Viele steigen aus Sicherheitsgründen auf Opensource OS um. Merkwürdig finde ich, dass niemand davon spricht (zumindst habe ich noch nichts gehört), dass die meisten FW (Maus, USBstick, Bios etc.) meist closed source von einer Vielzahl verschiedener Hersteller kommen, welchen anscheinend blind vertraut wird. Weiter kann ich mir vorstellen, dass viele Hersteller daran interessiert sind möglichst schnell ein Produkt auf den Markt zu bringen; und daher eine limitierte Sicherheitspolitik verfolgen. Existieren Projekte/Bestrebungen open source Lösungen für die FW einzuführen? Existeren auditierte/zertifizierte FW builds (z.b. durch SHA256) mit welchen einerseits die Malwarefreiheit durch ein FW dump bestätigt werden kann, und andererseits die FW auf einem vernünftigen Sicherheitsstandart gegen Exploits etc zertifiziert?
Gesprochen wird schon darüber. Du findest einige Anleitungen, wie du als Hobbyhacker die Firmware einer Festplatte ändern kannst. Nur hat da niemand eine Lösung. Russland kündigte vor Jahren an, sie wollen für Behörden und Militär eigene Hardware bauen. Bisher noch nichts passiert. Die Diskusion geht noch weiter. Kann die NSA ihre Trojaner von Intel direkt in die CPU einbauen lassen?
Noch Einer schrieb: > Die Diskusion geht noch weiter. Kann die NSA ihre Trojaner von Intel > direkt in die CPU einbauen lassen? Eher in die Intel "Management Engine". Dedizierte CPU mit geheimer Software und Vollzugriff auf Ram, IO und Netzwerk, auf jedem Mainboard. Besseren Ort für einen Spionage-Trojaner gibt's nicht.
Zum Thema BIOS-Sicherheit moechte ich mal diesen Thread ausgraben: Beitrag "Spyware im Bios: Computrace" Das hier ist auch interessant: Deactivate the Rootkit: Attacks on BIOS anti-theft technologies https://www.blackhat.com/presentations/bh-usa-09/ORTEGA/BHUSA09-Ortega-DeactivateRootkit-PAPER.pdf Beim Thema Intel ME gibt es fortschritte: The Trouble With Intel’s Management Engine http://hackaday.com/2016/01/22/the-trouble-with-intels-management-engine/ Neutralizing Intel’s Management Engine http://hackaday.com/2016/11/28/neutralizing-intels-management-engine/ Neutralize ME firmware on SandyBridge and IvyBridge platforms http://hardenedlinux.org/firmware/2016/11/17/neutralize_ME_firmware_on_sandybridge_and_ivybridge.html [coreboot] Experiments with disabling the ME on Sandybridge x230 https://www.coreboot.org/pipermail/coreboot/2016-September/082016.html
:
Bearbeitet durch User
Danke für die Antworten Leider musste ich feststellen, dass quasi noch kein Board unterstützt wird (auch nicht ältere P4 etc.) Mir scheint, dass die einzige Sicherheit die Verwendung von PCs älterer Generationen HDD/MB etc sein. Jedoch sind diese sicher vor exploits?
BIOS schrieb: > Viele steigen aus Sicherheitsgründen auf Opensource OS um. Merkwürdig > finde ich, dass niemand davon spricht (zumindst habe ich noch nichts > gehört), dass die meisten FW (Maus, USBstick, Bios etc.) meist closed > source von einer Vielzahl verschiedener Hersteller kommen, welchen > anscheinend blind vertraut wird. Nein, das tut niemand, der etwas von der Sache versteht. Das Problem ist ein rein juristisches. Die OSS-Taliban kämpfen bereits bei der (juristischen) Abgrenzung des Kernels zu Code auf der gleichen Architektur auf nahezu verlorenem Posten. Was daran liegt, dass im Zeitalter von SoC schon diese Abgrenzung kaum noch möglich ist. Und zwar sowohl in technischer als auch in juristischer Hinsicht. Und dieselben Taliban sind klug genug, um zu erkennen, dass sie keinerlei Chance haben, juristisch sicherzustellen, dass Code, der zweifelsfrei ohne jegliche binäre Abhängigkeiten vom Kernel allein über Protokolle und Hardware-Schnittstellen mit dem Kernel interagiert, offengelegt werden muss. Wenn man die beiden obigen Absätze liest, könnte man fast glauben, dass mir diese Situation gefällt und ich hämisch darüber lache. Nein, ich lache nicht über diese Situation (höchsten über das hilflose Gestrampele dieser unverbesserlichen Taliban), mir gefällt sie natürlich auch nicht, denn das kann niemandem gefallen, der auf privacy bedacht ist. Was allerdings leider genau so wenig an der objektiven Realität ändert wie das lächerliche Gehampel der OSS-Taliban... Der einzige Ausweg aus der Misere wäre komplett offene (oder zumindest selbst kontrollierte) Hardware. Es ist allerdings enorm schwierig, ein im Vergleich zum Stand der Technik auch nur halbwegs leistungsfähiges System aus komplett offenen und/oder selbstkontrollierten Komponenten zusammen zu setzen. Praktisch ist es für >99,9999% der Privatleute inzwischen völlig unmöglich geworden und selbst für sehr ambitionierte "Bastler" mit sehr weitreichenden Fähigkeiten bezüglich Hard- und Software ist es kaum noch realistisch machbar. Ja, sogar staatliche Geheimdienste müssen einen erhebliche Teil ihrer üppigen Budgets inzwischen allein dafür aufwenden, erstmal zu einer vertrauenswürdigen Basis für ihr internes Netz zu kommen bzw. es vertrauenswürdig zu halten... > Existieren Projekte/Bestrebungen open source Lösungen für die FW > einzuführen? Ja, viele. Und manchmal (sehr selten) passiert es sogar, dass irgendeine OSS-Firmware einigermassen "fertig" wird. Soll heißen: wenigstens eingeschränkt die Features der Hardware halbwegs fehlerfrei bereitstellen kann, WÄHREND diese Hardware noch hergestellt und verkauft wird. Aber wie schon gesagt: absolute Ausnahme. Und selbst in diesen Fällen ist nicht garantiert, dass nicht bereits in der (unveränderlichen) Hardware Backdoors angelegt sind, für deren Ausnutzung ein kleines Stück fremden Codes im Userspace ausreicht. Mit der entsprechenden Macht kann sowas relativ leicht in jeder nichtrivialen Hardware quasi unauffindbar untergebracht werden. Es ist dabei relativ irrelevant, ob der Systemkern selber dadurch komprommitiert werden kann, es reicht in aller Regel, die IO-Kanäle mit "T-Stücken" versorgen zu können, um das Angriffsziel zu erreichen. Wer das erstmal verstanden hat, erkennt die Sinnlosigkeit des ganzen OSS-Geschreis. Das nützt etwa so viel, wie Weihwasser+lautes Beten gegen Sackratten...
c-hater schrieb: > OSS-Taliban Such dir doch mal ein C-Forum zum trollen... Hier laberst du am Ende immer den selben Mist.
Moderne Hardware ist komplex und die Produktlaufzeiten sind kurz. Bis das Reverse Engineering soweit abgeschlossen ist, dass ein Großteil der Funktionalität bekannt ist, gibt es das Produkt nicht mehr unverändert im Handel. Lebenszeit kann man auch anderweitig besser verschwenden, daher gibt es nur wenige ernsthafte Projekte für die meisten Produkte. Zudem ist die Nichtexistenz einer bestimmten Funktion nahezu nicht beweisbar, daher kann eine Backdoor im System auch dann noch funktionieren, wenn kein Originalcode mehr im System existiert. Selbstbeschriebene Hardware wäre eine Möglichkeit, aber der Aufwand ist hoch, so dass diese Möglichkeit nur Wenigen zur Verfügung steht. Gleichzeitig sind diese Wenigen (theoretisch) in der Lage, diese selbst beschriebene Hardware auch noch nachträglich mit einer Backdoor zu versehen, sofern sie einen Wunsch dazu verspüren. Der Bezug zu Juridik, Taliban und Open Source ist vermutlich seltsamen Gedankengängen in einem seltsamen Gehirn unter möglicherweise noch seltsamerer externer Beeinflussung oder schlichten Schlafproblemen geschuldet. Quasi-absolute Sicherheit bietet ohnehin nur eine Gummikammer in einem Bunker.
T.roll schrieb: > c-hater schrieb: >> OSS-Taliban > > Such dir doch mal ein C-Forum zum trollen... > Hier laberst du am Ende immer den selben Mist. Na, doch wohl eher ein Nicht-C-Forum. fhdgdfh
Thread beobachten
Seitenaufteilung abschaltenBitte melde dich an um einen Beitrag zu schreiben. Anmeldung ist kostenlos und dauert nur eine Minute.
Bestehender Account
Schon ein Account bei Google/GoogleMail? Keine Anmeldung erforderlich!
Mit Google-Account einloggen
Mit Google-Account einloggen
Noch kein Account? Hier anmelden.