Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

В Fedora 40 намечена реализация второй стадии внедрения универсальных образов ядра, opennews (ok), 06-Дек-23, (0) [смотреть все] учитывая как часто приходится модифицировать initrd появляются вопросики вот на, Werwolf (ok), 09:34 , 06-Дек-23, (1) +13 // Ну, по стандарту, как я понял, UEFI должен уметь прописывать собственные ключи , llolik (ok), 09:51 , 06-Дек-23, (2) +7   // ну тоесть всё так же как и было и в чём тогда новшество кроме того что в boot, Werwolf (ok), 09:55 , 06-Дек-23, (5)   // Так борются с подменой initrd-образа, вроде как Теперь если и он ключём не заве, llolik (ok), 10:04 , 06-Дек-23, (7) –1   насколько я помню сенйчас валидируется не образ а то что из образа дёргает ядро,, Werwolf (ok), 10:07 , 06-Дек-23, (8)   Подскажите, а когда было что то крупное с атакой с подменой образа на компьютеры, tty0 (?), 10:19 , 06-Дек-23, (15) +5   Никогда Но кому-то же надо имитировать бурную деятельность типа этого коллектив, Васисуалий (?), 10:29 , 06-Дек-23, (30) +15   Или искусственно ограничивает платформу, чтобы все ждали очередной systemd-initp, Аноним (57), 12:01 , 06-Дек-23, (57) +5   Обязательно нужно что-то крупное А если по тихому ломают зашифрованные диски то, Аноним (111), 17:23 , 06-Дек-23, (111) +1   Вообще - недавно стал летать буткит - который - тадам загружается используя как, Аноним (-), 14:18 , 08-Дек-23, (215)   ты не брат поттеринга https wiki gentoo org wiki Custom_Initramfs Embedding_i, Аноним (68), 12:25 , 06-Дек-23, (68) –1   Тебе ядро пересобирать каждый раз нужно , Ананимус (?), 13:20 , 06-Дек-23, (84)   если не удалять результат сборки - нет, если нужные модули известны и статически, Аноним (68), 13:38 , 06-Дек-23, (91)   То есть ты предлагаешь тащить непожатые объектники в пакете чтобы что , Ананимус (?), 17:50 , 06-Дек-23, (115)   нет, Аноним (68), 18:25 , 06-Дек-23, (118)   Тогда смысл твоего предложения не ясен Собирать ядро на пользовательских машина, Ананимус (?), 23:19 , 06-Дек-23, (152)   сходи по ссылке, прочитай, может дойдёт что не нужен никакой отдельный initrd ко, Аноним (68), 23:42 , 06-Дек-23, (153)   Ещё раз Чтобы влинковать initramfs в ядро тебе нужно перелинковывать ядро, по, Ананимус (?), 14:04 , 07-Дек-23, (196)   достаточно через dd впердолить новый имидж фс обратно по тому же адресу где было, Аноним (68), 15:20 , 07-Дек-23, (200)   Не, недостаточно, если он стал больше UKI это просто vmlinuz initramfs , Ананимус (?), 15:52 , 07-Дек-23, (202) –1   изначальный смысл этого initrd initramfs - держать там модули ядра которые нужны, Аноним (68), 16:12 , 07-Дек-23, (203)   UKI собирается на твоей машине из vmlinuz и того что дракут нагенерил То есть о, Ананимус (?), 16:43 , 07-Дек-23, (204)   тогда расходимся, на новость не тянет, Аноним (68), 16:57 , 07-Дек-23, (205)   Ты чего-то не понял в этой жизни initrd можно пристыковать за кернелом в тот же, Аноним (-), 12:51 , 08-Дек-23, (209)   засунь boot на шифрованный разделвсе уже давно придумалиосталось контролировать, penetrator (?), 14:50 , 06-Дек-23, (104)   Для запуска для себя на своем железе Уже звучит как сюр , Аноним (6), 09:56 , 06-Дек-23, (6) +9   // В Tumbleweed с недавних пор так с гейвидией модуль собирается и подписывается п, Werwolf (ok), 10:10 , 06-Дек-23, (9) +1   достаточно не включать secureboot и все будет нормально ничего не надо будет под, penetrator (?), 14:51 , 06-Дек-23, (105) +2   На входной двери в ТВОЮ квартиру замок с ТВОИМИ ключами есть , llolik (ok), 10:17 , 06-Дек-23, (12) –6   Ну если у тебя компьютер размером с квартиру, тогда да, тебе такое решение подхо, tty0 (?), 10:21 , 06-Дек-23, (16)   Ну, я так понял, RH хочет создать полностью доверенную цепочку загрузки Не то, , llolik (ok), 10:31 , 06-Дек-23, (31) –2   Для доверенной цепочки нужно вначале uefi выкинуть к чертям собачим Дальше ничто, Аноньимъ (ok), 20:24 , 06-Дек-23, (135) +1   Ага, кроме того что изначально кернелу было вообше довольно пофиг что запускать , Аноним (-), 15:34 , 08-Дек-23, (220)   Огораживание хомяков в линуксах истинными его владельцами собсно, жирнющие корп, Бывалый смузихлёб (?), 12:14 , 06-Дек-23, (65)   Вы по ssh тоже без авторизации заходите А то звучит как сюр авторизоваться на с, а што не так (?), 12:30 , 06-Дек-23, (70)   А нафига на домашнем компе пароли и вся эта хрень, если к компу кроме меня физич, Аноним (-), 13:25 , 06-Дек-23, (85) +3   подклчение к инету есть значит не ты один имеешь доступ , Аноним (68), 19:25 , 06-Дек-23, (124)   Инет у 99 юзверей за nat провайдера nat вайфай роутера, и у тебя тоже, так чт, Свидетель секты коры дуба (?), 00:26 , 07-Дек-23, (156)   и как это должно помочь - nat определит вредный код или не вредный устанавливает, Аноним (68), 01:10 , 07-Дек-23, (160)   Это касается только юзеров с включенным secureboot, к коим ты явно не относишься, Аноним (94), 13:41 , 06-Дек-23, (94) –1   И в чём смысл такой защиты У кого есть доступ к системе, могут всё это продел, _oleg_ (ok), 13:39 , 06-Дек-23, (93) +1   Для таких как ты придумали поиск по rhel luks clevis tang , Аноним (11), 10:15 , 06-Дек-23, (11) +1 // поправьте если я что-то путаю, но емнип это автоматическая разблокировка а не ру, Werwolf (ok), 10:27 , 06-Дек-23, (24) Деревня, открой для себя update-initramfs, Аноним (26), 10:27 , 06-Дек-23, (26) +1 // и как update-initramfs по вашему сможет подписать новый образ ключём дистрибутив, Werwolf (ok), 10:28 , 06-Дек-23, (29) +1 // Стандартный образ и так будет подписан ключем MS, а если ты такой умный и хочешь, Аноним (26), 19:40 , 06-Дек-23, (126) сейчас я пересобираю initrd не меняя стандартной подписи, и не парюсь о подмене , Werwolf (ok), 20:17 , 06-Дек-23, (134) Фу, какая-то хрень бубуняче-дебиановая Отуда ты вылез , Аноним (56), 11:54 , 06-Дек-23, (56) –2 очевидно первая часть номера 3 - эта федора нафиг не нужна, Аноним (68), 12:14 , 06-Дек-23, (66) +1 Угу, не вижу другого логического решения Fedora не будет иметь 100500 образов дл, Аноним (71), 12:34 , 06-Дек-23, (71) Подводишь идею под сомнение очевидно бредовыми вариантами Но логичным вариантом, Пряник (?), 13:35 , 06-Дек-23, (90) +1 // та я то от федоры отказался в тот день когда её попробовал, но це ж красношляпа,, Werwolf (ok), 14:09 , 06-Дек-23, (100) // Да если-бы Я вот dbus-broker уже фиг знает сколько жду А он всё никак Хотя, с , llolik (ok), 14:49 , 06-Дек-23, (103) Freebsd дрова от линукса , Тот_ещё_аноним (ok), 16:08 , 06-Дек-23, (109) // а в вашем комментарии осмысленность изначально не планировалась что за рандомны, Werwolf (ok), 20:15 , 06-Дек-23, (133) // как и во всех твоих, потому что ты читать не умеешь, а все, что не понял называе, Аноним (229), 11:35 , 10-Дек-23, (229) Федора превращается в андроид , Аноним (3), 09:51 , 06-Дек-23, (3) +1 // Главное чтобы все остальное не потянула за собой А то останется только openbsd,, Васисуалий (?), 10:11 , 06-Дек-23, (10) +1 // Она уже умеет в уникод или всё так де в утилитах аски , Аноним (11), 10:18 , 06-Дек-23, (13) // Зачем тебе юникод в голой консоли , Васисуалий (?), 10:23 , 06-Дек-23, (19) –1 А подумать никак Для примера Есть файл сервер с 100500 файлами работников из 1, Аноним (11), 12:36 , 06-Дек-23, (73) +1 Файловый сервер На linux е Не, не верю , User (??), 12:42 , 06-Дек-23, (79) –2 Там про openbsd было Вот на нем это было бы уже странновато А какие у него фс , Аноним (-), 14:05 , 08-Дек-23, (211) Ну, про опенка не скажу, а вот freebsd лет несколько назад был более адекватным , User (??), 15:47 , 08-Дек-23, (221) Чел, ты выше вообще читал о чем пишут Какие нафиг работники из 100500 стран , Аноним (-), 13:26 , 06-Дек-23, (87) –2 Так редхату глубоко фиолетово до домашних компов Они делают промышленный дистри, Прыгающий Ленивец (?), 17:01 , 06-Дек-23, (110) Ну вот знакомому из одной крупной конторы выдали ноут с убунтой и полнодисковым , Аноньимъ (ok), 20:30 , 06-Дек-23, (137) –1 Ну ты сравнил тоже свое болото с нормальным энтерпрайзом , Аноним (-), 14:07 , 08-Дек-23, (212) Но в новости речь о Федоре 40, которая как раз и позиционируется для домашних ко, Аноним (172), 08:18 , 07-Дек-23, (172) она позиционируется как тестовый дистрибутив, в котором обкатываются новые пакет, rinat85 (ok), 15:03 , 07-Дек-23, (199) Для особо одарённых написано один из случаев И да, на домашней машинке уникод , Аноним (11), 20:00 , 06-Дек-23, (132) –1 Действительно, KOI8-R хватит всем , Аноним (117), 18:11 , 06-Дек-23, (117) it depends есть лишь две системных локали C POSIX и UTF-8 но если вам на, крокодил мимо.. (?), 13:02 , 06-Дек-23, (82) +1 Эээ Ничесе Казалось четверть 21 века почти минула, и многое ПО ничего кроме ut, Аноньимъ (ok), 20:34 , 06-Дек-23, (138) –1 на самом деле, когда мы говорим о ядерной консоли мультиплексорах терминалов и, крокодил мимо.. (?), 01:23 , 07-Дек-23, (161) Сейчас бы только вот биты и резать На уникоде таких граждан поимеют в 6 секунд,, Аноним (-), 14:22 , 08-Дек-23, (216) юникод - это по большей части от безысходности для интересующихся можно озна, крокодил мимо.. (?), 16:11 , 08-Дек-23, (223) А современную DE, которая насквозь с UTF-8, использовать, религия не велит , Аноним (194), 13:57 , 07-Дек-23, (194) вы, видимо, что-то не поняли в системе 2 две локали всего из короба од, крокодил мимо.. (?), 15:40 , 07-Дек-23, (201) Останется, как минимум еще и Haiku, а для настольного компьютера она по перспект, Tita_M (ok), 10:43 , 06-Дек-23, (37) +1 // Если уж решил набрасывать, то хотя бы про reactos пиши , Аноним (6), 10:49 , 06-Дек-23, (40) +2 Про Redox, Аноним (194), 13:59 , 07-Дек-23, (195) +1 если reactos дать половину бюджета города-героя Севатополя - там в 3 года все им, Akteon (?), 14:52 , 07-Дек-23, (198) А как же NetBSD , Штыбель (?), 11:55 , 07-Дек-23, (186) Есть FreeBSD, illumos, кошерный Linux никуда не денется , Аноним (189), 12:22 , 07-Дек-23, (189) Федройд , Фёдор робот (?), 12:02 , 06-Дек-23, (59) Fedora becomes secure Evil maid никто не отменял Все ваши secure boot и шифрован, birdie (ok), 12:36 , 06-Дек-23, (72) // а если можно подменить boot efi то что уже безопасно , penetrator (?), 14:54 , 06-Дек-23, (106) // В EFI все подписано уже лет 5 С разморзкой , Аноним (71), 19:49 , 06-Дек-23, (128) В случае windows - больше 10 лет Первая ОС с подписанным загрузчиком была window, Аноним (71), 19:51 , 06-Дек-23, (129) Ага, прям таак подписанно что ух как подписанно Недавно с fwupdate прилетело уда, Аноньимъ (ok), 20:37 , 06-Дек-23, (139) –1 А что удивляет Там профакали энное количество ключей И еще майкрософт смог под, Аноним (-), 14:11 , 08-Дек-23, (213) а разве шим не запускает все что угодно раньше так было и внезапноsbverify --, penetrator (?), 20:54 , 06-Дек-23, (143) Нет, shim не может физически запустить всё что угодно, если secure boot включен , Аноним (71), 11:21 , 07-Дек-23, (181) Боже храни Slackware , Аноним (6), 09:54 , 06-Дек-23, (4) +11 // Патрик скоро в другой мир уйдет, что делать будут , Аноним (11), 10:18 , 06-Дек-23, (14) +3 // Патрик не старше Линуса , Аноним (18), 10:22 , 06-Дек-23, (18) Форум никто не отменял Благо, что у этого дистрибутива полно идейных фанатов , Васисуалий (?), 10:24 , 06-Дек-23, (20) // Форки , Васисуалий (?), 10:25 , 06-Дек-23, (21) Не нужно переоценить идейных фанатов Вон у Gtk2, Gnome2 сколько таких было и то, Аноним (11), 12:40 , 06-Дек-23, (76) +1 Они умерли по совсем другим причинам По примерно тем же, что и Windows 98 , Аноним (-), 13:29 , 06-Дек-23, (88) +1 Я раньше уйду судя по возрасту А после хоть потоп Этот мир все равно неизлечим, Аноним (6), 10:38 , 06-Дек-23, (35) Боже, храни Devuan , Аноним (18), 10:22 , 06-Дек-23, (17) –3 // Это тот же дебиан но с другой системой инициализации , Васисуалий (?), 10:25 , 06-Дек-23, (23) и Gentoo , ryoken (ok), 10:27 , 06-Дек-23, (27) +1 // Скрыто модератором, Аноним (-), 10:44 , 06-Дек-23, (38) Ту самую генту, основатель которой сам не пользуется линуксом , Аноним (42), 10:54 , 06-Дек-23, (42) +1 Линус тоже пользуется линепсом исключительно в виртуалке на своем макпук про Ли, Аноним (6), 11:02 , 06-Дек-23, (45) –1 да и там его стараются обмазать цатью слоями абстракции, чтобы с этой хтонь, User (??), 12:01 , 06-Дек-23, (58) Скрыто модератором, Аноним (-), 13:46 , 06-Дек-23, (97) –2 На роутерах Линукс без контейнеров Контейнеры - это у proприерастов-тыртырпрайз, Аноним (113), 17:41 , 06-Дек-23, (113) Угу Вот только на роутерах его трогают через метровую палку уеб-интерфейса или , User (??), 19:27 , 06-Дек-23, (125) ssh, telnetИменно Линукс, без ГНУ , с busybox вместо привычных для десктопа core, Аноним (113), 20:27 , 06-Дек-23, (136) или какого сильно-кастомного-cli забыли, да Фигурное цитирование такое фигурн, User (??), 21:40 , 06-Дек-23, (147) Да вон в опенврт - обычный бизибокс, чего в нем такого уж кастомного На всяких , Аноним (-), 14:14 , 08-Дек-23, (214) Так кому этот опенврот нужен-то А цепляешься по ссх к какому прости осспыдя зух, User (??), 15:28 , 08-Дек-23, (218) Ты если генерируешь бред, то генерируй хоть что-нибудь смешное Можешь найти ег, my_name_is_Mud (ok), 12:06 , 06-Дек-23, (63) +2 не помню я чтобы фредриппер в маки завезли, penetrator (?), 14:56 , 06-Дек-23, (107) У меня Арч на ноуте дцать лет работает Всё настроил, автоматизировал - прелесть, Аноним (113), 17:44 , 06-Дек-23, (114) Прям так хорошо набросил, что даже троллить лень , Аноним (-), 18:52 , 06-Дек-23, (122) +2 На удивление полезная инициатива Уже и так использую такой uefi образ , Аноним (26), 10:25 , 06-Дек-23, (22) –1 // Жму руку Тоже дивишься от уровня тех подкованности местных анонимусов , vlad1.96 (ok), 12:07 , 06-Дек-23, (64) Подскажите, с целью повышения уровня образованности А вроде же можно собссно ве, ryoken (ok), 10:28 , 06-Дек-23, (28) // Можно,но будет медленно работать , Аноним (41), 10:50 , 06-Дек-23, (41) // А что именно будет медленно Запускаться Ну это терпимо, современные накопите, ryoken (ok), 11:09 , 06-Дек-23, (48) Можно, но не нужно Так же можно зуб выдернуть через разрез в щеке , Аноним (11), 12:41 , 06-Дек-23, (77) Так вроде так и есть в некоторых дистрибутивах По крайней мере точно помню, что, Пряник (?), 13:39 , 06-Дек-23, (92) Не только можно, но и нужно Правда нужно уметь готовить ядро линукс, и понимат, anonymos (?), 20:30 , 07-Дек-23, (207) // EFI Stub поддерживается с 3 10 версии Если взять мой любимый rEFInd в качестве б, ryoken (ok), 08:28 , 08-Дек-23, (208) Ну если ключи, то выгодополучатели понятны Смотрю, они эти овладения как бы в р, Ю.Т. (?), 10:35 , 06-Дек-23, (32) –2 // Этот кажется о чем-то догадывается 8230 , Аноним (6), 10:37 , 06-Дек-23, (33) +4 Да да ты понял что такое окно Овертона , Аноним (46), 11:02 , 06-Дек-23, (46) о, типичный иксперт вылез, для которого любая криптография - непонятная хрень, Аноним (229), 11:37 , 10-Дек-23, (230) +1 Контроль хомячков он такой Сначала типа фишка, потом принудиловка, а потом неудо, Аноним (34), 10:37 , 06-Дек-23, (34) +5 // А ты думаешь почему в американской военке до сих пор используют 8 дюймовые диске, Аноним (6), 10:41 , 06-Дек-23, (36) +4 // Потому что переделывать систему ядерного щита дорого А результат обороноспособн, Аноним (46), 11:00 , 06-Дек-23, (43) // Ракеты и ПВО это вечная гонка меча и щита , Аноним (6), 11:04 , 06-Дек-23, (47) Ну допустим 8 дискеты убрали в 2019 году, но единственная межконтинентальная рак, Аноним (46), 11:13 , 06-Дек-23, (49) Не в обиду, но как показали натурные испытания, PAC-3 какого там года - сносит , Аноним (-), 15:51 , 08-Дек-23, (222) –2 не совсем так, разрядность данных нужна огромная и скорость обработки плюс очеви, anonymous (??), 12:41 , 06-Дек-23, (78) –1 Не выдумывайте Там не скорость а система реального времени Многое считает ана, Аноньимъ (ok), 20:45 , 06-Дек-23, (142) –2 Прикольная опечатка И таки нет - ЭТО амеры давно уже выкинули нафиг В силу ник, Аноним (-), 16:12 , 08-Дек-23, (224) По спутникам есть жёсткие соглашения Но вообще, могут грохнуть От конкретных ц, Аноньимъ (ok), 16:51 , 08-Дек-23, (226) Ну вы же уже не собираете из исходников, а качаете из репов бинари в пакетах , FF (?), 11:01 , 06-Дек-23, (44) –2 // кое-кто сделал сборку из исходников ресурсозатратным и неподъёмным занятием , Аноним (60), 12:04 , 06-Дек-23, (60) Это контроль лютого решета, которым является initrd на данный момент Fedora оста, birdie (ok), 12:37 , 06-Дек-23, (75) Я вообще удивляюсь, что неудобная страна вообще как-то существует то сборки на , Аноним (-), 21:23 , 06-Дек-23, (146) Ещё один бред для десктопной системы Переписать эти образы, без root нельзя И , Витюшка (?), 12:05 , 06-Дек-23, (61) +2 // flatpak, snap, appimage , pic (?), 12:23 , 06-Дек-23, (67) // и всё кривое и вендорлочное, ага, спасибо, vitalif (ok), 12:27 , 06-Дек-23, (69) // Не благодари, сам бы ты не смог, да и за 30 лет тоже мало кто захотел , pic (?), 12:36 , 06-Дек-23, (74) никто не запрещает поднимать свои репозитории флатпака, а аппимадж вообще просто, emdash (?), 13:53 , 06-Дек-23, (98) ну да, про аппимейдж я конечно загнул, он нормно всю систему в него если запихну, vitalif (ok), 01:01 , 07-Дек-23, (159) Кто же вам виноват что вы ключи в нешифрованом виде держите, Прыгающий Ленивец (?), 19:53 , 06-Дек-23, (130) // А при чём тут это А остальные данные Или вы предлагаете хранить 100500 паролей, Витюшка (?), 13:48 , 07-Дек-23, (192) Про пространства имен в ядре не слышал Про eBPF Хочешь, хоть обызолируйся, дар, Аноним (113), 20:44 , 06-Дек-23, (141) // Про медь и железо слышал Хоть обстройся космических кораблей и самолётов Где , Витюшка (?), 13:33 , 07-Дек-23, (191) // https github com containers bubblewrap https github com flatpak flatpak http, Аноним (225), 16:21 , 08-Дек-23, (225) Это как сказать что для построения базы данных всё есть - функции read и write , Витюшка (?), 13:51 , 07-Дек-23, (193) Утром встанешь - usr набок ,а sbin взъерошена , Аноним (57), 12:06 , 06-Дек-23, (62) +5 Скрыто модератором, Аноним (-), 12:43 , 06-Дек-23, (80) Это как-то поможет с проблемами с неподписанными модулями Virtualbox при использ, Аноним (83), 13:07 , 06-Дек-23, (83) Я во всём этом вижу единственный плюс Образ можно будет стартануть прямо из UEFI, Tron is Whistling (?), 15:14 , 06-Дек-23, (108) // Вот прям сейчас можешь собрать dracut ом --hostonly --uefi boot EFI linux efi , Аноним (113), 17:55 , 06-Дек-23, (116) +1 // Ну так это и есть унифицированный UKI внезапно Что до подписей, подписи сбоку, е, Tron is Whistling (?), 00:30 , 07-Дек-23, (157) // Унифицированным он будет, когда из пакетного менеджера для всех одинаковый приле, Аноним (113), 01:26 , 07-Дек-23, (162) В принципе тоже давно пора - в образ таки запихивать все модули, как минимум для, Tron is Whistling (?), 10:35 , 07-Дек-23, (177) Ты это можешь сделать прямо сейчас Ядро поддерживает загрузку прямо из uefi У , Свидетель секты коры дуба (?), 00:20 , 07-Дек-23, (155) +1 // Ядро загрузку из UEFI давно поддерживало Проблема всегда была в выносном initr , Tron is Whistling (?), 00:35 , 07-Дек-23, (158) –1 Во как Целая корпорация слушается и идёт на поводу у какого-то энтузиаста Это , Аноним (112), 17:36 , 06-Дек-23, (112) –2 // я до сих пор не понимаю, откуда взялся этот человек и почему всего его слушают, , crypt (ok), 23:11 , 06-Дек-23, (149) –1 // потому что этот человек предлагает и главное, реализует отличные идеи, в отличие, Аноним (229), 11:43 , 10-Дек-23, (231) +1 Как ради интересов нескольких корпорастов усложнить жизнь всем пользующим ОС не , Аноним (120), 18:50 , 06-Дек-23, (120) +1 Удивительно, как полные ид-ты в безопасности не хотят ее И после этого меня увер, Аноним (71), 19:58 , 06-Дек-23, (131) // Зачем линуксоиду самому от себя защищаться Он пока в здравом уме И железо испо, Аноним (113), 20:37 , 06-Дек-23, (140) +1 Тем, кому надо, шифруют диск и где попало его не бросают, а загрузчик на отдельн, Аноним (113), 20:54 , 06-Дек-23, (144) // то есть ты не понял суть UKI вообще, ноль, зиро, Аноним (229), 11:46 , 10-Дек-23, (232) Забавно Линуксоиды жалуются, потому что их ограничили Виндузнятники - потому ч, crypt (ok), 23:18 , 06-Дек-23, (150) // Пока что даже в первом приближении не сделали Линепс как был неюзабельным на де, Свидетель секты коры дуба (?), 00:17 , 07-Дек-23, (154) +1 // ну что значит не сделал в первом приближении BSOD есть есть https www open, crypt (ok), 14:04 , 07-Дек-23, (197) –1 ты дальше названия-то хоть прочитал, трепло , Аноним (229), 11:47 , 10-Дек-23, (233) Я линуксоид, не жалуюсь, всем доволен А виндузятники всё время стонут, у них ка, Аноним (113), 01:28 , 07-Дек-23, (163) +1 // ну жди, когда тебе Поттер очередной д-сервис впиндюрит , crypt (ok), 08:30 , 07-Дек-23, (173) пока что все, что он сделал - прекрасно работает и делает жизнь линуксоида лучше, Аноним (229), 11:48 , 10-Дек-23, (234) Дык как видишь, за какие-нибудь btrfs zfs что там - лучше всего знают те кто ими, Аноним (-), 14:41 , 08-Дек-23, (217) Сиди Джо, сиди , mos87 (ok), 12:56 , 07-Дек-23, (190) да много вас таких - даже не знаете что Linux спокойно работает без initrd, Аноним (68), 23:18 , 06-Дек-23, (151) –1 // Линyпс и на втором пне 171 работает 187 Только работой это можно назвать ве, Аноним (165), 03:03 , 07-Дек-23, (165) Иииии какое отношение этот факт имеет к вопросам безопасности в linux, озвученны, User (??), 07:53 , 07-Дек-23, (171) +1 аналог для linuxhttps github com heki-linuxкак отключить в вендеhttps www te, Аноним (68), 09:57 , 07-Дек-23, (175) // Спасибо, а когда в mainline Через 15 лет , Аноним (71), 11:23 , 07-Дек-23, (182) // зачем тебе майнлайн на гитхабе корпорации сотрудниками корпорации написано, бе, Аноним (68), 11:48 , 07-Дек-23, (185) При вызове образа UKI из UEFI предоставляется возможность проверки целостности , Kuromi (ok), 18:48 , 07-Дек-23, (206) –1 // Скрыто модератором, крокодил мимо.. (?), 13:11 , 09-Дек-23, (228) кто тебе мешает своим ключом подписать, трепло , Аноним (229), 11:50 , 10-Дек-23, (235) 1,3,4,22,28,32,34,61,62,83,108,112,120,131,206

Сообщения

[Сортировка по времени | RSS]

	2. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+7 +/–
	Сообщение от llolik (ok), 06-Дек-23, 09:51
	Ну, по стандарту, как я понял, UEFI должен уметь прописывать собственные ключи. Инструмент для создания вот этого самого UKI тоже есть. Т.е., опять-же если я правильно понял, берёшь собираешь этот самый UKI из нужного тебе загрузчика-ядра-initrd -> подписываешь его СВОИМ ключом -> заносишь этот ключ в доверенные UEFI. И, по идее, должно работать. Ну, как-минимум, я так понял. upd. Собственно, от автора https://0pointer.de/blog/brave-new-trusted-boot-world.html (раздел UKI Generation)
	Ответить | Правка | Наверх | Cообщить модератору

	5. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+/–
	Сообщение от Werwolf (ok), 06-Дек-23, 09:55
	> собираешь этот самый UKI из нужного тебе загрузчика-ядра-initd -> подписываешь его СВОИМ ключом -> заносишь этот ключ в доверенные UEF ну тоесть всё так же как и было.. и в чём тогда новшество кроме того что в /boot будет лежать один файл а не два.. вернее сказать на один файл для каждого ядра меньше..
	Ответить | Правка | Наверх | Cообщить модератору

	7. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	–1 +/–
	Сообщение от llolik (ok), 06-Дек-23, 10:04
	Так борются с подменой initrd-образа, вроде как. Теперь если и он ключём не заверен, в составе UKI образа, то загрузка обломится. На сейчас, насколько я понимаю, он не валидируется от слова никак.
	Ответить | Правка | Наверх | Cообщить модератору

	8. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+/–
	Сообщение от Werwolf (ok), 06-Дек-23, 10:07
	насколько я помню сенйчас валидируется не образ а то что из образа дёргает ядро, т.е. модули и бинарники.. только вот пишу я это и уверенность пропадает, надо бы почитать..
	Ответить | Правка | Наверх | Cообщить модератору

	15. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+5 +/–
	Сообщение от tty0 (?), 06-Дек-23, 10:19
	Подскажите, а когда было что то крупное с атакой с подменой образа на компьютеры с т. линуксом?
	Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору

	30. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+15 +/–
	Сообщение от Васисуалий (?), 06-Дек-23, 10:29
	Никогда. Но кому-то же надо имитировать бурную деятельность типа этого коллективного «поттеринга», который то и дело, что изобретает велосипеды с подачи миллиардных корпораций.
	Ответить | Правка | Наверх | Cообщить модератору

	57. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+5 +/–
	Сообщение от Аноним (57), 06-Дек-23, 12:01
	Или искусственно ограничивает платформу, чтобы все ждали очередной systemd-initpackd и не рыпались дёргать cpio. В GNOME уже давно такое сплошь и рядом.
	Ответить | Правка | Наверх | Cообщить модератору

	111. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+1 +/–
	Сообщение от Аноним (111), 06-Дек-23, 17:23
	Обязательно нужно что-то крупное? А если по тихому ломают зашифрованные диски то это по вашему не считается?
	Ответить | Правка | К родителю #15 | Наверх | Cообщить модератору

	215. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+/–
	Сообщение от Аноним (-), 08-Дек-23, 14:18
	> Подскажите, а когда было что то крупное с атакой с подменой образа > на компьютеры с т. линуксом? Вообще - недавно стал летать буткит - который - тадам! загружается используя какую-то хтонь подписаную валидным ключом майкрософта :)). Видимо вот и стали чесаться - блестящий замок висел на калитке. Вася не заметил замок, пнул калитку, ржавая дужка и отвалилась, вместе с замком.
	Ответить | Правка | К родителю #15 | Наверх | Cообщить модератору

	68. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	–1 +/–
	Сообщение от Аноним (68), 06-Дек-23, 12:25
	> Так борются с подменой initrd-образа, вроде как. Теперь если и он ключём не заверен, в составе UKI образа, то загрузка обломится. На сейчас, насколько я понимаю, он не валидируется от слова никак. ты не брат поттеринга ? https://wiki.gentoo.org/wiki/Custom_Initramfs#Embedding_into...
	Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору

	84. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+/–
	Сообщение от Ананимус (?), 06-Дек-23, 13:20
	> Now compile the kernel it will automatically put the files into a cpio archive and embed it into the kernel image. Тебе ядро пересобирать каждый раз нужно.
	Ответить | Правка | Наверх | Cообщить модератору

	91. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+/–
	Сообщение от Аноним (68), 06-Дек-23, 13:38
	> ядро пересобирать каждый раз нужно если не удалять результат сборки - нет, если нужные модули известны и статически слинкованы проблем ещё меньше - никакой initrd/initramfs вообще не нужны
	Ответить | Правка | Наверх | Cообщить модератору

	115. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+/–
	Сообщение от Ананимус (?), 06-Дек-23, 17:50
	> если не удалять результат сборки - нет, если нужные модули известны и статически слинкованы проблем ещё меньше - никакой initrd/initramfs вообще не нужны То есть ты предлагаешь тащить непожатые объектники в пакете чтобы что?
	Ответить | Правка | Наверх | Cообщить модератору

	118. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+/–
	Сообщение от Аноним (68), 06-Дек-23, 18:25
	> То есть ты предлагаешь тащить непожатые объектники в пакете нет
	Ответить | Правка | Наверх | Cообщить модератору

	152. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+/–
	Сообщение от Ананимус (?), 06-Дек-23, 23:19
	> Нет Тогда смысл твоего предложения не ясен. Собирать ядро на пользовательских машинах — упоротое безумие.
	Ответить | Правка | Наверх | Cообщить модератору

	153. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+/–
	Сообщение от Аноним (68), 06-Дек-23, 23:42
	> Тогда смысл твоего предложения не ясен. сходи по ссылке, прочитай, может дойдёт что не нужен никакой отдельный initrd который надо "защищать от подмены" всё прекрасно работает с initramfs слинкованой с ядром и для загрузчика это один подписаный файл, кстати какие ты там "тащить непожатые объектники в пакете" придумал - во первых пакетики это и есть пожатые архивы так и ядро собирают дистрибьютеры, куда что и зачем тащить ?
	Ответить | Правка | Наверх | Cообщить модератору

	196. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+/–
	Сообщение от Ананимус (?), 07-Дек-23, 14:04
	> сходи по ссылке, прочитай, может дойдёт что не нужен никакой отдельный initrd который надо "защищать от подмены" всё прекрасно работает с initramfs слинкованой с ядром Ещё раз... Чтобы влинковать initramfs в ядро тебе нужно перелинковывать ядро, потому что initramfs это просто ещё один блоб, который в него пихается на стадии линковки: https://elixir.bootlin.com/linux/latest/source/usr/initramfs.... Для этого тебе нужно тащить сборочную инфраструктуру и попрощаться с подписью модулей. > и для загрузчика это один подписаный файл, кстати какие ты там "тащить непожатые объектники в пакете" придумал - во первых пакетики это и есть пожатые архивы так и ядро собирают дистрибьютеры, куда что и зачем тащить ? Тащить затем что однажды ты захочешь поменять опции modprobe и тебе нужно будет пересобрать initrd.
	Ответить | Правка | Наверх | Cообщить модератору

	200. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+/–
	Сообщение от Аноним (68), 07-Дек-23, 15:20
	> Чтобы влинковать initramfs в ядро тебе нужно перелинковывать ядро достаточно через dd впердолить новый имидж фс обратно по тому же адресу где было https://wiki.gentoo.org/wiki/Custom_Initramfs#Salvaging главное чтобы старый был больше или равен новому :) но это несложно - там наверняка будет целая куча модулей которые тебе никогда не понадобятся. Мне больше непонятно - в свои дистрибутивные UKI они планируют все модули ядра запихивать ? > Для этого тебе нужно тащить сборочную инфраструктуру она и сейчас всегда тащится - свои модули без неё не соберёшь > и попрощаться с подписью модулей это ещё почему https://ubuntu.com/blog/how-to-sign-things-for-secure-boot мне так то пофиг - пусть что хотят делают, на андроиде тоже давно отказались от linux со встроенной initramfs и сделали свои порноимиджи, я этими поделками всё равно не планирую пользоваться
	Ответить | Правка | Наверх | Cообщить модератору

	202. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	–1 +/–
	Сообщение от Ананимус (?), 07-Дек-23, 15:52
	> достаточно через dd впердолить новый имидж фс обратно по тому же адресу где было Не, недостаточно, если он стал больше. > главное чтобы старый был больше или равен новому :) но это несложно - там наверняка будет целая куча модулей которые тебе никогда не понадобятся. Мне больше непонятно - в свои дистрибутивные UKI они планируют все модули ядра запихивать ? UKI это просто vmlinuz + initramfs.
	Ответить | Правка | К родителю #200 | Наверх | Cообщить модератору

	203. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+/–
	Сообщение от Аноним (68), 07-Дек-23, 16:12
	> UKI это просто vmlinuz + initramfs изначальный смысл этого initrd/initramfs - держать там модули ядра которые нужны для доступа к носителю и фс носителя с корневой фс чтобы не линковать все возможные модули статически - иначе ядро будет огромное с кучей ненужных неудаляемых модулей в ОЗУ, так как тот кто собирает дистр не знает какое у тебя железо и какаую фс ты веберешь initrd собирают на машине куда устанавливают, теперь вопрос - сейчас они все возможные модули будут запихивать в initrd при сборке _своего_ подписанного UKI ?
	Ответить | Правка | К родителю #202 | Наверх | Cообщить модератору

	204. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+/–
	Сообщение от Ананимус (?), 07-Дек-23, 16:43
	>> UKI это просто vmlinuz + initramfs > изначальный смысл этого initrd/initramfs - держать там модули ядра которые нужны для > доступа к носителю и фс носителя с корневой фс чтобы не > линковать все возможные модули статически - иначе ядро будет огромное с > кучей ненужных неудаляемых модулей в ОЗУ, так как тот кто собирает > дистр не знает какое у тебя железо и какаую фс ты > веберешь initrd собирают на машине куда устанавливают, теперь вопрос - сейчас > они все возможные модули будут запихивать в initrd при сборке _своего_ > подписанного UKI ? UKI собирается на твоей машине из vmlinuz и того что дракут нагенерил. То есть относительно vmlinuz + initramfs не меняется буквально ничего.
	Ответить | Правка | К родителю #203 | Наверх | Cообщить модератору

	205. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+/–
	Сообщение от Аноним (68), 07-Дек-23, 16:57
	> UKI собирается на твоей машине из vmlinuz и того что дракут нагенерил. То есть относительно vmlinuz + initramfs не меняется буквально ничего. тогда расходимся, на новость не тянет
	Ответить | Правка | К родителю #204 | Наверх | Cообщить модератору

	209. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+/–
	Сообщение от Аноним (-), 08-Дек-23, 12:51
	> Ещё раз... Чтобы влинковать initramfs в ядро тебе нужно перелинковывать ядро, потому > что initramfs это просто ещё один блоб, который в него пихается Ты чего-то не понял в этой жизни: initrd можно пристыковать за кернелом в тот же файл. И в принципе - если в конфиге ядра разрешено искать initrd за кернелом - он подхватится. Но это имеет смысл только от глупых бутлоадеров, которые умет initrd но не умебт > на стадии линковки: https://elixir.bootlin.com/linux/latest/source/usr/initramfs.... Теперь изучи ВСЕ опции цеплять initrd, чудик. Правда, вон том фокус никак не адресует проверку подписей, и если так решено - все равно подписывать каким-то известным ключем - придется. И большой вопрос скушает ли предыдущая фаза секурбута кернел к которому пристыкован initrd, как валидную подпись. Бинарник то чисто технически уже другой. > Для этого тебе нужно тащить сборочную инфраструктуру и попрощаться с подписью модулей. Или не нужно. А подписи можно и свои навесить, вместо того чтобы доверять кому-то постороннему. >> и для загрузчика это один подписаный файл, кстати какие ты там >> "тащить непожатые объектники в пакете" придумал - во первых пакетики это >> и есть пожатые архивы так и ядро собирают дистрибьютеры, куда что и зачем тащить ? Есть еще опция подшить к кернелу initrd, закопировав его за кернелом. Но я честно говоря не проверял как это с секурбутами будет взаимодействовать, есть шансы что подпись отъедет. Можно так же и DTB прицеплять, там где это актуально.
	Ответить | Правка | Наверх | Cообщить модератору

	104. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+/–
	Сообщение от penetrator (?), 06-Дек-23, 14:50
	засунь /boot на шифрованный раздел все уже давно придумали осталось контролировать целостность /boot/efi а для этого нужно доверять железу и прошивкам, а ему доверия 0 так зачем изобретать колесо?
	Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору

	6. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+9 +/–
	Сообщение от Аноним (6), 06-Дек-23, 09:56
	> подписываешь его СВОИМ ключом Для запуска для себя на своем железе? Уже звучит как сюр.
	Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

	9. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+1 +/–
	Сообщение от Werwolf (ok), 06-Дек-23, 10:10
	В Tumbleweed с недавних пор так с гейвидией. модуль собирается и подписывается после установки конечно сам, но после ребута сам в mokmanager ручками будь добр заверь что ты ему доверяешь или хрен тебе а не видеодрайвер и графика.. там был долгий спор в багзилле в результате которого решили что лучше так.
	Ответить | Правка | Наверх | Cообщить модератору

	105. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+2 +/–
	Сообщение от penetrator (?), 06-Дек-23, 14:51
	достаточно не включать secureboot и все будет нормально ничего не надо будет подписывать
	Ответить | Правка | Наверх | Cообщить модератору

	12. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	–6 +/–
	Сообщение от llolik (ok), 06-Дек-23, 10:17
	>> подписываешь его СВОИМ ключом > Для запуска для себя на своем железе? Уже звучит как сюр. На входной двери в ТВОЮ квартиру замок с ТВОИМИ ключами есть?
	Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

	16. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+/–
	Сообщение от tty0 (?), 06-Дек-23, 10:21
	Ну если у тебя компьютер размером с квартиру, тогда да, тебе такое решение подходит
	Ответить | Правка | Наверх | Cообщить модератору

	31. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	–2 +/–
	Сообщение от llolik (ok), 06-Дек-23, 10:31
	> Ну если у тебя компьютер размером с квартиру, тогда да, тебе такое > решение подходит Ну, я так понял, RH хочет создать полностью доверенную цепочку загрузки. Не то, чтобы меня сильно радовало усложнение процесса (как по треду может показаться). Но, как-минимум, возможность контроля не отнимают и в закрытую прошивку сабж не превращается. Вначале, когда тему представили, у меня тоже нормально так подгорело. Потом почитал, пощупал - вроде не всё так страшно, как казалось, и стул перестал обугливаться.
	Ответить | Правка | Наверх | Cообщить модератору

	135. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+1 +/–
	Сообщение от Аноньимъ (ok), 06-Дек-23, 20:24
	Для доверенной цепочки нужно вначале uefi выкинуть к чертям собачим. Дальше ничто не мешает подписать что угодно, хоть тот же груб. Который может верефецировать что он там дальше грузит. Проблемы то нет как таковой. Кроме той что uefi оказалась не совсем unified. А вернее совсем не unified. А скорее вендорлокед. И unified только в смысле гигансткой дыры безопасности когда ос и юзер спейс может в этот uefi писать произвольную дичь.
	Ответить | Правка | Наверх | Cообщить модератору

	220. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+/–
	Сообщение от Аноним (-), 08-Дек-23, 15:34
	> Дальше ничто не мешает подписать что угодно, хоть тот же груб. Который > может верефецировать что он там дальше грузит. > Проблемы то нет как таковой. Ага, кроме того что изначально кернелу было вообше довольно пофиг что запускать. Ну народ в свое время и разлочил какой-то моторольский телефон с клавиатурой на Ti OMAP в хламину. Не, загрузчик там конечно подписан, и что попало не запускает. ...но сделать kexec() на воооооон то ядро, уже без подписей, это не мешало... так что у сарая нет пары стен, но, вот, когда ветер начинает солому гонять - начинают достраивать стены.
	Ответить | Правка | Наверх | Cообщить модератору

	65. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+/–
	Сообщение от Бывалый смузихлёб (?), 06-Дек-23, 12:14
	Огораживание хомяков в линуксах истинными его владельцами( собсно, жирнющие корпорации-"спонсоры" ) идёт прямо-таки по плану Постепенно доработают системы контроля целостности во время исполнения, ещё пару плюх подсыпят И "вдруг" на основных устройствах пропадёт возможность добавлять свой ключ. Вроде бы мелочь, а вроде бы - огороженность превысит даже яблочную И, при кажущейся открытости исходников, толку с них окажется немного, ведь вдруг станет крайне важно кто заверяет и проверят результат, или не делает этого ведь система не соответствует неназванным критериям. А с жалобами об этом - можно будет в спортлото идти
	Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

	70. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+/–
	Сообщение от а што не так (?), 06-Дек-23, 12:30
	Вы по ssh тоже без авторизации заходите? А то звучит как сюр авторизоваться на своем компьютере.
	Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

	85. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+3 +/–
	Сообщение от Аноним (-), 06-Дек-23, 13:25
	> Вы по ssh тоже без авторизации заходите? А то звучит как сюр авторизоваться на своем компьютере. А нафига на домашнем компе пароли и вся эта хрень, если к компу кроме меня физически никто не имеет доступ? Ведь выше речь именно про домашнее железо и домашнее использование.
	Ответить | Правка | Наверх | Cообщить модератору

	124. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+/–
	Сообщение от Аноним (68), 06-Дек-23, 19:25
	> А нафига на домашнем компе пароли и вся эта хрень, если к компу кроме меня физически никто не имеет доступ? подклчение к инету есть значит не ты один имеешь доступ.
	Ответить | Правка | Наверх | Cообщить модератору

	156. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+/–
	Сообщение от Свидетель секты коры дуба (?), 07-Дек-23, 00:26
	Инет у 99% юзверей за nat провайдера + nat вайфай роутера, и у тебя тоже, так что спи спокойно.
	Ответить | Правка | Наверх | Cообщить модератору

	160. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+/–
	Сообщение от Аноним (68), 07-Дек-23, 01:10
	> Инет у 99% юзверей за nat провайдера + nat вайфай роутера и как это должно помочь - nat определит вредный код или не вредный устанавливает соединение с внешним ресурсом с твоего компьютера ?
	Ответить | Правка | Наверх | Cообщить модератору

	94. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	–1 +/–
	Сообщение от Аноним (94), 06-Дек-23, 13:41
	Это касается только юзеров с включенным secureboot, к коим ты явно не относишься.
	Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

	93. "В Fedora 40 намечена реализация второй стадии внедрения унив..."	+1 +/–
	Сообщение от _oleg_ (ok), 06-Дек-23, 13:39
	И в чём смысл такой "защиты"? У кого есть доступ к системе, могут всё это проделать и организовать загрузку вредоносного initrd без проблем.
	Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема