.

    В моём случае когда то давно, когда я ставил дуал бут на лаптопе, 11-я винда очень хотела его
    и нельзя было иметь secure boot только для одной операционки.


    Неужель на винде нельзя отлючить SecureBoot? Вроде можно.

    Можно, но удобнее с ним. тот же TPM не включится без Secure Boot.

    Винде он нужен, чтобы нельзя было её активировать мимо кассы, естественно. Линуксу, для того,
    чтобы руткитов избежать по максимуму. Но если можно даже пускай с рутовыми правами, но без ввода
    пароля, подписать любой модуль в бэкграунде, то увы, это говно.

    Как ты уже заметил, в Линуксе это больше фикция и набор ритуалов, если кто то получит доступ к
    системе и подпишет новые драйвера, то всё доверие на помойку.

    Если думаешь, что можно как то лучше и безопаснее - предлагай. Я понимаю, что обличать и открывать
    глаза иногда полезно. Но ключевое слово здесь "иногда".

    --
    Тимур
    <html>
    <head>
    <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
    </head>
    <body>
    On 2/1/23 09:28, Maksim Dmitrichenko wrote:<br>
    <blockquote type="cite" cite="mid:CAMRqRqzzkdGrcgRM3psF2T0=[email protected]">
    <meta http-equiv="content-type" content="text/html; charset=UTF-8">
    <div dir="ltr">
    <div dir="ltr">вт, 31 янв. 2023 г. в 18:43, Tim Sattarov &lt;<a
    href="mailto:[email protected]" moz-do-not-send="true"
    class="moz-txt-link-freetext">[email protected]</a>&gt;:</div>
    <div class="gmail_quote">
    <blockquote class="gmail_quote" style="margin:0px 0px 0px
    0.8ex;border-left:1px solid
    rgb(204,204,204);padding-left:1ex">
    <div> Тут встаёт вопрос а зачем вообще нужен Secure Boot. <br>
    <br>
    В моём случае когда то давно, когда я ставил дуал бут на
    лаптопе, 11-я винда очень хотела его и нельзя было иметь
    secure boot только для одной операционки.<br>
    </div>
    </blockquote>
    </div>
    <br>
    Неужель на винде нельзя отлючить SecureBoot? Вроде можно.<br>
    <br>
    </div>
    </blockquote>
    Можно, но удобнее с ним. тот же TPM не включится без Secure Boot.<br>
    <br>
    <blockquote type="cite" cite="mid:CAMRqRqzzkdGrcgRM3psF2T0=[email protected]">
    <div dir="ltr">Винде он нужен, чтобы нельзя было её активировать
    мимо кассы, естественно. Линуксу, для того, чтобы руткитов
    избежать по максимуму. Но если можно даже пускай с рутовыми
    правами, но без ввода пароля, подписать любой модуль в
    бэкграунде, то увы, это говно.<br clear="all">
    <div><br>
    </div>
    </div>
    </blockquote>
    Как ты уже заметил, в Линуксе это больше фикция и набор ритуалов,
    если кто то получит доступ к системе и подпишет новые драйвера, то
    всё доверие на помойку.<br>
    <br>
    Если думаешь, что можно как то лучше и безопаснее - предлагай. Я
    понимаю, что обличать и открывать глаза иногда полезно. Но ключевое
    слово здесь "иногда".<br>
    <br>
    -- <br>
    Тимур<br>
    </body>
    </html>

    --- SoupGate-Win32 v1.05
    * Origin: fsxNet Usenet Gateway (21:1/5)
  • From Victor Wagner@21:1/5 to All on Wed Feb 1 16:20:01 2023
    В Wed, 1 Feb 2023 18:28:53 +0400
    Maksim Dmitrichenko <[email protected]> пишет:

    вт, 31 янв. 2023 г. в 18:43, Tim Sattarov <[email protected]>:

    Тут встаёт вопрос а зачем вообще нужен Secure Boot.

    В моём случае когда то давно, когда я ставил дуал бут на лаптопе,
    11-я винда очень хотела его и нельзя было иметь secure boot только
    для одной операционки.


    Неужель на винде нельзя отлючить SecureBoot? Вроде можно.

    Винде он нужен, чтобы нельзя было её активировать мимо кассы,
    естественно. Линуксу, для того, чтобы руткитов избежать по максимуму.
    Но если можно даже пускай с рутовыми правами, но без ввода пароля,
    подписать любой модуль в бэкграунде, то увы, это говно.


    В PKI и цепочки доверия в мире не умеет примерно никто ни в OpenSource
    ни в проприетарщине. Даже bsign из большинства дистрибутивов
    повыкидывали. Я его только в Astre имени различных российских городов
    видел. (в смысле во всех Special Edition, их у них там много).



    --
    Victor Wagner <[email protected]>

    --- SoupGate-Win32 v1.05
    * Origin: fsxNet Usenet Gateway (21:1/5)
  • From Tim Sattarov@21:1/5 to Victor Wagner on Wed Feb 1 16:50:01 2023
    On 2/1/23 10:19, Victor Wagner wrote:
    В Wed, 1 Feb 2023 10:11:15 -0500
    Tim Sattarov <[email protected]> пишет:

    Если думаешь, что можно как то лучше и безопаснее - предлагай. Я
    понимаю, что обличать и открывать глаза иногда полезно. Но ключевое
    слово здесь "иногда".
    По моим представлениям нужно:
    1. Выстраивать непрерывную цепочку доверия от BIOS до конкретных
    исполняемых модулей. Да, и скриптовых тоже, да, и разделяемых библиотек
    тоже. То есть bsign это хорошо, но нужен еще scriptsign.
    2. Проверка на подпись скриптов должна быть встроена в интерпретатор,
    чтобы никакими средствами языка (. в shell, require в perl и т.д.)
    нельзя было ее обойти.
    3. По возможности физически разделять машины где ведется разработка (и
    где подписываются исполняемые модули) и те, где защита секьюрбутом
    применяется в боевом режиме в качестве защиты от реальных атак. Потому
    что непонятно как совместить подпись каждого исполняемого файла в
    системе с разработкой программ, а особенно скриптов-однострочников у
    которых PKCS7-структура подписи будет больше места, чем содержательный
    код занимать.

    Вот это уже интересно. А процесс защиты ограничен именно этими алгоритмами?
    Если ограничиться только secure boot и интерфейсом с BIOS/UEFI.
    Как бы выглядела идеальная защита там?

    Maksim Dmitrichenko выше недоволен отсутствием ввода секрета во время подписи драйверов, что делает
    процесс больше фикцией,
    Так как секреты (ключи подписи) находятся там же где и сами артифакты для подписи. И ничего их не
    защищает.
    Мало того, эти ключи находятся в публичном доступе, что не ограничивает злоумышленников от
    использования этих публично доступных ключей для своих целей.
    Как здесь быть? Получается, что вся защита только в получении рута на машине.
    Модули скачанные с сайта debian подписаны майнтейнером. Там более менее можно ограничить доступ к
    секретному ключу.
    Но всё то что делает DKMS эту защиту опускает до своего уровня - права доступа к директории с модулями.

    --- SoupGate-Win32 v1.05
    * Origin: fsxNet Usenet Gateway (21:1/5)
  • From Victor Wagner@21:1/5 to All on Wed Feb 1 20:00:02 2023
    В Wed, 1 Feb 2023 10:48:47 -0500
    Tim Sattarov <[email protected]> пишет:

    On 2/1/23 10:19, Victor Wagner wrote:
    В Wed, 1 Feb 2023 10:11:15 -0500

    Вот это уже интересно. А процесс защиты ограничен именно этими
    алгоритмами? Если ограничиться только secure boot и интерфейсом с
    BIOS/UEFI. Как бы выглядела идеальная защита там?

    Maksim Dmitrichenko выше недоволен отсутствием ввода секрета во время
    подписи драйверов, что делает процесс больше фикцией,
    Так как секреты (ключи подписи) находятся там же где и сами артифакты
    для подписи. И ничего их не защищает.

    И это вполне законная претензия


    только в получении рута на машине. Модули скачанные с сайта debian
    подписаны майнтейнером. Там более менее можно ограничить доступ к

    Можно-то можно, но делается ли? Конечно если утечет ключ дебановского
    мейнтейнера, скорее всего шуму будет на весть интернет. Как я уже писал
    в соседнем письме, в наше время правильно использовать подобные защиты
    не умеет почти никто. Даже в этом треде термин "модель угроз" употребил
    только Alexander Gerasiov <[email protected]>

    секретному ключу. Но всё то что делает DKMS эту защиту опускает до
    своего уровня - права доступа к директории с модулями.

    А DKMS это вообще паллиатив. Если мы используем DKMS, значит мы хотим
    использовать какие-то лиценизонно не совместимые с мейнлайн-ядром
    модули. Потому что если бы они были совместимы, был бы готовый пакет.

    То есть по хорошему счету, используя DKMS мы сразу говорим "мы тут
    доверяем какому-то левому коду исполняться в контексте ядра"

    Да, это конечно иногда наименьшее зло. Но, возможно что авторы DKMS
    именно так и рассудили, что снявши голову по волосам не плачут, и если
    мы используем dkms-модули вместе с secureboot, secureboot нам нужен не
    для безопасности, а для чего-то ещё (чтобы там TPM работал или чтобы
    какие-нибудь сертифицирующие органы отвязались).

    --
    Victor Wagner <[email protected]>

    --- SoupGate-Win32 v1.05
    * Origin: fsxNet Usenet Gateway (21:1/5)
  • From Victor Wagner@21:1/5 to All on Wed Feb 1 20:40:01 2023
    В Wed, 1 Feb 2023 14:11:17 -0500
    Tim Sattarov <[email protected]> пишет:

    .
    Чем сложнее получить доступ к данным, тем безопаснее.

    Совершенно не факт, что защищать надо именно данные. Сейчас на
    большинстве компьютеров достойных защиты данных нет. Есть только
    выкачанная из сети информация, которую воровать нет смысла. Можно
    честно скачать оттуда же, откуда ее взял владелец компьютера.

    И тогда объектом защиты является сам компьютер, его вычислительные
    ресурсы, и цель - не дать его превратить в элемент ботнета для DDoS или
    майнер биткойнов (в интересах, естественно, отнюдь не того, кто
    оплачивает счета за электроэнергию).

    SecureBoot усложняет доступ злоумышленникам. И то что нам не
    нравится, это то, что это усложнение недостаточно сложно.

    SecureBoot похож на стоящий посреди чистого поля (ну ладно, густого
    леса) КПП, вокруг которого нет никакого забора. Кому не лень, может
    сойти с дороги и спокойно его обойти.

    Если мы ведем речь о сетевых атаках, то скорее объектом атаки будут
    userspace программы, которые secureboot вообще не защищает.

    Если об атаках с физическим доступом, то против отвертки и паяльника
    чисто программные средства мало чего могут сделать.

    Поэтому и интересна модель угроз Александра Герасиова, который тут
    упомянул что защищает свой ноутбук именно от физического доступа, но
    пока не расписал, при каких ограничениях. Точнее, на какие варианты
    физических угроз он готов тратить свое время и деньги, а какие лучше не
    рассматривать.


    Мы можем рассуждать и ругать существующую ситуацию, или можем прийти
    к какому нибудь выводу, схеме, решению, которое может быть лучше, чем
    то что есть в данный момент. И начать пинать мейнтейнеров.

    Начинать надо с себя. Безопасность она как фитнес. В какой бы дорогой
    тренажерный зал ты ни ходил, каких бы продвинутых тренеров ни нанимал,
    если сам не будешь впахивать до седьмого пота, мышц не накачаешь. Так и
    с безопасностью.

    Тут первое с чем надо определиться - а кто у нас решает, кому можно
    доверять и в чём - мейнтейнер dkms, фирма микрософт, производитель
    железа или все-таки владелец компьютера? Пока ответ на этот вопрос
    "какая-то коммерческая фирма непонятно в какой стране", понятно чья
    безопасность будет обеспечиваться и кто будет считаться потенциальным
    злоумышленником.





    --
    Victor Wagner <[email protected]>

    --- SoupGate-Win32 v1.05
    * Origin: fsxNet Usenet Gateway (21:1/5)
  • From Alexander Gerasiov@21:1/5 to Victor Wagner on Wed Feb 1 20:50:01 2023
    On Wed, 1 Feb 2023 18:12:59 +0300
    Victor Wagner <[email protected]> wrote:

    В Wed, 1 Feb 2023 16:42:47 +0200
    Alexander Gerasiov <[email protected]> пишет:


    Пароль можно добавить, но в моей модели угроз он не нужен. Для меня
    secureboot это гарантия, что на моем хосте нельзя забутить другую ОС
    и/или подменить ядро/загрузчик получив физический доступ к
    ноутбуку.

    А можно подробнее про эту модель угроз?

    Что мы защищаем - данные на диске ноутбука или сам ноутбук как набор
    вычислительных ресурсов?

    Каким временем располагает атакующий, получивший физический доступ к
    ноутбуку, и какие средства обнаружения такого доступа предусмотрены?

    Сейчас речь не совсем про то, что у меня (security through obscurity на
    самом деле очень важная и нужная вещь), но некоторые рассуждения,
    которыми я руководствовался:
    - данные на ноутбуке являются чувствительными
    - на случай утери ноутбука данные должны быть зашифрованы
    - предположим есть "добрый" злоумышленник, желающий получить доступ к
    данным на ноутбуке (про злого с паяльником отдельный тред), тогда у
    него есть два основных вектора атаки:

    1. взлом работающего ноутбука по сети и т.п. тут цифровая гигиена,
    всякие файрволы, контейнеры и прочее, о чем сейчас не говорим.
    2. физический доступ к ноутбуку. (от 5 минут в кафе пописать, до пары
    часов в офисе пообедать, варианты бывают разные)

    В случае физического доступа получить доступ к данным не получится
    (так как они зашифрованы), но можно залить модифицированный
    загрузчик/ядро/инитрамфс, так как что-то из этого должно
    лежать на диске не зашифрованное.

    От подмены этих файлов защищает secureboot с кастомными ключами.

    Следующий шаг - сбросить биос, подменить материнку или ноутбук целиком.
    Это все не является нереализуемым, но усложняет атаку. Плюс есть
    разумные способы это усложнить (enterprise ноутбуки, которые не
    сбрасываются просто так, tamper detection, наклейки с героями аниме,
    уникальная гравировка, памятная царапина в форме любимой буквы
    армянского алфавита и т.п.). Где-то в этом месте здравый смысл должен
    сказать, что гаечный ключ будет дешевле и можно успокоиться.


    --
    Best regards,
    Alexander Gerasiov

    Contacts:
    e-mail: [email protected] WWW: https://gerasiov.net TG/Skype: gerasiov
    PGP fingerprint: 04B5 9D90 DF7C C2AB CD49 BAEA CA87 E9E8 2AAC 33F1

    --- SoupGate-Win32 v1.05
    * Origin: fsxNet Usenet Gateway (21:1/5)
  • From Tim Sattarov@21:1/5 to Victor Wagner on Wed Feb 1 20:20:01 2023
    On 2/1/23 13:52, Victor Wagner wrote:

    А DKMS это вообще паллиатив. Если мы используем DKMS, значит мы хотим
    использовать какие-то лиценизонно не совместимые с мейнлайн-ядром
    модули. Потому что если бы они были совместимы, был бы готовый пакет.

    То есть по хорошему счету, используя DKMS мы сразу говорим "мы тут
    доверяем какому-то левому коду исполняться в контексте ядра"
    DKMS как система сборки тут ни при чём. Это никак не отменяет наличия общественно доступных ключей,
    которым доверяет  BIOS.
    Даже если я не использую DKMS, злоумышленник сможет подсунуть мне подписанный драйвер, собранный у
    него на компьютере и подписанный тем самым публичным ключом.
    Или я что то не понимаю в системе подписи и доверия?

    Да, это конечно иногда наименьшее зло. Но, возможно что авторы DKMS
    именно так и рассудили, что снявши голову по волосам не плачут, и если
    мы используем dkms-модули вместе с secureboot, secureboot нам нужен не
    для безопасности, а для чего-то ещё (чтобы там TPM работал или чтобы
    какие-нибудь сертифицирующие органы отвязались).

    Как говорил один мой знакомый безопасник: Безопасность это не конечная точка, это процесс и больше
    градация, чем "да" или "нет".
    Чем сложнее получить доступ к данным, тем безопаснее.
    SecureBoot усложняет доступ злоумышленникам. И то что нам не нравится, это то, что это усложнение
    недостаточно сложно.

    Мы можем рассуждать и ругать существующую ситуацию, или можем прийти к какому нибудь выводу, схеме,
    решению, которое может быть лучше, чем то что есть в данный момент.
    И начать пинать мейнтейнеров.


    --
    Тимур

    --- SoupGate-Win32 v1.05
    * Origin: fsxNet Usenet Gateway (21:1/5)
  • From Tim Sattarov@21:1/5 to Alexander Gerasiov on Wed Feb 1 22:20:01 2023
    On 2/1/23 14:46, Alexander Gerasiov wrote:
    От подмены этих файлов защищает secureboot с кастомными ключами.

    А можно поподробнее про этот момент как кастомные ключи в этом случае работают?
    ты грузишь свои собственные ключи в  BIOS и указываешь степень доверия?
    Если да, то я думаю этот момент даёт достаточно хорошую защиту, если не доводить до гаечных ключей,
    и прочих горячих предметов.

    --- SoupGate-Win32 v1.05
    * Origin: fsxNet Usenet Gateway (21:1/5)
  • From Alexander Gerasiov@21:1/5 to Tim Sattarov on Thu Feb 2 11:00:01 2023
    On Wed, 1 Feb 2023 16:13:49 -0500
    Tim Sattarov <[email protected]> wrote:

    On 2/1/23 14:46, Alexander Gerasiov wrote:
    От подмены этих файлов защищает secureboot с кастомными ключами.

    А можно поподробнее про этот момент как кастомные ключи в этом случае
    работают? ты грузишь свои собственные ключи в  BIOS и указываешь
    степень доверия? Если да, то я думаю этот момент даёт достаточно
    хорошую защиту, если не доводить до гаечных ключей, и прочих горячих
    предметов.
    Да, всё так. Делаю это использую sicherboot - он хорошо автоматизирует
    это.


    --
    Best regards,
    Alexander Gerasiov

    Contacts:
    e-mail: [email protected] WWW: https://gerasiov.net TG/Skype: gerasiov
    PGP fingerprint: 04B5 9D90 DF7C C2AB CD49 BAEA CA87 E9E8 2AAC 33F1

    --- SoupGate-Win32 v1.05
    * Origin: fsxNet Usenet Gateway (21:1/5)
  • From Alexander Gerasiov@21:1/5 to Victor Wagner on Thu Feb 2 15:00:01 2023
    On Thu, 2 Feb 2023 16:45:33 +0300
    Victor Wagner <[email protected]> wrote:

    В Wed, 1 Feb 2023 21:46:59 +0200
    Alexander Gerasiov <[email protected]> пишет:

    On Wed, 1 Feb 2023 18:12:59 +0300
    Victor Wagner <[email protected]> wrote:

    В Wed, 1 Feb 2023 16:42:47 +0200
    Alexander Gerasiov <[email protected]> пишет:


    Пароль можно добавить, но в моей модели угроз он не нужен. Для
    меня secureboot это гарантия, что на моем хосте нельзя забутить
    другую ОС и/или подменить ядро/загрузчик получив физический
    доступ к ноутбуку.


    В случае физического доступа получить доступ к данным не получится
    (так как они зашифрованы), но можно залить модифицированный
    загрузчик/ядро/инитрамфс, так как что-то из этого должно
    лежать на диске не зашифрованное.

    О, наконец мне кто-то объяснил зачем может быть нужна на ноутбуке
    full disk encryption - она защищает от подмены user-space бинарников,
    которые не защищает secureboot.
    Да, и это, конечно же тоже.

    Так-то я всегда полагал что FDE это вещь скорее вредная, чем полезная,
    потому что является ярким сигналом "здесь есть что-то ценное". И
    провоцирует нашего противника на применение терморектального (или, в
    случае толетантных демократических стран rubber hose) крипоанализа.
    Для грубой силы - вредная. Для угрозы "любопытный нос полез в утерянный
    ноутбук" - всё же полезная.


    --
    Best regards,
    Alexander Gerasiov

    Contacts:
    e-mail: [email protected] WWW: https://gerasiov.net TG/Skype: gerasiov
    PGP fingerprint: 04B5 9D90 DF7C C2AB CD49 BAEA CA87 E9E8 2AAC 33F1

    --- SoupGate-Win32 v1.05
    * Origin: fsxNet Usenet Gateway (21:1/5)
  • From Victor Wagner@21:1/5 to All on Thu Feb 2 14:50:01 2023
    В Wed, 1 Feb 2023 21:46:59 +0200
    Alexander Gerasiov <[email protected]> пишет:

    On Wed, 1 Feb 2023 18:12:59 +0300
    Victor Wagner <[email protected]> wrote:

    В Wed, 1 Feb 2023 16:42:47 +0200
    Alexander Gerasiov <[email protected]> пишет:


    Пароль можно добавить, но в моей модели угроз он не нужен. Для
    меня secureboot это гарантия, что на моем хосте нельзя забутить
    другую ОС и/или подменить ядро/загрузчик получив физический
    доступ к ноутбуку.


    В случае физического доступа получить доступ к данным не получится
    (так как они зашифрованы), но можно залить модифицированный
    загрузчик/ядро/инитрамфс, так как что-то из этого должно
    лежать на диске не зашифрованное.

    О, наконец мне кто-то объяснил зачем может быть нужна на ноутбуке full
    disk encryption - она защищает от подмены user-space бинарников,
    которые не защищает secureboot.

    Так-то я всегда полагал что FDE это вещь скорее вредная, чем полезная,
    потому что является ярким сигналом "здесь есть что-то ценное". И
    провоцирует нашего противника на применение терморектального (или, в
    случае толетантных демократических стран rubber hose) крипоанализа.

    Гораздо лучше было бы, если бы для того чтобы браузить интернет,
    вводить пассфразу для расшифровки тех данных, которые мы хотим скрыть
    от всего мира, не требовалось бы. Мы тут котиков смотрим. а данные себе
    лежат зашифрованные. И даже таможенник на границе, решивший проверить
    компьютер, их, скорее всего просто не найдет.

    Но вот для того, чтобы избежать подмены /usr/bin/ls или /bin/echo, увы,
    необходима либо сквозная система подписи исполняемых файлов с цепочкой
    доверия от BIOS до последнего скрипта, либо таки да, FDE.


    --
    Victor Wagner <[email protected]>

    --- SoupGate-Win32 v1.05
    * Origin: fsxNet Usenet Gateway (21:1/5)
  • From Victor Wagner@21:1/5 to All on Thu Feb 2 15:30:02 2023
    В Thu, 2 Feb 2023 15:57:32 +0200
    Alexander Gerasiov <[email protected]> пишет:



    Так-то я всегда полагал что FDE это вещь скорее вредная, чем
    полезная, потому что является ярким сигналом "здесь есть что-то
    ценное". И провоцирует нашего противника на применение
    терморектального (или, в случае толетантных демократических стран
    rubber hose) крипоанализа.
    Для грубой силы - вредная. Для угрозы "любопытный нос полез в
    утерянный ноутбук" - всё же полезная.

    Мне как-то с трудом верится в любопытный нос, который в состоянии
    хакнуть пароль на grub или на bios (чтобы загрузиться с другого
    носителя).
    Когда заходит речь о таком уровне атакующего, это уже
    несколько намекает на таржетированную атаку.



    --
    Victor Wagner <[email protected]>

    --- SoupGate-Win32 v1.05
    * Origin: fsxNet Usenet Gateway (21:1/5)
  • From Victor Wagner@21:1/5 to All on Thu Feb 2 16:50:01 2023
    В Thu, 2 Feb 2023 17:01:12 +0300
    [email protected] пишет:

    02.02.2023 16:45, Victor Wagner пишет:
    О, наконец мне кто-то объяснил зачем может быть нужна на ноутбуке
    full disk encryption - она защищает от подмены user-space
    бинарников, которые не защищает secureboot.
    Не только. FDE еще полезно в случае потери или гражи ноутбука, чтобы
    мне не пришлось судорожно не вспоминать, какие именно фотографии я на
    нем хранил и нет ли там чего-то такого, что сделало бы мою жизнь чуть
    более сложной в случае, если новый хозяин ноутбука будет достаточно
    любопытен, чтобы покопаться в моих файлах. В случае FDE ему останется
    только переформатировать диски.

    Поскольку в мою модель угроз входит появление в доме вежливого офицера
    ФСБ с ордером на обыск или встреча с не менее вежливым таможенником при
    пересечении границы, меры, рассчитанные на противодействие этим
    угрозам, спасают и от излишне любопытного нашедшего ноутбук.




    --
    Victor Wagner <[email protected]>

    --- SoupGate-Win32 v1.05
    * Origin: fsxNet Usenet Gateway (21:1/5)
  • From Victor Wagner@21:1/5 to All on Fri Feb 3 07:10:01 2023
    В Thu, 2 Feb 2023 20:35:05 +0300
    Eugene Berdnikov <[email protected]> пишет:

    On Thu, Feb 02, 2023 at 06:40:40PM +0300, Victor Wagner wrote:
    Поскольку в мою модель угроз входит появление в доме вежливого
    офицера ФСБ с ордером на обыск или встреча с не менее вежливым
    таможенником при пересечении границы, меры, рассчитанные на
    противодействие этим угрозам, спасают и от излишне любопытного
    нашедшего ноутбук.

    Второй раз читаю тут про таможенника, и ума не приложу, какое может
    быть дело таможне до содержимого диска... Биты и байты вроде никакими

    Таможенник - он человек государственный. А государству до всего есть
    дело. Со мной уже был случай когда магнитные носители которые я вез с
    собой в командировку в Австрию, проверяли. И был случай, когда ничего
    не проверяя, просто не пропустили. Пришлось сдавать в камеру хранения в
    Шереметьево.

    пошлинами не облагаются, а у таможенника нет ни времени, ни средств
    изучать их: другие пассажиры в очереди нервничают и матерятся.

    Ну понятно, что если человека задерживают по подозрению что он вывозит
    из страны секрентную информацию его из очереди отводят в такую
    неприметную комнатку поблизости.

    К слову, лучшее средство от ордера на обыск -- бэкап, тщательно
    спрятанный вне дома, плюс запасной комплект вычислительной техники к
    нему, плюс заначка для того, чтобы сразу после обыска докупить ещё
    один запасной комплект.

    Это, кстати, многие не понимают. Что всегда надо рассматривать две
    угрозы
    1. Что ваши данные попадут не в те руки
    2. Что ваши руки не дотянутся до ваших данных в тот момент, когда вам
    эти данные будут нужны.

    Предложенный тобой способ защищает от второй угрозы. А пользователи
    всяких FDE надеются, что применение этих средств защитит их от первой

    Кстати, лежащий вне дома бэкап помогает не только от обыска, но и от
    пожара, домовой кражи и даже от криптолокера (впрочем от криптолокера
    помогает и бэкап лежащий в ящике стола, на котором стоит компьютер)

    --
    Victor Wagner <[email protected]>

    --- SoupGate-Win32 v1.05
    * Origin: fsxNet Usenet Gateway (21:1/5)
  • From Victor Wagner@21:1/5 to All on Fri Feb 3 09:00:01 2023
    В Fri, 3 Feb 2023 10:46:50 +0300
    Eugene Berdnikov <[email protected]> пишет:


    Это, кстати, многие не понимают. Что всегда надо рассматривать две
    угрозы
    1. Что ваши данные попадут не в те руки
    2. Что ваши руки не дотянутся до ваших данных в тот момент, когда
    вам эти данные будут нужны.

    Предложенный тобой способ защищает от второй угрозы. А пользователи
    всяких FDE надеются, что применение этих средств защитит их от
    первой

    В слове FDE буква E как раз защищает, а вот FD, как верно было
    замечено, скорее бесит нападающих и толкает их на применение
    радикальных средств... Всё ценное должно быть зашифровано, включая
    бэкап, но шифровать всё подряд это глупость, IMHO.

    А при таком подходе приходится головой думать, что ценное, а что не
    ценное. Что нужно защищать от несанкционированного прочтения, а что -
    только от несанкционированного изменения (что лучше делать не
    шифрованием, а подписью с её своевременной проверкой)

    --
    Victor Wagner <[email protected]>

    --- SoupGate-Win32 v1.05
    * Origin: fsxNet Usenet Gateway (21:1/5)