Počítačová bezpečnost Cvičení 1: Start počítače IBM PC © Milan Keršláger Obsah: zapnutí PC, BIOS, setup, oddíly, start z disku, aktivace jádra, start z pevného disku, rizika při startu počítače

Start počítače ● specifický postup pro různé typy počítačů ● dvě snadno rozlišitelné části: ● inicializace hardware – pomocí firmware (BIOS) ● zavedení operačního systému – první krok provede firmware (BIOS) – další postup čistě softwarový ● v nouzi tovární nastavení ● „zapni (zresetuj) a ono to (nejspíš) bude fungovat“ ● někdy nemožné – pracovní stanice, servery

Zapnutí PC ● reset (signál propojující všechny obvody) ● po zapnutí nebo zmáčknutí tlačítka ● CPU do 16bitového režimu (jako Intel 8086) ● interpretace kódu od adresy 0xFFFF0 ● zde je umístěn BIOS ● vlastní BIOS mají i doplňující karty – grafická karta, řadiče pro disky (SATA, SCSI) atd. – BIOS je najde a spustí jejich inicializační kód – mohou rozšířit schopnosti BIOSu ● zavedení OS, jednoduchý grafický režim (boot logo, animace) ● BIOS plně kontroluje první fázi startu PC

BIOS ● Basic Input-Output systém ● v paměti ROM (dnes Flash) ● na základní desce od jejího výrobce ● vyrábí několik firem, modulární ● závislý na HW (přímo jej ovládá) ● poskytuje jednoduché API – tzv. „služby BIOSu“ ● čti sektor z disku, vytiskni znak, pošli na port,... ● plně na něj spoléhal pouze DOS ● 16bitový z původního IBM PC XT (1983) ● 32bitová rozšíření se neujala

SETUP ● aplikace pro volitelná nastavení BIOSu ● při startu stiskem DEL, F2 a podobně ● nastavení uloženo v paměti CMOS ● zálohováno baterií (spolu s RTC) ● snaha o maximální automatizaci ● některé BIOSy schválně mnoho voleb – pro experty, přetaktování ● nastavení chipsetu (frekvence, napájení, režimy...) ● pořadí zařízení pro zavedení OS ● dříve pevně stanoveno → boot viry z disket

Oddíly (partitions) ● oddíl je logické rozčlenění pevného disku ● protože pevný disk je velký nebo více FS, OS ● dělení bez podpory v HW → SW musí respektovat ● popis rozdělení uložen do tabulky uvnitř MBR ● Master Boot Record (CHS = 0,0,0) → 512 bajtů ● obsahuje zavaděč a tabulku dělení disku na oddíly ● zpětná kompatibilita ● vnitřek oddílu má strukturu jako disketa ● MBR může být nezávislý na OS → DOS MBR ● nástupcem DOS MBR je GPT (pro disky > 2GiB)

Start IBM PC ● BIOS načte do paměti MBR ● tj. prvních 512 bajtů na HDD ● pokud je neplatný, zahlásí BIOS chybu – MBR not found ● skočí se na začátek MBR (zavaděč + tabulka) ● kód MBR vybere aktivní oddíl ● k němu se dále přistupuje jako k disketě ● MBR zavede z aktivního oddílu boot sektor ● není-li platný, zahlásí MBR chybu (OS not found) ● boot sektor zavede do paměti kód jádra a spustí ho

Aktivace jádra OS ● jádro převezme plnou kontrolu nad počítačem ● procesor do 32bitového režimu + ring0 ● detekuje a inicializuje I/O zařízení (nově dle ACPI tabulek) ● jádro připojí souborový systém ● root filesystem → unixové OS ● disk C: → Microsoft Windows (ale i jiné písmeno) ● spuštění prvního programu – unixové → init, Windows → (???) ● spuštění startovací sekvence (boot sequence) ● unixové OS → startovací skripty ● MS Windows → dle záznamů v registrech ● ukončením startovací sekvence je systém funkční

Alternativní zavaděč ● náhrada standardního MBR, boot sektoru ● umožňuje spustit různé systémy s různými volbami ● typicky poskytuje nabídkové menu – nabízí též boot zavaděč pro Windows, ale jen pro ně ● GRUB ● oblíbený zavaděč pro Linux ● menu, interaktivní rozhraní, změna parametrů ● předání parametrů jádru, ale i startovacím skriptům ● umístění do MBR nebo do boot sektoru oddílu ● samozřejmě existují i další zavaděče

Rizika startu IBM PC ● záleží na použitém operačním systému ● DOS – 16bitový režim (všechny Intel & spol. CPU) – neexistuje ochrana paměti, oprávnění na souborový sys. – „nakazit“ lze MBR, boot sektor i systémové soubory – škodlivý kód provede hook (napojení) na systém ● „dostane se k CPU jako první“ ● Windows, Linux – 32bitový režim (CPU i386+) – jádro na začátku přepíná CPU z 16 do 32bitového režimu ● paměť je kompletně vyčištěna, nastavení CPU též ● nelze snadno „nakazit“, či se (předem) přidat – situaci mění podpora virtualizace ● „naštěstí“ je to velmi složité (ne však nerealizovatelné!!!)

Ochrana bootovací sekvence ● zaheslování BIOSu ● nastavení bootovacího zařízení na HDD ● nelze změnit boot sekvenci ● nejsem administrátor – nemohu PC ohrozit ● reset CMOS (jumper, program – cmos reset) ● zaheslování startu PC ● jedině hw reset CMOS (jumper)