LINUX.ORG.RU
ФорумTalks

Брикование материнок с помощью systemd и rm -rf

 


2

2

Уже обсудили?

https://github.com/systemd/systemd/issues/2402

Для Ъ: systemd по умолчанию монтирует efivarfs как rw, что якобы позволяет забриковать некоторые материнки с хреновыми прошивками просто командой rm от рута. Предложили монтировать по умолчанию как ro, на что Поттеринг ответил что так делать не будет, все остальные ССЗБ и закрыл обсуждение

★★★★★

Ну как бы логично всё сказали — если прошивка материнки позволяет безвозвратно уничтожить саму себя одной командой, то это материнка говно, а не команда.

vurdalak ★★★★★
()

Я не большой фанат ситемд, но в этом он прав. Во-первых, «просто команда rm от рута» даже звучит смешно, во-вторых в нормальной реализации EFI снос всех переменных не должен приводить к фатальным последствиям. Усложнять жизнь всем из-за пары криворуких любителей посидеть под рутом и индусских писателей прошивок за еду — это не совсем правильное архитектурное решение.

Gvidon ★★★★
()

Все правильно сказал.

drull ★☆☆☆
()

Всё правильно сказал. Если какие-то производители кладут болт на стандарты и делают реализацию, как их левая пятка захочет, то при чем тут systemd (rm, etc.) не понятно.

hippi90 ★★★★★
()

что якобы позволяет забриковать некоторые материнки с хреновыми прошивками

Это не проблема для нормального брендового железа, покупатели китайского подвального хлама должны страдать.

Deleted
()
Ответ на: комментарий от hippi90

У тебя причина и следствие перепутаны. Подвальным хламом называют то, где замечено лажание.

intelfx ★★★★★
()
Последнее исправление: intelfx (всего исправлений: 1)
Ответ на: комментарий от hippi90

MSI и Samsung давно подвальным хламом стали?

Эм, а они когда-то были чем-то иным?

Sectoid ★★★★★
()

ИМХО, по-умолчанию такие вещи должны быть смонтированы как r/o (равно как и /boot). А Поцтеринг известный неадекват.

Sectoid ★★★★★
()

efivarfs

var, rw

Ну так все правильно же. А можно отсюда до самих настроек/параметров биоса дорваться?

sehellion ★★★★★
()

systemd по умолчанию монтирует efivarfs как rw

Вполне нормальный дефолт.

что якобы позволяет забриковать некоторые материнки с хреновыми прошивками просто командой rm от рута

Проблема хреновых материнок.

Предложили монтировать по умолчанию как ro

И что? рут все равно имеет все привелегии чтобы примонтировать, а если чуваки нечаянно rm -rf от рута, то их уже ничто не спасет.

на что Поттеринг ответил что так делать не будет

А заодно добавил что ничто этим буратинам не мешает прописать ro в fstab. Но буратины вместо этого почему-то начали беситься и обзывать поттеринга плохими словами.

А вот давайте представим, что это был бы не культурный и воспитанный поттеринг, а сам линус. Вот приходят к нему буратины и говорят: ядро позволяет нам выстрелить себе в ногу, накати патч. Вот давайте представим, куда именно и в каких выражениях послал бы их линус?

morse ★★★★★
()
Ответ на: комментарий от mystery

Пользователь, сделавший rm -rf / от рута на скорую руку? Полностью согласен.

invy ★★★★★
()
Ответ на: комментарий от morse

А вот давайте представим, что это был бы не культурный и воспитанный поттеринг, а сам линус.

ЕМНИП, когда вскрылось использование UB со стороны Adobe он начал гнать на разработчиков glibc.

templarrr ★★★★★
()

Благодаря Леннарту наконец-таки вернутся времена, когда малварь сможет убивать железо?

nezamudich ★★
()

Сходил по ссылке, почитал аргументацию. Поцтеринг - идиотина. Те, кто в треде говорят, что он прав - такие же идиотины.

rm -rf никогда не должен приводить к порче железа. rm -rf / по приколу делало абсолютное большинство линуксоидов, перед сносом/переустановкой ОС. И это не должно сносить конфиги EFI или брикать железо. Независимо от того, какое именно железо.

Pavval ★★★★★
()
Ответ на: комментарий от Pavval

«Если вас окружают идиоты...»

Никакие действия софта в рамках спецификаций не должны приводить к порче железа. И следить за этим должно железо.

intelfx ★★★★★
()
Ответ на: комментарий от intelfx

Софт должен обеспечивать сохранность железа, если это не обеспечил вендор. И предсказуемое поведение тоже. Подробности популярно объяснит куча людей, начиная с Линуса.

Pavval ★★★★★
()
Ответ на: комментарий от intelfx

На самом деле совсем не прав. Такое важное место надо держать в ro и только по мере надобности переводить в rw. Так же это просто security bug by design.

PS: вспомнилась древняя шутка из начала 90-х про virus уничтожающий hardware. Теперь это больше не шутка.

beastie ★★★★★
()
Последнее исправление: beastie (всего исправлений: 1)
Ответ на: комментарий от Pavval

В таком случае тебе сначала следует добиться исчезновения /dev/mem и многочисленных файликов из /sys/bus/i2c, позволяющих писать в регистры i2c-устройств.

Мало ли, может я

по приколу

захочу записать в каждый файл в системе по мегабайту рандома?

intelfx ★★★★★
()

Кстате, такую материнку ведь должны поменять по гарантии. Я сомневаюсь, что в гарантии написано «вот в эти файлы писать запрещено, иначе это негарантийный случай».

vurdalak ★★★★★
()
Ответ на: комментарий от beastie

Лол, если у тебя есть рут — о каком секьюрити может идти речь? И опять же, сначала давай разберёмся с /dev/mem и /sys/bus/*/*/resource*, а уже потом будем трогать ефи.

intelfx ★★★★★
()
Последнее исправление: intelfx (всего исправлений: 2)

I am deleting a number of insulting or completely off-topic messages now. Please find another place to troll, thank you.

я не знаю почему он раньше не закрыл обсуждение

и да, что значит

peanut gallery site

?

reprimand ★★★★★
()
Ответ на: комментарий от intelfx

Лол, если у тебя есть рут

Мальчик, сделай на OpenBSD

sysctl kern.securelevel=2
И посмотри, что ты сможешь сделать root'ом. Это называется «защита». А то, что делает лёня называется «дыра».

ref: http://mdoc.su/o/securelevel (по умолчанию оно в 1)

beastie ★★★★★
()
Последнее исправление: beastie (всего исправлений: 1)
Ответ на: комментарий от beastie

Это совсем другой уровень и он ортогонален любым настройкам юзерспейса. Ты точно так же можешь на линуксе включить SELinux. Нечего махать своим бсд и хамить.

intelfx ★★★★★
()
Последнее исправление: intelfx (всего исправлений: 2)
Ответ на: комментарий от intelfx

Нечего махать своим бсд и хамить.

осторожно, сейчас бисти включит модератора и начнет махать удалятором =)

reprimand ★★★★★
()
Ответ на: комментарий от beastie

Раскрою мысль подробнее: если бы подобная фича имелась бы в линуксе, она (я уверен) запрещала бы запись в подобные места. Но если в линуксе подобной фичи нет, это не вина Леннарта. Даже если бы systemd монтировал чувствительные места иерархии в ro, их всегда можно перемонтировать обратно в rw.

intelfx ★★★★★
()
Последнее исправление: intelfx (всего исправлений: 1)
Ответ на: комментарий от intelfx

Я почти в 2 раза старше тебя. Тут нет никакого хамства. Со временем твоё борцунство убавится.

SELinux — это опциональная надстройка. Мы же говорим о proactive security.

Система обязана быть secure by default. И в данном случае я этого не наблюдаю.

beastie ★★★★★
()
Ответ на: комментарий от beastie

Алсо, я в который раз убеждаюсь, что ты крайне предвзят в отношении сабжа и регулярно опускаешься до 4.2 и/или кривой логики, чтобы очернить сабж или его авторов. А ещё модератор.

intelfx ★★★★★
()
Ответ на: комментарий от reprimand

осторожно, сейчас бисти включит модератора и начнет махать удалятором =)

бисти ещё никогда до такого не опускался (и не собирается).

beastie ★★★★★
()
Ответ на: комментарий от intelfx

если бы подобная фича имелась бы в линуксе

Это было бы очень классно. Хорошие идеи надо «воровать».

Даже если бы systemd монтировал чувствительные места иерархии в ro, их всегда можно перемонтировать обратно в rw.

Это уже дополнительное действие, подразумевающее злой умысел или намерение. По умолчанию же должна действовать «защита от дурака».

beastie ★★★★★
()
Ответ на: комментарий от beastie

Я почти в 2 раза старше тебя.

Вне зависимости от твоего (и моего) возраста, переход на личности в таком виде — хамство.

Так вот, монтирование /sys/fs/firmware/efivars в ro никак не поможет системе быть secure by default, т. к. рут может что угодно перемонтировать в rw (а не-рут всё равно не имеет доступа на запись). Сабж никак не влияет на security.

intelfx ★★★★★
()
Ответ на: комментарий от beastie

Ты начал говорить про security, а теперь говоришь про защиту от дурака.

Защиту от дурака должны делать дистрибутивы, которые включают дураков в свою ЦА. И я ещё раз спрашиваю про /dev/mem.

intelfx ★★★★★
()
Последнее исправление: intelfx (всего исправлений: 1)
Ответ на: комментарий от intelfx

Да, предвзят. Да не хочу. Я не хочу зависеть от левой пятки какого-то выскочки. Даже если он хороший программист. (Но плохой человек.)

beastie ★★★★★
()
Ответ на: комментарий от beastie

бисти ещё никогда до такого не опускался (и не собирается).

очевидно же, что смайлик в конце являлся признаком того, что я утрирую

а вообще, по твоим словам, нужно купить mac. И все разногласия решатся автоматически.

reprimand ★★★★★
()
Ответ на: комментарий от beastie

Принципиально. Security работает против злого умысла оператора (или человека, выдающего себя за оператора), а защита от дурака работает против некомпетентного оператора.

intelfx ★★★★★
()
Ответ на: комментарий от intelfx

А теперь представь, что баг этот проявляется не только на MSI бордах. Предположим, ради примера, что ещё на SuperMicro.

И теперь, твою коробочку в ДЦ порутили. И побрикали. И хоть стоимость железа на порядки ниже стоимости простоя ($10k vs. $1Mio), но необходимость физической замены железа только лишь повышает расходы во второй статье, в разы.

beastie ★★★★★
()
Последнее исправление: beastie (всего исправлений: 1)
Ответ на: комментарий от intelfx

Ты начал говорить про security, а теперь говоришь про защиту от дурака.

не хочу влезать в ваш спор, я так мимокродилом хотел лишь сказать, что security - понятие очень растяжимое. Обычно если говорить о нем цельно, то это комплекс способов и мер защиты.

Дополнительно, какие бы гады не были разрабы материнки, клиент конечный пользователь всегда прав. И доставлять ему возможные неудобства под предлогом «азаза, это ваш асус-фигасус не следует штандартам!!» - плохая идея.

Кстати, я не особо внимательно читал issue, какой официальный отказ от использования ro по умолчанию?

reprimand ★★★★★
()
Последнее исправление: reprimand (всего исправлений: 1)
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.