История изменений

Да мы здесь все свои, в ФСБ/ГРУ донос на вас не напишем, можете не оправдываться.

С этим сразу в Спортлото. Даже не обсуждается. Там разберутся кто тут свой, кто чужой. =)))

По остальному комменту. Понимаете, Вы пишите в общем правильные слова и в правильной последовательности даже. Но получается всё равно фигня. Что неправильно? Да всё неправильно.

У Вас нет одной простой вещи. У Вас нет корня доверия и нет охвата всей системы. Всё (вообще всё), что не прибито гвоздями к полу, читай – что не прошито в железо и может быть своровано, искажено, подменено… Всё это ни как не проходит. Т.е., ключи, на основании которых Вы что-то генерируете, должны быть вшиты в железо. Алгоритмы, которыми Вы что-то генерируете, тоже. Не зря вот уже лет как 10 в любой публично используемый проц, вшиты инструкции AES-NI. Ключи могут быть разные, а алгоритм ищите по cat /proc/cpuinfo. Тот «aes», который там увидите, это оно и есть.

Дальше. С ключами-алгоритмами разобрались, они только отчасти вшиты в систему. Ну и очевидно что прошитые ключи, от которых «пляшем», не должны позволять своё изменение и, как следствие, подмену.

Теперь дальше мы говорим о генерации подписи и подписывании системы. Ядро подписали? Очешуенно. Но что делать с интеллектуальными контроллерами той же сети или RAID-массивов, да с тем же UEFI, например? «Интеллектуальность» устройств подразумевает прошивку. Фирмварь. Вы её подписали? Нет. Ну и с чего Вы взяли что сетевой или RAID-контроллер не будет соловьём на всю Сеть свистеть-заливаться?

Т.е., на основании ключей и алгоритмов из шага выше, мы должны ещё и фирмварь подписывать, которую сами и собрали из исходников и, понятное дело, верифицировали как положено.

Поэтому, Ваш коммент:

А я когда компилирую Gentoo, даже обычные пакеты не говорю уже о ядре, от локальной сети отключаюсь не то что от Интернета.

Заставил меня задуматься о том, что мне делать – то ли плакать от восхищения, то ли орать от хохота, то ли просто застыть в немом офигении… =))) Гениально, конечно, но старина Столлман вообще-то, прав на все 146%, говоря о закрытости решений.

Ну и да, тут народ задумался о том, чтобы UEFI ещё и на ARM взгромоздить, так что скоро будет так «весело», что просто ухихикаться. Шутка про то, что с Вами говорит холодильник, автоответчик в отпуске, уже перестала быть шуткой (/me с опаской покосился на холодильник и стиральную машину с мультиваркой, т.к. почти вся бытовая техника, исключая унитаз уже имеет «доступ в Интернет»).

Ну а так-то, если честно, то есть только один путь реализовать действительно защищённую сеть. Это организовать два контура. Один – подключён к Сети и более-менее публичен, второй, позволяющий циркулировать информации, стоимость которой оправдывает средства по её защите. Больше вариантов нет. IDS/IPD/IDE, это всё сразу лесом. Ни кто не гарантирует их адекватной работы, ни кто не гарантирует своевременного распространения правил, на основе которых они работают, ни кто не гарантирует их срабатывания в принципе. В общем, ни кто и ничего не гарантирует. Про корень доверия и доверенность всей системы в целом, я вообще молчу.

Ну вот, как-то вот так.

UPD. Про TPM, оно же Fritz-чип почитайте, для хранения ключей, по идее и нужно. Но не только для этого. В общем, туда. Правда и TPM не спасает, но это уже другая история.

UPD2. И да, алгоритмы, которые должны быть в систему вшиты, должны быть Стрибог, Магма, Кузнечик. Никакого AES. В принципе. Приговор – курить приснопамятное 519-е постановления до полного просветления. =)))

Да мы здесь все свои, в ФСБ/ГРУ донос на вас не напишем, можете не оправдываться.

С этим сразу в Спортлото. Даже не обсуждается. Там разберутся кто тут свой, кто чужой. =)))

По остальному комменту. Понимаете, Вы пишите в общем правильные слова и в правильной последовательности даже. Но получается всё равно фигня. Что неправильно? Да всё неправильно.

У Вас нет одной простой вещи. У Вас нет корня доверия и нет охвата всей системы. Всё (вообще всё), что не прибито гвоздями к полу, читай – что не прошито в железо и может быть своровано, искажено, подменено… Всё это ни как не проходит. Т.е., ключи, на основании которых Вы что-то генерируете, должны быть вшиты в железо. Алгоритмы, которыми Вы что-то генерируете, тоже. Не зря вот уже лет как 10 в любой публично используемый проц, вшиты инструкции AES-NI. Ключи могут быть разные, а алгоритм ищите по cat /proc/cpuinfo. Тот «aes», который там увидите, это оно и есть.

Дальше. С ключами-алгоритмами разобрались, они только отчасти вшиты в систему. Ну и очевидно что прошитые ключи, от которых «пляшем», не должны позволять своё изменение и, как следствие, подмену.

Теперь дальше мы говорим о генерации подписи и подписывании системы. Ядро подписали? Очешуенно. Но что делать с интеллектуальными контроллерами той же сети или RAID-массивов, да с тем же UEFI, например? «Интеллектуальность» устройств подразумевает прошивку. Фирмварь. Вы её подписали? Нет. Ну и с чего Вы взяли что сетевой или RAID-контроллер не будет соловьём на всю Сеть свистеть-заливаться?

Т.е., на основании ключей и алгоритмов из шага выше, мы должны ещё и фирмварь подписывать, которую сами и собрали из исходников и, понятное дело, верифицировали как положено.

Поэтому, Ваш коммент:

А я когда компилирую Gentoo, даже обычные пакеты не говорю уже о ядре, от локальной сети отключаюсь не то что от Интернета.

Заставил меня задуматься о том, что мне делать – то ли плакать от восхищения, то ли орать от хохота, то ли просто застыть в немом офигении… =))) Гениально, конечно, но старина Столлман вообще-то, прав на все 146%, говоря о закрытости решений.

Ну и да, тут народ задумался о том, чтобы UEFI ещё и на ARM взгромоздить, так что скоро будет так «весело», что просто ухихикаться. Шутка про то, что с Вами говорит холодильник, автоответчик в отпуске, уже перестала быть шуткой (/me с опаской покосился на холодильник и стиральную машину с мультиваркой, т.к. почти вся бытовая техника, исключая унитаз уже имеет «доступ в Интернет»).

Ну а так-то, если честно, то есть только один путь реализовать действительно защищённую сеть. Это организовать два контура. Один – подключён к Сети и более-менее публичен, второй, позволяющий циркулировать информации, стоимость которой оправдывает средства по её защите. Больше вариантов нет. IDS/IPD/IDE, это всё сразу лесом. Ни кто не гарантирует их адекватной работы, ни кто не гарантирует своевременного распространения правил, на основе которых они работают, ни кто не гарантирует их срабатывания в принципе. В общем, ни кто и ничего не гарантирует. Про корень доверия и доверенность всей системы в целом, я вообще молчу.

Ну вот, как-то вот так.

UPS. Про TPM, оно же Fritz-чип почитайте, для хранения ключей, по идее и нужно. Но не только для этого. В общем, туда. Правда и TPM не спасает, но это уже другая история.

Да мы здесь все свои, в ФСБ/ГРУ донос на вас не напишем, можете не оправдываться.

С этим сразу в Спортлото. Даже не обсуждается. Там разберутся кто тут свой, кто чужой. =)))

По остальному комменту. Понимаете, Вы пишите в общем правильные слова и в правильной последовательности даже. Но получается всё равно фигня. Что неправильно? Да всё неправильно.

У Вас нет одной простой вещи. У Вас нет корня доверия и нет охвата всей системы. Всё (вообще всё), что не прибито гвоздями к полу, читай – что не прошито в железо и может быть своровано, искажено, подменено… Всё это ни как не проходит. Т.е., ключи, на основании которых Вы что-то генерируете, должны быть вшиты в железо. Алгоритмы, которыми Вы что-то генерируете, тоже. Не зря вот уже лект как 10 в любой публично используемый проц, вшиты инструкции AES-NI. Ключи могут быть разные, а алгоритм ищите по cat /proc/cpuinfo. Тот «aes», котрый там увидите, это оно и есть.

Дальше. С ключами-алгоритмами разобрались, они только отчасти вшиты в систему. Ну и очевидно что прошитые ключи, от которых «пляшем», не должны позволять своё изменение и, как следствие, подмену.

Теперь дальше мы говорим о генерации подписи и подписывании системы. Ядро подписали? Очешуенно. Но что делать с интеллектуальными контроллерами той же сети или RAID-массивов, да с тем же UEFI, например? «Интеллектуальность» устройств подразумевает прошивку. Фирмварь. Вы её подписали? Нет. Ну и с чего Вы взяли что сетевой или RAID-контроллер не будет соловьём на всю Сеть свистеть-заливаться?

Т.е., на основании ключей и алгоритмов из шага выше, мы должны ещё и фирмварь подписывать, которую сами и собрали из исходников и, понятное дело, верифицировали как положено.

Поэтому, Ваш коммент:

А я когда компилирую Gentoo, даже обычные пакеты не говорю уже о ядре, от локальной сети отключаюсь не то что от Интернета.

Заставил меня задуматься о том, что мне делать – то ли плакать от восхищения, то ли орать от хохота, то ли просто застыть в немом офигении… =))) Гениально, конечно, но старина Столлман вообще-то, прав на все 146%, говоря о закрытости решений.

Ну и да, тут народ задумался о том, чтобы UEFI ещё и на ARM взгромоздить, так что скоро будет так «весело», что просто ухихикаться. Шутка про то, что с Вами говорит холодильник, автоответчик в отпуске, уже перестала быть шуткой (/me с опаской покосился на холодильник и стиральную машину с мультиваркой, т.к. почти вся бытовая техника, исключая унитаз уже имеет «доступ в Интернет»).

Ну а так-то, если честно, то есть только один путь реализовать действительно защищённую сеть. Это организовать два контура. Один – подключён к Сети и более-иене публичен, второй, позволяющий циркулировать информации, стоимость которой оправдывает средства по её защите. Больше вариантов нет. IDS/IPD/IDE, это всё сразу лесом. Ни кто не гарантирует их адекватной работы, ни кто не гарантирует своевременного распространения правил, на основе которых они работают, ни кто не гарантирует их срабатывания в принципе. В общем, ни кто и ничего не гарантирует. Про корень доверия и доверенность всей системы в целом, я вообще молчу.

Ну вот, как-то вот так.