Всем привет. Сегодня хочу разобрать тему которая логически продолжает разговор про операционные системы — железо на котором всё это работает. Большинство людей думают о безопасности только на уровне софта, но если железо скомпрометировано на уровне прошивки — никакой GrapheneOS или Tails не поможет.
Почему обычные ноутбуки проблема
Стандартный ноутбук любого крупного производителя — Dell, Lenovo, HP — содержит несколько уровней закрытого проприетарного кода который работает ниже операционной системы и который невозможно проверить. BIOS/UEFI прошивка, Intel Management Engine или AMD Platform Security Processor, контроллеры устройств — всё это закрытые бинарники которым вы вынуждены доверять слепо.
Purism Librem 14
Librem 14 это ноутбук американской компании Purism, спроектированный с явным приоритетом верифицируемой безопасности на аппаратном уровне.
Ключевая особенность — нейтрализация Intel Management Engine. IME это отдельный процессор внутри процессора который работает независимо от основной системы, имеет доступ к памяти, сети и может работать даже когда компьютер выключен. На Librem 14 IME нейтрализован через официальный механизм HAP bit — это не полное удаление но значительное сокращение функциональности и поверхности атаки.
Открытая прошивка — Librem 14 поставляется с coreboot вместо проприетарного BIOS, и PureBoot вместо стандартного загрузчика. PureBoot использует TPM чип и физический ключ безопасности (Librem Key — модифицированный Nitrokey) для верификации целостности прошивки и загрузчика при каждом старте. Если кто-то модифицировал прошивку пока устройство было не под вашим контролем — система при следующей загрузке покажет предупреждение через изменение индикатора на ключе.
Физические переключатели — отдельные аппаратные переключатели для камеры и микрофона, и отдельный для Wi-Fi и Bluetooth. Это не программное отключение которое можно обойти через уязвимость — физический разрыв цепи на уровне железа. Камера и микрофон физически отключены пока переключатель в положении off независимо от того что делает операционная система.
Поддерживаемые операционные системы — PureOS (собственный дистрибутив Purism основанный на Debian), но работает с любым Linux включая Tails, Qubes OS, NixOS о котором говорили раньше.
Честные ограничения — Librem 14 значительно дороже обычного ноутбука аналогичных характеристик, производительность не выдающаяся, и компания небольшая что создаёт риски долгосрочной поддержки.
System76
System76 — американская компания из Денвера, изначально специализировалась на ноутбуках с Linux, но в последние годы движется в сторону открытого железа.
Coreboot — System76 активно переводит свои ноутбуки на coreboot, и это уже реализовано на нескольких моделях включая Galago Pro и Lemur Pro. Открытая прошивка проверяема и аудируема в отличие от проприетарного BIOS.
System76 Open Firmware — компания разрабатывает собственную надстройку над coreboot которую называет System76 Open Firmware, публикует исходный код и активно участвует в разработке coreboot upstream.
PopOS — собственный дистрибутив Ubuntu с дополнительными настройками, но ноутбуки System76 работают с любым Linux.
Thelio — кроме ноутбуков компания производит десктопы с открытой прошивкой и даже публикует механические чертежи корпусов как открытое железо.
Честные ограничения — System76 не нейтрализует Intel ME в отличие от Purism, физических переключателей нет на большинстве моделей. Это скорее "максимально открытый Linux ноутбук" чем "параноидальная безопасность".
Сравнение двух подходов
Purism идёт глубже на уровень железа — нейтрализация IME, физические переключатели, аппаратная верификация загрузки. Это максимальная защита от угроз на уровне прошивки.
System76 идёт шире — открытая прошивка, открытое железо, активное участие в open source экосистеме. Это более практичный вариант для повседневного использования без жертвы удобством.
Альтернативы которые стоит знать
Тhinkpad с coreboot — классические модели Lenovo ThinkPad X230, T430, X220 имеют зрелую поддержку coreboot через проект Skulls и libreboot. Это старое железо но зато с самым проверенным временем открытым стеком прошивок и значительно дешевле.
Framework Laptop — модульный ноутбук с заменяемыми компонентами, движется в сторону открытой прошивки. Не достигает уровня Purism но значительно лучше обычных производителей по прозрачности.
Практический вывод
Если в модели угроз есть противник способный на атаку уровня прошивки (evil maid атака на BIOS, компрометация IME) — Librem 14 с PureBoot и Librem Key это единственный коммерчески доступный вариант с аппаратной верификацией целостности при каждой загрузке.
Если нужен просто хороший Linux ноутбук с открытой прошивкой без экзотических требований — System76 или Framework с coreboot дают хорошее соотношение открытости и практичности.
Для большинства людей — старый ThinkPad с установленным coreboot и Tails или Qubes OS закрывает большинство реальных угроз за значительно меньшие деньги.
Почему обычные ноутбуки проблема
Стандартный ноутбук любого крупного производителя — Dell, Lenovo, HP — содержит несколько уровней закрытого проприетарного кода который работает ниже операционной системы и который невозможно проверить. BIOS/UEFI прошивка, Intel Management Engine или AMD Platform Security Processor, контроллеры устройств — всё это закрытые бинарники которым вы вынуждены доверять слепо.
Purism Librem 14
Librem 14 это ноутбук американской компании Purism, спроектированный с явным приоритетом верифицируемой безопасности на аппаратном уровне.
Ключевая особенность — нейтрализация Intel Management Engine. IME это отдельный процессор внутри процессора который работает независимо от основной системы, имеет доступ к памяти, сети и может работать даже когда компьютер выключен. На Librem 14 IME нейтрализован через официальный механизм HAP bit — это не полное удаление но значительное сокращение функциональности и поверхности атаки.
Открытая прошивка — Librem 14 поставляется с coreboot вместо проприетарного BIOS, и PureBoot вместо стандартного загрузчика. PureBoot использует TPM чип и физический ключ безопасности (Librem Key — модифицированный Nitrokey) для верификации целостности прошивки и загрузчика при каждом старте. Если кто-то модифицировал прошивку пока устройство было не под вашим контролем — система при следующей загрузке покажет предупреждение через изменение индикатора на ключе.
Физические переключатели — отдельные аппаратные переключатели для камеры и микрофона, и отдельный для Wi-Fi и Bluetooth. Это не программное отключение которое можно обойти через уязвимость — физический разрыв цепи на уровне железа. Камера и микрофон физически отключены пока переключатель в положении off независимо от того что делает операционная система.
Поддерживаемые операционные системы — PureOS (собственный дистрибутив Purism основанный на Debian), но работает с любым Linux включая Tails, Qubes OS, NixOS о котором говорили раньше.
Честные ограничения — Librem 14 значительно дороже обычного ноутбука аналогичных характеристик, производительность не выдающаяся, и компания небольшая что создаёт риски долгосрочной поддержки.
System76
System76 — американская компания из Денвера, изначально специализировалась на ноутбуках с Linux, но в последние годы движется в сторону открытого железа.
Coreboot — System76 активно переводит свои ноутбуки на coreboot, и это уже реализовано на нескольких моделях включая Galago Pro и Lemur Pro. Открытая прошивка проверяема и аудируема в отличие от проприетарного BIOS.
System76 Open Firmware — компания разрабатывает собственную надстройку над coreboot которую называет System76 Open Firmware, публикует исходный код и активно участвует в разработке coreboot upstream.
PopOS — собственный дистрибутив Ubuntu с дополнительными настройками, но ноутбуки System76 работают с любым Linux.
Thelio — кроме ноутбуков компания производит десктопы с открытой прошивкой и даже публикует механические чертежи корпусов как открытое железо.
Честные ограничения — System76 не нейтрализует Intel ME в отличие от Purism, физических переключателей нет на большинстве моделей. Это скорее "максимально открытый Linux ноутбук" чем "параноидальная безопасность".
Сравнение двух подходов
Purism идёт глубже на уровень железа — нейтрализация IME, физические переключатели, аппаратная верификация загрузки. Это максимальная защита от угроз на уровне прошивки.
System76 идёт шире — открытая прошивка, открытое железо, активное участие в open source экосистеме. Это более практичный вариант для повседневного использования без жертвы удобством.
Альтернативы которые стоит знать
Тhinkpad с coreboot — классические модели Lenovo ThinkPad X230, T430, X220 имеют зрелую поддержку coreboot через проект Skulls и libreboot. Это старое железо но зато с самым проверенным временем открытым стеком прошивок и значительно дешевле.
Framework Laptop — модульный ноутбук с заменяемыми компонентами, движется в сторону открытой прошивки. Не достигает уровня Purism но значительно лучше обычных производителей по прозрачности.
Практический вывод
Если в модели угроз есть противник способный на атаку уровня прошивки (evil maid атака на BIOS, компрометация IME) — Librem 14 с PureBoot и Librem Key это единственный коммерчески доступный вариант с аппаратной верификацией целостности при каждой загрузке.
Если нужен просто хороший Linux ноутбук с открытой прошивкой без экзотических требований — System76 или Framework с coreboot дают хорошее соотношение открытости и практичности.
Для большинства людей — старый ThinkPad с установленным coreboot и Tails или Qubes OS закрывает большинство реальных угроз за значительно меньшие деньги.
