Velmi rychlým mačkáním klávesy Enter do zašifrovaného Ubuntu

Článek na Pulse Security informuje, že do Ubuntu 20.04 ze zašifrovaným diskem (TPM v kombinaci s Clevis, dracut a systemd) se lze dostat rychlým mačkáním klávesy Enter. Velmi rychlým. V článku je to 50x za sekundu. Pomocí mikrokontroléru emulujícího klávesnici.

2.9.2023 13:11 | Ladislav Hagara | Zajímavý článek

Komentáře

Diskuse byla administrátory uzamčena

Náš administrátor shledal tento komentář závadným.

off-topic trolling

Zobrazit komentář

[hm]

promin ale muj komentar neni troling tve shledani je zavadne

[linuxak]

Timto chci podekovat adminovi za snahu, boj s blbosti je vecny.

[koroptev]

Pro mne jiz jen kavu.

[koroptev]

lol

nedavno jsem si tu z toho delal srandu, ze..

je to komedie nebo tragedie?

[k3dAR]

hlavne je to dost zavadejici titulek zpravicky...

problem byl zjisten na konkretni instalaci Ubuntu kam ale nekdo doinstaloval nestandardni soucasti pro boot ktere se v Ubuntu normalne nepouzivaji, ale pouzivaji se Fedore/RedHatu/SUSE... (a nezkoumal sem zda by se problem projevil i tam, nebo je to souhra veci teto "zprasene" instalace...

dracut - je na vygenerovani "bootovaciho ramdisku", Ubuntu ho nepouziva misto nej pouziva "mkinitramfs"
clevis - je na automaticke odemceni LUKS sifrovaneho disku/oddilu klicem z TPM, ale v Ubuntu se to by default nepouziva



autor blogu zaroven pise hloupost, ze Ubuntu pri sifrovanem disku aby sel provest reboot a remote unlock, musi mit vyse zminene nainstalovane, nemusi - pouziva se neco jineho, balik "dropbear-initramfs" kterej prida do initramdisku (vytvoreneho pomoci mkinitramfs) ssh server dropbear a heslo pro odemceni LUKS se tak zadava po pripojeni pomoci ssh (potom co se pomoci ssh klice klient overi)...

tvarit se ze chyby nejsou je samozrejme hloupost, stejne tak se tvarit ze nejsou na tvem asi oblibenem Apple... napr.:

Login Window
K dispozici pro: macOS Monterey
Dopad: Osobě s přístupem k Macu se může podařit obejít přihlašovací okno.
Popis: Problém byl vyřešen vylepšením kontrol.
CVE-2022-22647: Yuto Ikeda z univerzity Kjúšú
Záznam aktualizován 25. května 2022

Login Window
K dispozici pro: macOS Monterey
Dopad: Místnímu útočníkovi se může podařit zobrazit plochu předchozího přihlášeného uživatele z obrazovky rychlého přepínání uživatelů.
Popis: Problém s ověřováním byl vyřešen vylepšením správy stavu.
CVE-2022-22656

zdroj: https://support.apple.com/cs-cz/HT213183
btw: odkaz dale obsahuje hromady security oprav do vsech moznejch casti macOS kde prevazne se jedna o "moznost spustit libovolny kod" ci "navyseni prava uzivatele na root ci system ci jaderna opravneni" (coz uz jsou teda chyby zneuzitelne pro uzivatele co ma alespon omezenej login)

nebo "prihlaseni do macOS jako root bez hesla: zadejte jmeno root, heslo nechte prazdne a nekolikrat zmacnene enter, dokud se neprihlasite", viz

[~]

Tady jde o to ze Apple to zalata okamzite a do dne se rebootne miliarda Macu a je po problemu. V ubuntu to bude trcet mesice...

[plostenka]

Takze uptime macu se meri na dny?

[RealJ]

Mas se az na par vyjimek nepouziva jako server, takze u naproste vetsiny uzivatelu jsou to dny. Posedlost uptime chapu u serveru ale na desktopu moc ne. I v korporatech se desktopy rebootuji kvuli patchovani.

[plostenka]

Wtf, to jako vypinas kazdy vecer ntb misto uspani do RAM?

V korporatech at se treba stavi na hlavu, to neni muj cas, moje penize a hlavne muj problem.

[RealJ]

Ja pocitac nevypinam, neuspavam, ale kdyz se restartuje kvuli aktualizaci tak mi to nevadi. Ja chapu ze si u linuxu musis pockat az se ti spusti 300 demonu a aplikaci, u macu mi to nevadi, otevre se mi po restartu vse co jsem mel otevrene.

[Tim]

Uptime je prezitek. Dnes kdyz mas loadbalancery vsude tak prubezne rebootovani po update je uplna pohoda. 3ciferny uptime si dnes dovoli jen hazarder nebo offline masina :)

[Jendа]

V ubuntu to bude trcet mesice...

To ještě neopravili?

Nebo to byla narážka na to, že linuxové distribuce defaultně nevynucují intenzivně reboot po instalaci oprav (skoro bych řekl že klikátko v Ubuntu reboot doporučovalo, a určitě to jde zapnout -- checkrestart)? Jak se tohle řeší na masoxu - to uživateli prostě nuceně rebootneš pod rukama, nebo jsou tam dark UI patterny jak na Windows ("pokud do 10 minut neodkliknete že odložit o hodinu, tak se rebootnu!")? Každopádně tohle by u chyby, která se projevuje při bootu, bylo poněkud offtopic.

[k3dAR]

mozna si prehledl, ale nejde o bug z bezne *buntu instalaci s aktivovanym sifrovanim disku

slo o customizovane Ubuntu kde:
1. vytvoreni initramdisku nezajistoval vychozi mkinitramfs, ale byl pouzit dracut pouzivanej v RPM distrech
2. pro automaticke odemcenim klicem z TPM (a mozna i pro remote rucni) byl pouzit Clevis, kterej se by default v Ubuntu nepouziva

[RealJ]

Tak na macu i kdyz se restartujes tak by default se ti spusti vse co jsi mel otevrene vcetne treba rozepsaneho emailu. Neni to dokonale ale funkcni. Restart se obvykle dela v noci kdy pocitac nepouzivas (ja treba jo) presne nastaveni si nepamatuji, nastavoval jsem to hodne davno.

[xxxs]

po tom, ako sa vtedy moja rocna dcera opakovane dostala do zaheslovane iphonu 8, by som sa z applovskej strany velmi nevyskieral.

[RealJ]

Rocna? Tyhle pohadky…

[xxxs]

nie je to pohadka. tvoja modla je iluzia.

[tadaa]

Protoze jsi socka nemel jsi iPhoneX tak mas co mas! Ha!

[RealJ]

Tva rocni dcera dokaze uhodnout minimalne 4cisla po sobe do deset pokusu? To urcite. Muzes to vypravet jako prihodu v hospode, tam ti to nekdo uveri.

[Tom]

IMHO myslel faceid. Spolužačka a její dcera si mohou odemykat vzájemně telefony obličejem.

[RealJ]

Zminovany iphone 8 nema face id…

[xxxs]

skor by som povedal, ze sa to da nejako obehnut, teda zabezpecenie nefunguje.

[RealJ]

Dukazy chybi… nedrzela v ruce ten telefon treba zena a odemkla ho touchid?

[xxxs]

nie. bolo nastavene zadavanie pinom, skontrolovany lock pred odovzdavkou dietatu. stalo sa 2x.

mne to ako info staci. tebe nie, som anonym na nete.

[RealJ]

A zeme je placata…

[xxxs]

info si dostal, urob si s nim co chces.

[hmmmw]

Děti se prostě kouknou, kde je displej opalcovaný.

[RealJ]

Rocni dite?

[hmmmw]

Třeba se narodilo 29. února a roční dítě už chodí do školy.

[_]

Takže stačí použít buď mikrokontrolér nebo zkušeného gamera, linuxáka nebo jiného nolifera = každodenního honiče.

[linuxak]

nejvetsi nolifer je clovek, co denne chodi na stranky o operacnim systemu, ktery nema rad, aby tam psal nesmyslne urazky proti lidem, o kterych nic nevi.

[trollmistr]

My vsichni trolove jsme bohuzel "uzivateli" toho vecneho linuxoveho nedodelku a proto vime proti cemu bojujeme kamarade.

[JZD]

Na ábíčku toho moc nezmůžete. Tady vaši práci jistě mnohem více ocení.

[_]

To je jen pro boomery, nedá se tam trolit bez registrace.

[_]

Pro zmáčknutí klávesy 50x za vteřinu je spíš důležité to každodenní honění, než operační systém. Jinak nebudeš mít dost vytrénovanou ruku.

[plostenka]

Pro ty co hrali olympiadu zadny problem...

[michi141]

[systemD hater]

systemD. Nuff said?

[k3dAR]

BTW: systemd je tam jen jako nasledek za spatne osetreny nevalidni heslo pro pokracovani, kdy systemd jen pusti recovery rezim...

[Max]

Chápu, že někdo potřebuje full encryption s tím, že musí zadat klíč na dálku, tj. je potřeba, aby naběhla část sytému, ze zašifrovaného disku. Musí ten disk být tedy dešifrovaný. Používá se k tomu bezobslužně TPM.
Vesměs tedy šifruji, ale zároveň všechno při bootu odemykám a spolehám na to, že sw, který tomu bude dělat ochranu, bude bezpečný. Jak je vidět, tak samotné použití je tedy už by design nebezpečné a tedy ono zneužití je spíše už jen třešnička na dortě.
Mimochodem, na Windows nedávno byla zveřejněna zranitelnost, kdy díky bugu ve windows lze odposlechnout komunikaci s TPM a dostat se tak k zašifrovanému disku. Prostě kdokoli zkušenější / s rozpočtem si otevře zašifrovaný disk / notebook s Windows.
A to je přesně ten problém, kdy se uživateli nabízí nějaká fce, která nepoměrně hodně krátí bezpečnost celého řešení. Kdo chce větší bezpečnost (ochrana před ztrátou, ukradnutím, zabavením), zadává full phrase při startu PC, nebo má zaheslovaný token s dešifracím klíčem.
Zdar Max

[Peter Golis]

Clevis vie zadať heslo k LUKS aj na diaľku, cez šifrovanú sieť (je tam na to client server architektúra na automatické odomykanie).

V tejto správičke sa hovorí o chybe obslužného programu v initrd ktorý prepne bez potreby zadania root hesla do záchranného módu pri rýchlom stláčaní klávesy, ale s odomknutými diskami. To nie je chyba TPM. Uvidíme kedy budú patche, oprava by mala byť triviálna.

[dustin]

Pochopil jsem to trochu jinak. Protože skončí proces ručního otevření chybou (uživatel nezadal správné heslo v nastaveném počtu pokusů), ale ten TPM skript ještě automaticky nestihl odemknout disky údaji z TPM (obojí běží současně paralelně), kernel nemůže pokračovat v bootu (nemá root fs) a skončí v emergency shellu pod rootem - bez nutnosti zadat rootovské heslo. Disky v té chvíli ještě nejsou odemčené, ale lze je následně snadno ručně odemknout cli nástroji pro TPM.

Na windows nemá uživatel na stroji přístup, dokud TPM nedokončí otevření (neběží to paralelně), tudíž k tomuto problému nemůže dojít.

[Peter Golis]

Ak to beží paralelne, tak je to chyba. A fix je tým pádom ozaj triviálny.

[X]

Trocho to pripomina problem s DRM a ochranou videa kterou ted resim a to v tom, ze jakmile chces automatizovat desifrovani nejakeho obsahu pro treti stranu, tak se zakonite dostanes do situace kdy spolehas na software.

[Max]

Jinak kdyby někoho zajímal ten bug ve Windows, tak tady: Extracting BitLocker keys from a TPM. Celkem zajímavé počtení.
Zdar Max

[Peter Golis]

Bolo to aj tu v správičkách, a pribalili k tomu aj druhý link ktorý vysvetľoval kde urobil MS chybu.

[k3dAR]

Chápu, že někdo potřebuje full encryption s tím, že musí zadat klíč na dálku, tj. je potřeba, aby naběhla část sytému, ze zašifrovaného disku. Musí ten disk být tedy dešifrovaný.

to chapes spatne...

Ubuntu pro remote odemceni pouziva (nutno doinstalovat) balik dropbear-initramfs, ten ale nedela narozdil od Clevis ze by pri ziskani root z initramdisku umel odemnkount komukoliv LUKS klicem z TPM (= TPM vubec nepouziva), ale jen nahodi dropbear (kteremu si tam pridal verejnou cast ssh klice pro root), spusti skript pri prihlaseni pres ssh s privatnim klicem a ten jen prijme heslo ktere preda nativnimu cryptsetup kterej ho odemkne pouze pokud zadany LUKS klice sedi...

BTW: v te vychozi instalaci Ubuntu se sifrovanim, je nesifrovany/oddeleny /boot

[lukve]

Možno by viac osožne bolo zverenit tieto veci ohladom Ubuntu:

 

I Think Ubuntu 23.10 is Making a Mistake… - OMG! Ubuntu (omgubuntu.co.uk)

Píše sa tam ak to nieje nejaky drb, že 23.10 bude mat osekane ISO bez LibreOffice, prehravaca hudby a podobne

co je premna OK take minimalisticke doinstalujes si to co chces ty,

a druha vec je ze to bude GNOME 45 co bude v Ubuntu 23.10 co je celkom pekne a fajn najnovsie GNOME aj ked ako to byva v Ubuntu budu chybat niektore veci s GNOME.

Napriklad Nautilus co je spravca suborov v GNOME bude celkom pekne vyladeny

GNOME 45's Nautilus File Manager Gets a Modern Full-Height Sidebar Layout - 9to5Linux

[Peter Golis]

Možno by bolo vhodné podotknúť, že stránka OMG! Ubuntu je bulvár podobne ako je napríklad aj Wired. A tak isto by bolo vhodné podotknúť že ten článok vyšiel pred UI Freeze ktorý bude za tri dni. Ovšem skladba ISO (dostupné a predinštalované balíky) sa môže zmeniť do finálneho vydania ktoré bude 12.októbra.

Ale nechápem čo má spoločné toto zamyslenie s bezpečnostnou chybou ktorá odomkne šifrovaný disk ak človek použil iný ako predinštalovaný SW. Áno, clevis si tam dotknutá potendionálna obeť musela doinštalovať sama.

[koroptev]

vyladeny Nautilus - to je co?

dyt ta mrdka ma 1/3 funkcionality uz tak retardovanyho exploreru ve win a asi tak 1/20 funkcnosti veci typu norton commander..

jako ze to bude nejak hezcejsi graficky vizualne?

idiote

[koroptev]

"modern full height sidebar"

tady to mate cerny na bilym, proc na linuxu nemuzete mit hezky veci, protoze poptavka a nabidka se stretavaji v bode "modern full height sidebar"

[koroptev]

cituji z https://www.omgubuntu.co.uk/2023/09/ubuntu-23-10-minimal-mistake:

When people download Ubuntu 23.04 they get an OS that can do everything Windows 95 did – with 23.10 they don’t

to je na pomery linuxtardu znacne neobvykla sebereflexe

[Peter Golis]

Samozrejme že áno, v inštalačke Win95 bol napríklad tabuľkový procesor z kancelárskeho balíka, ako sa len volal? Skús prezradiť. A určite mal Win95 v základnej funkcionalite virtuálne plochy ktoré nebolo treba dohackovávať programami tretích strán.

A teraz tú o červenej karkuľke.

[.]

Ono i z pluginy tretich stran v Gnome to bude chvili na bode mrazu

[Peter Golis]

Čiže tvoje inštalačné CD Win95 obsahovalo produkty tretích strán. To sa prejavovalo ak ho človek uwarezil z pofidérneho zdroja, rovno aj s vírusmi.

Gratulujem k priznaniu.

[lukve]

Win95 v dobe ked vysiel tiez nemal nejake ohlasy ono to s windowsami je tak ze ludia ich ocenia az po case.

A ten Nautilus je fajn a netyka sa to nautila samotneho ale kniznice libadwaita ktora je zodpovedna zaten sidebar. Mne sa to paci preto som to v tom zapisku vyssie spomenul a co sa tyka minimalistickeho nastavenia ISO to je tiez v pohode aspon si nahodim namiesto LibreOffice OnlyOffice. dakujem ubuntu za chytru volbu kiez by sa to prejavilo aj do vysledneho ISO ktoreho vyjde tusim 20 septembra, ci az v oktobri?

[Peter Golis]

Ale ako toto súvisí s bezpečnostnou chybou odomykania disku?

Pochopil by som, keby si si to dal do blogu. Ale dávať do už zatrolenej diskusie odkazy na bulvár (píšúci o _predbežnom_ zostavení ako o nedorobku) mi príde mierne nevhodné. Ale asi som nemoderný.

[koroptev]

mozna by sis nekdy ty win 95 mel znova nainstalovat, abys videl, jakou ulickou hanby te linux nuti probihat

[hm]

Vidim ze si mel zkusenosti jenom z warezem. MS poskytoval nastroj na upravu instalacek s moznosti nainstalovat i programy tretich stran. Ale to se do usi zabedneho linuxaka asi nedostalo.

[Peter Golis]

Ten nástroj bol pre Win95, zúfalo slabý pokus. Blokujem si ťa.

[Bedna]

Tak tak, zabedni sa este viac

[Kokos]

Konečně pádný důvod se zde zaregistrovat.

[hm]

+1

[koroptev]

pluginy gnome 45 - obvykla linuxova demence, nahy kral meni saty, ale zustava nadale nahy, linuxtardi tleskaji

[:21]

Uz to Ubuntu 23.10 chapu, MS totiz jde odstranit WordPad a tak jej ubuntu musi predbehnout.

[..... Izak .....]

Keca hlupak, co neumi nsianlovat linux ze site - kde je sakra ta doba, co jsme nemeli internet, to je malem 20 let zpatky - jo byla doba, kdyz jsme mel DVD z nej to doma naintalaoval a zbytek z RPM z netu, to jsme musel na VS, tam si to stahnout - at uz na floppy, nebo pozdeji CD-RW/DWD-RW - neko mel HDD v ramecku - dnes iz clovbek stahne net-install pripoji se na net a ma upgradovany OS - na VS byla doba, kdy byl internet rychlejsi nez CD/DVD - dnes instaluje temer kazdy z USB, PXE, ILO - nebo ma template ve virtualizaci.

Suma sumarum, GIMP je na BFU slozity, tak tam byt fakt nemusi, Libreoofice taky nepouziva kazdy, mnoho lidi pouziva online MS office, nebo Google DOC - jako ze fakt - Ubuntu vic co kdo pouziva a ty programy nevyhazuje, jen je nedava jako default - coz je OK, proc davat neco, co vetsina jejich uzivatelu nepouziva ?

Samozrejme je to cele blbost, Ubundu ma fakt online balickovaci system APT - a tam fakt staci dat co chces instalovat a on to udela vcetne zavislosti - to bych chtel ve windows 95 videt, ani XP to nemal, neco jde intalovat az ted v powershellu - ale je neprehledne jako hovado, ale z powershellu je fakt mozne online instalovat treba i vmware CLI/API

Ale co se tyce toho, co ma linux a temer jakykoliv co ma balickovaci system v balicich, to zadne windows nemaji

[RealJ]

No nemaj, protoze MS pochopil uz davno ze lidi fakt nechtej instalovat nejaky tuxcart nebo jinou podobnou picovinu. V ramci korporatu MS ma reseni ktere ti dostanou do pocitace sw jaky si firma zamane, v te domaci verzi na to sere pes, nejsou z toho prachy.

[koroptev]

presne tak

MS ujel vlak tam, kde Apple pochopil jako prvni, kudy ten vlak pojede

appstore a absolutne perfektne vymazlenej hw, na kterym ty aplikace pojedou a rovnez prisna kontrola kvality tech aplikaci v appstore

o tomhle se windows s jejich pinozitelskou mentalitou muze jen zdat a linux a vsechny ty pokusy o appstore jsou jen hrani si na to podobne jako si decka hrajou na piskovisti

[SachMat]

Ale my mame deb nebo rpm kdezto vy si musite pres curl dobastlit brew!

[koroptev]

v cem se to prakticky lisi? jakoze homebrew je nejak inferiorni, protoze stahuje soubory pres curl? lol

[SachMat]

Ne. To je jediny zpusob jak homebrew do macu dostat - instalace je pres curl, takze zranitelna. Samotny brew uz pak balicky instaluje pres git. O tom jak jsou balicky v repozitari "podepsane" se radeji ani nejdu zminovat, protoze deb ci rpm podpisy jsou nejaky svetelny rok pred tim. Taky custom repa pro deb/rpm jen tak bez podpisu do systemu nedas, kdezto cask/tap v homebrewu je promiskuitni defka adas si tam cokoli a bez podpisu.

Se porad u svyho pionyrskyho vedouciho Real_J co pry dela do bezpecnosti jaky ma na brew/cask nazor :)

[koroptev]

to neni pravda, maji pkg instalator, viz https://github.com/Homebrew/brew/releases/tag/4.1.8

jinak dobrej humor, ze custom (deb treba) repa do systemu nedam, kdyz si ten klic stahuju z tech stejnejch stranek, ktery by potencialne mohly podvrhnout neco zavadnyho..

[SachMat]

To je jiz o chain of trust, v brewu mas chain of pray...

[koroptev]

no ja prave nerozumim tomu, jak se prakticky lisi to, kdyz budu duverovat nejakymu anonymovi, co vystavil repo s klicem od toho, kdyz si v brew pridam 3rd party repo bez klice..

oba muzou zaskodnicit klic neklic..

[J]

Bez klicu je man-in-the-middle attack malina.

[koroptev]

to neni pravda, zalezi, jakym zpusobem homebrew ty balicky stahuje, a dle vseho v tom je ssl, cili zadnej mitm

spis bych rekl, ze ty klice pro deb repa jsou takovej falesnej pocit bezpeci: mam klic = balicky jsou ok, coz je lez, pokud budu zaskodnicit, vyrobim si repo s necim, co lidi chteji a do zavislosti jim prihodim neco, co chci ja..

[Kate]

Pro obranu MacOS se tam taky dá doinstalovat Nix package manager, což z toho dělá skoro i použitelný OS.

[Tom]

Pro neznale - Nix je neco jako Emacs, skvelej operacni system jen mu chybi dobry a jednoduchy package manager

[koroptev]

jeste jinak - nix je to, na cem tento mesic jedou cool kids, kteri minulej mesic jeli na archu

[koroptev]

linux ma spatne granularitu balickovaciho systemu

nechces, aby ti to resolvovalo do milimetrovejch detailu, kdyz te zajima "rust vyvoj" napr.

ubuntu / debian ma na toto workaround (JEN workaround, protoze porad potrebuje ty "miliony" mravencu, kde kazdej jeden bude resit ten milimetrovej detail, poorly and slowly) v podobe metabalicku, coz ale neresi to, ze ty porad vidis (a oni se tim i chlubi) desetitisice veci, z nichz velka cast je zastarala k nepouziti, velka cast jsou naprosty sracky, velka cast by mela byt soucasti systemu out of the box a velkou cast je lepsi resit mimo balickovaci system

ve vysledku, pokud ti na nejaky aplikaci fakt zalezi, musis jit a zkoumat, zda vubec ma smysl ten balickovaci system pouzit

[..... Izak .....]

Na und ? kazdy instaluje ze site, nebo ma repo zkopirtovane v korporaci a taha to z nej - nebo mini instalace a pak puppet nebo ansible - nebo BASH scripty

[..... Izak .....]

TPM je od zakladu spatny a kazdy, kdo tam co da, to je k nicemu, klic je v LUKSu a ten je chranen heslem - davat neco do uzvareneho systemu jako UEFI, TPM etc. je blbost, nebot to muze kazdy ukrast - ja mam jen LUKS a nic jineho, tam zadne klikani ani rychlo psani nepomuze, nebot to proste neda pasphassse ke klici

[Stihl]

Ja mam yubikey a se svym luksem mi muzes vlezt na zada!