Вот как 2 года я работаю инженер-программистом (тыжпрограммистом) в одном из филиалов ГУП "Рога и копыта", и в сентябре прошлого года на внутреннем форуме (о да, форумы=)) появилось сообщение с требованием установить программное обеспечение(ПО) для «Проведения инвентаризации используемого ПО» с ссылкой на внутренний FTP сервер для скачивания оного. Проведя некоторую разведку, было выявлено, что это ПО есть ни что иное как продукт SearchInform (ООО «СёрчИнформ») и согласно описанию, на сайте производителя, это ПО будет следить за всеми действиями пользователей (нажатия клавиш, снимки экрана, отправленные на печать документы), что означает, что в случае использования пользователем на своём рабочем месте личных паролей/данных кредиток/фотографий они уйдут, надеюсь на внутренние серваки нашей организации. Никаких приказов и/или изменения трудовых договоров за этим не последовало и ситуацию удалось спустить на тормозах.

Однако в этом году, появилось ОНО

И снова не говорится, что именно будет установлено и это снова "ПО: Агент DLP-системы «КИБ СёрчИнформ» 5.51.0.9".

Итак, хочу прояснить, я не против внедрения подобного программного обеспечения, только сделайте нормальный приказ, где будет сказано что будет установлено, где будет описан порядок информирования сотрудников и внесены, при необходимости, соответствующие корректировки в ... ммм ... трудовой договор ... или еще куда...

Чтобы как-то себя обезопасить я написал служебку на имя начальника филиала, где описал ситуацию и попросил снять с меня ответственность за установку данного ПО.

Но, как я написал в заголовке, меня не покидает ощущение, что меня (а также других ИТшников других филиалов) хотят заставить нарушить какой-то закон, какой именно, я не очень понимаю, т.к. моя сфера работы и интересов не очень перекликается с законодательством.

Поэтому прошу Вашей помощи, Пикабу, насколько правомерны действия безопасника, как мне лучше поступить в данной ситуации?

Однако каков оказался ажиотаж от поста https://pikabu.ru/story/garri_potter_i_analnyiy_zondwwsecure..., ужс! Несмотря на то, что он не был никоим образом ответом на https://pikabu.ru/story/nash_quotproblemnyiyquot_secure_boot..., автор @ahovdryk решил написать мне темному тупому гуманитарию ответ - https://pikabu.ru/story/secure_boot_vol_2_pogovorim_o_svobod....

Я поначалу пробовал написать развернутый коммент с ответами на ответ, но он получился очень уж большим, так что придется новым постом.

Итак начнем, помолясь, продолжим врать и лгать наперекор священным продажам и адептам MCSA .

Итак, что там пишет @ahovdryk:

@ahovdryk:

В том числе почему свободу иногда нужно зажимать.

@ventricola:

Дело в том, что это одна из технологий существенно ограничивающих цифровую свободу, ну и как результат свободу в целом.

@ahovdryk:

Дело в том, что это враньё. Возникло ли это враньё из-за неграмотности или злого умысла я судить не берусь, но факт остаётся фактом.

Это все личное мнение @ahovdryk, как и мое иное мнение, фактами здесь и не пахнет. Причем налицо двоемыслие про свободу нужно зажимать, но что она зажата - вранье!

Эта технология была введена именно с той целью, что я уже писал: никому кроме очень странных личностей не нужны неопознанные модули в UEFI. Причём для любителей свободы существует следующий интересный факт: вы можете подписать свой модуль своим самопальным ключом и самолично добавить этот ключ в список разрешённых.

Это не так, это возможно там, где разрешат демиурги, количество таких девайсов исчезающе мало. Про это в моей статье и написано. Я отвечал в комментариях к своему посту про это:

@electronik:

Если каждый сможет подписывать бинари, то теряется весь смысл SB. Это как с ssl сертификатами, их должен выдавать только удостоверяющий центр. А по второму пункту, я во всех uefi на oem матерях всегда видел пункт удалить ключи.

@ventricola:

Эдак можно утверждать, что если каждый будет на моем компе админом это очень плохо. Не вопрос. Только это мой комп - хочу буду админом, хочу бомжей из интернетиков админами напущу.

С сесуребутом все не так, админы-демиурги на моем компе все в майкрософте, а бомж - я, захотели в майкрософте - пустили меня на комп, посчитали, что небезопасно - выгнали меня нах на мороз. Что не так-то, небезопасно ведь!

Зачем какому-то бомжу давать возможность подписывать загрузчики на его же железе, когда демиурги лучше знают, как нужно.

Вот сетап моего рабочего ноута. Кто покажет пальцем, где найти key management? Ткните носом уже:

@ventricola:

Это один из анальных зондов, навязанных пользователям IBM PC совместимых платформ, избавится от которого крайне сложно.

@ahovdryk:

Это тоже враньё. Первое я уже упоминал ранее - сертифицированные для Windows системы на IBM PC-совместимых машинах обязаны иметь возможность этот "зонд" отключить, что прямо противоречит заявляемым оппонентом целям технологии.

Это верно для Windows 8. А современные сертифицированные системы как? Обязаны иметь возможность отключать, нет? Как в будущем будет? Обязаны будут? @ahovdryk, вы прочитайте стандарт, приведите из него значимые куски текста. Потом напишете у кого вранье.

@ahovdryk:

То есть для 99% пользователей это не составит никакого труда после прочтения справочной информации о своей материнской плате. Повторяюсь: вообще никакого труда.

А как дальше, про горизонт планирование слышали, как будет через 5, 10 лет?

@ahovdryk:

Коллеги и сочувствующие, нас опять обманули. Das U-Boot вообще не предназначен для домашних компьютеров. OpenBIOS просто не способен выполнить свои задачи без coreboot или U-Boot. Coreboot написан с целью выполнения минимально необходимых для загрузки задач. То есть на нетривиальных конфигурациях ваша система с прошивкой coreboot может запросто не загрузить что-то такое бесполезное и никому не нужное как SaS/RAID контроллер.

Да, да, такое до UEFI было абсолютно невозможно, кроме UEFI никто не справится, никто-никто. UEFI уникален, без него просто никуда, даже ДВД без винды не посмотреть. А сесуребут вообще ниспослан богами от руткитов, буткитов и чтобы мы там не загрузили вдруг чего неправильного.

Google разрешила себе удалять приложения со смартфонов и планшетов Android-пользователей, Microsoft: We can remotely delete Windows 8 apps - это прекрасно хули, а без сесуребута такое качественно проделывать невозможно. Поэтому будет сесуребут.

@ahovdryk, вы бы лучше пример вот такой вот нетривиальной конфигурации привели из своего опыта работы, который без UEFI никак не загрузить.

@ventricola:

То есть некая группа Microsoft и ко пролоббировала принятие стандарта, который не позволяет мне использовать такие ОС, какие я хочу, сам я создавать цифровые подписи никак не могу, и сделать с этим ничего нельзя.

@ahovdryk:

Нам лгут. Причём лгут вопиюще нагло. Давайте ещё раз посмотрим в список членов UEFI Forum.

Вот есть UEFI, а вот есть Secure Boot, статья была про сесуребут, даже в названии про UEFI вообще ничего. Но опять, @ahovdryk, вы приплетаете весь UEFI к вопросу про сесуребут и игнорируете вопрос про то, кто еще из форума может подписывать загрузчики. А я задавал вопрос в комментах, кто кроме майкрософта может. @ahovdryk, вы предпочли не отвечать и проигнорировать, но притянуть к сесуребуту весь UEFI форум, который ничего не подписывает и не будет. При этом форум вполне себе общественная организация, а про общественность майкрософт я ничего такого слыхал. А в моем первом посту тоже про это было, но @ahovdryk решил таких мелочей не замечать.

@ahovdryk, скажите все-таки вот каноникал, как член форума может подписывать загрузчики? Кто из перечисленных вами может?

@ventricola:

Сделайте, ладно, так, чтобы я сам мог определить, что безопасно, а что нет.

@ahovdryk:

Проблема в том, что вы как раз этого и не можете сделать. Вы не можете определить безопасность за пределами своей сферы компетентности.

Я-то конечно темный тупой гуманитарий, но, @ahovdryk,  вам не стоит уравнивать всех с собой по уровню развития, это порочная практика никого не доводила до добра. Вот я себе небезопасный загрузчик скомпилировать могу, а загрузить сесуребутом на прекрасном железе без легаси или key management почему-то не могу. На телефонах такое уже в полный рост. Теперь дело за ПК.

@ahovdryk:

И возникает вопрос - стоит ли комфорт дураков безопасности остальных пользователей?
Заражённая машина - источник опасности для соседей. В Сети мы все соседи. Часть наших соседей некомпетентна. Либо мы усложняем процедуры безопасности и отбираем у пользователя свободу сходить пописать в работающую трансформаторную будку, либо гонясь за эфемерной свободой наслаждаемся вирусными эпидемиями.

И мыслепреступления тоже угрожают безопасности, @ahovdryk, вам нужно для натягивания или сову взять побольше или глобус поменьше. А еще если все хорошие люди соберутся и убьют всех плохих людей, сразу заживем. Это, конечно, если к вопросу цыган, жыдомасонов и ниггеров еще не приплести.

@ahovdryk:

Поставьте ключ Canonical и не ходите никуда ни на какую сертификацию. Много где он есть и так. Но что ещё смешнее - есть shim, через который и грузится на фиг не нужный в этом режиме GRUB. Ещё смешнее эта претензия выглядит оттого, что вам никто не мешает новую "бинарь" подписать старым ключом! Оппонент просто не понимает как работает критикуемая им технология!

Конечно не понимает, куда ж ему. Демиург с удовольствием даст тупому оппоненту возможность работать как ему нужно, если это правильно, а если по мнению демиурга оппонент работает неправильно, то не даст.

@ventricola:

На мобильных результаты уже видно, где вендор даст возможность разблокировки загрузчика, там грузитесь, а где не даст, там "бюстгальтер женщины самоклеящиеся толчок вверх хлопок бюст без бретелек установить белье".

@ahovdryk:

И я напомню оппоненту откуда эта радость вылезла. А вылезла она из-за двух вещей: руткитов и косоруких пользователей, которые своими неграмотными действиями кирпичили аппараты и задалбывали техподдержку. Потому что современный пользователь некомпетентен. Это положение де-факто. И вот тут мы и наталкиваемся на причину по которой FOSS-ключей нет в UEFI производителей. Потому что производителям это не нужно. Вообще и совсем. А производителям это не нужно, потому что пользователям не нужна система в которой vi/vim считается текстовым редактором. Впрочем, проблема глубже.

Давайте я попробую развить. Людей лучше сразу в детстве усыплять, а то жить небезопасно. А тех кого в детстве не усыпили и кто сопротивляется - мучительно ликвидировать. Так как они угрожают безопасности первых. А у вас наверное и Сертификат Майкрософт есть?

@ventricola:

Ну а у на PC прилетели полезные автоматические обновления и нужна срочная перезагрузка, подождите пока установятся обновления, не выключайте компьютер.

@ahovdryk:

У человека, который евангелист FOSS, не хватило компетенции прочитать 10 слов, благодаря которым перезагрузку в Windows 10 можно отложить на несколько суток. А почему обновления теперь приходят так? А я напомню. Все помнят вирусные эпидемии Kido, Conficker, Xorer, TDSS? Все они до единого эксплуатировали давно закрытые в Microsoft уязвимости. Пользователи просто решали, что безопасно, а что нет. И отключали обновления. С закономерным фееричным результатом. Вот вам циферка для размышления: от публикации до эксплуатации уязвимости проходит около трёх суток. Обновления нинужны(sic!).

Во первых, @ahovdryk, вы про меня ничего кроме постов не знаете, а суждения лучше выносите о родителях. А про обновление нинужны, это вы написали, и мне свои фантазии приписывать не нужно.

Да и вот про десяточку расскажите подробнее, почему описанное мной поведение  - поведение по умолчанию, почему это нормально, и еще раз пропойте мантру, что проблемы совсем нет. Потом подумайте о том, что через полгодика возможность отложить перезагрузку можно будет совсем выключить и все всё сожрут, и сделать будет ничего нельзя.

А так-то проблем нет Windows 10 update reboots computer while user is logged in despite group policy setting, Windows 10 update reboots computer - всего 198 млн результатов.

@ahovdryk:

Уважаемый FOSS-евангелист. Лично я считаю, что ваша свобода размахивать кулаками (читай: сидеть на необновлённой машине с недоверенным кодом в прошивке) заканчивается в вашей не подключённой к Интернет локальной сети. Требовать, чтобы все могли так лазить в Сети это превращать регулируемый перекрёсток в бомбейский. Тоже вид свободы, чего уж там. Вы тут не одни. Вообще и совсем. Ваша реальная доля у пользователей это 3%.

Вот и статистика подтянулась из надежных источников, вы еще напишите сразу, что-то типа того, что 95% населения полные идиоты. Напомните наконец когда вы последний раз проводили обследование моей машины и где вы видели, что я размахивал кулаками? Опять фантазии?

Про 3% осмелюсь спросить про гугл на винде? Яндекс? Википедию? Чего там еще? Порнохаб на винде же?

@ahovdryk:

Давайте не будем нечестными, причисляя к пользовательским машинам сервера, суперкомпьютеры, встроенные системы и всякое такое. Эти вещи администрируются квалифицированным персоналом. Когда персонал неквалифицирован - беда происходит абсолютно на любой системе. Если вы побежите причислять к *nix системам Android, то я вас огорчу - по любой классификации Android не Linux.

Напомните что и кто куда причислял? Это по какой такой классификации Android не Linux, раскройте уже мне глаза? Вы же знаете, что такое Linux?

@ahovdryk:

Тем более, повторюсь, ни у Canonical, ни у Red Hat почему-то не возникло проблем с ключами Microsoft. Может, они как-то не так как вы свободу понимают? И да, может, прекратите врать?
Кстати, загрузить Linux в Secure Boot без Microsoft'овских ключей вообще-то вполне реально. Так что об этом, конечно же, многие фанаты FOSS тоже лгут.

Ух ты вокруг сплошные вранье и ложь, по-мнению @ahovdryk. Да вообще проблем никаких нет, наговаривают поди. Вот и рхел и убунта доброю  волею майкрософт без проблем грузятся. @ahovdryk неведомо, что некоторые могут сами в ОСи, что есть linux from scratch, что с самого начала истории ПК некоторые опасные дураки вместо игр рубились в изучение и написание своих недоОС just for fun.

Несколько дней назад наш уважаемый коллега @ahovdryk опубликовал пост об Secure Boot. В целом все описано довольно понятно и доступно, за исключением одного аспекта, одного НО, за что же эта технология подвергается такой критике.

Дело в том, что это одна из технологий существенно ограничивающих цифровую свободу, ну и как результат свободу в целом. Это один из анальных зондов, навязанных пользователям IBM PC совместимых платформ, избавится от которого крайне сложно.

Давайте попробуем разобраться по порядку, иначе будет непонятно.

Secure Boot является частью спецификации UEFI, которая, в сущности, является международным стандартом программного обеспечения для низкоуровневой инициализации компьютеров, а в IBM PC используется вместо древнего BIOS.

BIOS и вправду очень стар, у него масса недостатков и рудиментов, нет 64битной реализации, нет механизма работы с дисками большого объема и т.д.

Эти недостатки не современные, не сегодняшние и не вчерашние, они были с BIOS всегда, если кто помнит, проблемы с объемом дисков всплывали в прошло неоднократно и успешно решались. Помнит кто про 32ГБ? А ведь было много и раньше, еще с мегабайтов. Решались проблемы с CHS/LBA разметкой, с флагом активности в MBR, и еще овер 9000 вещей были доработаны в BIOS за его более чем 30-тилетнюю историю. В принципе, он еще может выполнять свои функции после доработки напильником.

UEFI быстрее, выше, сильнее, нет вопросов, современный UEFI представляет собой практически полноценную операционную систему и позволяет, например, использовать ПК вместо DVD или mp3 плеера, на загружая основную ОС. UEFI умеет 64 бита, т.е. может адресовать всю доступную память и полноценно использовать регистры; он же умеет в диски большого объема, кроме того относительно неплохо умеет в сеть. Ну это если про существенные преимущества, а не про двд плеер.

Тут необходимо понимать, что UEFI не лучший и не худший, причем, далеко не единственный из вариантов эволюции. Я перечислю только открытые: Coreboot, Libreboot, OpenBIOS и Das U-Boot.

Кто-то, наверное, скажет: "Опа, очередной линуксоид!". Неа, я, конечно, FOSS евангелист, по крайней мере в моей жизни и практике FOSS играл и играет огромную роль, даже может линуксоид. Но для меня всех на свете милее FreeBSD, хоть и приходится сейчас, в основном, в Linux.

Вернемся к теме про Secure Boot.

На сейчас, при том, что международный стандарт и множество производителей айбиэмсовместимого железа, загрузчики подписывает только Microsoft. То есть кроме Microsoft никто не может создать цифровую подпись для загрузчика, чтобы UEFI Secure Boot стал считать загрузчик безопасным. Большая часть вендоров сохраняют возможность загрузки старым способом, называя его "легаси", но это необязательный, опциональный вариант, которого может и не быть ( мне, к счастью, такое железо пока не попадалось). Причем биос спокойно может загрузить систему даже с GPT диска, используя protective MBR. GPT разметка, пожалуй, лучшее из всего того, что создано UEFI форумом.

То есть некая группа Microsoft и ко пролоббировала принятие стандарта, который не позволяет мне использовать такие ОС, какие я хочу, сам я создавать цифровые подписи никак не могу, и сделать с этим ничего нельзя. И никто кроме майкрософта не может. Майкрософт это такая международная общественная организация или часть правительства какого-то? Ну пока есть легаси режим загрузки это не проблема, но ситуация будет, думаю, развиваться по ограничительному, а не разрешительному пути.

Сделайте, ладно, так, чтобы я сам мог определить, что безопасно, а что нет. Нет, жри наше говно ложками и не вякай. Не хочешь Secure Boot, на тебе spectre/meltdown, не хочешь meltdown, получи официальный Intel ME.

Вышла новая загрузочная бинарь GRUB, например, добро пожаловать, так сказать, в майкрософт на сертификацию, а пока обождите загружаться. Ну или грузите десяточку, чего уж.

На мобильных результаты уже видно, где вендор даст возможность разблокировки загрузчика, там грузитесь, а где не даст, там "бюстгальтер женщины самоклеящиеся толчок вверх хлопок бюст без бретелек установить белье".  И ничего не сделаешь. Ну а у на PC прилетели полезные автоматические обновления и нужна срочная перезагрузка, подождите пока установятся обновления, не выключайте компьютер. Не сохранили работу, так зато все безопасно.

Хорошо, конечно, удаленно заблокировать потерянный ноутбук как айфон, это возможно с Secure Boot, а можно ли сделать так, чтобы этот ноутбук гарантированно работал как надо и делал то, что нужно, и не зависел от кого-то извне, имеющего на словах самые лучшие побуждения?

Нужно же ведь четко понимать, что айфон блокируете не вы, его блокируют эппл или мейзу с сяоми.

Терморектальный криптоанализатор — прибор для проведения терморектального криптоанализа — экспресс-дешифрования информации любой сложности шифровки в присутствии носителя этой информации. Говоря проще, метод нагретого паяльника в жопе.

Считается, что вероятность успешного дешифрования близка к 99,9%, что делает данное нехитрое устройство предпочтительным в борьбе против детской порнографии и хэккеров.

Главное преимущество метода терморектального криптоанализа — принципиальная независимость времени дешифровки от объема секретной информации и стойкости самого шифра.

А главный недостаток метода — обязательное личное присутствие шифровальщика, без которого устройство бесполезно. При этом поиск и захват шифровальщика может быть в ряде случаев весьма сложной задачей, но вполне по силам специализированным организациям.