Re: Как правильно подписывать пропиетарный драйвер nvidia для secureboot?
On 2/1/23 13:52, Victor Wagner wrote:
А DKMS это вообще паллиатив. Если мы используем DKMS, значит мы хотим
использовать какие-то лиценизонно не совместимые с мейнлайн-ядром
модули. Потому что если бы они были совместимы, был бы готовый пакет.
То есть по хорошему счету, используя DKMS мы сразу говорим "мы тут
доверяем какому-то левому коду исполняться в контексте ядра"
DKMS как система сборки тут ни при чём. Это никак не отменяет наличия общественно доступных ключей,
которым доверяет BIOS.
Даже если я не использую DKMS, злоумышленник сможет подсунуть мне подписанный драйвер, собранный у
него на компьютере и подписанный тем самым публичным ключом.
Или я что то не понимаю в системе подписи и доверия?
Да, это конечно иногда наименьшее зло. Но, возможно что авторы DKMS
именно так и рассудили, что снявши голову по волосам не плачут, и если
мы используем dkms-модули вместе с secureboot, secureboot нам нужен не
для безопасности, а для чего-то ещё (чтобы там TPM работал или чтобы
какие-нибудь сертифицирующие органы отвязались).
Как говорил один мой знакомый безопасник: Безопасность это не конечная точка, это процесс и больше
градация, чем "да" или "нет".
Чем сложнее получить доступ к данным, тем безопаснее.
SecureBoot усложняет доступ злоумышленникам. И то что нам не нравится, это то, что это усложнение
недостаточно сложно.
Мы можем рассуждать и ругать существующую ситуацию, или можем прийти к какому нибудь выводу, схеме,
решению, которое может быть лучше, чем то что есть в данный момент.
И начать пинать мейнтейнеров.
--
Тимур
Reply to: