Re: Как правильно подпис ывать пропиетарный драйве р nvidia для secureboot?

On 2/1/23 13:52, Victor Wagner wrote:
>
> А DKMS это вообще паллиатив. Если мы используем DKMS, значит мы хотим
> использовать какие-то лиценизонно не совместимые с мейнлайн-ядром
> модули. Потому что если бы они были совместимы, был бы готовый пакет.
>
> То есть по хорошему счету, используя DKMS мы сразу говорим "мы тут
> доверяем какому-то левому коду исполняться в контексте ядра"
DKMS как система сборки тут ни при чём. Это никак не отменяет наличия общественно доступных ключей, 
которым доверяет  BIOS.
Даже если я не использую DKMS, злоумышленник сможет подсунуть мне подписанный драйвер, собранный у 
него на компьютере и подписанный тем самым публичным ключом.
Или я что то не понимаю в системе подписи и доверия?

> Да, это конечно иногда наименьшее зло. Но, возможно что авторы DKMS
> именно так и рассудили, что снявши голову по волосам не плачут, и если
> мы используем dkms-модули вместе с secureboot, secureboot нам нужен не
> для безопасности, а для чего-то ещё (чтобы там TPM работал или чтобы
> какие-нибудь сертифицирующие органы отвязались).
>
Как говорил один мой знакомый безопасник: Безопасность это не конечная точка, это процесс и больше 
градация, чем "да" или "нет".
Чем сложнее получить доступ к данным, тем безопаснее.
SecureBoot усложняет доступ злоумышленникам. И то что нам не нравится, это то, что это усложнение 
недостаточно сложно.

Мы можем рассуждать и ругать существующую ситуацию, или можем прийти к какому нибудь выводу, схеме, 
решению, которое может быть лучше, чем то что есть в данный момент.
И начать пинать мейнтейнеров.