Теоретически, как можно убедиться, что в твоей прошивке не поселился руткит?

...интелу... ...я доверяю.

Ох-х... Я бы не был столь категоричным.

Есть ли в интеловских платформах способ залить новую прошивку так, чтобы сама прошивка никак не могла повлиять на этот процесс и закрепиться и в новом образе тоже?

Чтобы точно сказать, для этого надо спеки платформы смотреть.

На современном железе с этим бороться почти бесполезно, ну только внешним фаерволом. А так - берёшь полностью открытую И повторяемую архитектуру (здравствуй zx-spectrum и первые ibm pc), проводишь аудит прошивок - PROFIT. У ARM с ректальными зондами ещё хуже, чем у x86.

Ещё раз для самых маленьких :-)

«Доверяю» не значит, что на самом деле доверяю. Это значит всего лишь, что в рамках моей текущей модели угроз он не может мне навредить.

...мысленного эксперимента...

Яснопонятно.
Пхилосопх, мабуть?

он не может мне навредить

Почему?

У ARM с ректальными зондами ещё хуже, чем у x86.

А у MIPS и MIPS64 типа Cavium?

Потому что когда я сажусь в тачку и пристёгиваюсь, это не означает, что я верю, что ремень безопасности сможет защитить меня от всего, включая падение метеорита и внезапное появление Годзиллы. Это означает, что я просто-напросто не намерен этим действием защищаться от падения метеорита или появления Годзиллы. Мне всё равно. Я принимаю тот факт, что в случае падения метеорита или появления Годзиллы я сдохну. Так понятнее?

Пхилосопх, мабуть?

Возможно философствует о своём ЧСВ по сравнению с остальными ошивающимися.

Это больше похоже на параноидальную шизофрению.

Я принимаю тот факт, что в случае падения метеорита или появления Годзиллы я сдохну. Так понятнее?

Если есть возможность защититься в т.ч. и от Годзилы, то почему не воспользоваться?

Это больше похоже на параноидальную шизофрению.

Что-то слишком часто она стала появляться у многих? Заразная чтоли? LOL

Да тут вроде ошиваются люди, которые интересуются platform security (ну или по крайней мере говорят, что интересуются).

Тогда, наверно, стоит позвать SakuraKun и ValdikSS.

Если озвученное в шапке темы не их компетенция, то sorry. )

Это уже другой вопрос (и абсолютно нерелевантный, т. к. у меня здесь и сейчас такой возможности нет).

Откуда ты знаешь, что нет?

Потому что в моём распоряжении здесь и сейчас только железо с Intel ME. Ваш кэп.

У меня кстати проблемы с безопасностью сильно обострились примерно в 2018 году после замены Atom D510 на накой-то там Lake с ME.

Тогда, наверно, стоит позвать SakuraKun и ValdikSS.

По крайне мере SakuraKun явно не сторонник использования ME, так что навряд ли он подскажет ТС, как защититься от троянов с помощью применения ME, LOL

У него методика, если не ошибаюсь, вынул программатор, вставил в специальное custom отверстие в ноуте, проверил чексумму, работаешь дальше и так каждое утро в качестве разминки. :)

А что происходит с момента окончания разминки и до следующего утра вероятно никто не знает (возможно кроме троянов и их операторов). LOL

Даже собираются на пивные тренниги по такой методике. :)

Философы, психологи и прочие. Им лишь бы отметиться поярче, а у тебя потом проблем куча.

Ещё и унизить и обидеть обычно пытаются. Это у них такая методика. Он походу просто троллит, нифига не интересуется решением проблемы.

И выражение авы у него как у обиженного сотрудника отдела разработки ME Интеля.

У меня кстати проблемы с безопасностью сильно обострились примерно в 2018 году после замены Atom D510 на накой-то там Lake с ME.

Это было весной или осенью? :)

Шиза, да, заразна, кроме того она передаётся по наследству.

Начинаются фантазии и пересказы из раздела симптоматики и синдромов из манов, напейсаных CIA отделом для карманных worldwide психиатров.

Шиза, да, заразна,

Через стафилококк путём таргетированного отравления, а потом воздействием электромагнитных полей определённого спектра?

Ну, ШТЕУД такой ШТЕУД.

Если ты параноик, то такой сценарий не надо допускать. Просто не оставляй устройство где-либо и на какое-либо время.

А если нет, то ничего делать и не надо. %)

Про проверку прошивки с другого устройства в топике уже написали.

КМК более актуально смотреть, что бы в рантайме решета не было. Тот же ME можно частично обезопасить, подключаясь к инету через 2 роутера независимых производителей (с разными чипсетами!) с настроенными жёсткими правилами файрволов.

После того, как ты чудил под прошлым ником, под анонимом, под этим ником на голубом глазу пишешь про максимально странные вещи, например чтение твоих мыслей спецслужбами - тебя воспринимать как нормального я не смогу уже никогда.

Просто не оставляй устройство где-либо и на какое-либо время.

Если современный ноут хранить только в сейфе, подключенным только к 220В даже без привычного интернета, разница, с оставлять где-то, будет невелика, если вообще будет. Достаточно включиться в розетку 220В.

Нет, там другой механизм. Срабатывает не в 100% случаев.

Лучше спросить клинического психолога, а не кретинов из системы образования, например.

А не надо включаться в 220В. И литиевые аккумуляторы опасны - там внутри какие-то странные чипы, якобы контроллеры. Покупайте набор батареек

Заметь, если писать про любые непалевные (относительно слежки и управления массами) неправдоподобные в обычном восприятии вещи/особенности/возможности/уязвимости, то модераторам будет почти безразлично, если это хоть как-то поддерживает беседу. Удаляют и наказывают только за палево секретных технологий, которые каким-то чудом удалось частично рассекретить вероятно сливами из лабораторий конкурирующими спецслужбами или просто догадками пострадавших и дальнейшим анализом.

Если бы вы не читерили во время попыток загона людей в рабство корпораций, то многим и мне в т.ч. было бы пофиг на ваши секретные технологии. Всему виной - спецслужбы, крышующие Лохсофт, и помогающие ему атаковать потенциальных рабов.

Я нашел ответ – TPM PCR Registry (aka Platform Configuration Registers (PCRs))

Это 20 регистров которые хранят результаты one-way hash function применяемые к исполняемому коду на разных стадиях заргузки UEFI и всей остальной цепочки chain of trust.

Включаешь TPM и ищешь как читать эти регистры из userspace.

• https://community.infineon.com/t5/Blogs/Storing-and-reporting-system-measurements-with-TPM/ba-p/443590
• https://uapi-group.org/specifications/specs/linux_tpm_pcr_registry/

Что мешает условной Грейс прошить прошивку, которая будет грузить своё, но в TPM шлющую нужные данные? К слову, TPM сами реализуются с подходом security via obscurity. Нет гарантии, что та же Грейс из отеля не задампит TPM с нужными свойствами.

ТС сказал что он доверят Гейтсу и Интел.

Я изначально не понял твой вопрос, короче там все завязано на Core Root of Trust for Measurement (CRTM), эта штука недоступна для перезаписи (наверное только перепаять TPM чип) она берет первый исполняемый бинарник, вычисляет его хеш, помещает его в регистр PCR0 и только потом его запускает, как я понимаю PCR0 уже не доступен для записи, первый бинарник это bios (его ядерная часть), он пойдет дальше по цепочки и запишет в PCR1 хеш уже следующего исполняемого кода, так дело доходит до Linux ядра.

В этом суть chain of trust. Если кто-то наверху коррумпирован то доверять системе нельзя.

Да я уже упоминал эти PCR в треде. Естественно, я знаю, что они существуют.

Вопрос первый — где взять «золотое» значение PCR 0? Если я заберу его из работающей системы, то естественно, что там уже может быть тыква (скомпрометированная прошивка может подменить результаты обмена по SPI, например).

Вопрос второй — кто измеряет прошивку? Если она сама, то очевидно доверять этому тоже нельзя.

Удаляют и наказывают только за палево секретных технологий.

Ты просто сильно болен и не лечишься и из-за этого не видишь, что удаляется только откровенная шиза, а ссылки типа указанных тобой выше остаются (и не по причине, что я там на кого-то работаю, а по причине намного меньшей шизы)

Вопрос второй — кто измеряет прошивку? Если она сама, то очевидно доверять этому нельзя.

Стартовая точка не в прошивке а в чипе, и если регистры после помещения в них значения поменять нельзя (при перезагрузке регистры сбрасываются) то как бы очевидно.

где взять «золотое» значение PCR 0?

Дома (в контролируемом и доверенном окружении) зафиксировал значения, и их используешь в дальнейшем как референсные. Если после посещения дома терпимости значения хешей поменялись то очевидно что что-то было подхвачено.

Стартовая точка не в прошивке а в чипе

А, то есть всё-таки root of trust иммутабельный? Ок, это лучше. Осталось только понять, что делать с LogoFail :) То есть наверное картинка тоже измеряется в какой-то PCR; вопрос — в какой?

Дома (в контролируемом и доверенном окружении) зафиксировал значения, и их используешь в дальнейшем как референсные. Если после посещения дома терпимости значения хешей поменялись то очевидно что что-то было подхвачено.

Да, если делать это сразу после покупки железки в рандомном магазине, то это очевидно сработает. А мне интересно, что делать с уже существующей железкой, которая была в использовании и чёрт знает где.

На доверенном устройстве скачиваешь прошивку с сайта производителя по https каналу. С помощью программатора заливаешь её в заранее выпаянный чип флеш памяти. Впаиваешь микросхему обратно.
Не включаешь. Достаешь жесткий диск и форматируешь его, накатываешь с нуля дистрибутив linux, предварительно проверив что хеш коды дистрибутива соответсвуют хешам на сайте. После этого ставишь диск обратно и наконец включаешь систему чтоб зафиксировать референсные значения PCR регистров :)

Просто часть особо секретной шизы у вас со временем переходит в разряд обычной commodity, которую уже можно не удалять.

Походит на ультрасовременный хорошо защищённый проприетарный софт, с которого пока снимают сливки эксклюзивно, vs публично доступный бесплатный нередко даже open-source, на котором извлечь выгоду уже сложнее. Аналогично увеличению сложности добычи криптомонет и устареванию отработавшего оборудования, и другим видам прогресса.

Удаляют только самую секретную (из той, что уже спалили) на данный момент.

Всего лишь несколько лет назад потерли бы все сообщения полностью. Сообщения про закладки в ШТЕУД до СВО вообще люто хейтили и банили, а после СВО они внезапно стали правдой.

Этакое чудесное превращение из гадких вымышленных шизофренических гусениц в прекрасных бабочек.

который очень аккуратно влияет на всё происходящее на проце так, чтобы ты его не задетектил изнутри системы?

А что-то ещё он делает, кроме того, что нвыкается от детекторов? Если да, то по этой самой деятельности, если нет, то думаю он безопасен.

А так добро пожаловать в клуб теорий заговора, если ты уже придумал, что от тебя всё скрывают, то любое объяснение, что это не так, можно объяснить что всё подстроено в рамках заговора.

Как можно доверять тому, у когда постоянно происходят сливы в сеть? LOL

Тут не совсем точно выражена моя мысль. Подразумевалось, что если ME есть что скрывать, если часть безопасности ME основана на obscurity, то вероятно сливы, произведенные без согласия самого Intel, могут вызывать подозрения о безопасности подобной системы в целом.

С одной стороны я стараюсь доверять только открытым технологиям типа Linux и OpenBSD. И слив сорцов Intel, вероятно, может помочь пролить свет на то, насколько там действительно у них безопасно внутри проца.

Но с точки зрения безопасности сообщества и доверия к Intel IMHO правильнее бы было всё-таки открывать сорцы самостоятельно самой компании Intel, хотя бы на устаревающие модели чипов, которые уже не приносят заметной прибыли.

В таком случае сообщество могло бы проводить более полноценные исследования и аудит, а Intel со своей стороны могла бы более оперативно вносить соответствующие баг фиксы для баг репортов.

А сейчас непонятно, кто сливает, что сливает (полнота и соответствие оригиналу), зачем сливает.

Хотя по вопросу зачем, можно предположить, что кто-то хочет помочь конкурентам особенно китайским, чтобы переманить публику на их продукцию.

А так бы официально открыли, официально проверили, что там более менее безопасно хотя бы старых моделях, и со временем тоже ждём commodity сорцов, чтобы Intel сохранила доверие покупателей, и многие IMHO на этом бы успокоились и продолжили покупать Intel, а не неведомое новьё от конкурентов.

Ну видимо только так. Без программатора всё-таки не обойтись.

Но я тут узнал, что в LVFS вендор может для каждой прошивки выложить, собственно, закрытый список допустимых значений PCR 0. И fwupd его сверит с тем, что отдаст TPM. Это всё ещё не совсем то, но это тривиально расширяется до remote attestation (TPM можно попросить отдать значение PCR, подписанное закрытым ключом вендора TPM, и проверить подпись + совпадение на доверенном устройстве; или наоборот, как я писал в треде выше).

Беда только в том, что Lenovo забили хрен для моего лаптопа на LVFS никаких «золотых» хэшей нет.

Ну да ладно. В принципе, это должно работать так. Считаем, что ответ на вопрос треда получен.

а чем не устраивает вариант с програматором я не понель? дампишь сравниваешь с оф перезаливаешь если что. было бы еще прикольнее заменить микруху на неперезаписываемуюю впринципе.

было бы еще прикольнее заменить микруху на неперезаписываемуюю впринципе.

В правильном направлении мыслите.

А как реализовать? На микроконтроллере, чтобы с одной стороны он читал какие-нибудь древние ROM чипы, а с другой стороны эмулировал SPI flash?

незнаю, у меня иной подход к инфобезу. Это… их не побороть там целые армии с безлимитными бюджетами трудятся. все равно вы*бут как не старайся. Все эти вычислительные системы они создаются с целью получения данных, это единственная их задача. А инструменты инфобеза это вовсе не препятствие это маркировка.

Всё-таки IMHO даже air gapped старинный одноплатник ARMv7/MIPS с OpenBSD на борту даёт шанс сохранить свои скрипты в тайне хотя бы до получения оплаты от клиента, чтобы их не спёрли раньше времени.

вот из статьи, фсбшники ведь очень правильные вопросы задают, а че толку от этой закладки если у нас фаервол? а то и вообще интернет не подлючен. Это чеж получается, китайские шпионы совсем имбицилы? закладку в прошивку догадались а как потом наружу эти данные вытащить ну вот ниподумали. и теперь любой школотрон из 1б класса может нажать на кнопочку «включить фаервол» и плакалЪ все секретная спецоперация китайцев? )))))))) или просто русский вася который случайно наткнулся на китайскую косячную закладку не понял как эти данные улетают во внешний мир? Была довольно древняя история с хакерского атакой на яо ирана когда им удалено вывели из строя центрифуги по обогощению, а ведь интернета у иранцев там не было. объекты всмысле связи были изолированы.

Ну, я нашёл на LVFS для своего лаптопа ровно одну версию прошивки (причём не последнюю), для которой опубликованы значения PCR 0. Обновился (пришлось ещё потанцевать с бубном, т. к. у этого лаптопа есть несколько «линеек» прошивок и это была «чужая»; пришлось обновляться в ручном режиме, подсовывая сырой *.bin капсулы) и…

Хеши не совпали!

Ладно, естественно, скорее всего, это не тайная ложа, а явная лажа. Пойду напишу hughsie, мб он пнёт Ленову по своим каналам и те принесут правильный хеш.