Несколько недель назад один из наших коллег здесь, в блоге рассказал о работе Slimbook по внедрению Coreboot на своих компьютерах, где, поскольку многие из их пользователей делали запросы об этом, Slimbook слушал их звонок (вы можете прочитать полную заметку по этой ссылке).
Тем, кто еще не знает о Coreboot, следует знать, что это это альтернатива с открытым исходным кодом традиционной базовой системы ввода-вывода. (BIOS), который уже был на ПК с MS-DOS 80-х годов, и заменив его на UEFI (Unified Extensible). Интерфейс прошивки) выпущен в 2007 году. теперь АНБ начало назначать разработчиков для проекта Coreboot.
Юджин Майерс из АНБ начал предоставлять код реализации для SMI Transfer Monitor (STM), ориентированного на процессоры x86.
Юджин Майерс работает в Trusted Systems Research Group Агентства национальной безопасности США, группе, которая, согласно веб-сайту агентства, стремится «возглавлять и спонсировать исследования в области технологий и методов, которые обеспечат безопасность информационных систем Америки».
STM - это гипервизор, который запускается в режиме «Управление системой» (SMM), изолированной среде «кольцо -2», в которой нормальное выполнение операционной системы прерывается, так что системный код (управление питанием, управление оборудованием, и т. д.) можно запускать с более высокими привилегиями.
Фирма выпустила спецификацию STM (тип VMM, который обрабатывает виртуальные машины, содержащие код SMM) и документацию по функции безопасности микропрограммы STM в 2015 году.
Первоначально предполагалось, что STM будет работать с выпуском Intel TXT, но последняя спецификация позволяет STM работать только с Intel Virtualization Technology (VT). TXT было недостаточно для защиты этих сервисов от атак, и STM намеревается это сделать.
АНБ работает над проектами с открытым исходным кодом?
АНБ уже работало над открытыми для общественности проектами безопасности, включая Security Enhanced Linux, модуль безопасности для Linux.
Работа АНБ постоянно критикуется. Поэтому Агентство национальной безопасности редко бывает благодарным за его вклад в жизнь общества.
Однако в случае одного из ваших общедоступных проектов с открытым исходным кодом он будет использоваться для помощи сотрудникам Coreboot.
Более конкретно, АНБ выпустило инструмент обратного проектирования Ghidra в качестве источника, который был принят разработчиками Coreboot.
Идея в том, что программное обеспечение NSA поможет проекту Coreboot. Конкретно в прошивке для Reverse Engineering.
Ghidra - это фреймворк обратной инженерии разработан Исследовательским отделом АНБ для миссии по кибербезопасности АНБ. Он облегчает анализ вредоносного кода и вредоносных программ, таких как вирусы, и позволяет профессионалам лучше понять потенциальные уязвимости в своих сетях и системах.
Весь код Coreboot, включая все материалы STM от NSA, имеет открытый исходный код. Теоретически каждый может убедиться, что никаких задних дверей нет.
Поскольку этот проект исходит не от АНБ, а от проекта, в который они решили внести свой вклад. Следовательно, именно авторы Coreboot несут ответственность за принятие или непринятие взносов от АНБ.
Но на практике АНБ могло бы написать код менее безопасно с трудно обнаруживаемыми уязвимостями без более опытных исследователей безопасности. В качестве альтернативы вы можете воспользоваться этой реализацией спустя годы, когда наблюдение прекратится.
Поскольку было бы неудивительно, если бы такие действия исходили от такого агентства, как АНБ.
Поскольку недавно АНБ попыталось перенести два криптографических алгоритма в процесс стандартизации ISO, эти алгоритмы были в подавляющем большинстве отклонены рецензентами из-за отсутствия доверия и неспособности АНБ ответить на определенные технические вопросы.
Наконец, те, кто хочет знать, как продвигается проект, могут ознакомиться с этим По следующей ссылке.
Я имею в виду, правда? и собираются ли они ему доверять?
Последнее, что он когда-либо сделал, - это довериться программному обеспечению АНБ и его «благим намерениям». Таким шпионским агентствам следует запретить распространение бесплатного программного обеспечения, поскольку они его повреждают.