Názory k článku Bezpečnostní modul IPE zajistí integritu Linuxu, vyvíjí ho Microsoft

Jak chteji resit rollback? Rollbacku politiky se da zabranit cislovanim a podpisem cele politiky. Pri elektronickych podpisech nejde jenom tak zabranit nahrazeni starou podepsanou binarkou. Treba kdyz se v httpd nalezne RCE, ja podepisu novou binarku, ale ta stara bude fungovat.

A dale, tohle se spoleha na to, ze bude veskera logika implementovana v binarce. Letmy pohled do /etc naznacuje, ze tak to v Linuxu nechodi. Kdyz nekdo nahradi config, tak to muze znamenat code execution.

Neřeší tohle "dm-verifi" pro které mají podporu?

Moc mi není jasné, čemu to dokáže zabránit. Když už se útočník dostane tak daleko, že je do systému schopen nahrát svou binárku, nemůže zrovna překonfigurovat volby jádra v zavaděči a IPE vypnout, nebo přenastavit na svůj klíč? Nebo rovnou vyměnit kernel a rebootovat stroj?

Filozoficky, dostali jsme se do bodu, kdy používáme nejuniverzálnější možnou architekturu postavenou na Linuxu, s očekáváním, že bude funkčně simulovat Harvardskou architekturu počítačů.

Rizika se nikdy nedají eliminovat na nulu a vždy zbude nějaký vektor útoku. Cílem je snižovat rizika. Chránit zavaděč můžete např. ve virtualizaci, nebo při síťovém bootu. Pak máte jistotu, že nikdo úmyslně (ani interní uživatel, ani externí útočník), ani nedopatřením nespustí nic, co nemáte pod kontrolou.

Co secureboot? Nemám to vyzkoušené, ale s efistub by měl snad jít podepsat kernel i s konfigurací.

Navíc, spousta věcí dneska neběhá jako čistý virtuál, ale v kontejnerech. Kde se nikdo k bootloaderu a kernelu vůbec nedostane :)

Secureboot v routerech/fire­wallech či virtualizačních platformách?

V routerech a firewallech to nemožné není, jde jen o to, jestli bude mít výrobce zájem.
Ve virtualizaci VMWare SecureBoot podporuje.

Podle tohoto mi přijde, že i Secureboot podporuje i KVM.
https://fedoraproject.org/wiki/Using_UEFI_with_QEMU#Testing_Secureboot_in_a_VM

Proc neni pouzit mechanismus pro overovani podpisu elf binarek jadrem? Proc je treba vynalezat novy system?