Apple притворяется, файловая система | TechSNAP 271 | Вещание Юпитера

1. Прямая загрузка:
2. RSS-каналы:
3. Станьте сторонником на Patreon :
4. Показать заметки:

Почему Apple не выбрала ZFS для своей новой файловой системы? Мы путешествуем по долгой истории ZFS в Apple. Кроме того, как ошибка BadTunnel может захватить трафик из всех версий Windows, и следует ли нам беспокоиться о технологиях управления Intel?

Плюс отличные вопросы, огромный обзор и многое другое!

Благодаря:

Прямая загрузка:

HD видео | Мобильное видео | MP3 Audio | OGG Audio | YouTube | HD Торрент | Мобильный торрент

RSS-каналы:

HD Video Feed | Подача мобильного видео | MP3 Audio Feed | Ogg Audio Feed | iTunes Feed | Поток торрента

Станьте сторонником на Patreon :

Показать заметки:

Ошибка BadTunnel может перехватить трафик из всех версий Windows

• «Microsoft исправила серьезную проблему безопасности при реализации протокола NetBIOS, которая затронула все когда-либо выпущенные версии Windows»
• «Среди более трех десятков уязвимостей, исправленных Microsoft во вторник, было исправление ошибки, которая, по мнению исследователя, нашла« вероятно, самое большое влияние в истории Windows »».
• «Злоумышленник может использовать эту уязвимость в качестве сервера WPAD или ISATAP и перенаправить весь сетевой трафик жертвы через точку, контролируемую злоумышленником».
• «Недостаток, который он называет BadTunnel, подвергает локальные сети кросс-сетевому подделыванию службы имен NetBIOS. Злоумышленник может удаленно атаковать локальную сеть, защищенную брандмауэром или NAT, и похищать сетевой трафик или подделывать сетевой сервер печати или файл ».
• «Недостаток особенно серьезен, потому что он затрагивает каждую версию Windows, включая давно неподдерживаемые версии ОС, начиная с Windows 95».
• «Чтобы успешно осуществить атаку BadTunnel, [вам] просто нужно, чтобы жертва открыла URL (с помощью Internet Explorer или Edge), или открыла файл (документ Office), или подключила карту памяти USB. [Вам] даже может не потребоваться, чтобы жертва что-либо делала, когда жертва является веб-сервером ».
• «Например, если файл URI или путь UNC встроен в файл ссылки на ярлык (LNK от Microsoft), атака BadTunnel может быть инициирована в тот момент, когда пользователь просматривает файл в проводнике Windows. Поэтому его можно использовать через веб-страницу, электронную почту, флэш-накопитель и многие другие средства. Это может быть даже эффективно против серверов ».
• «Точки эксплуатации остаются открытыми для неподдерживаемых операционных систем Windows, таких как XP, Windows Server 2003 и другие, для которых исправления не выпущены. Для этих операционных систем и для тех, которые еще не могут быть обновлены, системные администраторы должны отключить NetBIOS ».
• Дополнительный охват: сообщение об угрозе
• Официальный бюллетень Microsoft MS16-077 CVE-2016-3213

ZFS: новая файловая система Apple, которой не было

• Адам Левенталь, разработчик ZFS, который разработал такие функции, как RAID-Z3, а также работал над DTrace, пишет пост о недавнем объявлении Apple своей новой файловой системы APFS.
• Эта история в основном о том, как ZFS была почти файловой системой Apple, и что произошло.
• Чтобы узнать больше об Адаме и о том, что он сделал, ознакомьтесь с нашими BSDNow # 122 Интервью с ним
• «Я присутствовал на своем первом WWDC в 2006 году, чтобы принять участие в запуске Apple своего порта DTrace для следующей версии Mac OS X (Leopard). Apple завершила все, кроме самых последних штрихов, без помощи команды DTrace. Даже когда они встретились с нами, мы не знали, что до объявления о готовом продукте всего несколько недель. Это было свидетельством как инженерной проницательности Apple, так и их легендарной секретности ».
• «На том же WWDC Apple анонсировала Time Machine, продукт, который будет записывать версии файловой системы во времени для резервного копирования и восстановления. Как они это делали? Мы были воодушевлены идеей о том, что может быть еще один образец принятой технологии Solaris. Когда мы запустили Solaris 10, DTrace поделился выделением с ZFS, новой файловой системой, которая должна была стать стандартом, с которым сравниваются другие файловые системы. Ключевыми среди многих функций ZFS были моментальные снимки, которые позволяли легко фиксировать состояние файловой системы, отправлять изменения, восстанавливать данные и т. Д. Time Machine выглядела для всего мира как GUI на ZFS (действительно, GUI, который у нас был) вообразил, но знал, что находится далеко за пределами возможностей Солнца) ».
• «Конечно, Time Machine не имеет ничего общего с ZFS. После выступления мы бросились к знакомому инженеру Apple. С позором в голосе он признал, что это просто куча жестких ссылок на каталоги. Для тех, кто не знает символическую ссылку из symtab, это моральный эквивалент использования газеты в качестве изоляции: это хорошо, пока полностью ожидаемое бедствие не разрушит все, что вам дорого. Так что в Mac OS X не было ZFS, по крайней мере, пока ».
• «За несколько недель до WWDC 2007 такие ботаники, как я, начали сходить с ума: Apple действительно собиралась портировать ZFS на Mac OS X. Это действительно должно было случиться! Помимо моментальных снимков, которые могли бы сделать резервное копирование, ZFS значительно улучшит состояние хранения данных для пользователей Apple. HFS была введена в системе 2.1. HFS улучшила файловую систему Macintosh, добавив - подождите - иерархию! Больше файлы не будут накапливаться в одной куче; Вы могли бы организовать их в папках. И эта файловая система хромала более 30 лет, подталкивалась вперед, переписывалась, чтобы избежать кода на Паскале в ядре, но никогда не переосмысливалась и не переизобреталась ».
• «ZFS должен был привнести в Mac OS X целостность данных, сжатие, контрольные суммы, избыточность, снимки и т. Д. И т. Д. И т. Д. Но, подпитывая поклонников Mac / ZFS, генеральный директор Sun Джонатан Шварц неуклюже нарушил импульс, который собирает ZFS. Яблочный сад. Apple работала над портом ZFS для Mac OS X. Они планировали упомянуть об этом на предстоящем WWDC. Джонатан, попавший в петлю из-за вежливости или юридической необходимости, нарушил кардинальное правило Apple эпохи Стива Джобса. Только один человек в компании Стива Джобса анонсирует новые продукты: Стив Джобс ».
• «Фактически, на этой неделе вы увидите, что Apple объявила на своей Всемирной конференции разработчиков, что ZFS стала файловой системой в Mac OS 10», - размышлял Джонатан на пресс-конференции, по-видимому, чтобы укрепить авторитет Sun. Менее чем через неделю Apple заговорила о ZFS только тогда, когда стало ясно, что порт действительно присутствует в версии для разработчиков Leopard, хотя и в зарождающейся форме. Да, ZFS будет там, вроде как, но он будет только для чтения, и никто не должен надеяться.
• «К следующему WWDC (2008) казалось, что Солнце было прощено. ZFS была упомянута в лейтмотивах, она была на диске разработчика, который был роздан участникам, и даже упоминалась на веб-сайте Mac OS X Server. Apple работала над их портом с 2006 года, и теперь он достаточно функционален, чтобы отображать его полностью. Я взял это для вращения самостоятельно; это было действительно реально. Функция, которую все хотели (но большинство не могли сказать, почему), появилась! »
• «К моменту выпуска Snow Leopard (2009) только тщательная проверка веб-сайта Apple выявила странную ссылку на ZFS, оставленную невредимой. Независимо от того, какой момент ZFS получила в команде разработчиков Mac OS X, она исчезла. Я слышал пару теорий и анекдотов от людей, знакомых с ситуацией »
• Неопределенность, возникшая в результате приобретения Oracle компанией Sun, и тот факт, что на закрытие сделки ушло более года, возможно, не помогли
• «Тем временем Sun и NetApp были вовлечены в судебный процесс по ZFS и другим технологиям хранения с середины 2007 года», что, безусловно, не помогло
• «Наконец, и, возможно, что наиболее важно, личное эго и синдром NIH (не изобретенный здесь), безусловно, сыграли свою роль. В то время мне сказали, что в Apple некоторые руководители и менеджеры предпочитают создавать свои собственные, скорее применяя внешние технологии - даже технологии, которые были лучшими в своем классе. Они представили свой собственный проект, проект Apple, который привнесет современные технологии файловой системы в Mac OS X ».
• «Центром разработки ZFS были серверы, а не ноутбуки - и, конечно, не телефоны, планшеты и часы - его аргумент был, вероятно, лучше начинать с нуля, чем адаптировать ZFS».
• «Лицензирование FUD было брошено в смесь; даже сегодня люди в Apple считают лицензию ZFS в некотором роде гнусной и ядовитой, тогда как лицензия DTrace для них просто отлично работает. Обратите внимание, что оба используют одну и ту же лицензию с одинаковыми грантами и одинаковыми ограничениями ».
• К 2010 году «Удивительно, что это не был конец для ZFS в Apple. Архитектор ZFS в Apple ушел, проект был отложен, но между Sun и Apple велись переговоры на высоком уровне о восстановлении порта. Apple получит компенсацию и поддержку за использование ZFS »
• «Сделка Apple-ZFS была заключена для одобрения Ларри Эллисона, первенца покоренной земли, которую новый король благословил. «Я расскажу вам о том, как вести дела с моим лучшим другом Стивом Джобсом, - сказал он, - сказал я, - я не имею дела с моим лучшим другом Стивом Джобсом».
• «Забавно, что в версии истории, тихо рассказанной на WWDC 2016, друзья перевернулись со Стивом, сказав, что он не будет вести дела с Ларри. Еще одна версия, которую я слышал, ставит под сомнение правдивость их предполагаемой дружбы, и вместо этого Стив предлагает Ларри пойти на хуй сам ».
• «За 7 лет, прошедших с момента прекращения разработки ZFS в Apple, они работали над множеством улучшений в HFS и Core Storage и взломали по крайней мере две замены HFS, которые не сделали его доступным. На этой неделе Apple объявила о своей новой файловой системе APFS после двух лет разработки. Это не сделано; некоторые функции все еще находятся в стадии разработки, и они объявили о амбициозной цели - развернуть ее на ноутбуке, телефоне, часах и телевизоре в течение следующих 18 месяцев. В Sun мы начали ZFS в 2001 году. Она была выпущена в 2005 году, и это была действительно стартовая линия, а не финишная. С тех пор я поставлял ZFS Storage Appliance в 2008 году и Delphix в 2010 году, и каждому потребовались инвестиции в ZFS / OpenZFS, чтобы подготовить их к прайм-тайм. Широкофункциональная, высокофункциональная файловая система занимает много времени ».
• «У APFS есть свои достоинства (подробнее в моем следующем посте), но меня всегда разочаровывает, что Apple не приняла ZFS независимо от того, как и почему было принято это решение. Выделенные члены сообщества OpenZFS создали и поддерживают порт , Это не совсем то же самое, что иметь Apple в качестве члена этого сообщества, охватывая и расширяя ZFS, а не создавая собственную зарождающуюся альтернативу ».
• Дополнительное покрытие
• Руководство Apple по APFS

Intel ME / AMT: другой процессор внутри вашего компьютера

• Последние процессоры Intel x86 реализуют редко обсуждаемый мощный механизм управления, работающий на отдельном чипе, который никто не может проверять или проверять.
• Многие (все?) Чипсеты vPro (MCH) имеют:
• Независимый процессор (не IA32!)
• Доступ к выделенной памяти DRAM
• Специальный интерфейс к сетевой карте (NIC)
• Среда выполнения называется Management Engine (ME)
• Intel Management Engine (ME) - это подсистема, состоящая из специального 32-разрядного микропроцессора ARC, который физически расположен внутри чипсета. Это дополнительный компьютер общего назначения с микропрограммным блоком, который продается в качестве системы управления для крупных корпоративных развертываний.
• На некоторых чипсетах микропрограмма, работающая на ME, реализует систему, называемую Intel Active Management Technology (AMT). Это полностью прозрачно для операционной системы, что означает, что этот дополнительный компьютер может выполнять свою работу независимо от того, какая операционная система установлена ​​и работает на главном ЦП.
• Цель AMT - предоставить возможность удаленного управления компьютерами.
• Это похоже на более старую систему, называемую «Интеллектуальный интерфейс управления платформой» или IPMI, но более мощную).
• Он может предлагать VNC-доступ к экрану (опционально запрашивая разрешение у локального пользователя), перенаправление IDE (виртуальный носитель, загрузка с удаленного устройства), последовательное перенаправление и т. Д.
• Чтобы выполнить эту задачу, ME способен получить доступ к любой области памяти без основного процессора x86, зная о существовании этих доступов. Он также запускает сервер TCP / IP на вашем сетевом интерфейсе и пакеты, входящие и оставляющие адреса вашей машины на второй MAC-адрес, обходят любой брандмауэр, работающий в вашей системе.
• Исследователи безопасности классифицируют меня как «Кольцо-3».
• Кольца безопасности могут быть определены как уровни безопасности, которые влияют на определенные части системы, с меньшим номером кольца, соответствующим области, более близкой к аппаратному обеспечению.
• Например, угрозы Ring 3 определяются как угрозы безопасности, которые проявляются в режиме «пространство пользователя». Угрозы кольца 0 возникают на уровне «ядра»,
• Угрозы Ring-1 возникают на уровне «гипервизора», на один уровень ниже, чем ядро
• Угрозы Ring-2 возникают в специальном режиме ЦП, который называется «SMM». SMM означает System-Management-Mode, особый режим, в который можно установить процессоры Intel, в котором выполняется отдельно определенный фрагмент кода. Если злоумышленники могут изменить код SMM и запустить режим, они могут получить произвольное выполнение кода на процессоре.
• Несмотря на то, что микропрограмма ME криптографически защищена с помощью RSA 2048, исследователи смогли использовать слабые места микропрограммы ME и частично контролировать ME на ранних моделях. Это делает ME огромной лазейкой в ​​безопасности, и его называют очень мощным руткит-механизмом.
• В системах, более новых, чем серия Core2, ME нельзя отключить.
• Системы Intel, разработанные для работы с ME, но не имеющие встроенного ПО ME (или поврежденного встроенного ПО ME), откажутся от загрузки или завершат работу вскоре после загрузки.
• Прошивка x86 или операционная система не могут отключить ME навсегда. Intel хранит большинство деталей обо мне абсолютно в секрете. Для основного процессора абсолютно невозможно определить, было ли скомпрометировано ME в системе.
• «Мы также обнаружили, что критические части прошивки ME хранятся в нестандартном сжатом формате, который распаковывается специальным аппаратным декомпрессором. Мои первые попытки грубой силы декомпрессионной схемы потерпели неудачу. Другая группа имела больший успех, и теперь они выполнили рабочую процедуру распаковки для всех версий ME до, но не включая версию 11 ».
• Есть только несколько способов включить AMT, которая по умолчанию отключена.
• Большинству требуется физическое присутствие во время загрузки BIOS
• ME аппаратное обеспечение - ME
• Словари Хаффмана для Intel ME - Unhuffme v2.4
• Представляем руткиты Ring -3 PDF

Как писать обновления статуса сервиса

• «Скромное обновление статуса является одним из самых важных элементов коммуникации, которые компания может написать»
• Ваша компания переживает не лучшие времена, ваши клиенты страдают. Все заняты, стараются что-то исправить, но все равно важно четко и регулярно общаться со своими клиентами.
• «Когда пользователи переходят на страницу состояния, они испытывают повышенное чувство срочности (по сравнению, скажем, с веб-сайтом, блогом или информационным бюллетенем). Не так много слов разбирают, обсуждают и пересылают так, как мы помещаем на нашу страницу статуса ».
• Часто очень мало написано, возможно потому, что очень мало известно. Все читается с уклоном, потому что вы знаете, что компания пишет это, чтобы минимизировать, насколько плохо они выглядят.
• «Теперь давайте сформулируем очевидное. Клиенты не должны заботиться о последовательности слов, публикуемых при обновлении статуса. Что их волнует, так это «я в хороших руках?». Каждый раз, когда мы публикуем (или не публикуем) обновление статуса службы, мы в конечном итоге отвечаем на этот вопрос ».
• Цели:
  1. Писать частые обновления статуса - это может означать ежечасные обновления или даже чаще. Это зависит от того, насколько быстро ситуация развивается. Нет ничего хуже, чем признание того, что с давних пор возникла проблема без дальнейших обновлений. В идеале указывать, когда ожидать количество постов в конце каждого обновления.
  2. Хорошо написано обновление статуса - Пишите авторитетно и честно. Избегайте «ласковых фраз».
  3. Продуктивные обновления - «То, что мы узнали на раннем этапе, было то, что регулярные и хорошо написанные обновления статуса уменьшают количество входящих запросов поддержки. Тратя время на то, чтобы получить правильные обновления об инцидентах, мы платили дивиденды производительности остальной части команды
• «Столкнувшись с перебоями в обслуживании, мы бросаем все в свои руки и выполняем оперативные возвраты 24 × 7, пока сервис не будет восстановлен для всех клиентов. В это время чрезмерное общение - это хорошо. Как и прозрачность, то есть признание проблем и освещение общественного мнения по всем остальным вопросам до тех пор, пока они не будут решены ».
• «Пока разворачивается кризис, мы регулярно публикуем короткие обновления статуса. Мы придерживаемся фактов, включая масштаб воздействия и возможные обходные пути. Мы обновляем страницу статуса, даже если она просто говорит «мы все еще в ней разбираемся». »
• «После того, как обслуживание решено, пришло время обратить наше внимание на менее срочную, но не менее важную часть письма: вскрытие. Это демонстрирует, что кто-то вкладывает время в свой продукт. Что они достаточно заботятся, чтобы сесть и все обдумать. Самое главное, это также создает возможности для нашей команды учиться и расти как компания ».
• Они ссылаются на второй пост: Как написать сообщение Мортен
• Или вы можете просто не Apple не предлагает объяснения 7-часового простоя

Обратная связь:

Округлять:

Похожие

Комментарии