From mboxrd@z Thu Jan 1 00:00:00 1970 Return-Path: X-Spam-Checker-Version: SpamAssassin 3.4.1 (2015-04-28) on sa.local.altlinux.org X-Spam-Level: X-Spam-Status: No, score=-2.0 required=5.0 tests=BAYES_00,DKIM_SIGNED, DKIM_VALID,DKIM_VALID_AU,FREEMAIL_FROM autolearn=ham autolearn_force=no version=3.4.1 DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=gmail.com; s=20161025; h=subject:to:references:from:message-id:date:user-agent:mime-version :in-reply-to:content-transfer-encoding:content-language; bh=b3tfzc9ojp1sw9TxAuKRuhZPU93Mc4On5dmWaWOLULM=; b=NFo6mjdxRotsQZNZgTbHOCDzjZoBuesIh64ge63mJUzC0th5qgcMAKDqvO0JMC5JEB vEd1gv0mZpHwhWMygzjKJpj85DesL2zp+tzLhqm0bWVFINdW3pG1qu2CTWkvEvRmy2te F4CMgDFhii+5RxjDLLuPLNTllPiW1LmpMMfdEA/BMFmU9mzh1dng/sY7MXLjafrG8N1+ 9lxX+vHz+T9hanUkZ8ZiiwHYctZxBEfoCU+J7Gu4UtMIuibiinNTxdaojrUzd5izBreV QuACtH9lNnOhGaR+Pfe4eJeG4s2XfHWOCl0HT3WuUwjTi4nVWDOyaxl4EExzW2KITJ9Y AvJw== X-Google-DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=1e100.net; s=20161025; h=x-gm-message-state:subject:to:references:from:message-id:date :user-agent:mime-version:in-reply-to:content-transfer-encoding :content-language; bh=b3tfzc9ojp1sw9TxAuKRuhZPU93Mc4On5dmWaWOLULM=; b=afsbYpCYB5vVZTI/w1r89bZg6z/DsHP5sMxukriqWu/xms2b0rhWyb4gnxSzZz+PV9 y9d/c8jwb1JgWUz4phXbchgOghHCabpi+8Jg1wn8fymU50I640DN+94F04zmNUZHUxKP 9l0eA2ggEX6EREdekIH6AxX+jFrAVWKJV1/2cD67dYTfpiAWaAmPX8rdWndz4bq1u4NR NesOeu+n0ZYtqVT5lVY186qtNKwz7MbPrmKzlFeQ22Ire3mIUVG97HvalwoDYVUwIJMT 8KOks6/2bt7dyY3hy6SOmv/p9ISJ2cVrfrncdssNOt0reFN8UpQyBG53KvyX/9IesYqC MWFg== X-Gm-Message-State: AGRZ1gJSaDaIbfihF/P3BAj0TIDFpaG1UOTg+XLiwSbNEDlEsiT4VV7p i2N9anegKs7ALhMqN5Z6ux2MKtwt X-Google-Smtp-Source: AJdET5dQTrw+Gr1/4IBTQ+ny090Epz8x+mBPmJ1MV03iBFE/4ZY0eyqTgq8TMr6sPvlK7UXkwAo3KA== X-Received: by 2002:a2e:5b1d:: with SMTP id p29-v6mr15346722ljb.176.1541454171976; Mon, 05 Nov 2018 13:42:51 -0800 (PST) To: devel@lists.altlinux.org References: <82b4938f-a23b-b51e-939d-9f74fa8703a2@altlinux.org> <4b5ab176-44ba-db98-e08b-b76146753494@gmail.com> <2612299.mELcP0gfiM@homerun.localdomain> <20181105082333.GB11681@altlinux.org> <1e505e97-6af8-d9cb-fe3f-abeead44cba6@gmail.com> <20181105200504.fa7e4edc6ba4a20f52d05867@altlinux.org> <20181105202526.cf0d4a3e0fbe9a36684a4ff4@altlinux.org> <20181105185424.GB27735@altlinux.org> <47b990be-2a07-dc53-8474-58db5c04ea59@gmail.com> <20181106001958.ec0bcadd65d8ef17b7ab03e2@altlinux.org> From: Leonid Krivoshein Message-ID: <4b5b1809-b60e-367e-3090-1c3dbdf3452e@gmail.com> Date: Tue, 6 Nov 2018 00:42:35 +0300 User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:52.0) Gecko/20100101 Thunderbird/52.8.0 MIME-Version: 1.0 In-Reply-To: <20181106001958.ec0bcadd65d8ef17b7ab03e2@altlinux.org> Content-Type: text/plain; charset=koi8-r; format=flowed Content-Transfer-Encoding: 8bit Content-Language: ru Subject: Re: [devel] =?utf-8?b?0J3QtSDQv9C10YDQtdC60LvRjtGH0LDQtdGC0YHRjyA=?= =?utf-8?b?0LIg0LPRgNCw0YTQuNGH0LXRgdC60LjQuSDRgNC10LbQuNC8?= X-BeenThere: devel@lists.altlinux.org X-Mailman-Version: 2.1.12 Precedence: list Reply-To: ALT Linux Team development discussions List-Id: ALT Linux Team development discussions List-Unsubscribe: , List-Archive: List-Post: List-Help: List-Subscribe: , X-List-Received-Date: Mon, 05 Nov 2018 21:42:55 -0000 Archived-At: List-Archive: List-Post: 06.11.2018 00:19, Andrey Savchenko пишет: > On Mon, 5 Nov 2018 23:57:20 +0300 Leonid Krivoshein wrote: > [...] >> Видимо этой проблеме уже присвоена CVE: >> https://access.redhat.com/security/cve/cve-2018-1108 , её пытаются >> решить с последними ядрами: > ??? > Это совсем другая проблема; она в том, что /dev/random мог выдавать > ненадёжные данные. Мало того, её решение только усложнит нашу > проблему, т.к. /dev/random будет выдавать ещё меньше данных на > ранних этапах после загрузки. После того, как Ян Хорн сообщил, что функция crng_ready() неправильно обрабатывает состояния crng_init и RNG может считаться криптографически безопасным на слишком раннем этапе после загрузки системы, началась вся эта свистопляска: >> 4.16: https://bugzilla.redhat.com/show_bug.cgi?id=1572944 >> 4.17: https://bugzilla.redhat.com/show_bug.cgi?id=1572916 >> 4.18: https://bugzilla.redhat.com/show_bug.cgi?id=1639840 > Это реальные проблемы, схожие с нашей, но решений я в багах невижу. Это я к тому, что ядерный CRNG до этого тоже был не столь криптостойким. ;-) >> 4.19: >> https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=3243a89dcbd8f5810b72ee0903d349bd000c4c9d >> - good news, "Здравствуй, доверие"! :) > Это ответ на крики "почему вы таки не доверяете нашему хорошему > аппаратному генератору в процессоре"? Настоятельно советую > выключить эту вещь во всех ядрах. Конкретно данный патч позволит административно включить доверие к CPU RNG даже в тех дистрибутивах, где раньше ядро собиралось без такого доверия. По мне, так наоборот -- это шаг в сторону решения проблемы недостатка энтропии на некоторых конфигурациях и ждёт нас уже в 4.19. -- Best regards, Leonid Krivoshein.