Re: UEFI Secure Boot => Kernel Lockdown => kein Tiefschlaf. Warum?
Ulf Volmer - 06.03.21, 13:59:51 CET:
> On 06.03.21 12:48, Martin Steigerwald wrote:
> > Ähnliches gilt für signierte Kernel und Kernel-Module. Wenn jemand
> > Root- Rechte auf meinem System hat, warum soll es mich dann noch
> > interessieren, wenn er irgendwelche Kernel-Module laden kann, die
> > nicht signiert sind?
>
> Prinzipiell hat der Kernel halt höhere Rechte als der root User.
> Insofern ist der Lockdown da meiner Einschätzung nach nicht so
> verkehrt.
Was für konkrete Vorteile hat das? Was ist hier das konkrete (!)
Angriffs-Szenario, vor dem das schützen soll? Was zum Geier interessiert
mich der Kernel? Dort habe ich keine sensiblen Daten gespeichert. Mich
interessiert die Integrität des Gesamt-Systems, aber ich muss den Kernel
nicht vor mir selbst beschützen.
> Und die Kenntniss des LUKS Passworts hat auch nichts mit root Rechten
> zu tun. Das kennen hier auch User, die keine root- Rechte haben.
Sicherlich… aber in Bezug auf die Daten, ist es für mich dasselbe,
inwiefern jemand das LUKS-Passwort weiß oder *bei laufendem* System
Zugriff auf Root oder den gewünschten Benutzer erlangt. Also ja,
Benutzer-Zugriff zählt hier natürlich auch dazu.
> Ich kann Deine Verärgerung aber nachvollziehen. Meines Wissens wird
> hier an signierten Swap- Images gearbeitet.
Ja, mit Hilfe des TPM-Chips. Und das ist laut Matthew Garrett alles
andere als trivial.
Garrett: Making hibernation work under Linux Lockdown
https://lwn.net/Articles/847042/
Ciao,
--
Martin
Reply to: