Intel TXT

для секурности накати gentoo hardened или в таком духе

Не в том дело, я сейчас хочу именно понять, что ЭТО такое.

в гугле забанили?

https://ru.wikipedia.org/wiki/Доверенная_загрузка_(аппаратные_средства)

Я правильно понимаю, что эта сущность фиксирует хардварный/софтварный состав системы и впредь позволяет грузить только такой набор, для изменения требуется перенастройка?

Представляет собой скорее не средство доверенной загрузки, а защиту ресурсов любых отдельных приложений на аппаратном уровне в целом.

Тут скорее оно не дает одному процессу залезть в адресное пространство другого. У меня тоже есть оно (Core i5-2500), полезная штука, включил поддержку в ядре. Может защитить от некоторых сплойтов.

https://ru.wikipedia.org/wiki/Доверенная_загрузка_(аппаратные_средства)#Intel...

intel
безопасность

взаимоисключающие параграфы

Что это такое?

Троян от АНБ, естественно.

Зачем оно нужно?

Для внедрения зонда.

Грепнул конфиг ядра на предмет TXT:

CONFIG_HAVE_INTEL_TXT=y
# CONFIG_INTEL_TXT is not set

То есть, в принципе, это - инструментарий, который можно использовать для Доверенной загрузки, а можно просто включить и он несколько укрепит систему?

И ещё - от чего это может защитить? Если она изолирует пространство памяти процессов, то ясно, что один процесс к другому не влезет. А что насчёт виртуалок? О них было много сказано, но мне не ясно - она защищает от залезания из Хоста в Виртуалку или наоборот? И будет ли она защищать (адресное пространство, блаблабла) без tboot? Известно, что tboot нужен как раз для верификации всего софта/железа, а без него будет ли эта сущность выполнять свою второстепенную функцию?

На счет «доверенной» загрузки не знаю, но эта штука вроде изолирует процессы друг от друга.

Насколько я понимаю, Intel Trusted Execution Technology изолирует отдельные процессы в полностью обособленной среде исполнения (Trusted Platform Module). Это может применяться для DRM, защиты данных пользователя (от других обывателей, но не от АНБ) и т.п.

не дает одному процессу залезть в адресное пространство другого

ядро так работает и без этой фигни. зачем она нужна?

Сплойты же есть. А тут защита на аппаратном уровне.

Я тоже что-то такое слышал, но, блин: http://i.imgur.com/ceICJPt.png

Intel Trusted Execution Technology (Intel TXT, formerly known as LaGrande Technology) is the name of a computer hardware technology whose primary goals are:


    Attestation of the authenticity of a platform and its operating system.


    Assuring that an authentic operating system starts in a trusted environment, which can then be considered trusted.


    Providing of a trusted operating system with additional security capabilities not available to an unproven one.



Intel TXT uses a Trusted Platform Module (TPM) and cryptographic techniques to provide measurements of software and platform components so that system software as well as local and remote management applications may use those measurements to make trust decisions. This technology is based on an industry initiative by the Trusted Computing Group (TCG) to promote safer computing. It defends against software-based attacks aimed at stealing sensitive information by corrupting system and/or BIOS code, or modifying the platform's configuration.

Здесь исключительно о проверке целостности/доверенности компонентов. Как будто речь о двух разных технологиях.

защищёный режим x86 — тоже аппаратный. так зачем нужен этот txt?

А ты задайся вопросом: как именно будет проверяться аутентичность операционной системы и что такое «trusted environment»? А ещё почитай, что такое Trusted Platform Module.

Я ознакомился. У меня такие ощущения - все упирается в хардварный чип, который считается доверенным, и, начиная с него, проводится проверка последовательно всего по ходу загрузки системы.

Короче - если я эту вещь включу в БИОС, но не буду настраивать (tboot и все такое), то это принесет какой-нибудь профит?

Слово «trusted» здесь означает, что ты доверяешь АНБ.

Конечная цель подобных говнотехнологий - запретить софт без троянов АНБ, в том числе весь самодельный.

Короче - если я эту вещь включу в БИОС, но не буду настраивать (tboot и все такое), то это принесет какой-нибудь профит?

Я думаю, что нет. Если у тебя ни одна программа не подписана и не умеет с этим работать, откуда взяться профиту? Но не уверен.

Я ещё-ещё почитал. Суть там сугубо в подписях и в том, чтобы никто не прокрался в виртуалку. В моём юзкейсе - бесполезно.

Intel vPro, ASrock MB, Xeon-ны, 5520 продолжать, ? А, оно надо?

Неочевидно, что бы это значило.

Конечно, очевидно, что CONFIG_HAVE_INTEL_TXT=y

https://software.intel.com/en-us/blogs/2012/09/25/how-to-enable-an-intel-trus...

https://software.intel.com/en-us/articles/intel-trusted-execution-technology-...