Исследовательский центр Eurecom опубликовал (https://www.usenix.org/conference/usenixsecurity14/technical...) результаты широкомасштабного анализа безопасности прошивок, используемых в различных сетевых потребительских устройствах. В ходе исследования с сайтов производителей было загружено более 30 тысяч прошивок, охватывающих продукты таких компаний, как Siemens, Xerox, Bosch, Philips, D-Link, Samsung, LG и Belkin.
В итоге выявлено 326 прошивок, в которых присутствуют бэкдоры, позволяющие обходным путём получить доступ к устройству, как правило для выполнения отладки и проверки службой поддержки. Еще в 41 случае в прошивке найдены закрытые RSA-ключи для применяемых самоподписанных цифровых сертификатов. При этом такие прошивки используются в примерно в 35 тысячах работающих в сети устройств.
В одной недавно выпущенной прошивок зафиксировано использование версии ядра Linux, десятилетней давности. В ходе исследования также выявлено 38 ранее неизвестных уязвимостей, присутствующих в 693 прошивках, охватывающих 123 различных продукта и затрагивающих приблизительно 140 тысяч устройств, доступных через Интернет.
URL: http://www.itworld.com/security/431186/study-finds-firmware-...
Новость: http://www.opennet.me/opennews/art.shtml?num=40376
> Исследовательский центр Eurecom опубликовал результаты ...как прочитать их?
Papers are restricted to registered attendees until the event begins.
Once the event begins, the content becomes free and open to everyone.
Journal articles are open to everyone upon publication. If available,
video, audio, and/or slides of this presentation will be posted here
after the event.
Это от слова Eureka [ju(ə)ˈriːkə]Т.е. Eurecom читается как [ju(ə)ˈriːkəm]
// b.
Ahaha, nice trolling, dude :)
> В одной недавно выпущенной прошивок зафиксировано использование версии ядра Linux, десятилетней давности.Ядро 2.6.9 - очень рульное меж прочим. Там ещё нет принудительно внедряемых бэкдора CONFIG_HAVE_KVM
Ну да, там (в прошивках) своих бэкдоров и дыр хватает помимо ядра.
Так на платформах, используемых в маршрутизаторах и других встраиваемых устройствах, его и сейчас нет.
> Так на платформах, используемых в маршрутизаторах и других встраиваемых устройствах, его и сейчас нет.Видишь суслика? - Нет, - И я не вижу, а он есть!
> Ну попробуй отключи CONFIG_KVMну, у меня отключен. я буду виновником армагеддона?
> Видишь суслика? - Нет, - И я не вижу, а он есть!Видишь BadBios? А один чувак утверждает что он есть. Правда по факту это смахивает на городскую легенду. Но легенда ссыкотненькая.
> принудительно внедряемых бэкдора CONFIG_HAVE_KVMА с чего ради он бэкдором стал? Ты там что, лишнего сегодня выпил? :)
>> принудительно внедряемых бэкдора CONFIG_HAVE_KVM
> А с чего ради он бэкдором стал?/arch/x86/kernel/irq.c
#ifdef CONFIG_HAVE_KVM
/*
* Handler for POSTED_INTERRUPT_VECTOR.
*/
__visible void smp_kvm_posted_intr_ipi(struct pt_regs *regs)
{
struct pt_regs *old_regs = set_irq_regs(regs);ack_APIC_irq();
irq_enter();
exit_idle();
inc_irq_stat(kvm_posted_intr_ipis);
irq_exit();
set_irq_regs(old_regs);
}
#endif
#ifdef CONFIG_HAVE_KVM
/* IPI for KVM to deliver posted interrupt */
alloc_intr_gate(POSTED_INTR_VECTOR, kvm_posted_intr_ipi);
#endifarch/x86/include/asm/entry_arch.h
#ifdef CONFIG_HAVE_KVM
BUILD_INTERRUPT3(kvm_posted_intr_ipi, POSTED_INTR_VECTOR, smp_kvm_posted_intr_ipi)
#endif
arch/x86/include/asm/irq_vectors.h
/* Vector for KVM to deliver posted interrupt IPI */
#ifdef CONFIG_HAVE_KVM
#define POSTED_INTR_VECTOR 0xf2
#endifCONFIG_HAVE_KVM не отрубаемый параметр (без патчей) и зависит от CONFIG_X86
Чё дёргает IPI-прерывание 0xf2, когда в проце нет аппаратного KVM?
Когда он есть, то типа "to deliver posted interrupt" в виртуалку.В общем мне пох.., и копаться в Intel CPU Developer Guide я не собираюсь.
Но тут явный троян cкрытый за аббревиатурой KVM, с принудительным включением
компилируемого кода, имеющий какой-то невнятный 0xf2.BUILD_INTERRUPT3() выставляется при загрузке! Что там?
Обработчик спец. последовательности с клавы, для входа в ring0?
> Но тут явный троян cкрытый за аббревиатурой KVM, с принудительным включением
> компилируемого кода, имеющий какой-то невнятный 0xf2.эвона как, михалыч… павлин даже с наличием кода всё равно видит фигу. вот что животворящий торвальдовский фак делает!
>[оверквотинг удален]
>
Если исходить только из этого исходника, то тут никак не видно, чтобы KVM был неотключаемым. Явно везде прописано - #ifdef
Где зависимость от CONFIG_X86?
> В ходе исследования также выявлено 38 ранее неизвестных уязвимостей, присутствующих в 693 прошивках, охватывающих 123 различных продукта и затрагивающих приблизительно 140 тысяч устройств, доступных через Интернет.Да пофиг - у меня Firewall и NAT. Буду поднимать сервер - буду обновлять!
>>у меня Firewall и NAT.У них тоже )))
Только я подумал выкинуть старые компы и поставить вместо них какой-нить микротик, как тут такие откровения. Что там с микротиком то? Ведро 10-и летней давности?
пока что надёжнее openbsd на "старом компе" - ничего не придумали.
> пока что надёжнее openbsd на "старом компе" - ничего не придумали.Про опенбсд не скажу, но сам выражение "старый комп" говорит не в пользу надежности.
"старый комп" как раз говорит в пользу надежности, ненадежные умирают новыми
> "старый комп" как раз говорит в пользу надежности, ненадежные умирают новымиНе обязательно. Конденсаторы в блоке питания и поганые вентиляторы - мрут именно от старости.
если не питание, то ржавчина доконает
>>>у меня Firewall и NAT.
> У них тоже )))
> Только я подумал выкинуть старые компы и поставить вместо них какой-нить микротик,
> как тут такие откровения. Что там с микротиком то? Ведро 10-и
> летней давности?3.6
У Mikrotik только младшие RB рулят по цена/качество. У старших - проблемы с тепловыми расчётами , так сказать... А на 100% CPU в тёплом помещении даже RB-750 валятся.
И да, 6-я ветка прошивок для MIPS - до сих пор бажная. Как минимум, в части vpn (может "забыть" подтереть маршрут при обрыве соединения, невозможность выставить ip для бриджуемого линка etc. "сюрпризы").
А еще у них проприетарный загрузчик и половина компонентов системы. Так что если там встроят бэкдор - вы как обычно узнаете об этом последними.
Все как и на любом юзабильном линуксе. Разве нет? Только блобов меньше половины и не загрузчик, но биос.
> как тут такие откровения. Что там с микротиком то? Ведро 10-и
> летней давности?Удачи в доверии поставщику системы. ухитрившемуся опроприетарить и закрыть даже дебиан.
>> как тут такие откровения. Что там с микротиком то? Ведро 10-и
>> летней давности?
> Удачи в доверии поставщику системы. ухитрившемуся опроприетарить и закрыть даже дебиан.Ковальский, варианты? Что-нибудь неопроприетаренное могучее запустить прокси ссш впн и прочие вланы одновременно в нужной мне комбинации за 4 тыс руб? И надежное при этом.
>>> как тут такие откровения. Что там с микротиком то? Ведро 10-и
>>> летней давности?
>> Удачи в доверии поставщику системы. ухитрившемуся опроприетарить и закрыть даже дебиан.
> Ковальский, варианты? Что-нибудь неопроприетаренное могучее запустить прокси ссш впн
> и прочие вланы одновременно в нужной мне комбинации за 4 тыс
> руб? И надежное при этом.cubietruck, например. или если сотки хватит - cubieboard2.
У нее 10 гигабитных портов?
> Ковальский, варианты? Что-нибудь неопроприетаренное могучее запустить прокси ссш впн
> и прочие вланы одновременно в нужной мне комбинации за 4 тыс
> руб? И надежное при этом.Да любая железка поддерживающая openwrt в рамках бюджета. Посмотреть по ToH кто там умеет VLAN свичом, да купить в ближайшем ларьке. Или вообще у китайцев - у них клоны достаточно резвого TP-Link продаются за $50. Надежность будет обычной. Как будто микротик делает свое железо из менее китаезных компонентов.
> Да пофиг - у меня Firewall и NAT.А с чего ты взял что девайс на слушает бэкдором на WAN и-фейсе, поклав на NAT и Firewall?
В общем единственным нормальным вариантом являются прошивки от энтузиастов, типа openwrt, replicant, ...
> Да пофиг - у меня FirewallЕщё скажи "в винде" :))))
>зафиксировано использование версии ядра Linux десятилетней давноститак и нормально. принцип "работает - не трогай" до сих пор актуален.
З.Ы. насколько я помню, адсл-модемы д-линка на 2.6.8
> насколько я помню, адсл-модемы д-линка на 2.6.8А Siemens-а на VxWorks. ADSL-ят и роутят не хуже. Плюс, поддерживают различные уровни AAL.
Вашего Siemens-а в овраге хуавеи доедают.
> Вашего Siemens-а в овраге хуавеи доедают.Siemens себя увековечил. В системе СИ, если мне не изменяет курс физики, в S измеряется проводимость. :)
Это не в честь фирмы, а в честь человека. И это не мешает хуавеям доедать фирму в овраге.
> Это не в честь фирмы, а в честь человека. И это неДык, я, вроде, нигде не говорил, что S — это в честь фирмы.
> Siemens себя увековечил. В системе СИ,Такой вот человек и пароход^W единица измерения. А VxWorks нынче повымер практически везде. Доля линуха на мелких железках явно переваливает за 90%.
> А Siemens-а на VxWorks. ADSL-ят и роутят не хуже.Только почему-то эта глюкавая проприетарь осталась только в совсем обрубочных устройствах, где совсем уж пожадничали на RAM/flash.
> З.Ы. насколько я помню, адсл-модемы д-линка на 2.6.8Нифига вы авангардисты, у меня роутер на 2.4 до сих пор
> Нифига вы авангардисты, у меня роутер на 2.4 до сих пор...на которое секурити фиксы уже пару лет как не выпускают.
Пора уже так писать: "закончено очередное исследование, подтверждающее необходимость перехода на открытое аппаратное обеспечение, управляемое открытым ПО".
Хе-хе, вот поэтому при выборе железки надо в первую очередь смотреть, есть ли для неё OpenWRT.
А что это даст? Как-только девайс станет чуть менее популярным - сам прошивки клепать будешь?
А что тебе даст проприетарная прошивка от вендора, братюнь? Бэкдоры из коробки, а потом статус discontinued через пару лет и незакрытые уязвимости навечно?
Вендор вендору рознь. К тому же есть аппаратные уязвимости, которые может быть только вендор и сможет исправить (если захочет). Да и глупо надеятся, что любое говно мамонта будет сильно долго безопасным. Есть такая хрень как планируемое устаревание. https://ru.wikipedia.org/wiki/%D0%9F%D0%...
И ничего ты с этим не поделаешь, хоть тресни.
Ежели только не сам девайс соберёшь, но тогда и прошивку для него для тебя труда большого не составит, и обновление её периодическое и тестирование.А надеяться что прошивки собранные каким-нибудь NoNameSuperHacker с неизвестными мотивами (если ещё и выложенные неизвестно где) будут сильно много безопасными.. Ну.. товарищь... Тебе тогда не ко мне нужно обращаться.
> прошивки собранные каким-нибудь NoNameSuperHacker с неизвестными мотивами
> (если ещё и выложенные неизвестно где)ну так не у всех же винда пустого черепа, как у тебя.
http://wikireality.ru/wiki/%D0%A1%D1%80&...
> Вендор вендору рознь. К тому же есть аппаратные уязвимости, которые может быть
> только вендор и сможет исправить (если захочет).Такие отмазки прикольные. Действительно, зачем вам мыться? Ведь все-равно теоретически можно поскользнуться и упасть в грязюку. Так что мытье - бесполезный процесс, да? :)
> Есть такая хрень как планируемое устаревание.
Вот пусть корпорасы и планируют, а мы их горбатыми прошивками с кидками и бэкдорами пользоваться не будем.
> А надеяться что прошивки собранные каким-нибудь NoNameSuperHackerПоэтому мы надеемся на прошивки от известных людей, делом и прозрачностью процесса заработавших себе репутацию.
Ну хоть один дельный ответ.> Такие отмазки прикольные. Действительно, зачем вам мыться? Ведь все-равно теоретически можно поскользнуться и упасть в грязюку. Так что мытье - бесполезный процесс, да? :)
Э-э.. я так разве говорил? (Please, цитату).
Насколько я понимаю, вопрос в значительно полезности или бесполезности OpenWRT по сравнению с проприетарными прошивкам.>> Есть такая хрень как планируемое устаревание.
> Вот пусть корпорасы и планируют, а мы их горбатыми прошивками с кидками и бэкдорами пользоваться не будем.Согласен. Уважаю и всячески приветствую. Но это не отменяет вопроса.
Пока, производитель обладает бОльшим количеством рычагов, для того, чтобы решать, сколько должно служить устройство. Не помогли дыры в прошивке? придумает ещё чего-нибудь.
Да и купит наконец OpenWRT на корню :-)) (см. cyanogenmod)>> А надеяться что прошивки собранные каким-нибудь NoNameSuperHacker
> Поэтому мы надеемся на прошивки от известных людей, делом и прозрачностью процессазаработавших себе репутацию.
Во-первых не людей, а, как написали ниже "identity". Во-вторых, неизвестно, важна ли им самим, та репутация, которую они заработали. И вообще, каковы их мотивы "зарабатывания" репутации. Ну, блин, тривиально - ответственность наконец! Так же скажут "дерзили, были не правы, всё исправим". Ну и что, это что-то отменяет в последующих патчах? :-)))
>> можно поскользнуться и упасть в грязюку. Так что мытье - бесполезный процесс, да? :)
> Э-э.. я так разве говорил? (Please, цитату).Я образно выражаясь. Мол, если в железе могут быть баги или бэкдоры - давайте тогда и фирмварину с кучей дыр засунем. Зачем нам опенсорсная фирмвара, да? :)
А если с более реалистичной точки зрения то это как-то так: чтобы осмысленно поиметь систему - надо знать что и куда вгружать. И вот тут мы знакомимся с интересной мыслью, высказанной еще Тюрингом. Суть сводится к тому что одна программа не может проанализировать другую программу и вынести определенный вердикт. С одной стороны это означает что мы никогда не сможем поймать все бэкдоры нашей программой, какой бы замечательной она ни была. С другой стороны, это означает что бэкдор не сможет эффективно поиметь произвольно взятую систему. И вот здесь становится интересно.
Когда разрабатывались чипы и их ROM/логика в железе - ядро Linux было иной версии. А потом не раз перекраивалось вдоль и поперек. Бонусом оно научилось защите стэка, ALSR и прочим радостям. А обновить ROM или логику в чипе - болт. Так нельзя. Поэтому бэкдор который работал для ядра 5 версий назад - совсем не обязан успешно сработать на текущей версии. И как максимум все положит. Т.е. теоретически оно как бы да, а практически без апдейтабельности - ать-ать-ать. Значит имеет практический смысл в заменяемой фирмваре в основном. Не говоря о том что делать чипы сцyкадорого и поэтому посадить там лишний баг - боятся как огня. Платить лимоны баксов за переделывание масок для фотолитографии желающих мало. Так что переделывать чипы "потому что кернел обновился" или бэкдор спалили - всем лениво. А вот фирмвара - там можно сказать что инженерный логин забыли. И обновить вообще, устранив предъявы. Очень удобное место для бэкдоров. И затраты на патчинг какого-нибудь телнета чтобы он реагировал на левый пароль - на несколько порядков ниже чем на изменение логики чипа.
Поэтому с точки зрения анализа угроз - наиболее злободневны именно бэкдоры в прошивках.
> Насколько я понимаю, вопрос в значительно полезности или бесполезности OpenWRT по
> сравнению с проприетарными прошивкам.И судя по тому какие плюхи все чаще попадаются в проприетарных прошивках IMHO 2 мнений быть не может - польза очевидна.
> Согласен. Уважаю и всячески приветствую. Но это не отменяет вопроса.
Я думаю что я нудно и подробно ответил выше.
> Пока, производитель обладает бОльшим количеством рычагов, для того, чтобы решать,
> сколько должно служить устройство. Не помогли дыры в прошивке?
> придумает ещё чего-нибудь.А мы тоже придумаем. Чтобы всяким мудвинам жить было бы сложнее. Мyдизм разработчиков проприетари уже привел к ломовому спросу на опенсорц и бурному расцвету оному. Не нравится, видишь ли, кастомерам, когда их в стойло ставят. И они готовы инвестировать в открытый софт чтобы такого как раз не было. Вон новая ассоциация софта для банкоматов вокруг линя так появилась например. Не хотят они чтобы какой-то левый MS за них решал когда их железные ящики за дофигабаксов - "устарели". Ну а спрос рождает предложение.
Удачи чипмейкерам в том чтобы помyдaчиться - как раз и чипы открытые появятся. Которые просто работают и делают ровно то, что заявлено. И производятся на ближайшей контрактной фабе если достаточно спроса нашлось. А лютый мyдизм производителя - это как раз то что надо, чтобы подогреть спрос на альтернативу продукции всяких к@злов, если к@злы еще не поняли :).
> Да и купит наконец OpenWRT на корню :-)) (см. cyanogenmod)
А что - цианоген? Они вроде сами в коммерцию ударились. Да и без них есть всякие. Ну вон replicant например из того что на слуху. Он конечно специфичная штука, но все-таки. Начнут сильно косячить - возникнет спрос на замену - вылезут другие, готовые подхватить знамя. Если это конечно кому-то надо. А если не надо - так и проблемы вообще нет.
Вообще, у некоторых есть очень превратное представление о том что в опенсорсе можно что-то там эффективно скупить. Это нетривиально, если после этого начинается нестыковка хотелок, получается то же что было с оракл vs libreoffice. Т.е. вбухивание уймы денег с нулевым выхлопом, с окончательной потерей контроля над проектом. Лицензия не имеет обратной силы, поэтому если у меня есть исходники на состояние здесь и сейчас, их уже невозможно у меня отобрать. И я в моем праве на этом базироваться. И уж наверное я могу перепереть плюс-минус пять патчей на плюс-минус пару версий ядер. Это не с ноля фигачить все-таки. Что делает "покупку" достаточно странным начинанием.
>> Поэтому мы надеемся на прошивки от известных людей, делом и прозрачностью процесса
>> заработавших себе репутацию.
> Во-первых не людей, а, как написали ниже "identity".Не принципиально. Как по мне - прошивки могут писать хоть боевые человекоподобные роботы, если они не халтурят и не жульничают, чем заслужили репутацию хорошего и честного программиста. Но проверять их код все-равно надо.
> Во-вторых, неизвестно, важна ли им самим, та репутация, которую они заработали.
Ну как бы если тебя поймают на бэкдоре - это ж...а на всю жизнь, ибо код от тебя не возьмут ни в 1 проект, что понизит ценность такого человека как сотрудника, да и любая уважающая себя служба безопасности предприятия зарубит такую кандидатуру на корню - а оно кому-то надо чтобы им пробэкдорили тихой сапой весь энтерпрайз? Так что жизнь после такого деяния может стать заметно менее комфортной.
> И вообще, каковы их мотивы "зарабатывания" репутации. Ну, блин,
> тривиально - ответственность наконец! Так же скажут "дерзили, были не правы,
> всё исправим". Ну и что, это что-то отменяет в последующих патчах? :-)))После единоразовой поимки патчи от таких господ просто никто не будет брать, "исправлюсь!" прокатит только в какой-нибудь мутной корпорации типа блин-линков, где это спустят на тормозах и/или не найдут виноватых из-за внутреннего бардака. А в сколь-нибудь серьезных открытых проектах этот номер не пройдет. Если ты пойман на саботаже - это все, писец.
А системы контроля версий типа git, кстати, делают процесс достаточно прозрачным - там как раз обычно понятно: кто и что вкоммитил, когда, и зачем он это делал. Как раз удобно смотреть код гранулярно, с пониманием - кто, что и зачем. Набрать git log -p - ну вот честно, много времени не занимает. А после этого у меня исчерпывающее представление о том кто и что сделал. Это конечно не 100% гарантия. Но ... покажите мне методики дающие более хороший результат?! А если только бубнить о идеальной защите от всех напастей (и идеальном отсутствии багов в частности, ибо как известно уязвимость это всего лишь баг ведущий к проблемам безопасности) - релиз не состоится вообще никогда. А если заявить что "ну так это не 100% защита же?!" - см. выше про грязь и мыться. То-есть нормальный человек - регулярно моется. Даже если раз в полгода ему может и не повезти, так что он навернется в грязюку по уши.
p.s. чертов вордфильтр, вот на что эта скотина возбухла?
Хороший ответ.Но:
> фирмварину с кучей дыр засунем. Зачем нам опенсорсная фирмвара, да? :)
Ошибка в подходе: любая проприетарная фирмварина=тайныеходы+кучадыр, любая опенсоурсная=трукод+неткучидыр
> Не говоря о том что делать чипы сцyкадорого и поэтому посадить там лишний баг - боятся как огня. Платить лимоны баксов за переделывание масок для фотолитографии желающих мало.
Если ошибка влияет на общую работоспособность - то да. Если ошибка влияет на работоспособность "хитрым" образом - не обазятельно.
И почему производитель обязательно должен переживать? Он просто предложит новую модель, где данная проблема давно решена.> Поэтому с точки зрения анализа угроз - наиболее злободневны именно бэкдоры в прошивках.
И что мешает перехватить пакет до анализа пакета ядром? и/или запустить сторонний код параллельно основному?
> И судя по тому какие плюхи все чаще попадаются в проприетарных прошивках IMHO 2 мнений быть не может - польза очевидна.
Proof? Буду благодарен. Особенно, если там будет показано, что это касается вообще всех проприетарных прошивок.
А не отдельных, "особо одарённых" или "особо экономящих" восточных производителей.> Вон новая ассоциация софта для банкоматов вокруг линя так появилась например. Не хотят они чтобы какой-то левый MS за них решал когда их железные ящики за дофигабаксов - "устарели". Ну а спрос рождает предложение.
Отлично. Только на стороне производителей сетевого железа массового объединения что-то не видать. Также есть сомнения, что эта ассоциация бесплатна и открыта.
> Удачи чипмейкерам в том чтобы помyдaчиться - как раз и чипы открытые появятся. Которые просто работают и делают ровно то, что заявлено.
Согласен. Но основные деньги делаются на массовом рынке, где работают немного другие законы.
Здесь китайский копеечный чип в больших сериях устройств десять раз победит многодолларовый навороченый и надёжный.> Вообще, у некоторых есть очень превратное представление о том что в опенсорсе можно что-то там эффективно скупить.
Не обязательно скупить, достаточно профинансировать основных разработчиков
(RedHat vs Canonical)> Ну как бы если тебя поймают на бэкдоре - это ж...а на всю жизнь
А почему это должен быть коммит основного разработчика? А рядовые в основном известны по никам и e-mail-ам.
Да и чтото я сильно сомневаюсь, чтобы каждый добавленный патч хотя бы просто разбирается во всех for-ах и regex-ах.Тем более, что обновление открытого софта идёт такими темпами, что "мама не горюй".
Кстати, чем не "планируемое устаревание"? (э-э.. прошу не накидываться: systemd?)> А системы контроля версий типа git, кстати, делают процесс достаточно прозрачным
> ...
> Но ... покажите мне методики дающие более хороший результат?!Э-э.. ещё раз: а чем это лучше/хуже проприетарной разработки?
Там тоже, при правильной организации, каждый разработчик видит кто и что сделал.
А пользователь как в первом, так и во втором случае не в состоянии единолично верифицировать все критичные части кода, если только он этот код не разрабатывал.
И поэтому может только выбрать: кому он больше доверяет.
Microsoft, по-моему, тоже предоставляет исходные коды нашему государству. И что? Это что-то меняет?> см. выше про грязь и мыться
ну, для началa надо понимать,
что ежедневное мытьё рук не отменяет мытьё фруктов перед едой, а также проблему выбора правильного мыла :-)Да и вообще, проблема ли это?
> Ошибка в подходе: любая проприетарная фирмварина=тайныеходы+кучадыр,
> любая опенсоурсная=трукод+неткучидырСовать бэкдоры в открытую прошивку - довольно странное начинание. Это примерно как написать у себя на лбу - "Я ГРАБИТЕЛЬ" до того как идти грабить банк. А вот если некто не хочет показывать код - это уже подозрительно. Мало ли чего они там насовали...
> Если ошибка влияет на общую работоспособность - то да. Если ошибка влияет
> на работоспособность "хитрым" образом - не обазятельно.А ошибки на то и ошибки, что заранее не знаешь на что они повлияют.
> И почему производитель обязательно должен переживать? Он просто предложит новую модель,
> где данная проблема давно решена.Да, и мы резко поверим что козлы и удоды внезапно стали лучше!</sarcasm> Ведь почти наверняка что проблема не "решена" а "перепрятана". Если вы потеряли доверие - вы его потеряли. Это по простому не лечится и точка. Если вы 1 раз попались на бэкдоре - все, фиг отмоетесь теперь.
> И что мешает перехватить пакет до анализа пакета ядром?
Наверное то что ядро вешает свои обработчики. Так что как максимум можно это сделать чисто железно, но это будет простой и не гибкий механизм, который или не позволит по простому рутать системы или сломается через пяток версий ядра т.к. там видите ли все поменяли, а оно на это не рассчитано. А транзисторы в чипе апдейту не поддаются, в отличие от софта.
> и/или запустить сторонний код параллельно основному?
В большинстве архитектур ядро получает экскюзивный контроль над железом и параллельно с ним ничего не работает. Но на всякий случай мы будем редисками и затребуем сорец и бутлоадера заодно. Чтобы исключить такие приколы и всякое там подпатчивание ядра из относительно большого куска бутлоадера, который в силу размеров может не совсем глупую логику применять уже. Поэтому нормальный вариант - полный контроль над boot sequence. Т.е. нашими должны быть и лоадер и ядро. Это вполне возможно: железок с u-boot где сорцы лоадера доступны - хоть отбавляй. Так то.
> Proof? Буду благодарен.
Искать в новостях по поводу "обнаружен бэкдор". Я бы сказал даже не только насчет проприетарных, но и всяких "полуоткрытых" прошивок собранных вендорами. Бэкдор могут ведь подсунуть и собрав опенсорсные компоненты с неудачной (для пользователя) конфигурацией, например.
Так что вопрос лежит в плоскости доверия тем кто писал код и билдовал образ. Если нам не показывают код и как билдуется образ - окей! Получите -100 к доверию на старте - за преднамеренное усложнение анализа ваших деяний. Ведь как известно, рыбу проще ловить в мутной воде и мы это помним.
> Особенно, если там будет показано, что это касается вообще всех проприетарных прошивок.
Вы не поняли, это работает не так. В связи с текущей ситуацией нет никакого априорного стопроцентного доверия кому попало, для начала. А какие к тому основания? Фирмварей с бэкдорами попадалось изрядно. Пусть делом доказывают - хороший или плохой. Вот зажим сорцев - сомнительное деяние, понижает доверие к вендору. Потому что надо сильно больше ресурсов на анализ тратить. Ну его в пень, проще в пешее эротическое таких сразу слать. Так, на всякий случай. Мало ли что они там прятали - клещами и дизассемблером из них вытягивать правду не очень то и хотелось!
> А не отдельных, "особо одарённых" или "особо экономящих" восточных производителей.
Если иногда читать новости - западные производители порой даже наглее восточных. Поэтому мы не будем доверять по дефолту ни тем, ни другим. А дальше - по их делам. Не показывают сорц? Ок, доверия еще меньше.
> Отлично. Только на стороне производителей сетевого железа массового объединения что-то не видать.
Тем не менее, открытые драйверы стали уже правилом хорошего тона, да и использовать сторонние решения типа openwrt никто не мешает.
> Также есть сомнения, что эта ассоциация бесплатна и открыта.
Открытость и бесплатность достаточно ортогональные понятия. Можно брать деньги за софт с сорцами или же бесплатно раздавать бинарный блоб.
> Согласен. Но основные деньги делаются на массовом рынке, где работают немного другие законы.
Если некто хочет вляпаться в дepьмо - ему не запретишь. А вот плохую репутацию производителям дepьма можно создать. И варианты для тех кто хочет нормальные решения - должны быть.
> Здесь китайский копеечный чип в больших сериях устройств десять раз победит многодолларовый
> навороченый и надёжный.Китайцы кстати обычно достаточно просты и прямолинейны - их умений хватает только на конфигуреж телнета :). Чипы у них как правило простые и бесхитростные. Они же не разработчики а копипастеры в основном.
> Не обязательно скупить, достаточно профинансировать основных разработчиков
> (RedHat vs Canonical)Финансирование разработчиков как правило имеет достаточно ограниченное влияние. Ну, редхат. И что - редхат? Воротят дофига полезной мне работы и оплаты от меня не требуют - грех жаловаться, однако. Ну вот не нравятся мне шапочные дистры например. И что редхат сделает по этому поводу?
> А почему это должен быть коммит основного разработчика?
Есть такое понятие как цепочка трастов. Ломается вся цепочка вся цепочка по иерархии причастных, отмазаться не получится. Да, lead который выдает некий готовый продукт/субкомпонент - таки в ответе за действия команды. Если он пролошился с выбором участников команды и/или выкатил крап - это его продолб. Репутацию такой факт в биографии совсем не украшает и количество желающих работатьс таким лидом здорово поубавится.
> А рядовые в основном известны по никам и e-mail-ам.
А основной разработчик утратит доверие за то что пропускает такие плюхи своих подчиненных. Зачем нам вратарь на воротах, который спокойно попивает пивко, покуда ему в ворота голы накручивают?!
> Да и чтото я сильно сомневаюсь, чтобы каждый добавленный патч хотя бы
> просто разбирается во всех for-ах и regex-ах.В нормально организованных командах патч до того как попасть в основной код несколько раз смотрят разные индивиды. Без этого он просто не попадает никуда. Рабочий процесс такой. Допускаю что у корпоративщиков из азии разработчик Сунь Хунь Вчань может вкатить нечто и никто не заметит там явного бэкдора, потому что всем пофиг и коммиты никто не читал кроме самого Сунь Хунь Вчань. Но в нормальных открытых проектах такие маневры проворачивать сложно и чревато.
> Тем более, что обновление открытого софта идёт такими темпами, что "мама не горюй".
А отличия версии от версии можно дотошно посмотреть, с припиской к конкретным субъектам. Благодаря системам контроля версий.
> Кстати, чем не "планируемое устаревание"? (э-э.. прошу не накидываться: systemd?)
Тем, что если кому-то не нравится некая софтина - хрен его заставишь этой софтиной пользоваться. Иди вон заставь разработчиков openwrt использовать systemd. Они вместо этого сделали свой карманный вариант героя. С u-bus, логгером и конфигами :).
> Э-э.. ещё раз: а чем это лучше/хуже проприетарной разработки?
Прозрачностью процесса и возможностью контроля результата. Проверять исходники, в лучшем случае с точностью до коммитов. Вида "а вот Вася поменял вот в этом файле это и это, чтобы исправить вон тот баг" - сильно проще чем "мы вам тут вывалили немеряную блобовую чушку, проверяйте, типа". Даже я вполне могу в 70-90% случаев посмотрев на коммит прикинуть - насколько коммит соответствует тому что заявлено и зачечь подозрительно мутный код и/или баги. Про то что более квалифицированные люди могут намного больше - и ежику понятно.
> Там тоже, при правильной организации, каждый разработчик видит кто и что сделал.
Не, вот извините. Я не вижу кто и что в вон том мутном блобике сделал. А вот кто и какой коммит например в опенврт вкатил - я отлично вижу. И могу посмотреть заинтересовавший коммит - а что это за фигня? И по какому поводу она тут образовалась? И насколько задекларированные причины появления соответствуют изменениям в коде. Это просто совсем иной уровень прозрачности в разработки.
Если разработчики готовы предоставить такой уровень прозрачности - им и доверия здорово больше чем каким-то мутным блобмейкерам.
> состоянии единолично верифицировать все критичные части кода, если только он этот
> код не разрабатывал.Поэтому есть такая чудная штука как web of trust между разработчиками и системы контроля версий. В сумме получается достаточно прозрачный процесс, где уважение и доверие к некой персоналии накапливается достаточно длительное время.
> И поэтому может только выбрать: кому он больше доверяет.
Ну вот я и выбрал: если некто готов предоставить результаты работы на анализ - ему больше доверия. Правда просто?
> Microsoft, по-моему, тоже предоставляет исходные коды нашему государству. И что? Это что-то
> меняет?Для меня - нет. Я то эти исходные коды и тем более историю изменений посмотреть не могу. Узкий круг лиц может договориться между собой о сокрытии фактов. А если сорц и история его изменений выложена всей планете - такой сценарий становится практически нереализуемым. Не получится договориться за кулисами со всей планетой :).
> что ежедневное мытьё рук не отменяет мытьё фруктов перед едой, а также
> проблему выбора правильного мыла :-)Ну вот я и говорю - будем мыть и руки и фрукты. А вот покупать еду у мутных типов с грязными руками, сделанную в подвале и без состава на упаковке - мы покупать не будем. Во избежание.
> Да и вообще, проблема ли это?
Дизентерия то? Ну да, неприятная штука. Что у человека, что у компьютеров, когда они сорят данными направо-налево.
вода
>> Вендор вендору рознь. К тому же есть аппаратные уязвимости, которые может быть
>> только вендор и сможет исправить (если захочет).
> Такие отмазки прикольные. Действительно, зачем вам мыться? Ведь все-равно теоретически
> можно поскользнуться и упасть в грязюку. Так что мытье - бесполезный
> процесс, да? :)
>> Есть такая хрень как планируемое устаревание.
> Вот пусть корпорасы и планируют, а мы их горбатыми прошивками с кидками
> и бэкдорами пользоваться не будем.А чем будете? Давно ли у СПО собственное производство харда? Ой, нет? На деревьях чипы растут?
>> А надеяться что прошивки собранные каким-нибудь NoNameSuperHacker
> Поэтому мы надеемся на прошивки от известных людей, делом и прозрачностью процесса
> заработавших себе репутацию.Тю. А я думал, вы уверены - разницу чуешь?
> Есть такая хрень как планируемое устаревание.
> И ничего ты с этим не поделаешь, хоть тресни.(всё ещё глядя на свой DIR-300) поделаю. уже много лет поделываю.
Для моего Asus RT-N16 оф. прошивки до сих пор клепают. А ему сильно больше пары лет.
Во-первых, если очень прижмёт - буду, к этому нет никаких принципиальных препятствий.
Во-вторых, если прошивка выполняет свои функции и в ней нет дыр, для закрытия которых надо склепать и залить обновлённую версию - пусть крутится на старой, в этом нет трагедии.
Вот когда реально будешь следить за дырами в прошивке хотя бы на периодической основе, собирать прошивку из исходников самостоятельно, а не надеятся на анонимных доброжелателей.
Будешь реально знать, что в дровах или блобах для девайса (которые опять таки, тыж глянь, написали вероятнее всего теже вендоры) нет дыр.
Тогда я скажу: ты действительно чуть улучшил безопасность (и это не касается ещё и апаратной части).
А поставить нечто, на девайс и забить. В принципе, это можно назвать самовнушением.
Кстати, при всём при этом я очень надеюсь у тебя будет хватать времени на то чтобы прокормить семью.
rant жопоголика. не то, чтобы новое что-то сказал, но всё равно забавно.кто же тебе виноват, что у тебя не хватает времени? у меня вот хватает и на то, чтобы код читать, и на то, чтобы свой писать, и на то, чтобы компилятор D двигать, и ещё и на посиделки с друзьями.
> rant жопоголика.ну не кичись.. не кичись.. Гордыня это грех.
У меня тоже много дел. И то что они не связаны с OpenWRT, недостатком не является (ты уж извини)Я что-то не понял "у меня вот хватает и на то, чтобы код читать, и на то, чтобы свой писать" - Это обязательное условие использования OpenWRT или желательное?
> Я что-то не понял "у меня вот хватает и на то, чтобы
> код читать, и на то, чтобы свой писать" - Это обязательное
> условие использования OpenWRT или желательное?для тебя — просто невыполнимое. так что без разницы.
:-))) тебе это что, даёт возможность всплыть повыше?
а то!
только смотри, у этого метода есть побочный эффект: достаточно неприятный запах
> только смотри, у этого метода есть побочный эффект: достаточно неприятный запахпопробуй мыться чаще, чем два раза в год. глядишь — и запах пропадёт.
Сам же подтвердил, что использует.. то что никогда не тонет,
теперь выкручивается.... чужой пост ещё спёр..
Фу.. http://img0.joyreactor.cc/pics/comment/п╟п╨я┌п╣я─-я│я│я│я─-п≤я│я┌п╬я─п╦я▐-1066199.jpeg
http://img0.joyreactor.cc/pics/comment/%D0%B0%...
> А что это даст? Как-только девайс станет чуть менее популярным - сам
> прошивки клепать будешь?Вы знаете, самому портануть патчи из старого openwrt на новое ядро - это сильно проще чем самому с ноля все портирование выполнять. Да и openwrt как-то не замечен в быстром выпиливании поддержки.
Они вон старые девайсы "не поддерживают" только в том плане что девайсы с менее чем 4М флеша и 32М оперативы хиловаты по ресурсам. SoC как правило поддерживается, но дефолтный билд чувствует себя душно на 16Мб оперативы и совсем не жилец на 8. Если пообрубать все полезняшки, на 16 будет работать, радуя обладателей древностей типа WRT54GL и чего там еще. А теряют к ним интерес по простой причине: мало ресурсов, тормозной проц, медленная беспроводка. Если новые девайсы в разы лучше по всем параметрам, логично что разработчиков на них найдется больше чем на окаменелый шит мамонта.
(поглядывая на свой DIR-300) а мне хватает, чо.
> (поглядывая на свой DIR-300) а мне хватает, чо.Да ничо. А мой роутерстэйшн с его 680МГц атеросом, атеросовсской же .n вафлей и ништяками прицепленными на USB и по сей день смотрится очень прилично. Хотя пашет уже... эээ... я даже не помню сколько. Лет наверное 5 уже, или около того.
>> (поглядывая на свой DIR-300) а мне хватает, чо.
> Да ничо. А мой роутерстэйшн с его 680МГц атеросом, атеросовсской же .n
> вафлей и ништяками прицепленными на USB и по сей день смотрится
> очень прилично. Хотя пашет уже... эээ... я даже не помню сколько.
> Лет наверное 5 уже, или около того.Ай, какой срок гигантский-то! Кул стори, бро.
К тому же не факт, что OpenWRT весь такой прямой и правильный. А если станет сильно популярным, то точно также найдут кучу дыр. А может и специально понавтыкают.
Ну так идеальной безопасности не бывает, а так - мера разумная.
Не сильно. И не очень-то отличается от обновлений прошивок от того же Cisco или MicroTik.
Тут надо вокруг смотреть: кто придумал девайс? что за детали там стоят? где произвели? кто конкретно выпускает обновления? (вплоть до контактов, а не ссылки на торрент)
будет ли поддержка? кто отвечает за безопасность и какие у него стимулы? как они касаются пользователя лично? и т.д. и т.п. тут нужно много смотреть
> Не сильно. И не очень-то отличается от обновлений прошивок от того же
> Cisco или MicroTik.Отличие в том что в OpenWRT показывают сорц и процесс разработки весь на виду. Покоммитово. А каких гадостей для нас намутили Cisco или MicroTik в своих кулуарах - только они и знают. Ибо реверсить с дизасмом их добро обломно. Хотя у микротика можно сорц потребовать, но гемор и не дадут проприетарные куски, так что образ перестроить не получится и верифицируемости стало быть все-равно нет.
Ты мне ёщё скажи, что у OpenWRT есть исходники всех блобов для аппаратуры девайсов
> Ты мне ёщё скажи, что у OpenWRT есть исходники всех блобов для
> аппаратуры девайсовВ моих девайсов не требуются блобы. Такая интересная фигня.
Ух-ты, действительно рад за тебя (серьёзно). Если можно поподробнее.
Да, и ещё скажи мне, что есть люди (конкретные, а не ники), которые реально проверяют код этот код? :-))) Или ты сам коммиты проверяешь?
> Да, и ещё скажи мне, что есть люди (конкретные, а не ники),Прикинь, есть. Они этот код пишут/патчат. А ник там или имя - вообще второй вопрос, имхо. Доверие как таковое - к "идентити". Рассматриваются действия определенного identity и дальше делается вывод - доверяем мы таким, или нет. При открытом процессе действия как на ладони. И вот это как раз и важно.
> которые реально проверяют код этот код? :-))) Или ты сам коммиты
> проверяешь?А приколись, я смотрю на коммиты которые меня и мое железо затрагивают, чтобы понимать что и зачем меняется. Вот такой я нехороший.
> Прикинь, есть. Они этот код пишут/патчат. А ник там или имя - вообще второй вопрос, имхо. Доверие как таковое - к "идентити". Рассматриваются действия определенного identity и дальше делается вывод - доверяем мы таким, или нет. При открытом процессе действия как на ладони. И вот это как раз и важно.Но это лишь чуть усложняет вопрос, но не отменяет его.
Действительно репутация может быть важна человеку.. Или его нику, identity? поясни пожалуйста). Может быть он даже зарабатывает на этом даже деньги.
И вообще, кто-нибудь знает на чём он зарабатывает деньги?> А приколись, я смотрю на коммиты которые меня и мое железо затрагивают, чтобы понимать что и зачем меняется. Вот такой я нехороший.
Я рад за тебя и за то что у тебя есть на это время. Посоветуй тоже самое соседу бухгалтеру.
Не тупи. Хартблеед был вот только недавно, кто его нашёл? Как нашёл?
Закрытые аналоги почти все молча обновились ___молча___ и сильно позже. А кое кто - так и не обновился :-\Так что не надо песен, ла-ла ла-ла-ла :)
> Не тупи. Хартблеед был вот только недавно, кто его нашёл? Как нашёл?Ты забыл спросить кто и зачем поставил :-)
> Закрытые аналоги почти все молча обновились ___молча___ и сильно позже. А кое кто - так и не обновился :-\
Это по хартблеед? Ну дык, про "сильно позже" это проблема связки открытого софта + проприетарные решения.
И чем это отличается от ситуации OpenWRT - открытый софт + проприетарные железяки?
И как это сравнимо с чисто проприетарными решениями?Вопрос доверия продуктам того или иного создателя не решён.
Кто-то позже, кто-то раньше.. Кто-то постоянно патчит свои продукти, кто-то годами не может убрать зависимости от устаревших библиотек.Это проблема доверия, ресурсов и методах их распределения.
Есть в свободном сообществе ресурсы - обновят в первую очередь. Нет ресурсов - так же благополучно положат на обновление малораспространённых сборок.
Выпускают свежий и конкурентный проприетарный продукт - также обновят, на устаревший или малораспространёный - также благополучно положат.Есть ресурсы в свободном сообществе, значит широкораспространённый продукт, значит больше шансов что найдут уязвимость, а также больше шансов что добавят новые.
Нет ресурсов - малораспространённый, значит больше шансов что уязвимость не будут искать, да и закрывать найденные тоже.Безопасность - это ПРОЦЕСС.. им нужно постоянно заниматься.
Либо самому,
либо доверить другому - производителю проприетарного или свободного софта.
Т.е. либо проприетарным, подконтрольным фиг знает кому компаниям, либо часто полуанонимным создателям с органиченными ресурсами.
Хрен редьки не слащеИ в любом случае, нужно думать головой, если есть желание получить нужный результат
А лучше вообще не заморачиваться
> К тому же не факт, что OpenWRT весь такой прямой и правильный.Не поделитесь ли описанием уязвимостей, о которых знаете Вы и не знают клепатели OpenWRT?
> Не поделитесь ли описанием уязвимостей, о которых знаете Вы и не знают
> клепатели OpenWRT?Из очевидного - heartbleed, правда о нем знают и OpenSSL по дефолту нигде не юзался, но хороший повод обновить прошивку если какая-то прога юзала openssl.
:-))) чел, ты реально понял что сказал?
Да, а Вы поняли, что я сказал?
> К тому же не факт, что OpenWRT весь такой прямой и правильный.
> А если станет сильно популярным, то точно также найдут кучу дыр.
> А может и специально понавтыкают.Его в случае чего не сильно сложно билдануть самому, кастомно, как мне надо. Да и дыры вкорячивать не особенно удобно и паливно: прозрачный процесс разработки, все коммиты на виду.
Комиты специально разбирают на безопасность?
Что известно о большинстве разработчиков кроме их ников и e-mail-ов?
Он автоматически обноляется?
> Он автоматически обноляется?Хто?
Пользуйтесь отечественным оборудованием!Забугорные все затроянены и пробекдорены:
> Пользуйтесь отечественным оборудованием!
> Забугорные все затроянены и пробекдорены:
> http://www.cybersecurity.ru/telecommunication/87020.htmlОтечественное типо нет? :ROFL: