Re: Как правильно подписывать пропиетарный драйвер nvidia для secureboot?
В Wed, 1 Feb 2023 21:46:59 +0200
Alexander Gerasiov <a@gerasiov.net> пишет:
> On Wed, 1 Feb 2023 18:12:59 +0300
> Victor Wagner <vitus@wagner.pp.ru> wrote:
>
> > В Wed, 1 Feb 2023 16:42:47 +0200
> > Alexander Gerasiov <a@gerasiov.net> пишет:
> >
> >
> > > Пароль можно добавить, но в моей модели угроз он не нужен. Для
> > > меня secureboot это гарантия, что на моем хосте нельзя забутить
> > > другую ОС и/или подменить ядро/загрузчик получив физический
> > > доступ к ноутбуку.
>
> В случае физического доступа получить доступ к данным не получится
> (так как они зашифрованы), но можно залить модифицированный
> загрузчик/ядро/инитрамфс, так как что-то из этого должно
> лежать на диске не зашифрованное.
О, наконец мне кто-то объяснил зачем может быть нужна на ноутбуке full
disk encryption - она защищает от подмены user-space бинарников,
которые не защищает secureboot.
Так-то я всегда полагал что FDE это вещь скорее вредная, чем полезная,
потому что является ярким сигналом "здесь есть что-то ценное". И
провоцирует нашего противника на применение терморектального (или, в
случае толетантных демократических стран rubber hose) крипоанализа.
Гораздо лучше было бы, если бы для того чтобы браузить интернет,
вводить пассфразу для расшифровки тех данных, которые мы хотим скрыть
от всего мира, не требовалось бы. Мы тут котиков смотрим. а данные себе
лежат зашифрованные. И даже таможенник на границе, решивший проверить
компьютер, их, скорее всего просто не найдет.
Но вот для того, чтобы избежать подмены /usr/bin/ls или /bin/echo, увы,
необходима либо сквозная система подписи исполняемых файлов с цепочкой
доверия от BIOS до последнего скрипта, либо таки да, FDE.
--
Victor Wagner <vitus@wagner.pp.ru>
Reply to: