RISC-V не ARM.Seenkao писал(а): Думаю там надо будет Linux-ARM/Linux-ARM64.
Я уже слазил в доку на FPC. в основной ветке поддержки RISC-V нет. Надо качать экспериментальную сборку. Ладно подождём. Лезть на Bleeding edge не в моем стиле.
Развитие IT в период перемен.
Модератор: Модераторы
Я уже слазил в доку на FPC. в основной ветке поддержки RISC-V нет. Надо качать экспериментальную сборку. Ладно подождём. Лезть на Bleeding edge не в моем стиле.
Shleps, посмотри здесь, как я и говорил, относится это больше к ARM. Видимо похожи. Нужен (как я понимаю) FPC 3.3.1. Он там с этими "тестовыми" микропроцессорами работает.
Добавлено спустя 4 минуты 16 секунд:
И да, собирать, видимо, компилятор придётся самому.
Покопайся по англоязычному форму с запросом Risc-v. Тем достаточно не мало, если интересует.
Добавлено спустя 4 минуты 16 секунд:
И да, собирать, видимо, компилятор придётся самому.
Покопайся по англоязычному форму с запросом Risc-v. Тем достаточно не мало, если интересует.
Согласен.RRYTY писал(а):Взгляд со стороны: нет нужды что-то прятать. Зачем, от кого? Для безопасности граждан страны-производителя все процессоры оснащены .. ммм... назовем это - дополнительным функционалом. Все открыто и легально. Функционал не разглашается, то, что он есть - всем известно.
Честно говоря, что можно воткнуть именно в "чистый процессор" ( что сейчас редкость но все-же не запредельная ) кроме не очень надежного "дистанционного окирпичивания" без ухода в дебри конспирологии не очень понятно .Bobbi86 писал(а):Для безопасности граждан страны-производителя все процессоры оснащены .. ммм... назовем это - дополнительным функционалом. Все открыто и легально. Функционал не разглашается, то, что он есть - всем известно.
Закладки в биосе понятно и ожидаемо закладки "в периферии" запросто, но что можно вставить именно в "центральный процессор"? Рут-кит? Так это нужно досточно точно знать, что за ОС будет крутится на машине + достаточно слегка пропатчить ядро любой ОС и стандартный руткит гарантировано не сработает . Опять же имея доступ на "супер низком уровне" мало что можно сделать, даже при использовании относительно стандартных виртуальных машин, а уж если гипервизор будет нестандартный, а процессоры соединены в нестандартный кластер с нестандартной периферией то вообще "пиши пропало" .
Так что возможно все эта "шпионская опупея" вокруг CPU просто попытка отвлечь внимание от других куда более уязвимых элементов компьютерной системы.
Уязвимости типа spectre/meltdown. которые позволяют иметь доступ к памяти соседнего процесса и даже виртуальной машины. А то еще и выломиться из гостевой машины в гипервизор.Alex2013 писал(а):что можно воткнуть именно в "чистый процессор" кроме не очень надежного "дистанционного окирпичивания"?
Это как раз из разряда "легенд конспирологии"! ( примерно как доступ к памяти через контроллер DMA "в обход уровней доступа защищенного режима" ) Что делать с полученным дампом ? Пересылать в режиме реального времени по сети или анализировать и парсить все 64-128 гигов прямо на месте ( для современных серверных сборок это почти что минимум )? Ага "свежо предание".Shleps писал(а):Уязвимости типа spectre/meltdown.
Какой нафиг дамп? Прицельно выбираются заказанные адреса памяти.Alex2013 писал(а):Что делать с полученным дампом ?
Если известно, где хранятся таблицы привилегий, пароли и прочая важная информация - "читай - не хочу"...
Чтобы хоть как-то залатать более простой в исполнении мелтдаун, разработчики ОС в тот момент пошли на примерно 10-15% падение производительности. (RHEL6.10 vs RHEL6.
, а кому-то "свежо предание".а специально инжектированная уязвимость может и запись обеспечивать.
Ну да в том-то и дело что "Если известно" + есть такая штука называется " безумный код" в критических местах запускается режим отладчика и исполняемый код по сути подменяется другим . Уловить момент перехода в критическую секцию почти невозможно, а внешний отладчик будет тупо исполнять то что ему "подложили" вместо реального кода, "честный эмулятор" выявляется по таймингу ( да и режим отладки обычно слишком специфический для точной эмуляции ) . И разумеется это частный (и возможно сейчас уже устаревший ) случай противодействия прямой "атаки на память". Еще например важные данные могут кодироваться и/или хешироваться с раскодировкой/проверкой прямо в регистрах процесора ( то есть любой "внешний" доступ к "критическом областям памяти" выдаст абракадабру ) и т. д. и т.п.Shleps писал(а):Если известно, где хранятся таблицы привилегий, пароли и прочая важная информация - "читай - не хочу"...
Зы
То что в результате защиты от мелтдауна упала производительность, означает что разрабы ОС тупо перестали изображать из себя "выходцев из страны непуганых идиотов " ведь на самом деле получить прямой доступ к памяти можно множеством разных способов .
Зы Зы
100%-ной гарантии особенно при работе с отрытой глобальной сетью никто не даст. Полно способов получить все что нужно оставаясь на уровне обычных прикладных програм так что придавать особое "сакральное" значение аппаратным закладкам довольно смешно. Ау же если о чем и беспокоится то в первую очередь нужно озаботься прошивкой сетевых карт и "биоса"(точнее того что от него осталось) ведь сочетание закладок и быстрой сети способны вообще устроить вначале удаленную загрузку "чужой ОС", а потом и вовсе удаленный "облачный клон" локального компа.
Прежде чем спорить надо хоть вопрос чуть-чуть изучить - для систем с открытым исходным кодом всё прекрасно известно где лежит.
Более того - для ускорения работы стараются поменьше перекладывать из памяти в память при переключении между режимами пользователя и ядра, всякие RDMA придумывают итд. а тот патч (KPTI) которым прикрыли большую часть meltdown - как раз занимается обратным.
Только это не для приложений современных ОС, где запись в страницы памяти принадлежащие приложению немедленно приведет к исключению.
расшифровать обратно, а для проверки пароля введённое хешируется и сравнивается хеш. Но хакеров это вполне устраивает, т.к. брутфорс и радужные таблицы никто не отменял.
Пробовали настроить PXE даже без закладок?
Более того - для ускорения работы стараются поменьше перекладывать из памяти в память при переключении между режимами пользователя и ядра, всякие RDMA придумывают итд. а тот патч (KPTI) которым прикрыли большую часть meltdown - как раз занимается обратным.
на самом деле не совсем так. точнее у Спесивцев Вегнер Крутяков Серегин "Защита информации в персональных ЭВМ"Alex2013 писал(а): есть такая штука называется " безумный код" ....в критических местах запускается режим отладчика и исполняемый код по сути подменяется другим . Уловить момент перехода в критическую секцию почти невозможно,
Только это не для приложений современных ОС, где запись в страницы памяти принадлежащие приложению немедленно приведет к исключению.
Щито??? да, с 2000 года винда (с дополнительной галочкой усиленной безопасности) не хранит пароли, а хранит только их хэши, которые нельзяЕще например важные данные могут кодироваться и/или хешироваться с раскодировкой/проверкой прямо в регистрах процесора ( то есть
расшифровать обратно, а для проверки пароля введённое хешируется и сравнивается хеш. Но хакеров это вполне устраивает, т.к. брутфорс и радужные таблицы никто не отменял.
ведь сочетание закладок и быстрой сети способны вообще устроить вначале удаленную загрузку "чужой ОС",
Пробовали настроить PXE даже без закладок?
Пошта!Shleps писал(а):Щито??? да, с 2000 года винда (с дополнительной галочкой усиленной безопасности) не хранит пароли, а хранит только их хэши, которые нельзя
расшифровать обратно, а для проверки пароля введённое хешируется и сравнивается хеш. Но хакеров это вполне устраивает, т.к. брутфорс и радужные таблицы никто не отменял.
Я не о том что хеш применить нельзя, а о том что собрать это самый "хеш по сусекам" можно исключительно "внутри процесора", а если применять динамическое перекодирование при чтении то все усложнится еще сильнее. Проверка хеша бутфорс и всякая хитрая факторизация и статистика могут работать только если процедура проверки и сам хешь не меняются от чтения к чтению .Пробовал (нудно но можно)...Shleps писал(а):Пробовали настроить PXE даже без закладок?
https://xakep.ru/2015/10/16/pxe-local-net/
А вообще удаленную ОС сейчас можно даже в браузере запустить .
https://www.onworks.net/os-distribution ... line-theme
Чуть чуть возни с автозагрузкой и " свежий юзер готов к употреблению". (Пример взят "от балды" но идея понятна таким образом может быть достигнута полная "делокализация" любых действий юзера и это будет даже не "колпак", а натуральная "крышка гроба")
ну бред же. рекомендую на досуге посмотреть про сети Фейстеля и представить, как сделать ЭТО вкупе с какой-нибудь табличной арифметикой, эмулирующей операции в поле Галуа, "исключительно внутри процессора". (на этом базируется блоуфиш, Кузнечик и им подобные блочные шифры)Alex2013 писал(а): это самый "хеш по сусекам" можно исключительно "внутри процесора"
нету такого. всюду используются ключи и сертификаты большой длины, лежащие даже в файлах + врЕменные токены и сертификаты, порожденные на базе корневых + механизмы устаревания и отзыва сертификатов + (в спецзащищенных ОС) мандатный доступ к памяти, на который meltdownу начхать.Alex2013 писал(а):динамическое перекодирование при чтении
Они и не меняютсяAlex2013 писал(а): если процедура проверки и сам хеш не меняются от чтения к чтению
в керберосе (и всем, что наследует его идеи) только врЕменные билеты, предназначенные для передачи по потенциально прослушиваемой сети, да сессионные ключи шифрования, которые каждый раз генерируются новые, но на основании тех, которые и должен позволить стащить meltdown
Так кто сказал что это единственный метод ? К тому же это алгоритм "усиления криптозащиты", а но может быть относительно простой . + есть "расширенные регистры CPU" вроде восьми 128-битных регистров для SSE и опять же я говорю о "сборке готового хеша", а не вовсе не о получении его при использовании потоковых алгоритмов. То есть используется не таблица с хешем а его производные возможно содержащие инструкции о нахождении следующей части. То есть о случае когда в памяти НЕТ ГОТОВОГО ХЕША, а вместо него некая распределенная структура описывающая способ его сборки в результате даже некий "внешний относительно штатного " прямой доступ к памяти (например в очень навороченном эмуляторе) мало что дает . Да по идее эмулятор можно становить в любой момент времени, но в этом случае если нет возможности быстро призвести полный "ревресинженеринг" всего кода критических секций, почти никаких дополнительных данных для "подбора ключей" это не даст .Shleps писал(а): ну бред же. рекомендую на досуге посмотреть про сети Фейстеля и представить, как сделать ЭТО вкупе с какой-нибудь табличной арифметикой, эмулирующей операции в поле Галуа, "исключительно внутри процессора". (на этом базируется блоуфиш, Кузнечик и им подобные блочные шифры)
Shleps писал(а):Они и не меняются
Разумеется. Но я не пишу о том что есть в "стандартной ОС" о том что можно сделать в неком специальном "паче усиления" .
Да примерно так...Shleps писал(а):в керберосе (и всем, что наследует его идеи) только врЕменные билеты, предназначенные для передачи по потенциально прослушиваемой сети, да сессионные ключи шифрования, которые каждый раз генерируются новые,
А это лечится через получение "внешней последовательности" ( в простейшем случае через часы реального времени ) ведь алгоритм можно построить так что ключ будет действовать только в узких границах "по времени" и включать в себя блокировку от "отматывания назад" . Или чуть сложнее например чрез запрос к электронному HASP-ключу или чипу TPM .Shleps писал(а):но на основании тех, которые и должен позволить стащить meltdown
для 10 раундов перестановок у кузнечика не катит. Криптоакселераторы не зря придумали. И в отечественные микроконтроллеры для систем измерений, сим-карт, банковских карт и электронных паспортов их не зря ставят.Alex2013 писал(а): есть "расширенные регистры CPU" вроде восьми 128-битных регистров для SSE
А я про то что сотнями тысяч стоит в реальности и что прямо сейчас защищать надо. и на что никто специальные ОС ставить не будет.Alex2013 писал(а):Shleps писал(а):Они и не меняются
Разумеется. Но я не пишу о том что есть в "стандартной ОС" о том что можно сделать в неком специальном "паче усиления" .
Тут согласен, но всеже надо заменить что "в природе" уже прямо сейчас есть чуть более защищенные и нестандартные ОС успешно работающие на современном "железе".(например Касперский ОС https://ru.wikipedia.org/wiki/KasperskyOS)Shleps писал(а):А я про то что сотнями тысяч стоит в реальности и что прямо сейчас защищать надо. и на что никто специальные ОС ставить не будет.
Там где это реально надо можно и посуетится. (Тем более что та-же KasperskyOS это даже не клон Линукса и не "ремейк" винды). А разный "шараш-монтаж" на уровне железа и ОС защищать всеравно бессмысленно Единственное что частично может помочь в случае "дикой сети и софта" это разработка собственной сетевой инфраструктуры принципиально не имеющей доступ в "большую деревню"(Интернет) или хотя бы полностью свои облачные сервисы (опять же внутренние организованные на "своем" сетевом железе и софте ).Сгодится даже сравнительно простой выпуск своих сетевых карт, модемов и т.п. Чудовищных нанометров и "пента-опсов" там особо не нужно. Так что думаю что этим (хотя бы на первых парах ) справятся даже условно устаревшие техпроцессы и технологии .
а кому нужна голая операционка без приложений?Alex2013 писал(а): "в природе" уже прямо сейчас есть чуть более защищенные и нестандартные ОС успешно работающие на современном "железе".
А разный "шараш-монтаж" на уровне железа и ОС защищать всеравно бессмысленно
а у нас нынче ВСЕ шараш-монтаж. начиная от рабочего места еирц или участкового мента до инфраструктуры банка или завода со станками чпу.
не защищать?
[ quote]и хотя бы полностью свои облачные сервисы (опять же внутренние организованные на "своем" сетевом железе и софте ).[/quote]
ну сделали китайцы свой zstack вместо фришного опенстэка или опеннебулы, так у него под капотом все равно фришный KVM или платный vmware esxi. а свой гипервизор.... это сложно. это лет 10
гиперконвергентная сетевая карта 10/25 гигабит с множественными очередями на технологиях толще 65 нм? данунафиг. нынче для этого обычно 40нм берут.Сгодится даже сравнительно простой выпуск своих сетевых карт, модемов и т.п. Чудовищных нанометров и "пента-опсов" там особо не нужно. Так что думаю что этим (хотя бы на первых парах ) справятся даже условно устаревшие техпроцессы и технологии .