Развитие IT в период перемен.

[Shleps]

Думаю там надо будет Linux-ARM/Linux-ARM64.

RISC-V не ARM.
Я уже слазил в доку на FPC. в основной ветке поддержки RISC-V нет. Надо качать экспериментальную сборку. Ладно подождём. Лезть на Bleeding edge не в моем стиле.

[Seenkao]

Shleps, посмотри здесь, как я и говорил, относится это больше к ARM. Видимо похожи. Нужен (как я понимаю) FPC 3.3.1. Он там с этими "тестовыми" микропроцессорами работает.

Добавлено спустя 4 минуты 16 секунд:
И да, собирать, видимо, компилятор придётся самому.
Покопайся по англоязычному форму с запросом Risc-v. Тем достаточно не мало, если интересует.

[Bobbi86]

Взгляд со стороны: нет нужды что-то прятать. Зачем, от кого? Для безопасности граждан страны-производителя все процессоры оснащены .. ммм... назовем это - дополнительным функционалом. Все открыто и легально. Функционал не разглашается, то, что он есть - всем известно.

Согласен.

[Alex2013]

Для безопасности граждан страны-производителя все процессоры оснащены .. ммм... назовем это - дополнительным функционалом. Все открыто и легально. Функционал не разглашается, то, что он есть - всем известно.

Честно говоря, что можно воткнуть именно в "чистый процессор" ( что сейчас редкость но все-же не запредельная ) кроме не очень надежного "дистанционного окирпичивания" без ухода в дебри конспирологии не очень понятно .

Закладки в биосе понятно и ожидаемо закладки "в периферии" запросто, но что можно вставить именно в "центральный процессор"? Рут-кит? Так это нужно досточно точно знать, что за ОС будет крутится на машине + достаточно слегка пропатчить ядро любой ОС и стандартный руткит гарантировано не сработает . Опять же имея доступ на "супер низком уровне" мало что можно сделать, даже при использовании относительно стандартных виртуальных машин, а уж если гипервизор будет нестандартный, а процессоры соединены в нестандартный кластер с нестандартной периферией то вообще "пиши пропало" .

Так что возможно все эта "шпионская опупея" вокруг CPU просто попытка отвлечь внимание от других куда более уязвимых элементов компьютерной системы.

[Shleps]

что можно воткнуть именно в "чистый процессор" кроме не очень надежного "дистанционного окирпичивания"?

Уязвимости типа spectre/meltdown. которые позволяют иметь доступ к памяти соседнего процесса и даже виртуальной машины. А то еще и выломиться из гостевой машины в гипервизор.

[Alex2013]

Уязвимости типа spectre/meltdown.

Это как раз из разряда "легенд конспирологии"! ( примерно как доступ к памяти через контроллер DMA "в обход уровней доступа защищенного режима" ) Что делать с полученным дампом ? Пересылать в режиме реального времени по сети или анализировать и парсить все 64-128 гигов прямо на месте ( для современных серверных сборок это почти что минимум )? Ага "свежо предание".

[Shleps]

Что делать с полученным дампом ?

Какой нафиг дамп? Прицельно выбираются заказанные адреса памяти.
Если известно, где хранятся таблицы привилегий, пароли и прочая важная информация - "читай - не хочу"...
Чтобы хоть как-то залатать более простой в исполнении мелтдаун, разработчики ОС в тот момент пошли на примерно 10-15% падение производительности. (RHEL6.10 vs RHEL6., а кому-то "свежо предание".

а специально инжектированная уязвимость может и запись обеспечивать.

[Alex2013]

Если известно, где хранятся таблицы привилегий, пароли и прочая важная информация - "читай - не хочу"...

Ну да в том-то и дело что "Если известно" + есть такая штука называется " безумный код" в критических местах запускается режим отладчика и исполняемый код по сути подменяется другим . Уловить момент перехода в критическую секцию почти невозможно, а внешний отладчик будет тупо исполнять то что ему "подложили" вместо реального кода, "честный эмулятор" выявляется по таймингу ( да и режим отладки обычно слишком специфический для точной эмуляции ) . И разумеется это частный (и возможно сейчас уже устаревший ) случай противодействия прямой "атаки на память". Еще например важные данные могут кодироваться и/или хешироваться с раскодировкой/проверкой прямо в регистрах процесора ( то есть любой "внешний" доступ к "критическом областям памяти" выдаст абракадабру ) и т. д. и т.п.
Зы
То что в результате защиты от мелтдауна упала производительность, означает что разрабы ОС тупо перестали изображать из себя "выходцев из страны непуганых идиотов " ведь на самом деле получить прямой доступ к памяти можно множеством разных способов .
Зы Зы
100%-ной гарантии особенно при работе с отрытой глобальной сетью никто не даст. Полно способов получить все что нужно оставаясь на уровне обычных прикладных програм так что придавать особое "сакральное" значение аппаратным закладкам довольно смешно. Ау же если о чем и беспокоится то в первую очередь нужно озаботься прошивкой сетевых карт и "биоса"(точнее того что от него осталось) ведь сочетание закладок и быстрой сети способны вообще устроить вначале удаленную загрузку "чужой ОС", а потом и вовсе удаленный "облачный клон" локального компа.

[Shleps]

Прежде чем спорить надо хоть вопрос чуть-чуть изучить - для систем с открытым исходным кодом всё прекрасно известно где лежит.
Более того - для ускорения работы стараются поменьше перекладывать из памяти в память при переключении между режимами пользователя и ядра, всякие RDMA придумывают итд. а тот патч (KPTI) которым прикрыли большую часть meltdown - как раз занимается обратным.

есть такая штука называется " безумный код" ....в критических местах запускается режим отладчика и исполняемый код по сути подменяется другим . Уловить момент перехода в критическую секцию почти невозможно,

на самом деле не совсем так. точнее у Спесивцев Вегнер Крутяков Серегин "Защита информации в персональных ЭВМ"
Только это не для приложений современных ОС, где запись в страницы памяти принадлежащие приложению немедленно приведет к исключению.

Еще например важные данные могут кодироваться и/или хешироваться с раскодировкой/проверкой прямо в регистрах процесора ( то есть

Щито??? да, с 2000 года винда (с дополнительной галочкой усиленной безопасности) не хранит пароли, а хранит только их хэши, которые нельзя
расшифровать обратно, а для проверки пароля введённое хешируется и сравнивается хеш. Но хакеров это вполне устраивает, т.к. брутфорс и радужные таблицы никто не отменял.

ведь сочетание закладок и быстрой сети способны вообще устроить вначале удаленную загрузку "чужой ОС",

Пробовали настроить PXE даже без закладок?

[Alex2013]

Щито??? да, с 2000 года винда (с дополнительной галочкой усиленной безопасности) не хранит пароли, а хранит только их хэши, которые нельзя
расшифровать обратно, а для проверки пароля введённое хешируется и сравнивается хеш. Но хакеров это вполне устраивает, т.к. брутфорс и радужные таблицы никто не отменял.

Пошта! Я не о том что хеш применить нельзя, а о том что собрать это самый "хеш по сусекам" можно исключительно "внутри процесора", а если применять динамическое перекодирование при чтении то все усложнится еще сильнее. Проверка хеша бутфорс и всякая хитрая факторизация и статистика могут работать только если процедура проверки и сам хешь не меняются от чтения к чтению .

Пробовали настроить PXE даже без закладок?

Пробовал (нудно но можно)...
https://xakep.ru/2015/10/16/pxe-local-net/
А вообще удаленную ОС сейчас можно даже в браузере запустить .
https://www.onworks.net/os-distribution ... line-theme
Чуть чуть возни с автозагрузкой и " свежий юзер готов к употреблению". (Пример взят "от балды" но идея понятна таким образом может быть достигнута полная "делокализация" любых действий юзера и это будет даже не "колпак", а натуральная "крышка гроба")

[Shleps]

это самый "хеш по сусекам" можно исключительно "внутри процесора"

ну бред же. рекомендую на досуге посмотреть про сети Фейстеля и представить, как сделать ЭТО вкупе с какой-нибудь табличной арифметикой, эмулирующей операции в поле Галуа, "исключительно внутри процессора". (на этом базируется блоуфиш, Кузнечик и им подобные блочные шифры)

динамическое перекодирование при чтении

нету такого. всюду используются ключи и сертификаты большой длины, лежащие даже в файлах + врЕменные токены и сертификаты, порожденные на базе корневых + механизмы устаревания и отзыва сертификатов + (в спецзащищенных ОС) мандатный доступ к памяти, на который meltdownу начхать.

если процедура проверки и сам хеш не меняются от чтения к чтению

Они и не меняются
в керберосе (и всем, что наследует его идеи) только врЕменные билеты, предназначенные для передачи по потенциально прослушиваемой сети, да сессионные ключи шифрования, которые каждый раз генерируются новые, но на основании тех, которые и должен позволить стащить meltdown

[Alex2013]

ну бред же. рекомендую на досуге посмотреть про сети Фейстеля и представить, как сделать ЭТО вкупе с какой-нибудь табличной арифметикой, эмулирующей операции в поле Галуа, "исключительно внутри процессора". (на этом базируется блоуфиш, Кузнечик и им подобные блочные шифры)

Так кто сказал что это единственный метод ? К тому же это алгоритм "усиления криптозащиты", а но может быть относительно простой . + есть "расширенные регистры CPU" вроде восьми 128-битных регистров для SSE и опять же я говорю о "сборке готового хеша", а не вовсе не о получении его при использовании потоковых алгоритмов. То есть используется не таблица с хешем а его производные возможно содержащие инструкции о нахождении следующей части. То есть о случае когда в памяти НЕТ ГОТОВОГО ХЕША, а вместо него некая распределенная структура описывающая способ его сборки в результате даже некий "внешний относительно штатного " прямой доступ к памяти (например в очень навороченном эмуляторе) мало что дает . Да по идее эмулятор можно становить в любой момент времени, но в этом случае если нет возможности быстро призвести полный "ревресинженеринг" всего кода критических секций, почти никаких дополнительных данных для "подбора ключей" это не даст .

Они и не меняются

Разумеется. Но я не пишу о том что есть в "стандартной ОС" о том что можно сделать в неком специальном "паче усиления" .

в керберосе (и всем, что наследует его идеи) только врЕменные билеты, предназначенные для передачи по потенциально прослушиваемой сети, да сессионные ключи шифрования, которые каждый раз генерируются новые,

Да примерно так...

но на основании тех, которые и должен позволить стащить meltdown

А это лечится через получение "внешней последовательности" ( в простейшем случае через часы реального времени ) ведь алгоритм можно построить так что ключ будет действовать только в узких границах "по времени" и включать в себя блокировку от "отматывания назад" . Или чуть сложнее например чрез запрос к электронному HASP-ключу или чипу TPM .

[Shleps]

есть "расширенные регистры CPU" вроде восьми 128-битных регистров для SSE

для 10 раундов перестановок у кузнечика не катит. Криптоакселераторы не зря придумали. И в отечественные микроконтроллеры для систем измерений, сим-карт, банковских карт и электронных паспортов их не зря ставят.

Они и не меняются

Разумеется. Но я не пишу о том что есть в "стандартной ОС" о том что можно сделать в неком специальном "паче усиления" .

А я про то что сотнями тысяч стоит в реальности и что прямо сейчас защищать надо. и на что никто специальные ОС ставить не будет.

[Alex2013]

А я про то что сотнями тысяч стоит в реальности и что прямо сейчас защищать надо. и на что никто специальные ОС ставить не будет.

Тут согласен, но всеже надо заменить что "в природе" уже прямо сейчас есть чуть более защищенные и нестандартные ОС успешно работающие на современном "железе".(например Касперский ОС https://ru.wikipedia.org/wiki/KasperskyOS)

Там где это реально надо можно и посуетится. (Тем более что та-же KasperskyOS это даже не клон Линукса и не "ремейк" винды). А разный "шараш-монтаж" на уровне железа и ОС защищать всеравно бессмысленно Единственное что частично может помочь в случае "дикой сети и софта" это разработка собственной сетевой инфраструктуры принципиально не имеющей доступ в "большую деревню"(Интернет) или хотя бы полностью свои облачные сервисы (опять же внутренние организованные на "своем" сетевом железе и софте ).Сгодится даже сравнительно простой выпуск своих сетевых карт, модемов и т.п. Чудовищных нанометров и "пента-опсов" там особо не нужно. Так что думаю что этим (хотя бы на первых парах ) справятся даже условно устаревшие техпроцессы и технологии .

[Shleps]

"в природе" уже прямо сейчас есть чуть более защищенные и нестандартные ОС успешно работающие на современном "железе".

а кому нужна голая операционка без приложений?

А разный "шараш-монтаж" на уровне железа и ОС защищать всеравно бессмысленно

а у нас нынче ВСЕ шараш-монтаж. начиная от рабочего места еирц или участкового мента до инфраструктуры банка или завода со станками чпу.
не защищать?

[ quote]и хотя бы полностью свои облачные сервисы (опять же внутренние организованные на "своем" сетевом железе и софте ).[/quote]
ну сделали китайцы свой zstack вместо фришного опенстэка или опеннебулы, так у него под капотом все равно фришный KVM или платный vmware esxi. а свой гипервизор.... это сложно. это лет 10

Сгодится даже сравнительно простой выпуск своих сетевых карт, модемов и т.п. Чудовищных нанометров и "пента-опсов" там особо не нужно. Так что думаю что этим (хотя бы на первых парах ) справятся даже условно устаревшие техпроцессы и технологии .

гиперконвергентная сетевая карта 10/25 гигабит с множественными очередями на технологиях толще 65 нм? данунафиг. нынче для этого обычно 40нм берут.