Como evitar que sistemas operacionais com inicialização dupla danifiquem uns aos outros?

Question

Para melhor compatibilidade e desempenho em jogos, estou pensando em instalar o Windows adicionalmente no Linux. Eu tenho preocupações de segurança sobre isso, no entanto.

Nota: "Windows" no texto restante inclui não apenas o sistema operacional, mas também qualquer software executado nele. Independentemente de estar incluído ou instalado adicionalmente, seja iniciado de forma intencional ou não intencional (vírus, malware).

Existe uma maneira fácil de alcançar os seguintes requisitos:

• O Windows NÃO DEVE ser capaz de matar minha partição linux ou meu disco de dados
  • nem arquivos únicos (infecção por vírus) nem sobrescrevendo todo o disco
• O Windows NÃO DEVE ser capaz de ler discos de dados (- > proteção extra contra spyware)
• O Linux pode ou não ter acesso à partição do Windows
• Linux e Windows devem ter acesso total à placa gráfica
  • isso exclui as soluções de VM de desktop
  • para jogos Eu quero o driver da placa de vídeo do Windows do fabricante

Sobre o Windows ser incapaz de destruir a minha instalação do Linux: esta não é apenas a paranóia usual, que aconteceu comigo no passado. Então eu não aceito "nenhum driver ext4" como argumento. Uma vez mordido, duas vezes tímido. E mesmo que a destruição direcionada a arquivos específicos (linux) seja quase impossível, não deve haver como destruir a partição inteira. No entanto, posso aceitar o risco de o malware romper uma barreira (por exemplo, VM) em toda a caixa do Windows.

Atualmente, tenho um disco do sistema (SSD) e um disco de dados (HDD), ambos SATA. Espero ter que adicionar outro disco. Se eu não fizer isso: melhor ainda. Meu processador é um Intel Core i5, com o VT-x e o VT-d disponíveis, embora não tenha sido testado.

Ideias que tive até agora:

• desativar ou ocultar outros HDs até reinicializar em nível baixo
  • possível? o gerenciador de inicialização (grub) pode fazer isso por mim?
• minúscula camada de VM: carrega janelas em uma VM que fornece acesso a quase todo o hardware, exceto os HDs
  • qualquer solução de software pronta para isso? De preferência livre.
  • como eu disse: o principal problema parece ser fornecer acesso total à placa gráfica
• chave de hardware para cortar energia nos discos
  • produtos comerciais caros e muitas advertências contra soluções baratas construídas em casa
  • preferencialmente todos os três discos rígidos com um interruptor (um empurrão)
• racks móveis - o uso da troca diária não será um problema?

Answer 1

Após o upvoting da resposta de kotekzot e o comentário de jet aqui é a solução definitiva: compre um front-rack simples. Desculpe, como as recomendações de compras são proibidas, não sugerirei uma marca específica.

Simplesmente monte o disco do sistema no rack e troque-o quando necessário. Como essas coisas são baratas, você deve considerar a compra de dois racks gêmeos, porque cada modelo exige que você monte o disco em seu compartimento exclusivo que pode ser extraído a qualquer momento. Portanto, se você tiver um único rack e dois gabinetes, poderá trocar discos a qualquer momento. Obviamente, esteja ciente de que, se houver outros discos montados em sua área de trabalho, o sistema operacional terá acesso total (princípio de superusuário) a todos eles.

Para rodar o Windows de forma que ele não possa acessar partições Linux mesmo após ser infectado pelo pior malware de todos os tempos, um substituto seria virtualizar, mas obviamente você não terá acesso direto à placa de vídeo e ao desempenho dos jogos.

    

Answer 2

o kernel sempre terá acesso bruto aos controladores de disco e aos discos. Então, ser capaz de danificar o outro sistema operacional destruindo partições.
Enquanto alguma desativação no BIOS pode esconder os discos do sistema operacional (isso foi possível em antigos controladores ATA, mas eu duvido que isso seja possível no SATA).

então a resposta curta é não, não é possível no nível que você quer.

    

Answer 3

Eu tenho quase o mesmo problema (Hackintosh + Windows). A solução que encontrei foi instalar outro controlador de disco. Estes podem ser baratos (US $ 30) ou caros (cartão RAID / SAS real no barramento PCIe).

Para o ponto:

1. Instale o Windows em seu próprio disco. As portas SATA da placa-mãe são boas para isso. (Deixe o outro controlador conectado).
2. Após a instalação do Windows, desative (ou não instale o driver) para o controlador. Melhor: ambos. Se o kernel do Windows não puder acessar o controlador, ele não acessará a unidade lá. Isso é muito mais seguro do que desativar o disco no Windows.
3. Remova o disco do Windows. (Contra a exclusão acidental ao instalar outros sistemas operacionais.)
4. Instale o outro sistema operacional (Linux ou qualquer outro) em um disco no controlador. Como os sistemas * nix não destruirão outros fs / discos sozinhos, não é necessário fazer nada aqui.
5. Conecte o disco do Windows novamente (a mesma porta da placa-mãe que você removeu).
6. Configure o Grub para inicialização dupla.

Nesta configuração, você pode acessar a instalação do Windows a partir do sistema * nix, mas o Windows não pode acessar nada que esteja no controlador.

Isso deve ser tudo.

    

Answer 4

Se você tiver fácil acesso físico ao hardware, desconectar os cabos de dados dos HDDs que você não deseja que sejam acessíveis seria a solução mais simples e confiável. Não tenho conhecimento de nenhum produto de virtualização que atenda às suas necessidades e a desativação de uma unidade no gerenciador de inicialização não garante que ele esteja indisponível para o sistema operacional. Você pode tentar desabilitá-los na BIOS, mas, novamente, não há garantias de que vai ficar.

    

Answer 5

Eu estava lendo sobre algo assim .

A declaração chave desse artigo:

If you have multiple operating systems installed on your machine, each one thinks that it has control of your computer.

Não coloque sua partição do Windows em /etc/fstab e formate suas partições do Linux com um formato de arquivo que o Windows não pode ler (qualquer extensão do ExtN fará). Isso deve cuidar das coisas mais comuns que podem dar errado.

Se alguma coisa em qualquer uma das instalações conseguir acidentalmente mexer nos dados da partição, você está usando o sistema incorretamente.

    

Answer 6

Desative o dispositivo, não acho que muitos vírus pensem que alguém tenha desabilitado uma das unidades do driver.
Desmontar o dispositivo, tudo parece ser uma opção viável em qualquer dos sistemas, até que os fabricantes de vírus percebam que isso é uma coisa a fazer, então eles farão um arranjo para ajustar o crapware.

"carts" cartuchos de uma unidade em um compartimento da baía, as conexões em alguns deles são robustos, conectando e desconectando um SATA (uma e outra vez) na unidade real, não seria tão robusto, mas a maioria dos sistemas de carrinho a reconexão é feita entre o chassi e o carrinho, sendo essas peças mais baratas para substituir do que o inversor.

Eu tentei o método power off com o PATA, e ele não funcionou bem, eu ainda não tentei com o SATA, mas ele traz de volta memórias de todo o sistema em freaking quando a energia do drive parou. E removendo apenas os 12V (a potência do motor), o sistema ainda veria a placa controladora HD e os bloqueios na inicialização ou durante a execução. Precisa tentar de novo.

Segurança e Proteção? Como o vírus pode fazer as coisas mesmo com toda a segurança e proteção, o "tipo" que seria desejado seria algum material estranho menos usado, não um método comum de proteção do sistema, que seria conhecido. Qualquer coisa feita manualmente por um usuário pode ser mais segura que a segurança conhecida.

Depois que a unidade de dados principal e importante for desconectada, isso ainda sairá, com um backup de imagem da unidade do sistema sacrificial e do MBR, para que ela possa retornar a um estado anterior. Tendo um par de imagens como coisas são adicionadas, para esse tipo de vírus que leva o seu tempo, maliciosamente escondendo-se na espera por alguns dias, por isso não é notado. Ter essas imagens de backup em uma unidade removida ou passadas para outro computador (ou até mesmo para a nuvem).

    

Answer 7

Eu pesquisei isso recentemente e pensei em compartilhar minha solução. Se o seu windows é uma versão Pro ou melhor:

instale o Windows e verifique se a inicialização dupla funciona

entre na Diretiva de Grupo e bloqueie a instalação do driver para unidades de disco (você precisará obter o GUID da classe de driver no Gerenciador de Dispositivos)

Entre no Gerenciador de dispositivos e desinstale as unidades que você não deseja acessar.