Как отключить kernel_lockdown без выключения SecureBoot?

Тег opensuse добавь, чтобы скастовать тех кто шарит именно в твоём дистре.

Теперь уже никак наверное. При включенном secure boot, ядро будет включать lockdown источник 1 и для упрощения поиска

Мда, странные какие-то товарищи… Ну ладно MSR и EC еще экзотика, но отвал гибернации затронет заметное количество пользователей.

Чем грозит отключение SecureBoot? Понятно, что можно подменить ядро и модули, но для этого нужен root. Если хацкер получил root, то уже и так все совсем плохо…

Чем грозит отключение SecureBoot?

теоритически любой и каждый сможет что-то угодно загрузить на устройстве, а дальше

хацкер получил root … все совсем плохо…

А с SecureBoot разве нет?

Вставляешь флешку, загружаешься с нее, получаешь полный доступ к системному диску. Можно еще предварительно зайти в uefi и отключить SecureBoot, если хочется чего-нибудь эдакого загрузить с флешки.

Т.е. SecureBoot имеет смысл исключительно если стоит пароль на uefi и выбор загрузочного диска отключен? А ну да, еще системник был залит в бетонный кубик, чтобы было сложно извлечь диск для модификации на другом ПК.

Системный диск можно зашифровать, а ключом для расшифровки будут служить уникальные для машины регистры tpm, которые, среди прочего могут зависеть от версии и настроек BIOS, командной строки ядра и т.п.

Ну он вроде должен помогать против Evil Maid. На десктопе можно забить. Если ноутбук, то часть секурити можно сохранить поставив пароль на UEFI ( можно ещё диск шифрануть или только хомяка, вроде в установщике суси есть такие возможности) . AMI биосы ещё умеют ( не все) ставить пароль на меню выбора устройств. В принципе, если ты не важная шишка, то можешь его вырубать

SecureBoot не позволяет грузить неподписанные ядра/загрузчики. Не то, чтобы мне были случаи когда SecureBoot свою функцию не выполняет…

Сам факт что, «бинарник» подписан для SecureBoot не гарантирует его безопасность. Ключи утекают, сайты вендоров и поставщиков ПО взламывают. Программы и драйверы EFI могут иметь бекдоры, баги.

Можно еще предварительно зайти в uefi и отключить SecureBoot, если хочется чего-нибудь эдакого загрузить с флешки.

Пока «да».

На «биос» рекомендую ставить пароль (тоже не панацея). SecureBoot со слов более погруженных в тему своего рода «джентельменское соглашение», а не «железобетонный вал».

SecureBoot имеет смысл исключительно если стоит пароль на uefi и выбор загрузочного диска отключен?

Думаю «да».

Физический доступ позволяет очень многое, если не всё.

Безопасность достигается системой мер. Но это лучше у профильных спецов спрашивать.

Тег opensuse добавь, чтобы скастовать тех кто шарит именно в твоём дистре.

Сюся чота совсем не туда гребет.

Да весь линукс куда-то не туда гребёт, и уже довольно давно. Так что на фоне этого куда там подруливает зюзя — особой роли не играет. Популяризация не идёт опенсорцу на пользу, как оказалось.

Да весь линукс куда-то не туда гребёт

Тут не поспоришь, но бсди тоже не панацея.

но бсди тоже не панацея.

Не могу сказать за все бзди, но фря скатывается медленнее линукса и на ближайшие лет пять точно хватит, а там меня, надеюсь, настигнет деменция и будет уже не до этих ваших кампуктеров. ☺

Ну да, хорошо бы не дожить.