BootHole - virtually every Linux distribution is affected

Sta, mislis da bi bootloader pisan u JavaScript-u bio bolji? :-)

Eto ideje za novu verziju UEFI-ja - dodati i JavaScript engine.

Krene sistem da se boot-uje i onda se zakuca zato sto je npm izbrisao modul koji... sta znam, proverava da li je broj paran jbmliga.

Potpis

DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey

Meni licno smeta i sto se danas po BIOS-u klikce misem.

Potpis

oligofrenolog

Hehe, da, umanjuje ozbiljnost situacije :)

Potpis

Nebojsa Milanovic:
-Trumpa smatram vrhunskim predsednikom i voleo bih da živim u državi na čijem je on čelu
-Rusija ne laže, ne vodi osvajačke ratove
-Trump je svetla tačka u USA blatu
-Elon Musk, možda najpametniji i najtrezveniji Amerikanac

Boljaka C-a su jedni te isti bagovi. Uzme se staticki niz i onda neko ko to mejntejnuje to zaboravi. Nemas pojma kolko sam bagova
ispravio kada sam C staticke nizove zamenio za vektore :P

Nije u pitanju C vec qrcobolja.

Mozes zamenis C sa cime god hoces dobices isti klinac, sve dok ljudi ne kapiraju sa cim imaju posla. Nece te vektori spasiti od idiotskog programiranja koliko god se trudio.

Probaj da nadjes ovakve bagove u bootloader-u novih iPhone-a ili Pixel-a od Google-a. To ce malo teze da ide.

Apple-ov low-level bootloader nije menjan skoro, sastoji se od minimalnog payload-a koji je verovatno izresetan uzduz i popreko od provera.

Mozda GRUB ekipa ne smatra ovako nesto potrebnim, sto samo jos vise ukazuje na cirkus kao stanje uma PC industrije.

Potpis

DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey

Ja lepo kazem da s tim nema problema ko ne restartuje Linux.
Linuxu restart ne treba. ;)
Ko je "dig'o" masinu pre otkrica bug-a , dig'o je. :)

OK, jedina dobra stvar ovde je da nije remote exploitable.... Ali sad ako ti neko zarazi masinu, postaje mnogo teze da ga se resis. Sto nije ni malo zabavno. Ali da, Ivan je u pravu, ovo samo govori o bolu u jednom predelu tela.... F/OSS community treba vise Linus-a i generalno likova koji nemaju problem da svima spomenu gospodja mamu....

Potpis

Please do not feed the Trolls!

Blasphemy? How can I blaspheme? I'm a god!'

Upravo, svetu treba vise a ne manje Linusa :-)

Kad neki sampion pokusa da commit-uje kod sa ovakvim ludilima:

https://access.redhat.com/errata/RHSA-2020:3216



Sta qratz, ko jos proverava koliko bajtova pokusavas da alociras... i to jos u bootloaderu :-) Smejali se ljudi Intel-u kad u Management Engine-u rade to isto, ironija bi bila da je u smejavac ekipi bio neko i od GRUB dev-ova :-)



Jbg, bogtemazo, da li su ovi ljudi culi, sta znam, za sanitizer? Linter? Ne smem ni da pitam da li rade fuzzing...

Linus bi im verovatno ruinirao karijere :-)

Imao sam kolegu, jedan od onih "1 u milion", na zalost ne medju nama vise. Lik dodje sa 6-meseci sabatical-a i posle prvog "radnog vikenda" obrise drugom kolegi 6 meseci rada zato sto je kod djubre, ode do njega i lepo mu objasni da mu je kod djubre i da ga je uklonio i raspisao bolji ekvivalent preko vikenda, i zamolio ga da ubuduce pre commitovanja pita za dozvolu.

Kolega (obrisani) ne bi idiot, nego je naucio nesto iz svega toga i danas pise vrlo pristojan kod.

Danas bi verovatno mogao da ode do nekog HR-a i da se pozali na listu prekrsaja :-)

Potpis

DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey

nkrgovic i Ivan Dimkovic - posetioci iz paralelnog univerzuma. Tamo su kuće od čokolade, a prozori su od marmelade.

Potpis

Nije bitno koji su zaključci izvučeni, već kako se do njih došlo.

Ma idi, sta kazes?

Znaci Apple i Google mogu da napisu posten IBL, a FOSS “komuna” ne moze? Vidi kad je poslednji put neki Apple jailbreak bio vezan za bootloader (ima bar 10tak godina). I to nije zbog nedostatka motivacije.

Ironije :-) FOSSovci su najbucniji oko sigurnosti a najpopularniji FOSS bootloader ocigledno pun sampionskog koda k’o neka Excel tabela obogacena VBA “intelektualnom” svojinom...

Potpis

DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey

Apple i Google mogu da napišu pošten... Ma, idi, begaj.

Kapiram ja da KISS princip doprinosi čistoći, tako da ako su pravljeni da budu jednostavni, to je u redu, ali to je to.

Ako je nađen propust u bootloader-u, čemu ograničavanje razmatranja sigurnosti samo na njih?

Potpis

Nije bitno koji su zaključci izvučeni, već kako se do njih došlo.

Tako je, kao i mali Bobby Tables.... Posto satanizacija inputa je nesto tako... cudno? Ili jednostavno nedostojno? :)

BTW, danas je 2020-ta. Dodati linter u git pipeline, koji ce da proveri ovakve stvari je posao od dan-dva.... Cak i fuzzing dodati u test pipeline je, ajde, nedelju dana posla, recimo, ako radi jedan covek i to ne samo to sve vreme. :) Ne prica Ivan o tome da nesto posebno fancy rade ljudi, bukvalno mozes da platis i dobijes static i dynamic application testing integrisan u gitlab - bilo on-cloud ili on-prem.

Potpis

Please do not feed the Trolls!

Blasphemy? How can I blaspheme? I'm a god!'

@Nedeljko,



Apple nudi do $1.5M ako nadjes 0day u iOS-u. Englezi imaju izreku "put your money..." i Apple to jako lepo demonstrira.

Ja imam daleko vise poverenja u moderni iPhone i Apple Pay nego u bilo koju drugu metodu elektronskog placanja i do sada nisam imao prilike da budem ubedjen u suprotno.



Ko ogranicava bilo sta? Razmatraj sigurnost cega god hoces.

Samo je slucajnost htela da "sampionizam" u GRUB projektu izazove cirkus. Onda je neko ozbiljan uradio security audit GRUB-a i otkrio jos nekoliko slicnih sampionskih stvari.

Ali iskreno, ja uopste ne krivim GRUB ekipu. Najvise odgovoran za sve ovo je sam Microsoft koji je uopste dozvolio da se njihov kljuc koristi za kojekakve "shim-ove".

No, to je nesto za sasvim drugu raspravu. I ti i ja znamo da je Microsoft ovo uradio na pritisak kojekakvih FSF-ova, EFF-ova, Linux Foundation-a i sl. Pravo resenje bi bilo nesto vrlo drugacije, ali avaj...



To Nedeljko iz nekog razloga ne prihvata. Mislim neki leavi deabeat-i mogu da ti zahtevaju sve ovo u ugovoru zato sto valjaju robu koja zavrsi u necemu sto moze da ubije druge (iako je to "sto moze da ubije" kontrolisano sasvim drugim sistemom koji je, samo sticajem okolnosti, u istoj kutiji).

Sve to danas mozes da dobijes sa standardnim alatima, integrisano u CI/CD pipeline.

I sad neko da kaze da ljudi koji razvijaju OS bootloader to ne mogu.

WTF?

Ok, mukice iz GRUB projekta to ne mogu ili ih boli djokica (recimo rade za svoju dusu). Ali ekipa koja to koristi? RedHat? Canonical?

Idi jbt. Ovo je da se jos vise smrznes onda.

Potpis

DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey

@nkrgovic

To je kad neki admin zna da instalira alate, ali ne programira, pa nema pojma o tome šta ti alati zaista mogu, a šta ne.


@Ivan Dimkovic

Zatvaranje tehnologije za ulazak novih igrača je u suprotnosti sa kapitalizmom.

Potpis

Nije bitno koji su zaključci izvučeni, već kako se do njih došlo.

Ti alati bi ti vrlo verovatno ukazali na linije koda gde je use-after-free moguc.

Ako imas srece, mozda bi ti ukazali da pogledas i kod koji je odgovoran za buffer overflow, posto k'o sto Louis Rossman kaze, "fucker*y" se obicno lako nalazi zato sto ga prati lanac idiotizama.

Ako bas nemas srece, znas kako, da si raspisao unit testove koji ukljucuju i fuzzing i "hranjenje" tvojih API-ja sa golim djubretom kako u parametrima tako i fajlovima, vrlo verovatno bi ti softver pukao pre nego sto je instaliran na dobrom delu planete.

Ali sta mi znamo, siguran sam da je GRUB primer dobro raspisanog softvera :-)

Steta sto ga odaje malloc() bez provere velicine. Ekvivalent spaljenog konektora kod Louis-a - ako hoces da lociras nekompetenciju u sumi, nasao si je direkt.



Zatvaranje sto moras da imas svoj kljuc? Idi begaj.

Evo ja bas hocu da moja tehnologija bude zatvorena za budale ili bar da postoji lak nacin da se puste niz vodu.

Zato mi vrlo odgovara App Store model, kad kupujem nesto tamo znam da je sansa za kriminal smanjena zato sto postoji lanac odgovornosti i odrasli ljudi koji ciste radnju od djubreta.

Potpis

DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey

Da, defanzivni deo programiranja najcesce nije adekvatno pokriven od strane QA, a po najmanje "auto, plug and play" testiranjem. Jbg, mora "oko sokolovo". Na zalost to se ne uklapa u industriju danas.

Što je u opštem slučaju Tjuring ekvivalentno problemu zaustavljanja Tjuringove mašine, za koji znamo da je Tjuring nerešiv.

Naravno postoje dovoljni uslovi za buffer overflow, koji su Tjuring izračunljivi i to je ništa drugo do detekcija lakih specijalnih slučajeva. Međutim, pričati "vrlo verovatno", a da se ne zna o čemu se radi je ništa drugo do pričanje napamet.

Potpis

Nije bitno koji su zaključci izvučeni, već kako se do njih došlo.

Poenta automatskog testiranja nije da resi 100% problema, poenta je da se uspostavi proces koji:

- Definitivno potvrdi trivijalne probleme
- Pokaze na moguce postojanje potencijalnih problema
- Natera coveka koji je "in the loop" da mora to da pogleda i makar da klikne "OK, ja, Glavni Arhivator, svojim imenom i prezimenom, tvrdim da je ovo OK".

Jednom kad imas takav proces, onda onaj koji komituje, plus onaj koji radi code review, moraju da potvrde da misle da je to OK. Dva para ociju, koje moraju i da stoje iza onoga sto su napisali. Ovaj deo gde mora da postoji code review je isto ultra-bitan, samo to ti garantuje dva para ociju. Dodaj tu obavezno pisanje unit testova i obavezno testiranje funkcionalnosti i imas developera koji dok radi nesto mora da misli i o tome kako izgleda test i da li ce kod proci test. Bukvalno teras ljude da misle na kvalitet onoga sto pisu.

Da, desavaju se problemi i kad imas ovakav proces - naravno da se desavaju. Ali, desavaju se manje. Mnogo manje.

licno iskustvo:

Meni je ovo bas dosta promenilo nacin rada - kad imas slozen sistem, onda imas i infrastrukturu koju treba provisonovati za test, a to jedino moze ako imas infrastructure as code, pa onda i to mozes (zapravo moras) da testiras. S'druge strane, kad pocnes da mislis o tome da ce ti se instacirati novi app server svaki put kad neko pokrene test, vrlo brzo dodjes do sistema koji instancira taj app server apsolutno savrseno - i onda vise nemas problem kad treba da prosiris funkcionalnost na npr. autoscaling, jer provisioning za taj autoscaling vec imas napisan. Ne samo da stedis vreme, vec i ne testiras u produkciji, jer si, dok si podesavao test env, izvrteo ceo sistem toliko puta da si ga prilicno dobro istestirao pre nego sto je video produkciju.

Potpis

Please do not feed the Trolls!

Blasphemy? How can I blaspheme? I'm a god!'

U pravu si Nedeljko. Ja ne znam o cemu pricam, ocigledno se nisam pripremio i uzeo u obzir teoriju izracunljivosti i pljucnuo sam nasumicno "vrlo verovatno" ne znajuci uopste o cemu se radi, kamo li o tome sta ja uopste pokusavam da kazem.

U realnosti, GRUB ekipa odavno koristi praksu koja je postala moderna cak i u levom kodu danas, a kamo li za nesto kriticno za sigurnost.

Tako oni lepo razvijaju kod sa procesom koji ukljucuje staticku i dinamicku analizu, kao i unit-testove koji testiraju odredjen (izracunljiv, recimo koliko mozes da ih ispucas 24/7 na hardveru pristupacnom jednom RedHat-u) slucajeve van specifikacije metodama kao sto je fuzzing.

Uprkos svemu tome, eto, zadesio ih je upravo slucaj koji ce Nedeljko sigurno vrlo lako objasniti fundamentalno, iz teorije - ocigledno, nedostatak provere velicine pre alokacije je upao u "ooooooooooogromnu vecinu" (beskonacnost) funkcija koje nasa jadna metoda provere ne moze nikako ni da zagrebe. Gde mi je bila pamet!

Jel dobro do sad? Drzao sam vazduh :-)

HAHAHHAHAAHAH!

Nedeljko, mojne za*ebavas - GRUB kod je djubre pisano bez sigurnosnih pravila a kamo li nekog ozbiljnijeg procesa. Zbog toga bi nekoliko elementarnih stvari (danas) sasvim lepo hvatalo "ogromnu vecinu" ovozemaljskih problema, kada bi se potrudili da posteno prodju kroz djubre. OK, Turing bi se i dalje vrteo u grobu i pominjao sve moguce slucajeve koji bi i dalje bili moguci, ali da se kladimo da bi se to prevelo u - "prakticno, apsolutno nebitno" (u kontekstu ovog softvera).

Ne verujes? Evo ti jedan: http://git.savannah.gnu.org/cg...8287ed3af32fffe8aaf33cdff52f6b

Sta kazes, provera pointera pre free() zakucava tvoju Turing masinu? Brate, vreme ti je za upgrade masine. Svaki cestiti alat za analizu koda bi lupio samar coveku koji ovo commit-uje, mislim da smo vec odavno prevazisli "warning" poruke.

Potpis

DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey

@nkrgovic:
Hell yes, vecina tako radi ili konvergira procesu koji si opisao.

E sad, batica iz QA koji unit testovima pogadja ko iz snajpera, taj ce bato u dev tim iz odmah, a na njegovo mesto ..... Plus tu je i psihologija grupe, koja navija da nesto radi a ne da ne radi, tako da je taj proces daleko od idealnog. E sad ako imas old gold school, tipa ovog Dimkovicevog kolege, koji sabije 6 meseci u 2 dana vikenda. Nije to samo talenat, znanje, inteligencija itd. to je ogromna posvecenost i zelja.