Ilang linggo na ang nakakalipas isa sa mga kasamahan namin dito sa blog pinag-usapan ang gawain ni Slimbook upang ipatupad ang Coreboot sa kanilang mga computer, kung saan bilang isang resulta ng katotohanang marami sa mga gumagamit nito ang humiling para dito, pinakinggan ni Slimbook ang kanilang tawag (maaari mong basahin ang buong tala sa link na ito).
Para sa mga hindi pa rin nakakaalam tungkol sa Coreboot, dapat nilang malaman ito ay isang bukas na alternatibong mapagkukunan sa tradisyunal na Pangunahing I / O System (BIOS) na nasa MS-DOS 80s PCs at pinalitan ito ng UEFI (Unified Extensible). Firmware interface) na inilabas noong 2007. Y Ngayon ang NSA ay nagsimulang magtalaga ng mga developer sa proyekto ng Coreboot.
Ang Eugene Myers ng NSA ay nagsimulang magbigay ng isang code ng pagpapatupad para sa pag-target ng SMI Transfer Monitor (STM) x86 CPUs.
Gumagawa ang Eugene Myers para sa Trusted Systems Research Group ng NSA, isang pangkat na, ayon sa website ng ahensya, ay naglalayong "pamunuan at i-sponsor ang pagsasaliksik sa mga teknolohiya at diskarte na makukuha ang mga sistema ng impormasyon ng Amerika."
Ang STM ay isang hypervisor na nagsisimula sa mode na "System Management" (SMM), isang nakahiwalay na "ring -2" na kapaligiran kung saan ang normal na pagpapatupad ng operating system ay nagambala upang ang system code (pamamahala sa kuryente, kontrol sa hardware, atbp.) ay maaaring patakbuhin na may mas mataas na mga pribilehiyo.
Inilabas ng firm ang pagtutukoy ng STM (uri ng VMM na humahawak ng mga virtual machine na naglalaman ng SMM code) at ang dokumentasyon para sa tampok na seguridad ng STM firmware noong 2015.
Sa una, ang STM ay dapat na gumana sa isang paglabas ng Intel TXT, ngunit ang pinakabagong detalye ay pinapayagan ang STM na gumana lamang sa Intel Virtualization Technology (VT). Ang TXT ay hindi sapat upang maprotektahan ang mga serbisyong ito laban sa mga pag-atake at balak gawin ito ng STM.
Ang NSA ay nagtatrabaho sa mga bukas na proyekto ng mapagkukunan?
Nagtrabaho na ang NSA sa mga proyektong panseguridad na bukas sa publiko, kabilang ang Security Enhanced Linux, isang security module para sa Linux.
Ang mga pagpuna sa pagganap ng NSA ay marami at pare-pareho. Samakatuwid, bihira para sa National Security Agency na magpasalamat sa mga naiambag nito sa lipunan.
Gayunpaman, sa kaso ng isa sa iyong mga proyektong bukas na mapagkukunan ng publiko, gagamitin ito upang matulungan ang kawani ng Coreboot.
Bilang isang medyo mas tiyak, ang NSA ay pinakawalan ang Ghidra reverse engineering tool bilang isang mapagkukunan at ito ay pinagtibay ng mga developer ng Coreboot.
Ang ideya ay ang NSA software ay makakatulong sa Coreboot Project. Partikular, sa firmware para sa Reverse Engineering.
Ang Ghidra ay isang balangkas ng balangkas ng engineering binuo ng NSA Research Division para sa NSA Cybersecurity Mission. Pinapadali nito ang pagsusuri ng nakakahamak na code at malware, tulad ng mga virus at pinapayagan ang mga propesyonal na mas maunawaan ang mga posibleng kahinaan ng kanilang mga network at system.
Ang lahat ng Coreboot code, kasama ang lahat ng mga kontribusyon ng STM mula sa NSA, ay bukas na mapagkukunan. Sa teorya, maaaring mapatunayan ng lahat na walang mga pintuan sa likod.
Dahil ang proyektong ito ay hindi nagmula sa NSA, ngunit mula sa isang proyekto na pinili nila na magbigay. Samakatuwid, ang mga may-akda ng Coreboot na responsable sa pagtanggap o hindi pagtanggap ng mga kontribusyon mula sa NSA.
Ngunit sa pagsasagawa, ang NSA ay maaaring nakasulat ng code nang mas ligtas sa mga hard-to-detect na kahinaan nang walang mas bihasang mga mananaliksik sa seguridad. Bilang kahalili, maaari mong samantalahin ang pagpapatupad na ito taon na ang lumipas, matapos na humina ang pagsubaybay.
Dahil hindi nakakagulat na makita ang ganitong uri ng pagkilos na nagmumula sa isang ahensya tulad ng NSA.
Dahil sinubukan kamakailan ng NSA na ilipat ang dalawang cryptographic algorithm sa proseso ng standardisasyon ng ISO, ang mga algorithm ay labis na tinanggihan ng mga tagasuri dahil sa kawalan ng tiwala at kawalan ng kakayahan ng NSA na sagutin ang ilang mga teknikal na katanungan.
Panghuli, ang mga interesadong malaman ang pag-usad ng proyekto, maaaring kumonsulta dito Sa sumusunod na link.
Ibig kong sabihin, talaga? at pagtitiwalaan ba nila ito?
Ang huling bagay na gagawin niya sa buhay ay ang magtiwala sa NSA software at sa "mabubuting hangarin." Ang mga ganitong uri ng mga ahensya ng paniktik ay dapat pagbawalan na mag-ambag ng libreng software dahil nahawahan nila ito.