защищает ли эльбрус от heartbleed?

В эльбрусе есть специальный защищённый режим, в котором проверяется корректность указателя. Но он уменьшает производительность и часто требует модификации исходников, т.к. сишники любят жонглировать указателями на грани фола. Поэтому выключен по умолчанию.

Вот как раз про защищённый режим https://youtu.be/GQh_Hw2XpNk?t=1908

Проще накатить пропатченную версию

Вопрос не конкретно про heartbleed, а вообще про уязвимости в opensource, из которых многие связаны с возможностями Си по чтению произвольного адреса памяти. Вот я и подумал - а вдруг они всё уже знали, запустив OpenSSL на Эльбрусе? Или знать не знали, но эксплоит просто не сработал бы?

В дистрибутиве старая OpenSSL потому что не обновили до новой, потому что старая ещё поддерживалась апстримом. Старая не была подвержена heartbleed потому что баг добавили сильно позже релиза старой версии. а не от какого-то сакрального знания о будущих уязвимостях.

защищённый режим, в котором проверяется корректность указателя.

В незащищенном режиме он все равно не разрешает над указателями издеваться, у него на аппаратном уровне типы разделены на данные и указатели и, допустим, указатель можно сложить или еще что то сделать с преобразованием в данные, а вот обратно дату в указатель превратить уже нельзя. В общем как в языковых машинах только упрощено до двух типов.
Поэтому там скорее не «выключен по умолчанию» а включен по умолчанию режим совместимости где то на уровне софта.

Плевать на производительность, им надо цену снижать. И выходить на мировой рынок, я имею в виду, Амиги до сих пор покупают же. А производится в Китае? Тогда все технологии уже у китайцев, хм. Это не очень, но хоть будет шанс купить у китайцев когда они себе скопируют. Наверно нелегально протаскивать через границу придётся, там пошлины повышают уже.

дату в указатель превратить уже нельзя

Только если дата в формате вроде " 12 Jun 2017". А если дата - целое число , то ее можно преобразовать в указатель.

Достоверно у тебя узнать это не получится.

Купить Эльбрус невозможно, следовательно никаких независимых исследований не было.

защищает ли эльбрус от heartbleed?

Скорей, наоборот. Во всяком случае, если на Эльбрус попереться в предынфарктном состоянии, то будет только хуже!

А какой практический посыл у этого? Эльбрусов в свободной продаже считай что нет.

Есть.

Да почему невозможно? У меня на две конторы три эльбруса есть. Один в серверном исполнении, и два в десктопном.

а не от какого-то сакрального знания о будущих уязвимостях.

А у них в целом какая политика обновления - брать всё самое старое, пока оно поддерживается? Я почему спрашиваю: если поставить себя на место какой-то конторы, которая очень умна, то она найдёт heartbleed, но не поставит его себе и никому про него не скажет. Если необновление OpenSSL - это стандартная для них политика брать старое, то это одно. Если же оно является аномальным, то они могли знать.

А какой практический посыл у этого? Эльбрусов в свободной продаже считай что нет.

Есть.
Да почему невозможно?

Ссылку на магазин в студию, где я смогу зайти и купить. Или заказать, мне безразлично.

У меня на две конторы три эльбруса есть. Один в серверном исполнении, и два в десктопном.

Я тоже знаю конторы, где они есть. Дальше что? Мне от этого Эльбрус никто не продаст, от того что «где-то они есть».

если поставить себя на место какой-то конторы, которая очень умна, то она найдёт heartbleed, но не поставит его себе и никому про него не скажет

Зависит от компании, Positive Technologies вот говорит, например.

Какая модель угроз? Что и от кого защищаем, что важно думать о том, что некая фирма может обнаружить 0day и избегать его для себя? Подобное делают трёхбуквенные конторы вроде ЦРУ, ФСБ и АНБ. Но они не будут тратить эти драгоценные уязвимости на обычных людей, а использовать когда польза взлома какой-либо цели перевесит риск раскрытия 0day, плюс независимые эксперты могут наткнуться на эти уязвимости самостоятельно, вроде тех же Positive Technologies, Purism, Google Project Zero, и т.д.

Какая модель угроз? Что и от кого защищаем, что важно думать о том, что некая фирма может обнаружить 0day и избегать его для себя?

Я пытаюсь понять (и можно кидать в меня тапками), насколько вообще правильно использовать линукс в серьёзных местах. Я считаю, что нельзя. Но моя точка зрения ничем пока что не подкреплена. Честно сказать, я не думаю, что на форуме мне кто-то что-то скажет, да и вообще, что мне кто-то что-то скажет. Поэтому приходится спекулировать.

Я думаю, что очень сложно отличить две ситуации:

а) организация АБЦ взяла американский линукс, прошерстила его тщательно, нашла уязвимости, «случайно» поставила не уязвимую версию, а соседнюю и тем не раскрыла ни того, что она знает об уязвимости, ни того, что она действительно крута.

б) организация АБЦ взяла американский линукс, сгенерировала море липовой отчётности о проверках уязвимостей, деньги попилила, случайно не попала на уязвимость (в нашем случае heartbleed, Но это не важно), наклеила красивый сертификат и в какой-то прекрасный момент одновременно сломаются все компьютеры и прилетят томагавки.

Конечно, я понимаю, что глупо об этом спрашивать, но вдруг ответ очевиден и всем известен?

Собственно говоря, даже если организация АБЦ тщательно проверила и нашла много уязвимостей, из этого не следует, что организация ДЕФ не заложила ещё два раза по стольку.

Я пытаюсь понять (и можно кидать в меня тапками), насколько вообще правильно использовать линукс в серьёзных местах.

как будто есть что-то лучше

пилил бы уж лучше Яр

Ну это вообще-то два разных вопроса - безопасен ли линукс и есть ли что-то лучше. Может, надо голосом серьёзную информацию передавать или голубиной почтой.

Если целое число можно превратить в указатель, то что же это за защита?

Обращение по указателям проверяется. Если в результате преобразования получился кривой указатель, аппаратная зашита не даст выполнить операцию с ним.

Линукс общий, а не американский.

С точки зрения grsecurity mainline линукс дыряв, и тут grsecurity прав, проблема в том, что недырявый линукс можно получить только став клиентом grsecurity.

Но для обычного использования безопасности mainline linux достаточно, grsecurity нужен если задача защищаться от целевых атак хакерских групп или агенств, т.к. он устойчивее против 0day эксплоитов.

Издаётся в США, значит американский. Теоретически те, кто просматривает код перед коммитом, отвечают за безопасность, но на практике закладывать вещи, подобные heartbleed, может любой автор. Т.е. ситуация довольно стрёмная и я не знаю, как тут grsecurity может помочь. А если команда grsecurity, к примеру, работает на некую трёхбуквенную организацию?

Спасибо, понял.

Тогда не надо пользоваться компьютерами. В том числе другими компьютерами, типа телефонов, касс, турникетов и т.д.

А если пользоваться компьютерами необходимо то тогда нужно ответить на вопросы: что и от кого защищаем? И на основе ответов на эти вопросы уже делать защиту.

Идеальной безопасности нет. С практической точки зрения обычный человек может не беспокоиться о трёхбуквенных организациях и целевых атаках если будет хотя бы хранить пароли от сайтов в базе паролей, которая защищена адекватным паролем/парольной фразой и не открывать вложения в почте.

С точки зрения Линуса grsecurity — мудачьё с PoC заплатками. Странное дело, многие с ним согласны.

Да, но люди стараются причёсывать и переносить наработки из grsecurity в mainline, например из того, что могу вспомнить:
- latent entropy GCC plugin
- structleak GCC plugin
- stackleak GCC plugin (в 4.20)
- hardened usercopy
- sysctl ручки protected_symlinks, protected_hardlinks, protected_fifos, protected_regular
- memory poisoning with zeroes

Есть ещё часть патчей, которые пока находятся в репозитории linux-hardened, но в будущем возможно некоторые из них тоже включат в mainline.

Ситуации изначально расписаны некорректно, так как аудита не было. Взяли что попало и портанули на эльбрус.

Судя по видео на yt (ссылку уже дали) - теоретически да, практически - нет. Потому что не осилят OpenSSL и использующий его софт портировать на строгие правила защищённого режима.

Вопрос не конкретно про heartbleed, а вообще про уязвимости в opensource, из которых многие связаны с возможностями Си по чтению произвольного адреса памяти.

А как обстоят дела с чтением памяти 64 битного хоста и других гостевых виртуалок через Spectre подобные дыры проца и не только из 32 битного гостя i386/i486 (не PAE)?

Может быть, надо поискать 8 битных гостей, тогда у них с произвольностью указателя будет совсем плохо?

Амиги до сих пор покупают же

Нет, не покупают. Полтора бородатых задрота это не «покупают».

С практической точки зрения обычный человек может не беспокоиться о трёхбуквенных организациях и целевых атаках если будет хотя бы хранить пароли от сайтов в базе паролей, которая защищена адекватным паролем/парольной фразой и не открывать вложения в почте.

Какая связь между 3-буквенными и хранением паролей в кип ass ?

Если текут шины типа SATA и клавиатурно-ключевые по ПЭМИ во время сохранения файла паролей, если виртуализирующие трояны сканят весь твой RAM и звонят к себе домой с отчетами по твоим криптокючам, когда прошивка твоего диска сама как хороший троян, да еще внедряет в бут сектор троян со свеженьким микрокодом для твоего CPU, хотя ты отключил все firmware блобы и наверняка еще многое другое.

как прекрасен лор весной !

обычный человек

den73 - это не обычный человек. Если ты обычный, зачем лезешь в высокие сферы?

У тебя есть эльбрус?

Нет, хотя я взял след

Просто длинные майские праздники же. Врачи бухают, ха пациентами не следят, вот он и вылез в интернеты.

Так чел правильно обрисовал состояние современных компьютеров. Тебе извилин, что ли, не хватает это понять?

Стиль изложения копирует стиль невполне здоровых людей.

Так чел правильно обрисовал состояние современных компьютеров. Тебе извилин, что ли, не хватает это понять?

Тут пишут, что бывают исключения из правил:

https://secure.raptorcs.com/content/base/faq.html

Наверно врут, как обычно? Обыдна понимаешь, потратить $7К и очередной раз убедиться, что тебя опять наипали закладковнедрятели.

Понравилось замечание на форуме, что если АНБ публично заявляет, что приложила руку к созданию OpenBSD, значит можно сделать вывод, что не приложила, просто хочет отпугнуть потенциальных пользователей нежелательного софта.

К примеру, желательный дистр Tails валяется на каждом углу интернета, а нежалательные типа Mempo, ALT Castle или Pentoo 2015 не ссыщешь, все зачистили, торентов даже не найти, чтобы хотябы поставить в долгую закачку.

Аналогично, как если бы ФСБ заявило, что не может читать телеграммы в телеграмме, чтобы наивные хомяки сотый раз поверили и начали писать в личку всякую непотребщину.

Когда выдишь в СМИ паблик сообщение от спецслужб относительно безопасности того или иного устройства, то нужно понимать его с точностью до наоборот :)

Да с тобой-то ещё по Яру всё было понятно, врачи уже давно рукой махнули.

Ага, это ещё в «17 мгновениях весны» было - кафе, запрещённое для посещения сотрудникам гестапо. Или что-то в этом роде. Не нагуглил ключевых слов.