Похоже на сказку, чтоб быть явью

А можно как-то проще? SUiSBD, например?

И чем оно такое Super?

Я не буду гадать, хорошо это или плохо.

Очевидно лишь, что рано или поздно кто-то должен был это сделать. :)))

Название придумано по аналогии с Super GRUB Disk: https://www.supergrubdisk.org/

Интересно, а совместимо ли это с опенсорсным биосом coreboot/SeaBIOS? https://www.coreboot.org/status/board-status.html

Загрузил сабжем Lubuntu, пишу с неё.

Наконец-то загрузка из .iso почти из коробки. «Почти» потому что пришлось создать ./glim/inc-lubuntu.cfg и отредактировать ./glim/main.cfg . А ещё persistent-режим по-прежнему нужно самому добавлять. Впрочем, это не главная фича, как я понимаю.

реквест

Persistent-mode.

Для образов поддерживающих сохранение состояния создавать 2 [под]пункта в меню загрузки: простая загрузка и с сохранением.

Cпасибо за софт !

С одной стороны это хоть и нужные, но костылики, с другой - доказательство несостоятельности Secure Boot как технологии, ведь анальное огораживание пека от линукса не получилось.

Secure Boot создан для защиты от буткитов, а не огораживания от линукса.

То, что сделал ТС — это не обход защиты Secure Boot, а упрощение работы с ним.

То, что сделал ТС — это не обход защиты Secure Boot, а упрощение работы с ним.

Можно аргументы? Я вижу из текста, что SecureBoot включен, а запускается что угодно, будто его нет.

ты сам в это веришь?

Можно аргументы? Я вижу из текста, что SecureBoot включен, а запускается что угодно, будто его нет.

Также ты можешь видеть из текста, что «Во время первой загрузки диска на компьютере с Secure Boot необходимо выбрать сертификат через меню MokManager».

Все уже описано в тексте новости, достаточно её внимательно прочитать.

RTFM

Тот же вопрос :)

Кому надо, шифрует диски и ставит пароль на EFI.

А это - ИМХО ненужные полумеры, созданные в корыстных целях.

Всё бы хорошо, но вот, пришлось мне тут восстанавливать данные с лаптопа с убитой виндой, а загрузиться с флэшки нельзя пока секурбут не отключишь. И как мне этот супер-пупер-диск поможет?

Кому надо, шифрует диски и ставит пароль на EFI.

Шифрование диска и пароль на EFI не защитит тебя от буткитов.

Я с трудом могу поверить, что с тремя с половиной пользователями GNU/Linux на десктопе вообще есть смысл бороться такими методами.

Улучшения Windows в плане UX сделали в разы больше в борьбе с альтернативными системами, чем все эти «Get the Facts».

Подозреваю что этот диск просто использует ключь выданный Майкрософтом для загрузки linux.
Вот отзовёт Майкрософт ключь обратно, то не только этот диск загружаться перестанет, но и любой другой линукс вообще.

не защитит тебя от буткитов.

От всего этого очень хорошо защищала прошивка БИОС в ПЗУ, но её зачем-то на EEPROM поменяли.

От всего этого очень хорошо защищала прошивка БИОС в ПЗУ, но её зачем-то на EEPROM поменяли.

Причем тут вообще BIOS?

Речь о том, что после компрометации системы malware может закрепиться на самых ранних этапах загрузки ОС, тем самым все средства защиты окажутся бесполезными.

О перезаписи BIOS речь не идет.

Улучшения Windows в плане UX сделали в разы больше в борьбе с альтернативными системами, чем все эти «Get the Facts».

Ухудшений сделали не меньше. Получился баш на баш, а учитывая адаптационный период для перехода, осадочек остался.

А вот в Линукс улучшений делается больше, чем ухудшений.

Тут ты не прав. В основе всё равно подписанный загрузчик. При этом, если подпись делается каким-то своим ключом, то диск вполне может не сработать.

модифицированного предзагрузчика PreLoader от Linux Foundation (для отключения проверки подписи при загрузке .efi-файлов)

Но это же убивает сам смысл Secure Boot.

А что, нужная штука. Никогда не сомневался, что секюриБут дырявый и ненужный.

Дизассемблирование тоже убивает весь смысл компиляции. Вот только без этого не заработали бы никакие программы оффтопика на Linux/BSD под Wine. Полезнейший хак Secureboot спасет нас от UEFI рабства и даст возможность сменить UEFI, который даже в запароленом виде можно хакнуть из операционной системы, чтобы не паять каждому человеку микросхему BIOS/UEFI на программаторе, чтобы прошиться на Libreboot/Coreboot.

То, что сделал ТС — это не обход защиты Secure Boot, а упрощение работы с ним.

Нет, это именно обход, из-за того, что загрузчик shim из Fedora написан с нарушением требований к SB. Емнип, требуется, чтобы от загрузчика до ядра системы все было подписано и проверяло подписи друг-друга.

У них есть secure boot?)

Никогда не сомневался, что секюриБут дырявый и ненужный.

Он не дырявый, не таким образом по крайней мере. Дырявый shim от Fedora. По идее из-за таких штук могут и отозвать сертификат для него.

Интересно даже как скоро этот проект выпилят с гитхаба? Может конечно и не выпилят, но вероятность высокая, ибо вещь очень скандальная получилась, поздравляю.

Если это обход, то зачем добавлять сертификат?

Подумай об этом.

Если это обход, то зачем добавлять сертификат?

Как я понимаю, чтобы потом можно было грузить не только shim.

Впрочем, может автор ответит обход это или такая багофича.

Хотя еще задумался. Если система после загрузки дает root-доступ, в том числе к манипуляции с uefi, то может даже не обязателен shim и подобный трюк можно проделать даже из винды с правами админа? Или нельзя? Я не очень-то хорошо знаю эту кухню.

На своём ПК я могу делать со своей системой что хочу. Согласно SB, в обход SB - пофиг, это никого не касается, кроме меня.

Как я понимаю, чтобы потом можно было грузить не только shim.

И в чем тогда bypass? И чего bypass?

Ну всё, ждём Super-Puper Secure Boot, для которого понадобится ещё одна дополнительная подпись. И т.д.

На своём ПК я могу делать со своей системой что хочу. Согласно SB, в обход SB - пофиг, это никого не касается, кроме меня.

Делать ты можешь только то, что тебе позволили производители и не огородили, чтобы не мог. Например, ты на своем ПК, если у тебя процессор серии Intel Coffee Lake не можешь модифицировать прошивку bios. Части прошивки вообще зашифрованы и расшифровываются и работают на отдельном процессоре (Intel Me, PSP у AMD). Вот так вот дела со свободой обстоят.

И в чем тогда bypass? И чего bypass?

bypass загрузчика и проверки кода, исполняемого в 0-м кольце.

Какого кода?

Проверки подписи исполняемого файла? Это каким образом, если добавляется сертификат относительно стандартными средствами?

ValdikSS сказал:

Диск совместим с UEFI без Secure Boot, а также со старыми компьютерами с BIOS.

Но здесь не сказано про совместимость с новыми компьютерами с опенсорсным биосом coreboot/SeaBIOS ( https://www.coreboot.org/status/board-status.html ), поэтому я и задал этот вопрос ;)

Так я не дурак покупать такое оборудование. У меня до сих пор FX, которого для работы, игр и развлечений мне хватает с головой. А следующей покупкой будут хакнутые процессоры, где эту дрянь в виде IntelME или AMD PSP выкинули.

А добровольно покупать порабощающее оборудование не собираюсь.

я как то в список рассылки дебиана скидывал мануал по созданию мультизагрузочной флешки стандартными утилитами, но это было очень давно и я всё забыл и снова понадобилось мне это. Кто-нибудь может замутить такой мануал (только стандартные утилиты можно? mbr и syslinux)?

Простой обыватель, работая под онтопиком, за NATом провайдера имеет шанс найти и успешно запустить (да, а еще зависимости пусть не забудет разрешить, нужную версию питона поставить, ога) такого сложного зловреда примерно равный шансу, что мелкософт обанкротится.

Но им же нечего скрывать! Прими таблеточки!!1 Как они могут следить на уровне железа, да чо за бред вообще???777семьсемь

UEFI

UEFI не нужна. Старый добрый BIOS наше все!

Никогда не сомневался, что секюриБут дырявый и ненужный.

наверно ты имел в виду само UEFI. Если да, ты прав.

Проверки подписи исполняемого файла? Это каким образом, если добавляется сертификат относительно стандартными средствами?

Цепочка: bios -> загрузчик -> система -> драйвера. Где-то примерно так. Чтобы нельзя было загрузиться и поменять загрузчик. Но получается, что можно добавить сертификат в bios и свой модуль и потом свой загрузчик использовать. То есть или это таки дыра или shim как только загрузчик не проверяет далее, что загружает.

Secure boot защищает не от владельца устройства, а от буткитов.

То, что ты можешь руками (именно руками, так там проверки на то, чтобы значения изменялись именно интерактивно, программной возможности нет) добавить сертификат или вообще залить всю цепочку ключей — это штатная функциональность.

Это было бы bypass в том случае, если с твоей стороны никаких бы действий не потребовалось.

О, опять глупости про установку зависимостей для malware.

Ищи старые треды. Уже обсуждался тот факт, что никакой проблемы с кроссплатформенностью у malware для GNU/Linux нет.

Подскажите (по ссылкам не успел сходить :D ), а по сети (PXE) оно сможет загрузиться?

Ну, где один дырявый загрузчик, там и дргие. И вообще, невозможно вшить в чип один единственный набор подписей и надеяться, что весь софт будет правильно подписан. Или ключи утекут, или верификацию обойдут, или такая платформа никому кроме спецслужб и военных даром не нужна будет.