Хабр Курсы для всех
РЕКЛАМА
Практикум, Хекслет, SkyPro, авторские курсы — собрали всех и попросили скидки. Осталось выбрать!
Хабр доступен 24/7 благодаря поддержке друзей
Комментарии 68
Фонд будет подписывать лишь драйверы с открытым исходным кодом.
Какие же они взаимные, когда драйвер с открытыми исходными кодами и так каждый может поковырять и отладить. Так что чистой воды меценатство, а не взаимовыгодное сотрудничество. Респект ReactOS-у.
И это замечательно!
Фирма может и найдёт. А вот студент с самодельным устройством и самописными дровами может и не найти.
А одинокий стартапер или фриварщик?
а жать далее больше не прокатывает, 64-х битные win7 и server 2008 все равно не дадут его использовать. Как я понял, единственный выход — это жать F8 при загрузке системы и загружать ОС в соответствующем режиме, что как бы не выход. Ну возможно еще можно какой-то ключ прописать при загрузке чтобы она по умолчанию так грузилась. Пару раз столкнулся так с необходимостью запустить старое ПО — ну и привет совместимость ОС microsoft.
хорошо что под катом я увидел то что хотел — без аудита не подпишут :)
а инициатива классная. конечно менее эффективная чем всякие «приведи друга» и массовый «like», но тем не менее вариант распространения информации о ReactOS на взаимовыгодных условиях
а инициатива классная. конечно менее эффективная чем всякие «приведи друга» и массовый «like», но тем не менее вариант распространения информации о ReactOS на взаимовыгодных условиях
Судя по картинке, компанию D-Link вообще не волнует подписание драйверов :)
С Рождеством?
Что делает религиозная хрень на моём Хабре?!
Что делает религиозная хрень на моём Хабре?!
Ну, Новый Год исторически не менее религиозен но, тем не менее, я помню, как минимум, два топика с поздравлением с Новым Годом ;-)
Я лично и команда проекта поздравляем тех, кто празднует и тех, кто возможно забыл! А людям, относящих себя к другим конфессиям, мы просто от всего сердца желаем всего хорошего. =)
Так праздник называется. Ну это как перодическую таблицу называют таблицей Менделеева. Религия тут особо не при чем.
Это праздник для христиан, в отличии от, например, Нового Года.
Меня, как атеиста, сильно раздражают регулярные поздравления с религиозными праздниками. Я думаю, что я не один такой на Хабре, который сугубо ИТ ресурс.
Меня, как атеиста, сильно раздражают регулярные поздравления с религиозными праздниками. Я думаю, что я не один такой на Хабре, который сугубо ИТ ресурс.
А Новый Год посвящён богу Янусу. Если смотреть праздники Нового Года у других народов, то там тоже масса языческих и мифических обоснований. Мне-то, тоже атеисту, в целом пофигу конкретно на подоплёку данного праздника Рождество, но я рад, что завтра увижу свою семью в полно составе, так как у всех, в кои-то веки, выходной и никаких дежурств нету.
Вы поди и мясо не кушаете…
Вас не пугает тот факт, что в неделе семь дней?
драйвер это не операционная система, в нем нет миллионов строк, так что размазать конечно можно но вероятность нахождения этого руткита очень велика учитывая что исходник будет доступен всем заинтерисованными лицам…
Вот и ответ всем тем, кто спрашивал «Зачем нужен ReactOS?»
У меня двоякие чувства. Первое, M$ действительно стрижёт бабло за то, чтобы драйвер был признан годным за 2 килобакса. Второе, все драйвера всё-таки проходили какую-никакую проверку и часть денег за их «признание годности» уходили тем инженеграм-программистам. Сейчас это сможет сделать каждый «недопрограммист» бесплатно?
Тестирование — это WHQL. А здесь речь идёт об обычной цифровой подписи, которая по сути является исключительно удостоверением автора драйвера и ни малейших гарантий не предоставляет, но без которой драйвер в 64-битных системах установить невозможно (не считая тестовых режимов). И да, для получения такой подписи-удостоверения разработчику требовалось выкладывать кругленькую сумму (причём ежегодно), только не самой MS, а VeriSign'у.
Ну я особо не разбирался. У меня просто Ubuntu. Просто большинство драйверов под Windows как правило выдают предупреждения, что они не подписаны. Впрочем и подписанные драйвера не раз у меня ложили Windows XP. Любопытно, что активно минусуют, а более или менее вменяемый ответ один.
Другими словами, теперь драйвер может получить подпись и быть установлен в ОС без тестирования на корректность работы и совместимость с этой самой ОС. Это хорошо для исследовательских проектов и установки на 10-20 машин, но если кто-то выпустит таким образом массовый софт… у-у-у…
Ведь именно кривые драйвера от дешевого китайского железа часто становились причиной «синих экранов» и прочей фигни, припысываемой почему-то лично операционке, а не железке, на которой сэкономили 10 рублей.
Ведь именно кривые драйвера от дешевого китайского железа часто становились причиной «синих экранов» и прочей фигни, припысываемой почему-то лично операционке, а не железке, на которой сэкономили 10 рублей.
Подпись не защищает от синих экранов, подпись защищает от «вирусоделов» — не каждый пойдёт себе покупать серт за два килобакса. А если и купит, то при обнаружении серт быстро отзовут. От синих экранов защищает WHQL.
Ну подписи в этом отношении тоже не бесполезны. MS собирает статистику сбоев и анализирует её. Если какой то драйвер становится причиной очень большого количества сбоев, то MS пытается связаться с разработчиком и пытаться взаимодействовать для исправления ошибок, и в случае подписанного драйвера (пусть даже не WHQL) это сделать гораздо проще.
Ах да, от вирусоделов тоже не очень действенная защита :) Защита скорее всего от неграмотных разработчиков (если автор способен подписать программу, то скорее всего и набрать verifier он тоже может). Для вирусоделов просто добавляются некоторые дополнительные сложности: сделать самоподписанный центр сертификации, подписать драйвер, перед установкой драйвера добавить сертификат своего ЦА в доверенные… Но если зловред уже на компьютере — это не проблема.
Другими словами, теперь драйвер может получить подпись и быть установлен в ОС без тестирования на корректность работы и совместимость с этой самой ОС.Это не «теперь», это всегда так было. Не нужно путать виды подписей, они бывают разные. Первая — это обычная цифровая подпись, простая идентификация разработчика. Она выдаётся абсолютно кому угодно. Драйвер никем не тестируется (кроме, быть может, автора), никто не даёт никаких гарантий. Фактически такая подпись — это всего лишь признание факта наличия у разработчика статуса юр.лица и лишней пары килобаксов, которую он готов выложить лишь за то, чтобы подтвердить, что он — это он. И второй вид подписи — WHQL. Такая подпись уже стоит намного дороже и обозначает, что драйвер прошёл официальную сертификацию качества в MS.
В системах до XP включительно, а также в 32-битных Висте/Семёрке драйвер можно установить любой, без всяких подписей, и он запустится. Максимум — винда выдаст предупреждение перед установкой, что драйвер не подписан и не прошёл проверку качества, но это именно предупреждение, его можно проигнорировать. В 64-битных же виндах, начиная с Висты, гаечки подзакрутили. Теперь драйвер, не обладающий валидной цифровой подписью-идентификатором (не WHQL!), работать просто не будет. Вернее, заработает, если отключить проверку подписей, нажав при загрузке компа F8 и выбрав соответствующий пункт, но этот режим заблокирует в системе некоторые функции. WHQL же по-прежнему остался необязательным.
То есть получилось так, что я уже не имею права на своей собственной машине запустить нужный мне фриварный драйвер. Мало того, я даже свой собственный самописный драйвер не смогу запустить! И это при том, что никакого тестирования и уровня качества как никто не гарантировал, так и не гарантирует.
Самописный драйвер не можете запустить? И хорошо. Еще нехватало драйверописателей которые не могут даже разобраться с тем как сделать самоподписанный сертификат доверенным на своей машине.
Расскажите, будьте так добры, как запустить самоподписанный драйвер, не активируя тестовый режим (т.е. не используя команду bcdedit.exe /set testsigning on, которая помимо включения режима доверия к самоподписанным драйверам заодно отключает некоторые функции по управлению цифровым контентом). Весь мир низкоуровневых разработчиков, включая кучу MVP, этого сделать не смогли, а Вы можете?
Для информации: сделать доверенным свой сертификат невозможно, т.к. его для этого требуется подписать кросс-сертификатом от MS или чьим-нибудь ещё, чтобы выстроилась цепочка сертификатов. Даже если принудительно добавите сертификат в качестве корневого, при попытке использовать его для драйверов система пошлёт Вас куда подальше (несмотря на то, что в свойствах драйвера будет говориться, что сертификат совершенно валиден).
Не надо считать себя умнее других людей, если не знаете, что эти другие люди знают и что они пробовали сделать (собственноручно) перед тем, как прийти к определённым выводам.
Для информации: сделать доверенным свой сертификат невозможно, т.к. его для этого требуется подписать кросс-сертификатом от MS или чьим-нибудь ещё, чтобы выстроилась цепочка сертификатов. Даже если принудительно добавите сертификат в качестве корневого, при попытке использовать его для драйверов система пошлёт Вас куда подальше (несмотря на то, что в свойствах драйвера будет говориться, что сертификат совершенно валиден).
Не надо считать себя умнее других людей, если не знаете, что эти другие люди знают и что они пробовали сделать (собственноручно) перед тем, как прийти к определённым выводам.
То что сделать свой сертификат доверенным невозможно — это вы уже очевидную ерунду говорите. Это же ваш компьютер в конце концов :) Любой админ поднимавший свой CA это знает и для этого не надо быть низкоуровневым разработчиком.
Вам нужно добавить корневой сертификат CA в TRCA, и скорее всего еще нужен сертификат которым производилась подпись (или достаточно опять сертификата CA) в Trusted Publishers.
Всё это разумеется надо делать в хранилище сертификатов компьютера, а не пользователя.
Я, честно говоря, действительно не загружал таким образом самоподписанные драйверы самостоятельно (я не разработчик, обычно использую PKI для других целей), но мнению того MVP который мне об этом сообщал, склонен доверять, тем более что его компания использует (или использовала) такой подход для своего ПО. Если вы действительно пробовали всё в точности как я описал выше, и вам не помогло — тогда я уточню у него подробности, возможно есть еще какие то ньюансы.
Вам нужно добавить корневой сертификат CA в TRCA, и скорее всего еще нужен сертификат которым производилась подпись (или достаточно опять сертификата CA) в Trusted Publishers.
Всё это разумеется надо делать в хранилище сертификатов компьютера, а не пользователя.
Я, честно говоря, действительно не загружал таким образом самоподписанные драйверы самостоятельно (я не разработчик, обычно использую PKI для других целей), но мнению того MVP который мне об этом сообщал, склонен доверять, тем более что его компания использует (или использовала) такой подход для своего ПО. Если вы действительно пробовали всё в точности как я описал выше, и вам не помогло — тогда я уточню у него подробности, возможно есть еще какие то ньюансы.
То что сделать свой сертификат доверенным невозможно — это вы уже очевидную ерунду говорите. Это же ваш компьютер в конце концов :)Доверенным сделать можно, но возможности запуска драйверов это не добавит. Иначе не было бы смысла разводить весь сыр-бор.
Я, честно говоря, действительно не загружал таким образом самоподписанные драйверы самостоятельно…
Если вы действительно пробовали всё в точности как я описал выше, и вам не помогло — тогда я уточню у него подробности, возможно есть еще какие то ньюансы.Да, я лично это попробовал, причём первым же делом, как только столкнулся с проблемой необходимости наличия ЦП у драйверов. Если просто подписать драйвер сгенерированной тестовой подписью, то винда говорит, что подпись невалидна, и драйвер не грузит. Если добавить свой сертификат в корневое хранилище, то винда утверждает, что подпись полноценная, доверенная, и вообще вся из себя самая что ни на есть настоящая, но несмотря на это запускать драйвер по-прежнему упорно отказывается.
Я уже искал информацию по этому поводу, все знающие люди в один голос утверждали, что, действительно, такой трюк не прокатывает, что обязательно нужна подпись либо от MS, либо от VeriSign, и что бесплатно такую подпись организовать невозможно (более того, если нет юр.лица, то даже платно невозможно). Все способы запуска драйвера сводились к одному из трёх:
а) найти кого-нибудь с уже имеющимся платным сертификатом и попросить его подписать;
б) подписать тестовой, самосгенерённой подписью и включить в винде тестовый режим через bcdedit (в этом случае система будет проверять, что драйвер вообще содержит хоть какую-нибудь ЦП, а валидность проверять не будет);
в) загружаться, нажимая F8 и выбирая отключение проверки ЦП (в этом случае драйвер можно вообще не подписывать).
Других способов на настоящий момент, насколько мне известно, просто не существует.
Давайте подробнее. Я не увидел у вас в ответе подтверждений что вы делали именно как я сказал, так что извините, но некоторые вопросы задам снова:
Как генерировали сертификаты?
Какие опции включены в Key Usage у подписывающего сертификата?
Точно ли все операции производились с хранилищем компьютера, а не пользователя?
В TRCA надо добавлять сертификат с публичным ключом CA, а не тот которым подписываем драйвер. Так и делали?
В TP надо добавлять либо сертификат с публичным ключом CA, либо непосредственно тот которым подписываем. Не уверен, так что для эксперимента лучше добавить оба.
ЗЫ: Отправил в почту свою электронку, возможно стоит перейти туда, тогда смогу подключить других MVP, разбирающихся в вопросе, не присутствующих здесь.
Как генерировали сертификаты?
Какие опции включены в Key Usage у подписывающего сертификата?
Точно ли все операции производились с хранилищем компьютера, а не пользователя?
В TRCA надо добавлять сертификат с публичным ключом CA, а не тот которым подписываем драйвер. Так и делали?
В TP надо добавлять либо сертификат с публичным ключом CA, либо непосредственно тот которым подписываем. Не уверен, так что для эксперимента лучше добавить оба.
ЗЫ: Отправил в почту свою электронку, возможно стоит перейти туда, тогда смогу подключить других MVP, разбирающихся в вопросе, не присутствующих здесь.
UPD: msdn.microsoft.com/en-us/library/ff553480(v=VS.85).aspx
> которая помимо включения режима доверия к самоподписанным драйверам заодно отключает некоторые функции по управлению цифровым контентом
Э… зачем вам на машине, используемой для тестирования самоподписанного драйвера, цифровой контент, требующий сертификатов? А если это не отладочная машина, то зачем на ней сырой самоподписанный драйвер? А если драйвер не сырой, то почему не заплатить за его официальную подпись? Это ведь уже не поделка какая-нибудь, а серьезный продукт.
И даже если это домашнее хобби — драйверы писать, то можно и потратить некоторое количество денег. Некоторые домашние компы или объективы для фотоаппаратов дороже стоят.
Э… зачем вам на машине, используемой для тестирования самоподписанного драйвера, цифровой контент, требующий сертификатов? А если это не отладочная машина, то зачем на ней сырой самоподписанный драйвер? А если драйвер не сырой, то почему не заплатить за его официальную подпись? Это ведь уже не поделка какая-нибудь, а серьезный продукт.
И даже если это домашнее хобби — драйверы писать, то можно и потратить некоторое количество денег. Некоторые домашние компы или объективы для фотоаппаратов дороже стоят.
А если драйвер не сырой, то почему не заплатить за его официальную подпись?А с чего это я должен за него платить? Я его придумал, я его написал, я его отладил, и я же при этом ещё и приплачивать кому-то обязан?
И даже если это домашнее хобби — драйверы писать, то можно и потратить некоторое количество денег.Некоторое? Можно. Но ежегодные 500 баксов — это не «некоторое количество», это весьма существенная обдираловка. По крайней мере, лично для меня. С голоду я от такой траты, положим, не помру, но и выкидывать на ветер эту сумму совершенно не намерен. Одно дело — купить за эти деньги инструмент разработки, которым я буду пользоваться. И совсем другое дело — просто так выложить энную сумму за одно лишь милостивое разрешение запускать на моём компе мой же собственный софт. Это раз. А два — это то, что физ.лицу такую подпись купить невозможно. Вот не продают и всё тут. Так что к тем пяти сотням добавляются ещё как минимум траты на оформление какого-нибудь ИП, плюс куча времени на возню с документами, налогами и прочей дребеденью, которая мне нужна, как собаке пятая нога.
хммм… а разве не было ли основной проблемой то, что драйвер в Stuxnet как раз был подписан и некоторые антивирусы просто не проверяли его? Теперь подписанной может быть все что угодно?
вижу нет :) забавно, подпишут ли «драйвер» (эмулятор) HASPa?
а разве не было ли основной проблемой то, что драйвер в Stuxnet как раз был подписан и некоторые антивирусы просто не проверяли его?
в том то и фокус, что он был подписан ворованным сертификатом принадлежащим «доверенной» компании. в идеальном мире сертификат позволяет 100% персонифицировать автора, при таком раскладе нужно быть круглым идиотом чтобы подписать вирус своим ключем. к сожалению мир не идеален и ключи ушли налево, чем и воспользовались авторы stuxnet.
Подпишите античит MyAc для Counter-Strike 1.6 на Windows 64-bit. А то чтобы постреляться, надо весь комп засрать и мозг вы-кхм…
Они делают хорошие дело. Но они стремятся к Windows XP. С такими темпами они сделают релиз 1.0 к Windows 10. Когда она уже совсем не будет совместима с XP, а в добавок к этому на XP никто сидеть не будет
[irony]Каждый раз, когда где-то всплывает слово ReactOS, кому-то обязательно хочется побыть Капитаном Очевидность.[/irony]
Переведите что-нибудь из документации, протестируйте свежую сборку, проверьте в ней свои любимые программы, напишите баг-репорт, выступите с докладом на конференции, расскажите друзьям хотя бы, и дайте им потестить. Если умеете программировать — напишите хотя бы апплетик для панели управления или что-нибудь из необходимого прикладного ПО. Если кое-что знаете о внутренностях windows — заройтесь в исходники ядра, найдите пару багов и закоммитьте патч.
А болтать, мол, «никогда не допилят» — много усилий не надо.
Пример из жизни. 70% багов, отправленных мной лично в багзиллу ReactOS — уже исправлены.
PS: В wine тоже никто не верил. А у ReactOS за счет wine есть фактически готовый юзерспейс.
Переведите что-нибудь из документации, протестируйте свежую сборку, проверьте в ней свои любимые программы, напишите баг-репорт, выступите с докладом на конференции, расскажите друзьям хотя бы, и дайте им потестить. Если умеете программировать — напишите хотя бы апплетик для панели управления или что-нибудь из необходимого прикладного ПО. Если кое-что знаете о внутренностях windows — заройтесь в исходники ядра, найдите пару багов и закоммитьте патч.
А болтать, мол, «никогда не допилят» — много усилий не надо.
Пример из жизни. 70% багов, отправленных мной лично в багзиллу ReactOS — уже исправлены.
PS: В wine тоже никто не верил. А у ReactOS за счет wine есть фактически готовый юзерспейс.
Писал про выпуски, когда сайт был. Тестил сборки и продолжаю ждать. Медленно уже всё выходит. Я просто посмотрел правде в глаза. Мне самому грустно. Зачем сейчас стремиться сделать копию Москвича, если его лет через 10 уже мало-кто будет покупать, а самое главное, он будет очень устаревшим, но не раритетным.
Если это действительно так, то ура. Дело в том, что есть особая область, в которой подписанные драйвера очень нужны — это виртуализация. Для xen'а/kvm/qemu наконец-таки появятся подписанные драйвера.
То есть есть шанс, что мой PS3 джой заработает без необходимости перегружать комп? :)
> Обычно лицензия может стоить 2000 долларов в течение года
Это где так? Verisign просит 500$ да год, или меньше если брать на 2-3 года, что не так уж и много.
Это где так? Verisign просит 500$ да год, или меньше если брать на 2-3 года, что не так уж и много.
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Бесплатная цифровая подпись для открытых драйверов