Брикование материнок с помощью systemd и rm -rf

Он дибил
/thread

Ну как бы логично всё сказали — если прошивка материнки позволяет безвозвратно уничтожить саму себя одной командой, то это материнка говно, а не команда.

Всё правильно ответил.

Я не большой фанат ситемд, но в этом он прав. Во-первых, «просто команда rm от рута» даже звучит смешно, во-вторых в нормальной реализации EFI снос всех переменных не должен приводить к фатальным последствиям. Усложнять жизнь всем из-за пары криворуких любителей посидеть под рутом и индусских писателей прошивок за еду — это не совсем правильное архитектурное решение.

Все правильно сказал.

Всё правильно сказал. Если какие-то производители кладут болт на стандарты и делают реализацию, как их левая пятка захочет, то при чем тут systemd (rm, etc.) не понятно.

что якобы позволяет забриковать некоторые материнки с хреновыми прошивками

Это не проблема для нормального брендового железа, покупатели китайского подвального хлама должны страдать.

Ну а тут чё не так-то?

Все правильно сделал.

MSI и Samsung давно подвальным хламом стали?

Давно.

У тебя причина и следствие перепутаны. Подвальным хламом называют то, где замечено лажание.

MSI и Samsung давно подвальным хламом стали?

Эм, а они когда-то были чем-то иным?

ИМХО, по-умолчанию такие вещи должны быть смонтированы как r/o (равно как и /boot). А Поцтеринг известный неадекват.

efivarfs

var, rw

Ну так все правильно же. А можно отсюда до самих настроек/параметров биоса дорваться?

systemd по умолчанию монтирует efivarfs как rw

Вполне нормальный дефолт.

что якобы позволяет забриковать некоторые материнки с хреновыми прошивками просто командой rm от рута

Проблема хреновых материнок.

Предложили монтировать по умолчанию как ro

И что? рут все равно имеет все привелегии чтобы примонтировать, а если чуваки нечаянно rm -rf от рута, то их уже ничто не спасет.

на что Поттеринг ответил что так делать не будет

А заодно добавил что ничто этим буратинам не мешает прописать ro в fstab. Но буратины вместо этого почему-то начали беситься и обзывать поттеринга плохими словами.

А вот давайте представим, что это был бы не культурный и воспитанный поттеринг, а сам линус. Вот приходят к нему буратины и говорят: ядро позволяет нам выстрелить себе в ногу, накати патч. Вот давайте представим, куда именно и в каких выражениях послал бы их линус?

Пользователь, сделавший rm -rf / от рута на скорую руку? Полностью согласен.

А вот давайте представим, что это был бы не культурный и воспитанный поттеринг, а сам линус.

ЕМНИП, когда вскрылось использование UB со стороны Adobe он начал гнать на разработчиков glibc.

Надо же, сколько на ЛОР дебилов.

До тебя здесь отписалось 15 (вроде) человек. Даже если все 15 - дебилы, это не так и много.

А ты померяй в процентах.

Благодаря Леннарту наконец-таки вернутся времена, когда малварь сможет убивать железо?

Сходил по ссылке, почитал аргументацию. Поцтеринг - идиотина. Те, кто в треде говорят, что он прав - такие же идиотины.

rm -rf никогда не должен приводить к порче железа. rm -rf / по приколу делало абсолютное большинство линуксоидов, перед сносом/переустановкой ОС. И это не должно сносить конфиги EFI или брикать железо. Независимо от того, какое именно железо.

«Если вас окружают идиоты...»

Никакие действия софта в рамках спецификаций не должны приводить к порче железа. И следить за этим должно железо.

Софт должен обеспечивать сохранность железа, если это не обеспечил вендор. И предсказуемое поведение тоже. Подробности популярно объяснит куча людей, начиная с Линуса.

На самом деле совсем не прав. Такое важное место надо держать в ro и только по мере надобности переводить в rw. Так же это просто security bug by design.

PS: вспомнилась древняя шутка из начала 90-х про virus уничтожающий hardware. Теперь это больше не шутка.

В таком случае тебе сначала следует добиться исчезновения /dev/mem и многочисленных файликов из /sys/bus/i2c, позволяющих писать в регистры i2c-устройств.

Мало ли, может я

по приколу

захочу записать в каждый файл в системе по мегабайту рандома?

Кстате, такую материнку ведь должны поменять по гарантии. Я сомневаюсь, что в гарантии написано «вот в эти файлы писать запрещено, иначе это негарантийный случай».

Лол, если у тебя есть рут — о каком секьюрити может идти речь? И опять же, сначала давай разберёмся с /dev/mem и /sys/bus/*/*/resource*, а уже потом будем трогать ефи.

I am deleting a number of insulting or completely off-topic messages now. Please find another place to troll, thank you.

я не знаю почему он раньше не закрыл обсуждение

и да, что значит

peanut gallery site

?

Лол, если у тебя есть рут

Мальчик, сделай на OpenBSD

sysctl kern.securelevel=2

ref: http://mdoc.su/o/securelevel (по умолчанию оно в 1)

https://en.wikipedia.org/wiki/Peanut_gallery

«Место, где собирается всякий сброд».

Это совсем другой уровень и он ортогонален любым настройкам юзерспейса. Ты точно так же можешь на линуксе включить SELinux. Нечего махать своим бсд и хамить.

оо, спасибо, буду знать

Нечего махать своим бсд и хамить.

осторожно, сейчас бисти включит модератора и начнет махать удалятором =)

На BSDе такой херни нет

Раскрою мысль подробнее: если бы подобная фича имелась бы в линуксе, она (я уверен) запрещала бы запись в подобные места. Но если в линуксе подобной фичи нет, это не вина Леннарта. Даже если бы systemd монтировал чувствительные места иерархии в ro, их всегда можно перемонтировать обратно в rw.

Я почти в 2 раза старше тебя. Тут нет никакого хамства. Со временем твоё борцунство убавится.

SELinux — это опциональная надстройка. Мы же говорим о proactive security.

Система обязана быть secure by default. И в данном случае я этого не наблюдаю.

Алсо, я в который раз убеждаюсь, что ты крайне предвзят в отношении сабжа и регулярно опускаешься до 4.2 и/или кривой логики, чтобы очернить сабж или его авторов. А ещё модератор.

осторожно, сейчас бисти включит модератора и начнет махать удалятором =)

бисти ещё никогда до такого не опускался (и не собирается).

если бы подобная фича имелась бы в линуксе

Это было бы очень классно. Хорошие идеи надо «воровать».

Даже если бы systemd монтировал чувствительные места иерархии в ro, их всегда можно перемонтировать обратно в rw.

Это уже дополнительное действие, подразумевающее злой умысел или намерение. По умолчанию же должна действовать «защита от дурака».

Я почти в 2 раза старше тебя.

Вне зависимости от твоего (и моего) возраста, переход на личности в таком виде — хамство.

Так вот, монтирование /sys/fs/firmware/efivars в ro никак не поможет системе быть secure by default, т. к. рут может что угодно перемонтировать в rw (а не-рут всё равно не имеет доступа на запись). Сабж никак не влияет на security.

Ты начал говорить про security, а теперь говоришь про защиту от дурака.

Защиту от дурака должны делать дистрибутивы, которые включают дураков в свою ЦА. И я ещё раз спрашиваю про /dev/mem.

Да, предвзят. Да не хочу. Я не хочу зависеть от левой пятки какого-то выскочки. Даже если он хороший программист. (Но плохой человек.)

Чем одно сильно отличается от другого?

бисти ещё никогда до такого не опускался (и не собирается).

очевидно же, что смайлик в конце являлся признаком того, что я утрирую

а вообще, по твоим словам, нужно купить mac. И все разногласия решатся автоматически.

Принципиально. Security работает против злого умысла оператора (или человека, выдающего себя за оператора), а защита от дурака работает против некомпетентного оператора.

А теперь представь, что баг этот проявляется не только на MSI бордах. Предположим, ради примера, что ещё на SuperMicro.

И теперь, твою коробочку в ДЦ порутили. И побрикали. И хоть стоимость железа на порядки ниже стоимости простоя ($10k vs. $1Mio), но необходимость физической замены железа только лишь повышает расходы во второй статье, в разы.

Ты начал говорить про security, а теперь говоришь про защиту от дурака.

не хочу влезать в ваш спор, я так мимокродилом хотел лишь сказать, что security - понятие очень растяжимое. Обычно если говорить о нем цельно, то это комплекс способов и мер защиты.

Дополнительно, какие бы гады не были разрабы материнки, клиент конечный пользователь всегда прав. И доставлять ему возможные неудобства под предлогом «азаза, это ваш асус-фигасус не следует штандартам!!» - плохая идея.

Кстати, я не особо внимательно читал issue, какой официальный отказ от использования ro по умолчанию?

У маков своя ниша. ;) Как десктоп, цены им нет.