LINUX.ORG.RU
Новости — Ubuntu Linux  

Представлен сверхзащищенный вариант Ubuntu - Privacy Remix

 , , , ,


0

0
На конференции SIGINT 09 представлена beta-версия LiveCD дистрибутива Ubuntu Privacy Remix (UPR), основанного на Ubuntu 9.04 и предназначенного для обеспечения максимально возможной степени изоляции для защиты персональных данных пользователя. Кроме средств для предотвращения проникновения злонамеренного кода, такого как троянские программы, модули перехвата клавиатурного ввода и rootkits, в дистрибутиве используются и средства для противостояния средствам слежения и мониторинга активности пользователей, внедряемым некоторыми правительствами.

Ключевые особенности дистрибутива:

  • Базовая система работает только c CD в режиме для чтения. Дистрибутив не предназначен для установки на жесткий диск, дополнительные программы, включая вредоносные, доустановить невозможно.
  • Все внешние накопители и локальные жесткие диски ПК могут быть смонтированы только в режиме "noexec", недопускающем выполнение программ с внешних носителей.
  • Из Linux ядра убрана поддержка оборудования для работы в сети, дистрибутив работает полностью автономно, задействование LAN/WLAN/Bluetooth запрещено.
  • В дистрибутиве используются только open source программы, исходные тексты которых доступны для аудита.
  • Для хранения настроек пользователя, таких как файлы конфигурации программ и PGP-ключи, используется технология "extended TrueCrypt-Volumes", позволяющая прозрачно накладывать на основную ФС примонтированные из зашифрованного раздела данные.

Взято с opennet.ru

>>> Подробности



Проверено: hibou ()
Последнее исправление: Klymedy (всего исправлений: 1)
← Mozilla собирается заменить вкладки (Tabs)
RedHat подает в суд на правительство Швейцарии за поддержку монополии Microsoft →
  1 2 3
Ответ на: комментарий от Manhunt
>Ага, но внутри этой клетке можно хоть трижды шпионскую венду разворачивать, разницы особой нет :)

Кстати да.

Capture
()
Нужно еще чтоб нельзя было грузиться с такого диска, а еще лучше чтоб компьютер совсем не включался, для пущей безопасности.
papay ★★★
()
Ответ на: комментарий от Manhunt
>Ты можешь запороть только виртуальный биос. В реальный ничего записать не удастся, пока гипервизор сам этого не захочет (а он и не захочет). Если вынешь микруху с биосом и перепрошьешь ее на программаторе, то произойдет следующее. При холодном старте машины процессор считывает код гипервизора к себе в кэш, высчитывает криптостойкую хэш-сумму кода гипервизора, и если она не совпадает хотя бы с одной из хэш-сумм, зашитых в чипсет (в северный мост, afaik), то процессор сам себе делает ресет. И так до бесконечности.

а ты откуда это всё знаешь ? :) ТАк что же и процессор перешивать ? :) Хэш-сума известно как считается ? Если да то могут найтись народные умельцы.

unrealix ★
()
Ответ на: комментарий от unrealix
> а ты откуда это всё знаешь ? :)

Речь идет о технологии Intel TXT. Чуть подробнее можно узнать из http://www.intel.com/technology/security/downloads/arch-overview.pdf . Совсем подробно - из соотвествующей технической документации.

Manhunt ★★★★★
()
Ответ на: комментарий от Manhunt
>Речь идет о технологии Intel TXT. Чуть подробнее можно узнать из http://www.intel.com/technology/security/downloads/arch-overview.pdf . Совсем подробно - из соотвествующей технической документации.

неужели AMD провославный ? Или мы, смертные, не вкурсе ?

unrealix ★
()
Ответ на: комментарий от Manhunt
>> А если прошится открытой прошивкой для биоса (была недавно в новостях на ЛОРе)

>Гипервизор перехватит попытку перепрошивки и будет эмулировать успешное перепрошивание. То есть новая прошивка будет исполняться внутри виртуальной машины, под присмотром оригинального гипервизора.

Выдрать микруху и прошить на заранее доверенной системе. А потом вставить на место.

dikiy ★★☆☆☆
()
Ответ на: комментарий от Manhunt
>Вот ты "на глаз" можешь определить, интегрирован ли вайфай в ту или иную материнку? Как проверить, что сеть в самом деле не поддерживается?

Засунуить комп в фольгу :)

dikiy ★★☆☆☆
()
Ответ на: комментарий от unrealix
Более того, я немного сгустил краски. В действительности процессор пытается запихнуть гипервизора в себя только после того, как код (процессору пофиг, откуда этот код берется) попросит о запуске гипервизора с помощью специальной инструкции. До запуска гипервизора оно может сколько угодно работать в обычном, не-виртуализированном режиме. Как ты понимаешь, столь либеральное поведение совершенно не трудно скорректировать на уровне процессорного же микрокода.
Manhunt ★★★★★
()
Ответ на: комментарий от dikiy
> Выдрать микруху и прошить на заранее доверенной системе. А потом вставить на место.

Когда ты ее вставишь, она не пройдет проверки на контрольную сумму, вшитую в чипсет.

Manhunt ★★★★★
()
Ответ на: комментарий от Manhunt
>Ты можешь запороть только виртуальный биос. В реальный ничего записать не удастся, пока гипервизор сам этого не захочет (а он и не захочет). Если вынешь микруху с биосом и перепрошьешь ее на программаторе, то произойдет следующее. При холодном старте машины процессор считывает код гипервизора к себе в кэш, высчитывает криптостойкую хэш-сумму кода гипервизора, и если она не совпадает хотя бы с одной из хэш-сумм, зашитых в чипсет (в северный мост, afaik), то процессор сам себе делает ресет. И так до бесконечности.

А на момент старта можно подсунуть ему оригинальный БИОС, а потом тумблером переключить :)

dikiy ★★☆☆☆
()
Ответ на: комментарий от Manhunt
>> Выдрать микруху и прошить на заранее доверенной системе. А потом вставить на место.

>Когда ты ее вставишь, она не пройдет проверки на контрольную сумму, вшитую в чипсет.

На момент проверки можно оригинальный код подсунуть. А два - процессор окуда-то будет брать КС. Ее тоже можно перехватить. В общем уже два варианта есть.

dikiy ★★☆☆☆
()
Ответ на: комментарий от dikiy
> А на момент старта можно подсунуть ему оригинальный БИОС, а потом тумблером переключить :)

Процессор всасывает код гипервизора себе в кэш. И внутри кэша подсчитывает контрольную сумму. Если она совпала с одной из вшитых в чипсет, то передает гипервизору управление. Если не совпала - уходит на ресет. И в любом случае, после проверки контрольной суммы щелкать тумблером поздно: старый гипервизор _уже_ находится внутри проца, код из перещелкнутого биоса проц считывать не собирается. А если и считает, то заново перепроверит сумму, прежде чем отдать свежесчитанному гипервизору управление.

Manhunt ★★★★★
()
Ответ на: комментарий от dikiy
> А два - процессор окуда-то будет брать КС. Ее тоже можно перехватить.

Шина между процессором и северным мостом - высокочастотная, хрен ты в нее вклинишься без _очень_ серьезной технической базы за спиной.

Manhunt ★★★★★
()
> Представлен сверхзащищенный вариант Ubuntu - Privacy Remix
> * Базовая система работает только c CD в режиме для чтения. Дистрибутив не предназначен для установки на жесткий диск, дополнительные программы, включая вредоносные, доустановить невозможно.
> * Из Linux ядра убрана поддержка оборудования для работы в сети, дистрибутив работает полностью автономно, задействование LAN/WLAN/Bluetooth запрещено.

Предлагаю выпустить так же ещё более защищённый вариант: Ubuntu Super Security Remix LiveCD. Он будет выключать компьютер сразу после загрузки.
Deleted
()
Ответ на: комментарий от unrealix
> в любом случае всякие Privacy Remix тут не помогут :)

О том и речь.

Manhunt ★★★★★
()
Ответ на: комментарий от Manhunt
>Процессор всасывает код гипервизора себе в кэш. И внутри кэша подсчитывает контрольную сумму. Если она совпала с одной из вшитых в чипсет, то передает гипервизору управление. Если не совпала - уходит на

Ну тогда можно обращение в чипсет перехватывать.

В принципе, можно придумать довольно стойкую систему. Но обнаружить ее все равно удастся. На крайняк на китайские спарки перейдем :)

dikiy ★★☆☆☆
()
Ответ на: комментарий от Manhunt
>Шина между процессором и северным мостом - высокочастотная, хрен ты в нее вклинишься без _очень_ серьезной технической базы за спиной.

частоту сбросить (аппаратно есессно) и дело с концом.

dikiy ★★☆☆☆
()
Ответ на: комментарий от dikiy
> частоту сбросить (аппаратно есессно) и дело с концом

Кмк, при достаточно сильном даунклоке железо тупо перестанет работать - цепи на это не рассчитаны. Не говоря о том, что тактовый генератор может быть интегрирован.

Manhunt ★★★★★
()
Ответ на: комментарий от dikiy
> На крайняк на китайские спарки перейдем :)

Кто подобными вопросами всерьез озабочен, тот и так давно сидит на мцст-шных спарках и менее распиаренных отечественных поделиях :)

Manhunt ★★★★★
()
Всегда знал, что разработчики Ubuntu - наркоманы, а Шаттлворт - наркоборон.
phasma ★☆
()
> Из Linux ядра убрана поддержка оборудования, дистрибутив работает полностью автономно, задействование компьютера запрещено.

fixed

ferro
()
Ответ на: комментарий от Manhunt
>> частоту сбросить (аппаратно есессно) и дело с концом

>Кмк, при достаточно сильном даунклоке железо тупо перестанет работать - цепи на это не рассчитаны. Не говоря о том, что тактовый генератор может быть интегрирован.

Раза в 1.5-2 сбросить можно будет. Подключится - вопрос решаемый. Другое дело, что могут и мост в процессор вшить.

dikiy ★★☆☆☆
()
"з Linux ядра убрана поддержка оборудования для работы в сети," аААААААААААААаааааааааааааааааа!!!!!!!!!! сверхзащищенный канешн. нада еще клаву отрубить
saguro
()

=_=

/r/ "Сверхзащищенный вариант Windows: не запускается и не работает".
NekoExMachina ★
()
Ответ на: комментарий от Manhunt
>Кто подобными вопросами всерьез озабочен, тот и так давно сидит на мцст-шных спарках и менее распиаренных отечественных поделиях :)

Кстати, а где можно купить?

dikiy ★★☆☆☆
()
Автор, исправь ошибку - не Privacy Remix а Paranoic Remix
Deleted
()
Базовая система работает только c глазами в режиме осмотра диска. Дистрибутив не предназначен для запуска и установки на жесткий диск, дополнительные программы, включая вредоносные, доустановить невозможно. При попытке включения компьютера кабель питания отстреливается от системного блока на 0.75 метра дабы исключить заражение вирусами
upcFrost ★★★★★
()
Очень интересно и как раз то, что мне нужно. Выйдет окончательный вариант - скачаю и посмотрю!
melcomtec
()
у меня новый кноппикс в этом плане ещё безопаснее - виснет намертво во время загрузки.
sid350 ★★★★★
()
>Из Linux ядра убрана поддержка оборудования для работы в сети, дистрибутив работает полностью автономно, задействование LAN/WLAN/Bluetooth запрещено.

OMFG запереться, а лучше замуроваться, в подвале как можно поглубже, положить сидюк с сабжем в сейф, закрыть сейф, вздрочнуть на безопасность и застрелиться, ибо мало ли. Да, подвал должен быть без электричества.
Lonli-Lokli ★★
()
Ответ на: комментарий от hibou
>Нда... без сети сейчас трудно себя представить. Сдаюсь тогда, не знаю. Какие-нибудь сверхсекретные документы набирать.

И сжигать потом вместе с кампутером?)
Lonli-Lokli ★★
()
Ответ на: комментарий от Lonli-Lokli
>>Нда... без сети сейчас трудно себя представить. Сдаюсь тогда, не знаю. Какие-нибудь сверхсекретные документы набирать.

>И сжигать потом вместе с кампутером?)

вместе с собой :)

unrealix ★
()
Еще не хватает в комплекте криптоклавиатуры для слепого ввода зашифрованых данных +)
skald
()
Ответ на: комментарий от skald
>Еще не хватает в комплекте криптоклавиатуры для слепого ввода зашифрованых данных +)

А если ты сам за собой шпионишь ? Тогда пусть положат очиститель памяти головного мозга к диску.

unrealix ★
()
chmod -R a-wx / - А если сделать так тоже можно защитить систему от установки чего-либо? =))
ceeqwer ★
()
Ответ на: комментарий от isden
на 2х интернет шлюзах стоит убунту 9.04 сервер, проблем не наблюдается. убунту сервер 8.04 отлично встал на машину с железным райдом и 2мя ксеонами. так что хватит уже рассказывать что убунту-сервер не серверная ось. нормальная ось, без излишеств.
truegenius
()
Ответ на: комментарий от Gorthauer
> Пока его не решили обновить? О_о

и что здесь такого? я десктопную бубунту обновлял с 7.10 вроде до 8.04 и далее. проблем не было.
isden ★★★★★
()
а смысл загружать такую убунту/висту/слакаваре/ и тд вообще тогда какой? вдруг у тебя скрытые камеры в комнате а ты ЦП смотришь?
Levinskij ★
()
Линус не так давно назвал разработчиков OpenBSD - "стадом обезъян, мастурбирующих на безопасность". Похоже к этим обезъянам добавилась ещё пачка гомодрилов...
anonymous-misterx
()
Читаю новость. Чувствую явную под**ку... Так и хочется сказать про безопасность обесточенного компа, погребенного под двумя метрами бетона...
Harliff ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
  1 2 3
← Mozilla собирается заменить вкладки (Tabs)
Ubuntu Linux
RedHat подает в суд на правительство Швейцарии за поддержку монополии Microsoft →