Поттерингизация линукса. Новую напасть придумал

Была другая. Самые просветлённые ребята ещё во времена поверпкшных маков знали, что яббл мерзее майкрософта.

Кек. Это же нереализуемая дохлятина.

К сожалению очень многие считают себя почти-англичанами, получившими благодать демократии.

Мне сложно судить. В личных разговорах, они не очень распространяются о политических темах, кроме одной: «Всё прогнило, всё погрязло в коррупции». Да ездил туда не за тем, чтобы говорить о политике.

Одно время читал соц. сети (в основном, /r/india на Reddit, но уже давно Reddit не читаю вообще), там сложно было понять, что именно их волнует. К тому же, на Reddit на английском общается очень узкая прослойка общества, по которой судить о настроениях всего общества, всё равно как у нас по комментаторам с Хабра.

яббл мерзее майкрософта.

На святое посягаешь. Здесь очень много фанатов Microsoft, иногда кажется, что пора уже переименовать домен в microsoft.org.ru или windows.org.ru. ))

Давно ли Лёня без маски ходит, и где?

Таки шо, уже пора на фряху валить?

Майкрософт лучше

на святое посягаешь

Л - логика.

Патологический минимализьм (не использую фичу - ВЫКОРЧЕВАТЬ)?

Зачем? Просто нехер делать блоб прибитый гвоздями и всё. То что описано лёнькой можно сделать и без его великих мыслей по подписанному блобу загружаемому напрямую с уефи.

Удобно же, можно будет потом продавать ноуты с RO памятью куда вшит этот линукс и ничего иного этот ноут в принципе не загрузит, а ты просто накатывай софт в флатпаках. Как в мобилках. Дате два, ага. Или память не RO, но подпись не твоя личная к софту, а микрософтовая. Сам подписал свой образ? Ой какой молодец, осилит, получи и распишись в потере гарантии, тебе предоставлялся программно-аппаратный комплекс который ты нарушил своими шаловливыми.

В чем проблема?

Всё хорошо, у нас так точно. Но это всё приводит пока ещё более менее нормальный мир ПК к состоянию консолей и мобилок с планшетами. Где любой шаг в торону превращается в пердолинг или вовсе технически невозможно, а на ранних технологических подходах пердолинга не было. Я не говорю что надо остановить развитие, говорю что не надо огораживать на ровном месте то что не было огорожено и не ломать возможности которые сейчас просто есть.

Проблемы появятся, но когда они появятся будет уже поздно выяснять их причину и думать что делать. Вот тебе ПАК работай с ним и играй на нём пока он не станет кирпичём. Всё для твоей безопасности конечно, а то ведь каждый день к тебе приходят хакеры по ночам и втыкают в твой комп флешки пытаясь загрузится и такие шёпотом «ох зараза у него UKI мы бессильны все в машину» вылазят через окно обратно, твоё хлебало на подушке улыбается и камера оператора делает отлёт назад. Табличка на экране тв микрософт лове линукс, реклама закончилась, снова началась передача пусть говорят.

Ты йетого бять хочешь!!!! :D

ОНИ очень хотят, чтобы ты боялся - вместо того, чтобы для своей безопасности настроить секурбут.

Тем временем огороженные ноуты можно было продавать примерно с 2011 года, просто никто этого не делает, ибо незачем.

они не очень распространяются о политических темах, кроме одной: «Всё прогнило, всё погрязло в коррупции»

Чувствуется североатлантический формат 😁

Тебе в шапке говорят что хотят сделать блоб линуксовый, олёёёё :D Как в смартфончиках. Или вендоноутах с вшитым ключиком и вшитой виндой для этого ключика.

Тебе в шапке говорят что хотят сделать блоб линуксовый

Это ядро+initrd. Оно настолько блоб, насколько блоб ядро или initrd. Чего все так возбудились? Да, секурбут должен быть отключаемым и должна быть возможность загружать свои ключи, иначе будут злоупотребления. Но сабж тут при чем? Это ж просто более удобная упаковка всего в один файл, чтобы не было проблем с установкой загрузчика.

чтобы не было проблем с установкой загрузчика.

А они есть проблемы то? Если есть то лечить надо голову, а не жопку, проблемы с загрузчиком, чини загрузчик. То что уефу слишком дохера хочет под себя от системы проблемы уефы.

Это прибитие ядра к загрузчику, вместо избегание проблем с УЕФА с созданием заточенного под него блобика, родятся проблемы с тем что не везде initrd нужен в принципе, траблы с его банальной пересборкой в любой момент, траблы с заменой ядра в любой момент, траблы с передачей ядру параметров в любой момент и прочие «удобства». В сочетании с подписью это вообще дурдом.

Я выше написал, что в целом нет ничего плохого в предложении фундаментально, да и при желании можно сделать это и сейчас всё на коленке и да будет в некоторых случаях удобно. Проблема в том как всё это делается, вернее как хотят делать.

Я сам не раз говорил что было бы не плохо иметь некий не убиваемый образ, безопасный и всё такое. Но это должно быть гибким и меняемым, а не как в шапке подписанный блоб для загрузчика, смена которого может быть залочена вендором от слова совсем, а в лучшем случае выливаться в пердолнг если потребуется что-то поменять.

Смотреть надо не на то что делается, а на то с какой песпективой это делается, бубнить как я можно сколько угодно так же сколько угодно можно любое говно как ты оправдывать это всё наши слова, голосовать будут люди рублём, и проголосует большинство, которому глубоко срать на всё пока их не коснутся лично проблемы которые решить проще сменой железа чем пониманием того что подобных проблем от подобных «фич» буквально недавно не существовало в принципе.

Даже если лёнька завтра выкатит реализацию и её подхватят сразу же без раздумий редхат/убунту которые потащат за собой остальных реализация будет не плоха и будут по началу удобные инструменты по просто переборке блоба как хочется пользователю, но это будет пока. Пока люд не привыкнет, а потом можно уже и вендорлочить на новых устройствах, зато более крутых и производительных и подешевле даже можно продать ведь если что он сразу окирпичивается.

Игра в долгую, это нормально и активно практикуется что-бы когда «ой» случится, ойкать уже будет поздно ибо уже случилось.

Сабж даже стрёмен не по идее своей (базовая идея хорошая), а от того откуда она исходит. Если бы оно чисто для корпоративного сегмента где реально важна огородженость, то ладно. Но оно ведь не для этого.

Почитай бложик лёньки и пойми что он хочет сделать на самом деле, он там не скрывает ничего, в шапке описана капелька, в его блоге водопад ****ный. Всё огородить, всё универсиализировать, всё подписать, всё вендорлокнуть, пользователю нехер соваться вообще и всё в таком духе. Линукс == разовая порошивка для лёньки и малкософта идеал к которому они стремяться и стремят отсальных и рычаги для этого у них есть, длинные.

Он же в M$ теперь. Пусть в венде свои фатальные недостатки чинит лучше.

Чувствуется североатлантический формат 😁

Только в Индии это действительно так. Там вообще любой вопрос решается за деньги и только за деньги. От езды без прав до фальшивого свидетельства о смерти, как знают вкладчики очередного MMM одной из криптобирж - Quadriga.

Когда весь политический дискурс сводится к «всё прогнило, всё погрязло в коррупции» это именно агитпроповский формат, которым кстати не только США пользуются

Опиши модель угроз, а то ничего не понятно.

Модель угроз уже описана в самом блог-посте. Если кратко, Evil Maid. Пока вас нет дома, недоброжелатели извлекают зашифрованный SSD из ноутбука, снимают образ, заменяют на разделе /boot initrd на затрояненный (который делает все то же самое, но еще сливает им ключ) и ставят SSD обратно. Вы возвращаетесь и, не заметив никаких манипуляций, вводите пароль от зашифрованного диска. Итог - у взломщиков все ваши данные, а Secure Boot не помог, поскольку подлинность initrd не проверяется.

Если /boot зашифрован, а GRUB подписан (как в SUSE), то прием выше не сработает.

Тем временем огороженные ноуты можно было продавать примерно с 2011 года, просто никто этого не делает, ибо незачем.

Делает. Но к счастью очень редко пока что. Были уже замечены какие-то отдельные модели ноутов и HP и Lenovo и Dell в неотключаемом SB. Но на них вроде можно было поставить подписанный линукс.

Загрузка со внешнего устройства это вообще говоря дыра, а не решение. Также не ясно как EFI_Stub сам по себе без SB решает вопрос с evil maid?

Нафига решать проблему evil maid? Кто допустил физическую компрометацию - сам виноват

мой х1 карбон пищит после того как снимешь крышку.. но не в этом суть.
андроид прекрасно показал как это всё «для нашей же, таких бездарностей, безопасности» огораживается. мс судя по всему нацелились на рынок «хромбуков» и продвигая свои облака с подпиской сметут заодно большинство неугодных систем предоставив при этом доступ дружественным, то есть «озабоченным здоровьем пользователя» корпорациям. останется парочка премиум девелоперских систем, типа «пикселей» от гугла с какими нибудь сертификатами на год. всё, заканчиваю пить..

Загрузка со внешнего устройства это вообще говоря дыра, а не решение.

Почему? Если диск зашифрован и на нем вообще ничего нет в открытом виде?

Также не ясно как EFI_Stub сам по себе без SB решает вопрос с evil maid?

Почему без SB? Что мешает включить SB при наличии EFI_Stub?

Не, в эту сторону модель угроз прекрасно понятна, но ТС же ругается не из-за этого.

Если кратко, Evil Maid. Пока вас нет дома, недоброжелатели извлекают зашифрованный SSD из ноутбука,

Если на то пошло, недоброжелатели пока «вас нет дома» могут много чего сделать. Например, жучок воткнуть в ноут, который будет сливать ключи, независимо от есть или нет SB и подписана или нет initrd. Или не в ноут, а скрытую камеру поставить, которая будет снимать все что хозяин делает

Погоди, мне казалось ты как раз против SB топишь. Ибо Поцтеринг предлагает по сути упростить дистрибуцию подписанных ядер для режима с SB. Т.е. собрать в единый блоб EFI_Stub, kernel, initrd и всё это подписать один раз. Я правда не особо понимаю что они по итогу сделают с текущей структурой initrd. Зальют все драйверы для всего железа в initrd чтобы этот UKI мог грузится на любом компе? Хватит ли места в EFI разделе, для такого прона? А с конфигами лежащими в initrd что будут делать?

а в андройде разве не так?

там тоже свой образ загрузочной партиции состоящий из ядра, инитрд и строки запуска.

Ублюдский аргумент. Поди не купи «такие смартфоны и планшеты»

Так на куче устройств можно «отключить» SB, я бы сказал практически на всех, не для всех девайсов только производитель документирует как именно это сделать. Полностью отключить его(SB) на армовых устройствах неможно, но можно перевести в режим, когда оно загрузится с предупреждением, что ОС недоверенная. Из нюансов - после, даже при установке доверенной ОС, система будет считаться скомпрометированной. Но это и логично.

Чтобы злоумышленник не загрузился на твою машину с флешки и не прошил микрокод в проце например(тут слава богу уже всё подписано, так что хрен им, но лазейки всё время находятся, было бы желание), пока ты в кафешке помогаешь поднять упавшую ручку милой официантке.

Понятно, что для большинства человеков, это не кейс, даже диск то шифрует не только лишь не каждый, но определённый сегмент устройств, должен такие механизмы иметь, а делать их в качестве отдельного устройства на плате неэффективно, т.к. расковырять кристал, гораздо сложнее чем припаяться к плате.

Другое дело, что эту штуку можно ещё использовать для вендор-лок-ин, но не, это не для этого делали.

Так DRM уже завозят потихонечку, другое дело, что корень доверия пока разрешают иметь софтверный.

Да, было дело, приобретал пластиковый кейс с этикеткой и тремя dvd debian sarge

Плата не за код, заметь, за материал, оформление и почтовую пересылку.

В современных реалиях какой в этом смысл?

Только если инет поломают, санкционеры окаянные) но, если-б было нужно очень - давно-бы рубанули, думается…

Но, это уже оффтоп(

Красноглазые уже не могут запускать апстрим софт, если в ядре отключен cgroups

С вебом отлично сработало же.

Та пофиг, людям надо ехать, а не шашечки.

Так на куче устройств можно «отключить» SB, я бы сказал практически на всех, не для всех девайсов только производитель документирует как именно это сделать.

Можно (пока) на x86-х компьютерах. Но надо и на перспективу смотреть. С таким подходом, однажды скажут: а зачем отключать, если «все» уже умеют в SB, кроме 3.5 гиков, ради которых рынок не должен напрягаться.

Полностью отключить его(SB) на армовых устройствах неможно, но можно перевести в режим, когда оно загрузится с предупреждением, что ОС недоверенная.

Это называется не отключить, и там не просто предупреждение,а часть функционала в принципе будет (должна быть) недоступной.

Из нюансов - после, даже при установке доверенной ОС, система будет считаться скомпрометированной. Но это и логично.

В чем логично? И перед кем скомпрометированный самое интересное?

В чем логично? И перед кем скомпрометированный самое интересное?

Ну допустим, ты оставил свой телефон в баре. Через пару часов пришёл и забрал его. Если не считать систему скомпрометированной после загрузки из недоверенной системы, то как ты можешь быть уверен, что не имело место быть следующая последовательность действий:

1. Твою систему сдампили
2. Поставили другой загрузчик
3. Поставили другой TEE
4. Накатили обратно твою систему
5. Перенастроили загрузчик

Можно ли после этого использовать KeyMaster для хранения твоих отпечатков пальцев или токенов платёжных карт?

Заранее забегу с ответом - будь я гуглом, я бы не стал своей репутацией отвечать, что можно. Да даже будь я asus - всё равно не стал бы.

Хочете экспериментировать - экспериментируйте, но только мы потом не дадим зуб, что ваши платёжные карты не сбегут из гугл пей.

Можно ли после этого использовать KeyMaster для хранения твоих отпечатков пальцев или токенов платёжных карт?

Я бы сказал, что смартфон вообще не для этого и то, что из него слепили этакое персональное хранилище конфиденциальной личной инфы ничего хорошего не вижу.

Но кроме того ряд фирм давно уже продают устройства для разных полицейских служб в мире, которые чего только не делают с телефоном, и вообще вариантов скомпрометировать твои карты и отпечатки пальцев очень много.

Пока вас нет дома, недоброжелатели извлекают зашифрованный SSD из ноутбука,

Который надо найти, я свои-то старые не всегда могу сходу обнаружить. :)

снимают образ, заменяют на разделе /boot initrd на затрояненный

Ещё и пропылесосить за собой...

Ну, да, троян 100500-го уровня. :)

Доипусь ка до заголовка. Поскольку поттеринг само по себе слово-глагол, то называть поттерингизация это масленизация масла. Гораздо веселей (и обидней для субъекта) было бы назвать сам процесс изобретения уже изобретенного с его ухудшением - поттеринг. Ну а дальше распространить как мем, по типу слова «гугление», чтобы сама фамилия стала нарицательной и обозначала действие. Особенно в англоязычных интернетах. Удивлен что это до сих пор не стало мемом.

-Leonard Pottering (Его представляют)
-Yes, we know. He always did it.

могут не покупать такие компы.

Юзеры которые не хотят использовать ведройд стучащий в гугел или иос стучащий в яббло, тоже могут не покупать такие телефоны. Будут отдельные оси для тех кто не хочет и отдельные приложения под эти оси. Рыночек ведь все порешает, не так ли? WAIT OH SHI~

Доколебусь. Идея - прекрасная и, наверняка, работает. Уточню, это называется - глагол.

He always did it >>> He always does it Не перестал же?

to Poettering - make simple thing complex; multiply complex things to insanity; noun. mental illness

решать проблему evil maid?

Что-то мне подсказывает, что люди способные так незаметно проникнуть в помещение, могут либо поставить скрытую камеру направленную на ноут, либо вовсе похитить самого юзера и применить терморектальный криптоанализ. А вот если какое то нововведение прикрывается решением шарообразной проблемы в вакууме, то сделано оно было для чего угодно, но не для этого.

Вот именно, как то так. Я бы еще добавил

To re-invent something what is already invented, while making it worse at the same time.

Направил на рассмотрение в oxford.

Я думаю тут нужно распространять в виде мема, простая статья эффекта не даст. Ну что то типа картинка велосипед с квадратными колесами - <username> just poetterred the bicycle и все в таком духе.

Не, ну он же бесконечно далек от принципа UNIX, некая дислексия от простого и наглядного должна происходить. Типа, колесо - шар с хомяками, внутри которого эбонитовая палочка, генерящая статический заряд для освещения хода колеса. Силлогистический эвфемизм нужен.

Поскольку поттеринг само по себе слово-глагол, то называть поттерингизация это масленизация масла. Гораздо веселей (и обидней для субъекта) было бы назвать сам процесс изобретения уже изобретенного с его ухудшением - поттеринг. Ну а дальше распространить как мем, по типу слова «гугление», чтобы сама фамилия стала нарицательной и обозначала действие.

Скажите, а что делали Герман Геринг, Витус Беринг, Вольф Мессинг, Гуд Морнинг, Фунт Стерлинг и Анти Дюринг?

Только в Китае поступили мудро и с самого начала всё сделали правильно.

Это где все сидят в чебурашке и есть социальный рейтинг и геноцид? Я еще не видел более циничного способа оправдывать цензуру и тоталитаризм - противопоставлять этому то, что частные ресурсы публикуют неприятное и это можно просто не читать.

геноцид?

Выдуманный «геноцид», который «появился» в западных СМИ как раз к началу торговой войны США с Китаем. И у которого нет ни единого доказательства, кроме измышлений западных «неполживых» журналистов, и каких-то невнятных фотографий и видео, на которых якобы изображены «жертвы концлагерей, которые вышли из них, чтобы встретиться с семьями».

Я еще не видел более циничного способа оправдывать цензуру и тоталитаризм

Где нет цензуры и тоталитаризма? События 2020 и 2022 годов недостаточно ярко показали, что цензура и тоталитаризм везде?

частные ресурсы публикуют неприятное и это можно просто не читать

Частные ресурсы, которые уже открыто цензурируются ФБР. То есть, это было очевидно и раньше, что они все под колпаком, просто в этом году уже открыто обмолвились, что приходят люди из ФБР и открыто говорят, что можно писать, а что - нельзя.

И это было бы ещё полбеды. А когда «частный ресурс» контролирует 60-90% мировых потоков информации, то как может не волновать, что он продвигает строго определенную повестку и фильтрует всё, что ей противоречит.

Хорошая промывка мозгов - это когда человек даже не подозревает, что ему промыли мозг, хехехе