vejmarie a écrit 422 commentaires

Oui cela devrait etre bon. Quand je parle du plus gros de la gamme, mon cerveau pense serie DLx. Nous avons modifie les cartes meres de telle sorte que l'ensemble de nos plateformes puissent supporter le changement de proprietaire de firmware et ainsi faire fonctionner openbmc de maniere securisee. Avant l'achat d'une nouvelle plateforme Gen11, et pour en avoir le coeur net, il est recommande de s'inscrire ici. Le programme manager vous confirmera si le modele que vous ciblez est supporte ou non. Le process est simple et a pour objectif d'eviter toute deception en cette phase transitoire.

Le plus gros de la gamme de ProLiant Gen11 sera capable de faire fonctionner OpenBMC. Malheureusement on a pas prevu de faire de retrofit, car il a fallu que nous fassions des modifications materielles. En ce qui concerne nos concurrents la plupart des equipements des ODMs taiwanais fournisseurs des hyperscalers peuvent supporter OpenBMC, mais le code source n'est pas sous le controle du client final la plupart du temps.

Oui je confirme il est de plus en plus rare qu'un reboot complet de la plateforme soit necessaire.

L'essor des firmware open source permet d'envisager des alternatives pertinentes et surtout des innovations qui n'ont pas reussi a emerger sur des logiciels proprietaires.

Exact, meme si il existe des moyens d'automatiser cela, ces moyens sont rarement mis en oeuvre. Il existe comme sur tous logiciels une surface d'attaque qui ne peut pas etre consideree comme nulle a partir du moment ou ceux-ci sont connectes au reseau ou a leur hote. Les contructeurs font un effort important pour patcher ces bugs des que les CVE sont ouverts, mais il faut pour autant que la mise a jour soit effectuee sur toutes les plateformes.

Je vais avoir du mal a dire l'inverse travaillant pour HPE. Mais je suis plutot d'accord avec toi les constructeurs sont de plus en plus serieux sur ces sujets. D'autre part le legislateur aide aussi. Les lois contre l'obscolescnce programmee impose aussi de mettre a disposition les mises a jours critiques gratuitements sur les nouveaux produits sur des periodes definies (de memoire 8 ans, je ne suis pas un specialiste de ce sujet, travaillant sur des thematiques open source, je ne m'inquiete pas trop de la disponibilite des logiciels)

On envisage plusieurs options, une qui tient la corde consiste a creer une chaine de confiance entre nous et les proprietaires. Ce n'est pas l'ideal mais cela permet de garantir la securite de la plateforme avec une minimum de modification pour les clients actuels qui souhaitent rester sur des firmware proprietaires et l'unicite de son usage. A chaque sortie d'usine les machines restent les memes, mais nous avons re-organise le firmware de telle sorte que celui-ci ait un boot loader. Ce boot loader est integre sur la flash signee et evalue le code du firmware par rapport a une clef publique de l'utilisateur et l'ID unique du systeme (chaque BMC en possede un) qui aura ete crypte avec le mecanisme du root of trust prealablement par HPE (etablissement de la chain of trust) et qui valide l'etape de chargement du code du firmware sur la machine qui lui aura ete signe avec la clef privee du proprietaire (uniquement le proprietaire peut le faire). Le mecanisme requiert qu'un canal de confiance soit etabli prealablement entre HPE et le proprietaire pour que nous puissions emettre le blob binaire crypte qui permet a la machine de demarrer avec la clef public fourni et son ID. Il faut le faire qu'une fois, a chaque update de firmware la machine reconnaitra le nouveau firmware via sa signature. Tant que la clef privee du proprietaire n'est pas compromise le systeme fonctionne. Pour changer de proprietaire, nous restons un tier de confiance, et le proprietaire precedant revoque aupres d'HPE l'integration de ca clef publique sur l'ID de la machine, permettant au futur proprietaire de faire une nouvelle demande par rapport a cet ID via une preuve de propriete.

Ca peut sembler etre une usine a gaz, mais a court terme, cela permet deja d'avancer et ne compromet pas le mode de fonctionnement deja etablit. On etudie d'autres options avec moins de dependances vis a vis d'HPE et/ou sans tier de confiance en utilisant une approche blockchain, mais on doit modifier le hardware, ce que l'on va faire, mais on est sur des cycles de dev de 3 ans sur cet asic, donc soit on attendait trois ans, soit on trouvait un compromis et je prefere avancer comme on dit !

Je ne peux pas juger pour Dell (le pire c'est qu'en 25 ans de carriere je n'ai jamais utilise leurs serveurs), mais en ce qui concerne iLO meme si je suis persuade que les equipes logicielles font tout ce qu'elles peuvent pour atteindre la perfection, cela reste du logiciel. Mon optique reste de penser que pouvoir offrir le choix est la meilleure maniere de repondre a ces soucis, chacun pouvant utiliser le logiciel qui correspond a son besoin et a ses aspirations. Il n'est pas sure que les logiciels libres resolvent tous les problemes, mais ils offrent la possibilite d'en comprendre la nature si on le souhaite, et de pouvoir collaborer ensemble.

Le projet SONiC travaille sur ce type de sujets, il est plus dynamique que FBOSS, et supporte par de plus en plus de hardware.

Merci pour votre soutien. La mise en oeuvre d'une telle strategie a l'echelle d'un groupe comme HPE est en effet un challenge a part entiere, mais aussi une aventure humaine tres interessante a vivre, meme si on passe par des hauts et des bas ! Peut-etre qu'un jour vous reviendrez sur des machines plus "transparentes" et/ou pionnieres.

Oula, c'est possible. La fondation est a but non lucratif avec une petite equipe americaine. Je vais voir avec eux comment leur donner un coup de main pour se mettre en conformite.

C'est possible/probable. Etant un spectateur assidu je ne manquerai pas de le challenger un peu on va dire.

A ma connaissance tres peu de choses de faites, mais je serai interesse par creuser un peu ce sujet.

Exact un mixte de faute de frappe et de mauvaise connaissance de la geographie allemande ;), par chance mon billet d'avion m'emmene au bon endroit.

J'aurai pu faire les memes pics sur online et autres cloud provider europeens. Nos entreprises ont enormement de mal a faire pivoter leurs modeles economiques lorsque de nouvelles revolutions industrielles arrivent. OVH et Online sont en effet de gros integrateurs qui pourraient innover plus tout en collaborant sans pour autant voir leur modele economique s'effondrer. le dernier tweet d'Octave mentionnant OCP tentait d'expliquer que les dernieres innovations d'OVH etaient super (ce que je peux croire, mais comme tout a chacun demande a voir), et qu'il aimerait pouvoir les partager avec les membres d'OpenCompute Project mais qu'il devait deposer des brevets auparavant. (on va se retrouver encore plus protectionnistes que les americains et les brevets logiciels si ca continue).

Tout ca me va bien, mais on attend encore comme on dit … Que ce soit Online ou OVH, qu'ils l'admettent ou pas, les projets Open Hardware influencent leurs choix, tout comme les projets Open Source, avec des niveaux de contributions bas … c'est ce qui a une certaine tendance a m'agacer on va dire. L'opacite des modeles d'OVH et Online ont peut-etre fait leur succes, je ne suis pas du tout convaincus qu'il fasse leur avenir (en meme temps je ne dirige pas ces entreprises), mais pas contre je reste convaincus que le partage du savoir fait parti du devoir des scientifiques en 2018 et des entrepreneurs si ont veut addresser les enjeux futurs. Aussi con que ca puisse paraitre les americains l'on compris et en font un business au passage la ou les francais sont restes dans les annees 90 a vouloir acheter toujours moins chere en innovant au minimum et scellant des partenariats avec des ODM asiatiques.

Un petit lien sur le programme du summit OCP

Non cela ne devrait pas changer grand chose en dehors de ma localisation geographique, je devrai pouvoir continuer a faire de l'open et a continuer sa promotion !

Tu as raison le systeme de boot ne devrait pas affecter les temps d'execution une fois l'O/S boote (sauf si tu fais du temps reel, le mode SMM etant parfois sacrement vicieux). L'objectif du benchmark etait de valider qu'en reconditionnant des "vieux" serveurs et en les mettant au gout du jour avec des I/O plus performantes qui ne sont accessibles qu'avec des BIOS modernes on puisse les battre. Un Xeonv2 qui est aujourd'hui considere comme un vieux serveur est encore parfaitement exploitable, pas chere et efficace. L'idee de Linuxboot est aussi d'augmenter la duree de vie des machines en offrant des mises a jour fonctionnelles.

C'est Hedge ;)

C'est un sujet qui peut difficilement etre glamour. Les personnes qui sont responsables d'infrastructure cloud a grande echelle et d'heberger des milliers de serveurs devraient etre capable de comprendre ce que l'on raconte dans linuxboot, sinon ils ont un serieux probleme de comprehension de leur metier ce que je ne pense pas. Apres, c'est soit on fait confiance a Intel et consort pour assurer la securite de ses systemes soit on est capable de le faire, et il vaut mieux le faire de maniere collaborative tellement le sujet est complexe.

Le probleme c'est qu'il accede avec un niveau de privilege superieur aux resources materielles et ce meme lorsqu'il a passe la main a un O/S. En clair un petit malin peut recuperer l'ensemble de tes donnees si il le souhaite grace a cette magnifique technologie qu'est UEFI. Ca reste complique a exploiter, mais ca reste faisable, alors on peut faire toutes les mises a jours contre spectre, meltdown et tout le reste, mais quand on voit ce que l'on peut faire avec UEFI et bien si tu fais confiance aux serveurs de Cloud de ton hebergeur prefere, ben c'est pas tres tres serieux, surtout si on rajoute la partie ME dans la discussion. Le role d'un BIOS c'est juste d'initialiser le hardware et de s'effacer lorsqu'un O/S demarre, si il fait plus c'est dangereux. On a fait qqs demos avec linuxboot qui ont perturbe des specialistes securites. Le truc le plus marrant c'est le secure boot alors qu'on peut changer les filesystemes de flash BIOS par un kernel linux et booter ce kernel sans que la machine s'en rende compte. C'est secure serieusement ?

Tram est un peu hardcore dans sa technique de flashage. Perso j'utilise flashrom et un petit dediprog ca marche tres bien ;).

En effet y a une slack room -> u-root et dedans y a qqs sous ensemble comme linuxboot. La tchat room est en anglais et il commence a y avoir du monde

UEFI fonctionne comme un O/S pratiquement (le machin fait plusieurs millions de ligne de code) donc tu peux envisager qu'il sait faire ce que tu decris.

exact et apres tu peux te retrouver en mode bourrin a mettre des LFENCE partout.

Voulais pas polluer le forum avec du marketing (meme si on a besoin que des gens nous achetent des machines pour continuer nos travaux de R&D), et en plus en France y a vraiment pas grand monde qui achete de l'Open ce qui me laisse d'ailleurs perplexe meme si ca progresse.