Pull to refresh

Comments 104

Так а в чем опасность?) Кто-то резко выдернет процессор, бросит в жидкий азот, и считает содержимое L3?

Подумаешь, L3. Вот если кто-то резко выдернет процессор и продаст его подешевле тому, кого можно было раскрутить на покупку сразу целого сервера в сборе — вот это реальная опасность!
То что процессор нельзя поставить в плату другого производителя — это лишь следствие. Суть безопасности в построении цепи доверия от процессора до операционной системы. Если внедрить зловредный код на уровень bios\uefi то он останется незаметны для всего что грузится далее. А тут процессор проверяет подпись фирмвари, фирмварь проверяет подпись загрузчика ОС, ОС проверяет подписи прочего ПО, и т.д. — не подкопаешься.

Эммм… а зачем для этого лочить проц?

В процессор, в одноразовые фьюзы, прописывается ключ для проверки подписи фирмвари. Если процессор вставить в матплату с другой подписью — он же не знает это плата с биос-ом, подписанным другим ключём, или не санкционированно модифицированный биос.
Фьюзы сделаны одноразовыми чтобы никакой зловред никак не смог этот ключ подменить. Поэтому я и написал что лок — это не самоцель, а следствие.
В случае интеловских процов всё намного проще — прожгли фьюзы, бутром ME спокойно проверил прошивку этого самого ME и пошел плясать далее.
При учёте того, что AMD/Intel не дают исходников PSP/ME даже IBV(AMI, Phoenix, Insyde), что мешало красному лагерю сделать тоже самое, пускай производитель сервера прожигал бы фьюзы, пляша от которых бутром PSP, живущий внутри камня, проверял бы подпись на загрузчике основной программы этого самого PSP.
Может ME и проще, но в нем имеются дыры делящие доверие на ноль.

Ну ок, говорите прожгли фьюзы на Интеле — как тогда вставить его в другую матплату без прошивки с тем же ключем? Ключ на плате прошит, или в самом биосе?
Я вообще против чёрных ящиков в процессорах, но увы, сейчас либо ME/PSP, либо не х86. В другую плату — легко, проверяемый регион прошивки может быть спокойно подписан Intel-ом, благо модули прошивки ME собираются тамже.
Вы имеете ввиду что в интеловские процессоры прошит интеловский ключ, и его можно вставить в платы с «биосом», подписанным интеловским ключем.

В том то и проблема, что если Dell не доверяет «биосам» материнок других производителей, которым, доверяет Intel то это его проблема и решения нет.

А с PSB у Dell имеется свой ключ, и получается то же самое что и в первом предложении этого комментария, но заменить Intel на Dell. Вот и не получится нарушить полную цепь доверия компонентов Dell, просто заменив матплату совместимую с данным процессором.
В том то и проблема, что если Dell не доверяет «биосам» материнок других производителей

а какое деллу вобще до них дело?

Новый виток струйных принтеров, которые продаются ниже себестоимости, но для которых комплект картриджей стоит 70% от цены нового принтера.

Фирмварь-то после этого обновить можно будет хоть?
Ну и утечка ключа === привет, тогда, получается.

Фирмварь, которая подписана ключем, который соответствует прошитому — да.
А утечка ключа — ну как бы да, проблем. Но не что не мешает на каждую серию\ревизию плат или корп. клиента иметь свой ключ, чтобы снизить размер привета.
Утечка ключа? Откуда? У вендора что ли? Очевидно в проц шьется публичный ключ. Его никто и не прячет.

Утечь может закрытый ключ. Тогда все системы подписанные им станут не доверенными. И таким только замена оборудования тогда.

Может, но вероятность подобного довольно мала. Последствия этого — процессоры с такими процессорами смогу потенциально принять левую прошивку, которую кто-то подписал утекшим ключом. Не более. Т.е. возвращаемся к тому, что есть сейчас, когда проверок вообще никаких нет.
UFO just landed and posted this here
При учёте того, что северный мост сейчас уже везде в процессоре живёт, включая ME/PSP сопроцессор, который умеет проверять свою прошивку, которая умеет проверять биос/ефи, который умеет проверять опромы и загрузчики операционных систем возникает вопрос — чем в этом поможет вендорлок процессора?
Опасность в том, что в сервер фирмы Лирково с лоховым процессором кто-то поставит б/у мощный процессор из сервера ХармаловПрезент и лирково недополучит прибыль.

Собственно, читатели Хабра понимают значение слова «безопасность» — а некоторые хабраавторы не понимают. И если авторам вендоры не приплачивают, то почему не написать как есть, а не нести чушь про «безопасность», цельнотянутую из маркетингового прогона вендоров?

Тут же очевиден классический вектор атаки: разрабатываешь процессор совместимый с AMD сокетом и ведущий себя как EPYC, система загружается, диски расшифровываются, после чего процессор начинает исполнять вредоносные инструкции и пересылает секурные ключи на сервер контролируемый злоумышленником. Один мой друг таким образом биткоин кошелёк увёл.
Кажется перед этим надо незаметно спереть весь физический сервер.
разрабатываешь процессор

Нужно всего лишь… (с)

UFO just landed and posted this here
Читатели понимают, поэтому эта новость очень хорошая для тех, кому важна безопасность и, судя по всему, покупатели этих процессоров очень заинтересованы это все использовать. Здесь предельно очевидный профит и закрытие одной огромной дыры — отсутствие надежного root of trust в процессе загрузки машины. В прошивку можно понапихать какого угодно говна (что успешно и делают, что на ПК, что до недавно времени на маках пока там не появился Т2) и никто об этом не узнает. UEFI secure boot начинается как раз с прошивки, что делает его бесполезным. Перенос этого всего в проц с прожиганием фьюзов (а не прошивкой это во флэшку по какому-то супер пупер надежному алгоритму) можно сказать гарантирует невозможность просто модифицировать прошивку. Как правильно написали выше, невозможность установить такой проц в платформу другого вендора это лишь неприятное следствие.

И заинтересованы в этом всем будут прежде всего облачные провайдеры, которые крутят тучу клиентов на одном и том же железе. И хер его знает, не пытается ли кто из них пролезть через гипервизор и залить в прошивку руткит. Здесь так же очень кстати аппаратное шифрование памяти виртуалок у амд. Вон гугл клауд на эпиках новый тип виртуалок сделал благодаря этому cloud.google.com/blog/products/identity-security/introducing-google-cloud-confidential-computing-with-confidential-vms

Я в этой теме не очень силен. Но, теоретически, вижу здравое зерно в том, чтобы брендовая материнка и, соответственно, вся система не запускалась на ОЕМ процессоре.
Но не понимаю почему запрещено запускать процессор на другой конфигурации? Вот вынул я камень со списанного сервера на работе и воткнул в свой гиковский десктоп, мне эта безопасность нафиг не сдалась. Я могу понять эту ситуёвину в случае с дисками, чтобы мы не могли ни систему на других дисках запустить, ни диски на другой системе, ибо на них информация.


Зачем лочить и процессор и мат. плату? Процессор сам по себе никакой угрозы не несёт.

Вторичный рынок несет угрозу кошельку производителя. Любого, чего угодно. Т.е., в данном случае, для AMD и вендоров ситуация win-win.
Так и вторичный рынок не страдает особо. Серверы продают целиком. Они и продолжат работать. При поломке никто внезапно в платформу делл не будет ставить мать какого-нить супермикро, это не ПК. Потрошение серверов на компоненты аж до процессора — не знаю, кто так реально делает. Если у кого-то была цель нагнуть вторичный рынок, то очевидно они этой цели не достигли.
Даже сейчас, когда разница только в наклейке на коробке, позиции с названием «Dell (или HP) Processor Option» продаются в 1.5-2 раза (а на уцененные по возрасту модели до 3-5 раз) дороже аналогичных без «лока», а что будет в отсутствие физической возможности использовать альтернативу сложно даже представить. «Пройдись по рыночку...», ага.
Так это плата за бренд. Ничего не поменялось. Не хочется — вперед к супермикро. Ну и лок не в процессоре, а в матери. В мать делла любой эпик проц можно вставлять, и он точно так же будет залочен при первом запуске.
Об этом и речь — вторичного рынка процов не будет — все материнки от вендора будут обеспечены относительно свежими камнями, а остатки от апгрейда только гвоздиком на стену приколачивать. Ну а следующий «логичный» шаг («из соображений безопасности», конечно) — вставить можно только предпрошитый проц — шах и мат.
Ну я бы особо не печалился, к тому времени как обсуждаемые серверы доберутся до вторичного рынка — уже найдутся хаки для этой защиты.

771й процессор тоже в 775 сокет не подходил на старте, а вон как повернулось.
Очень врядли такое будет, с 771/775/478 очень много чего сильно изменилось в плане «безопасности».
Ну есть вариант примера посвежее, с чипсетом H110 и инженерными ксеонами на 1151 сокете. Я имею ввиду что была бы инженерная задача, а решить ее смогут, при достаточном объеме рынка.
В конце-концов можно пережечь какой-нить утилитой все фьюзы и вычислить подпись к этим нулям — и железо снова станет «универсальным».
Впрочем скорее всего в рамках одного производителя и поколения процессоров коды наверно будут одинаковые, а на вторичке будут просто продавать «EPYC от DELL», и все привыкнут. Никто ведь не удивляется что корзины от ХП не подходят к супермикре.
В ближайшей перспективе — может и не будут, а так вон на али можно приобрести в меру древний зеон на 6-8 ядер в комплекте с платой от хуананя и парой планок памяти за 10-15 штук, а за 20 — и вовсе комплект из пары процов и двухсокетовой платы и 4 планок памяти.
UFO just landed and posted this here

Жреть дофига, шумит соответственно, NUMA, опять же, если процов два, у которых с частотами Молаг Бал колдовал…


ECC точно работает на практически всех ASUS/ASRock на B|X чипсетах.
Парочка вот таких (картинка левая у них) успешно трудилась еще на R5-2600, сейчас на R9-3900 в паре с X370 Killer SLI.

UFO just landed and posted this here

Можно зайти в описание платы на сайте вендора же. Только гига прямым текстом говорит, мол, no-ECC support на практически любой плате.


Плюсом есть ньюанс с APU: ECC умеют только PRO-версии.
Хотя, на обычном 2200 на какой-то TUF edac-модуль подгружался…

UFO just landed and posted this here

Все лгут ))
У Intel поддержка ECC на десктопе появилась, кажется, с 4xxx серией, у AMD была с момента обретения IMC. Чему этот, как любитель zfs, несказанно рад.


А operate in non-ECC mode, кажется, у гиги и msi частенько встречался пару лет назад.

UFO just landed and posted this here
Только маааленький совет — топовые камни на хуана не ставьте, чтобы потом не жалеть сгоревших денег.
Я же расписал, в чем смысл. Никто не ставил себе целью лочить процессор к материнкам. Это всего лишь побочный эффект системы безопасности. Смысл в доверенной загрузке. «Вот вынул я камень со списанного сервера на работе и воткнул в свой гиковский десктоп» делайте десктоп на платформе того же вендора и не будет проблем. Очевидно это несерьезный кейс для подобного железа.

Если бы цель не ставили, то, очевидно, и не залочили бы.
Это следствие текущего, откровенно маркетингового, решения системы безопасности.
Не давать грузиться матери на "неправильном" проце — причина хоть и надуманная, но имеющая под собой основание.
Не давать грузиться процу на "неправильной" матери вообще никаких рисков безопасности не несёт.
Из ваших объяснений тоже не очень понятно почему лок должен быть двухсторонний а не только на матери.


С бу железками тоже всё не так просто. Жизненный цикл делловского сервера modelX, предположим, 5 лет, и через эти 5 лет dell просто перестанет подписывать для него любую комплектуху. И как только полетит хоть один из компонентов, вам придется выбрасывать весь сервер целиком, или идти искать, например, процессор на птичьем рынке, что для бизнеса так себе идея. А в это время amd будет производить пачками новую линейку неподписанных процессоров, которая будет вполне совместима с текущим железом.


А полная замена сервера — это очень вкусняшка, ибо dell это не только производитель железа, но еще и support и субподрядчик по различным работам в датацентрах.

Еще раз. Система безопасности требует наличие root of trust. При чем такого, который нельзя перепрошить и подменить. С него начинается загрузка и проверки подписи всех компонентов вплоть до ОС. Благодаря прожигу фьюзов достигается именно это и никакими другими путями это сделать не получится безопасно. АМД контролирует только процессор. Прошивке матери доверять нельзя, там может быть что угодно и именно ее мы хотим защитить. Контроллеры платформы у каждого свои, на этом не построишь единое решение, которым смогут пользоваться все (по этому пути как раз пошла эпл, поставив перед цпу свой Т2, с которого и начинается загрузка машины. Они могут позволить себе, потому что железо у них свое собственное). Остается только сам процессор, в котором специально для этого находится специальной контроллер безопасности, который все эти функции и выполняет.

Не надо искать заговор там, где его нет. Если посмотрите вокруг, то это стандартный подход в индустрии в плане реализации безопасной доверенной загрузки и ничего лучше не придумали. У эпл всю жизнь так было. В процессор зашит ROM на заводе с бутлоаудером и ключом, с которого начинается доверенная загрузка. Тоже самое делает qualcomm, nintendo, microsoft и наверняка туча других. Разница с амд лишь в том, что амд прожигает этот ROM при первом запуске. Это работает, это безопасно и проверено.

через эти 5 лет dell просто перестанет подписывать для него любую комплектуху

Что ничем не отличается от просто прекращения выпуска новых биосов. Подпись ничего здесь не меняет.

И как только полетит хоть один из компонентов, вам придется выбрасывать весь сервер целиком, или идти искать, например, процессор на птичьем рынке, что для бизнеса так себе идея.

Процессор можно будет купить любой другой для этого сокета. При первом запуске он так же будет залочен под мать. Все остальные компоненты вообще здесь не при чем, весь сабж только о процессора и защите биоса.

А в это время amd будет производить пачками новую линейку неподписанных процессоров, которая будет вполне совместима с текущим железом.

И? Если мать умеет с ним работать, то можете пойти купить и поставить.
Процессор можно будет купить любой другой для этого сокета. При первом запуске он так же будет залочен под мать. Все остальные компоненты вообще здесь не при чем, весь сабж только о процессора и защите биоса.

Если все обстоит так, то я вообще перестал понимать логику...


  1. Прошиваем кучу зловредов в биос матери
  2. Вставляем новый проц, который лочится под измененный биос
  3. Profit

Система безопасности требует наличие root of trust. При чем такого, который нельзя перепрошить и подменить

Получается, один раз, до лока, перепрошить можем. Безопасность стоимостью в один новый процессор?


Или фишка в том, что мы прошиваем кучу зловредов через удаленку, md5 (или типо того) меняется, процессор перестает нормально работать и сервер "безопасно" падает?

UFO just landed and posted this here
А вот если кто перепрошьёт уефи позже — сервер откажется стартовать.

Насколько я понимаю из обсуждения, откажется стартовать он на текущем процессоре. Если вставить новый, то он залочится под новый биос и обычно запустится.
Эта система поможет предотвратить удаленные атаки, когда прошить можно, а заменить процессор нет (если падение сервера можно назвать предотвращением).


В этом есть некоторый смысл. Тем не менее, на мой взгляд, решение больше коммерцией продиктовано чем здравым смыслом.
По крайней мере, ни об одной подобной атаке я не слышал.

Если нет способа вернуть процессор в рабочее состояние, то банальный фикс прошивки будет стоить тысячи долларов.
Это может понадобиться разве что военным, но у них там своя атмосфера.


Есть другое хитрое следствие, если за счет бага в прошивке можно активировать привязку процессора, получится этакий новый CIH. Который сработает при первом же обновлении фирмвари через WU.

Не надо искать заговор там, где его нет. Если посмотрите вокруг, то это стандартный подход в индустрии в плане реализации безопасной доверенной загрузки и ничего лучше не придумали.

и от чего меня защищает этот подход?

UFO just landed and posted this here

конечный пользователь, разумеется, который покупает эти самые сервера

UFO just landed and posted this here

что вы хотели спросить?


речь о приобретении себе лично или на фирму? на фирму.
принимаю ли участие в выборе оборудования? да.
принимаю ли я участие в эксплуатации серверов? да.
фирма — облачная платформа/хостинг-провайдер/etc или конечный потребитель серверов? конечный потребитель, даже не IT-компания.

UFO just landed and posted this here

сходу не готов сказать, расскажите свою версию атаки и как предлагаемое новшество поможет её предотвратить

UFO just landed and posted this here
А не задавать вопросы из принципа: раз мне не нужно, значит никому не нужно

почему я должен страдать из-за того, что нужно кому-то другому? давайте в рамках борьбы с изнасилованиями женщин проведём ещё всеобщую кастрацию мужчин.

UFO just landed and posted this here
UFO just landed and posted this here
UFO just landed and posted this here
UFO just landed and posted this here
UFO just landed and posted this here
UFO just landed and posted this here
UFO just landed and posted this here
Работают и приносят деньги вовсе не админы с ИБ, а пользователи этих ноутбуков. И делать их жизнь невыносимой (а Виста на ноутбучных хардах с парой гигов оперативки была именно такой) ради удобства обслуги не станет ни один вменяемый руководитель.
UFO just landed and posted this here
У нас первым делом просили поставить ХР с комплектного диска, а потом Lenovo сами начали её предустанавливать на всех доступных моделях и диск для даунтгрейда заменили на диск с апгрейдом до Висты.

Хотя на мощном домашнем компе она работала неплохо, но единственным преимуществом был новый DirectX для игорей и без него ХР там жила бы до выхода 8.1.
UFO just landed and posted this here

Ненависть к висте была, в основном, потому что ее агрессивно напихивали туда, где XP шевелилась если не с трудом, то на грани: 512 памяти, встроенный GPU, одно ядро, и частоты чуть выше 1GHz — пара охочих до ресурсов приложений и все.
В таких случаях просто неоткуда было взять и отдать ей второе ядро для ее собственных нужд и полгига памяти в придачу. И аппетиты к жесткому диску: на быстром тонком Maxtor 40GB — отдать треть только под ОС? UAC, опять же — не зря его иначе как "*уяк" и не называли.


Ну а к выходу 7 домашние компьютеры уже подросли немного, и на двухядернике с 2÷3 GHz, 2ГБ памяти и интеграшкой не от интел — было вполне удобно.

UFO just landed and posted this here
как в страдания записывали переход с классического биоса на уефи

протесты были не против возможности ограничивать запуск неподписанного кода, а против того, что принятие решение о том, какой код можно запускать, хотели отобрать у пользователя. и как раз благодаря той шумихе такого в массовом сегменте не случилось (для arm, например, случилось).

UFO just landed and posted this here
UFO just landed and posted this here
UFO just landed and posted this here
Не забыв подписать GOP драйвер своим ключём, особенно если видеокарта внешняя. А это уже занятие не для рядового-полупродвинутого пользователя, которое может в итоге потребовать внешний программатор, т.к. есть вероятность запороть прошивку видеокарты.
UFO just landed and posted this here
Открою секрет: habr.com/ru/company/dsec/blog/326556 и не надо изобретать ещё более крутых вендорлоков. В итоге цепочка безопасности рвётся только после загрузчика ОС, если включён SecureBoot и загрузчик дырявый.
Secure Boot вообще не использует цепочку доверия от процессора или начала загрузки. Он и не защищает от атакующего, имеющего физический доступ. Под доверенной загрузкой понимают Trusted/Verified Boot.
Secure Boot это одно из звеньев цепочки защиты, начинающейся с ME + Boot Guard. Если мы какое-то звено рушим — то рушится всё.

Secure Boot реализуется исключительно программно, в UEFI, и никак не задействует ни ME, ни Boot Guard, ни в принципе не привязан к x86. Это просто проверка цифровой подписи у EFI-файлов и компонентов, средствами самого UEFI, и пользователь может модифицировать доверенные сертификаты.
Вы думаете о какой-то другой технологии, верноятно, Trusted Boot.

Совершенно нет, я думаю о Secure Boot, как о финальном аккорде в цепочке защиты, которая начинает выполняется ME/UEFI, который проверит, а подписанные-ли моей подписью OpRomы и загрузчики стартуют и не даст запустить загрузчик ОС/ Опром, если подписи нет/она не моя. То, что это полностью программная вещь я прекрасно знаю, и тут как раз и вылезает задача Intel BootGuard и IBV, чтобы я был уверен, что этот программный код никто не испортил. Кроме того, я смеха ради добавлял полную блокировку на NVRAM, в этом случае включенный SecureBoot мне давал 99% гарантию (если до него не найдется дыр), что фиг что на моём клиенте (это был HP T620) удастся запустить без вскрытия корпуса, т.к. ключи вшиты мои, на Setup Utility висит пароль, а сама SPI флешка после старта жёстко заблокирована (включая регистры и WP# в нуле). Единственный вариант обойти всё это — внешний программатор, но если уж совсем упарываться, то можно подумать об эпоксидной смоле…
Как можно пролезть через гипервизор? Для этого требуется наличие какой-то дыры в нём?
UFO just landed and posted this here

В свое время не знал про такую заботу о "безопасности" пользователя, и купил для Dell'вского NAS. Абсолютно аналогичные не брендованные диски. "Нагнул систему" — думал он: "купил такие же диски в два раза дешевле".


Хорошо покупал на амазоне — смог без проблем вернуть после того как не определились.


Кстати о "целостности данных" Dell, похоже, тоже заботится, ибо диски помирали с завидной предсказуемостью, как по плану. Даже в бюджет компании была внесена сравнительно точная сумма на год, на покупку новых.

У меня так до сих пор на балконе лежит 100 штук SATA HDD производства Hitachi, которые никуда кроме их NAS не воткнуть, да.

Наверняка их можно перешить, скорее всего там паспорт какой-то специализированный (то что выдается по команде IDENTIFY DEVICE (ECh) ), потому и не определяется, зашить туда обычный и все. Не думаю что они всю систему команд перекорячили для вендорлока.

Вот следишь так за хитростями современных маркетологов и все больше удивляешься тому, что платишь за покупку того или иного «чуда инженерной мысли» полную стоимость, но по предоставленным тебе возможностям похоже, что скорее берёшь его в аренду.

И так и представляются лица продаванов вендоров, рассуждающих: «а юзеры пусть вообще спасибо скажут, что мы им хотя бы в аренду продали железо».

Слов нет, связать каждый компонент с каждым — неплохая (но очень узкополезная) идея, но смущают всё те же старые мысли:
1) пресловутая универсальность компьютеров резко пропадает, а цена не падает (более того, во многих случаях вендор даже не говорит, какую подляну можно купить себе — и это, что характерно, обманом покупателя не считается), и
2) все эти коды и подписи что-то вовсе не супернадежны — так что можно быть уверенным в том, что вскоре умные головы найдут, как обойти защиту по воровству данных или внедрению руткита, а вот покупатель будет еще и лимитирован в возможностях что-то поделать. А вендоры (да вот интел со своими дырами как пример) вовсе не побегут за свой счет юзерам менять дырявое привязанное железо на недырявое привязанные.

Те вывод не радует — за свой счет покупать руки-выкручивалку мало кому интересно. Для крупных провайдеров (вот выше гугл с его облаком упоминался) — да, это может и подойти (так они и фирмварю с дизайном серверов сами могут себе позволить делать, так что, случись косяк, сами и будут устранять — или не будут), но на массовом рынке такая фича, без четкой возможности не включать изначально не всем понравится.

Ну а рассуждения вида «вы же не нищеброды, вы же предпочитаете покупать новое железо» — с учетом, что не каждый новый процессор выдает существенный рост производительности, а порой из заметных фич размахивает только экономией энергии, да и просто из логики, что процы не горят ровно через пару лет после выпуска, идея купить б/у и собрать себе стенд здесь, на Харбе, принимается многими вполне хорошо, как бы вендоры не убеждали в обратном.

И, повторюсь, пример производителей процов, в чьих детищах широкие возможности для атак, защита от которых сводится к обновлениям софта, ведущего к замедлению камней (и то не на 100% уверенность) — можно точно сказать, что проблемы и с новинкой будут, и будут они строго за счет покупателей.

Мне в этом контексте всегда John Deere с его тракторами и запретом на ремонт вспоминается.

Как уже писали выше, здесь и правда маркетологи и б/у рынок не слишком поучаствовали, Intel Boot Guard уже давно работает абсолютно аналогичным образом — ключи вендора зашиваются в Intel ME, после чего при модификации биоса / переносе чипа на комп другого вендора — ничего не запустится. И это в первую очередь защита от малвари.
Основное отличие в том, что если у интела ME с ключами сидит в чипсете (а чипсет у десктопов и серверов — на материнке), то у AMD соответствующий сопросессор PSP сидит прямо в CPU. Поэтому и не получится "перекинуть" залоченный процессор.
Впрочем, вы точно так же не сможете поставить залоченный ультрабучный б/у процессор Intel — там чипсет совмещён с процессором, что приводит к идентичной ситуации.

И это в первую очередь защита от малвари

или от opensource?

Почему то самую интересную часть не перевели:


We did not get to test higher-end CPUs since Dell’s iDRAC can pop field-programmable fuses in AMD EPYC CPUs that locks them to Dell systems.

Вобщем, любому процессору EPYC, установленному в эту мат.плату, тут же пережигаются фьюзы, и он навсегда оказывается привязан к мат.платам Dell.

"can" не есть "will", но гарантий никто не даст.

Они так сломали один процессор и пошли разбираться:
Early in that process, we used an AMD EPYC 7251 CPU, the low-end 8-core model, and noticed something curious. It would not work in our other test systems after.
А не создает ли эта защита новый вектор атаки…

Успешно распространившийся вирус прожигающий фьюзы мусором. От покупок б.у. EPYC я пожалуй буду воздерживаться.
Врядли такой вирус успешно распространится, если только силами спецслужб. Вирусописатели пишут их для извлечения выгоды (майнинг, спам, вымогательство), а какая выгода из дохлого сервера?

Навскидку:


  • Продать тому, кому представляет выгоду дохлый сервер конкурента
  • Ваши файлы зашифрованы процессор заблокирован, переведите $1000 in BTC на следующий адрес …
Ну такое.
Если он гарантийный то и проблемы нет, если негарантийный то это значит что ему уже больше 5 лет и конкуренты этого ларька, который купил б/ушный сервер денег не наскребут на такую атаку.
Если «процессор заблокирован», то он не загрузится и не напишет куда переводить. Да и ушатать компы можно прямо сейчас, без этой заморочки с процессором: залить во все флеши нули (постирать биосы-прошивки на матери/контроллерах/винтах/SPD оперативки/и тд)
Если он гарантийный то и проблемы нет

Процессор исправный, и находится в состоянии, обусловленном принципами его работы. Никто не поменяет его по гарантии, не гарантийный это случай.


не загрузится и не напишет куда переводить

Если файлы ОС зашифрованы, то она не загрузится и не напишет куда переводить. Зато в каждой затронутой папке остается файл с содержимым … переведите $1000 in BTC на следующий адрес … — как раз на тот случай, если будут восстанавливать из-под другой ОС.

«переведите $1000 in BTC на следующий адрес» чтобы что? проц то они уже не оживят. Ну а если файлы зашифрованы то какой смысл проц выводить из строя?

Ну а по гарантии там по разному конечно бывает, смотря какой контракт.
Мелкую контору может так и кинут, а если крупная контора у крупной купила по контракту с 5-летней гарантией, то там и решается по другому: стикеры на месте и комп не работает — значит случай гарантийный.
В той организации где я сейчас работаю согласно контракту вендор меняет по гарантии системник даже если стикер на корпусе сорван и нет харда (харды мы не отдаем в любом случае)

Если этот правильно понял то это просто внезапно произошло, без преднамеренной активации деструктивной опции.


Значит, среди жертв прогресса окажутся гораздо менее компетентные люди, чем вы.

Sign up to leave a comment.

Other news