Как включить Legacy Boot на ThinkPad 2019 года?
У меня 2019 ThinkPad X390 с Windows 10 и я хочу установить Ubuntu. Я всегда использовал Legacy Boot ранее, а не UEFI, и хочу посмотреть, как это сделать. В UEFI-BIOS я вижу, что возможность изменить UEFI/Legacy Boot из UEFI Only в «Legacy Only» нельзя выбрать и рядом с ним написан текст
Как включить эту возможность?
0 ответов
У меня была такая же проблема на моем Lenovo t490. Я просто зашел на вкладку «Безопасность и виртуализация», там была опция «Защита DMA ядра», и я отключил ее. Теперь я могу включить устаревший режим.
Saved searches
Use saved searches to filter your results more quickly
You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session.
Have a question about this project? Sign up for a free GitHub account to open an issue and contact its maintainers and the community.
By clicking “Sign up for GitHub”, you agree to our terms of service and privacy statement. We’ll occasionally send you account related emails.
Already on GitHub? Sign in to your account
How to disable Kernel DMA Protection #6750
How to disable Kernel DMA Protection #6750
Comments
I have an external gpu enclosure running on thunderbolt. Please let me know how to disable or uninstall Kernel DMA Protection. This keeps crashing my windows! I have checked my BIOS there is no option. This isn’t a hardware issue because I dual boot ubuntu and it is rock solid!
The text was updated successfully, but these errors were encountered:
It looks like this issue is resolved (thank you @RAJU2529). Closing.
Where is in the group policy edit? Which registry key is it?
If you think it is setting DeviceEnumerationPolicy to 2 to allow all. It isn’t. Please put down which registry to change and to what value to turn it completely off
Passing this feedback to a collaborator. Thanks.
Hello @pl6306 ,
Do you have registry key HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\FVE\DisableExternalDMAUnderLock?
If yes, which value does it have?
I have checked my BIOS there is no option — have you checked Security>Virtualization tab?
@pl6306 Feel free to re-open to follow up with the response above. Thank you.
This is still a problem and the regedit above does not solve it. It does not turn off DMA kernel protection, which is causing our Thunderbolt devices to disconnect. (Sonnet Echo chassis with a Blackmagic Design Decklink Quad 2 inside)
We also have a Lenovo laptop, a Legion 7. Lenovo has removed the option to disable Kernel DMA protection from the UEFI bios and removed the possibility of accessing legacy bios for older machines.
a google search lead me here to disabling DMA kernel on a Lenovo. However, my Carbon X1 9th gen with TB4 does have a bios option of disabling kernel DMA — but yet, msinfo32 says its still on.
What was the resolution to this thread?
With the help of a Lenovo admin logon to BIOS I was able to force DMA kernel protection off. It was the IOMMU option nested deep in the CPU settings.
Unselectable for kernel dma protection lenovo как отключить
Внимание:: Информация, содержащаяся в этом бюллетене безопасности, должна быть применена как можно скорее.
Произвольное исполнение кода, отказ в обслуживании, раскрытие информации.
Источник: HP, HP Product Security Response Team (PSRT).
Автор: Микки Шкатов из Eclypsium и Золтан Хармас из Microsoft.
Наличие потенциальной уязвимости для DMA перед загрузкой может допустить неавторизованное выполнение кода UEFI при физическом доступе злоумышленника к внутренним компонентам компьютера. Эта общая для отрасли проблема подразумевает наличие у злоумышленника физического доступа к внутренним разъемам расширения компьютера с использованием специализированных аппаратных и программных инструментов, позволяющих изменить код UEFI в памяти.
ВЕРСИИ ПОДДЕРЖИВАЕМОГО ПО*: Перечислены ТОЛЬКО затронутые версии.
Список затрагиваемых продуктов см. в разделе «РЕШЕНИЕ ПРОБЛЕМ».
HP делает средства защиты BIOS доступными для профессиональных ПК на основе Intel, поддерживающих защиту Microsoft Windows 10 Kernel DMA, расширяя отраслевое стандартное решение по защите DMA перед загрузкой для противодействия атакам с использованием портов Thunderbolt на защиту от атак на внутренние разъемы PCI Express, расположенные внутри компьютера. Ниже приведен список платформ с исправленной проблемой и доступные обновления SoftPaq для BIOS.
После обновления BIOS необходимо настроить параметр Pre-boot DMA Protection (Защита DMA перед загрузкой), чтобы включить эту защиту.
Дополнительные сведения об устранении атак на DMA можно найти в техническом документе HP Устранение атак на Thunderbolt™ 3 DMA.
Клиентам, которые беспокоятся из-за возможности доступа злоумышленников к внутренним компонентам компьютера, когда злоумышленник получает физический доступ к внутренним компонентам компьютера, компания HP рекомендует внедрить надлежащие физические меры безопасности, чтобы злоумышленник не мог получить доступ, разобрать или модифицировать эти устройства. Несмотря на выпуск компанией HP обновления BIOS для устранения этой конкретной атаки с возможностью физического доступа к внутренним компонентам данных платформ, поддерживающих современную защиту от атак на DMA на основе IOMMU, следует помнить, что злоумышленник, имеющий физический доступ и возможность модифицировать оборудование, обеспечивает себе значительную площадь атаки, которая значительно превышает данную возможность атаки на DMA. По этой причине ограничение физического доступа к устройству рекомендуется даже в тех ситуациях, когда развернута защита BIOS.
Компания HP определила затрагиваемые платформы и соответствующие версии обновленных пакетов SoftPaq. Ниже приведены затрагиваемые платформы.
HP рекомендует поддерживать свою систему в актуальном состоянии, используя самое новое программное обеспечение, драйверы и микропрограммы.
Зарегистрируйтесь для получения Подписки HP и получайте следующие уведомления:
Несколько дней назад на Хабре публиковалась статья об исследовании ученых из университета Радбоуд, которые нашли уязвимость в системе шифрования данных некоторыми моделями SSD с аппаратной защитой. Так, используя специальные методы можно получить доступ к защищенным данным, причем пароль знать вовсе необязательно.
Для ОС Windows проблема оказалась наиболее актуальной, поскольку встроенная система шифрования Windows Bitlocker отключается, если ОС определяет SSD как имеющий аппаратную защиту. Фактически, пользователи, которые работают с SSD Сrucial и Samsung и не обновили прошивку своих накопителей, держат свои данные открытыми для злоумышленников. На днях корпорация Microsoft опубликовала информацию о методах защиты данных на SSD с аппаратной защитой в среде Windows.
Компания опубликовала статью, в которой рассказывается о том, что 1394 и Thunderbolt системы имеют активированную функцию Direct Memory Access (DMA). Ее необходимо выключать отдельно, по умолчанию она включена. Если защищенное системой BlitLocker устройство разлочено, ключ шифрования хранится в памяти компьютера. При желании злоумышленники могут подключить к уязвимому ПК специальным образом сконструированный девайс 1394 или Thubderbolt для поиска и кражи ключа шифрования.
Microsoft описывает несколько способов защиты от атак такого типа. Например, использовать функцию Kernel DMA Protection, доступную в Windows 10 1803. Для пользователей, у кого эта функция недоступна, Microsoft предлагает иные методы: «Для Windows 10 1803 и последующих версий, в случае поддержки системой функции Kernel DMA Protection, мы рекомендуем использовать эту возможность для снижения вероятности успешной атаки при помощи Thunderbolt DMA».
Эта функция блокирует подключенные устройства Thunderbolt 3 и не дает им доступа к функции Direct Memory Access до момента, пока не будут выполнен определенный набор процедур.
Когда Thunderbolt 3 устройство подключено к системе с активированной функцией Kernel DMA Protection, Windows проверит системные диски на предмет поддержки DMA-ремаппинга. Это функция, которая позволяет определенному участку изолированной памяти работать с устройство, использующимся для работы с операционной системой. Это позволяет избежать вторжения DMA-гаджетов в любые иные области памяти, крое заранее договоренных.
Если устройство поддерживает изоляцию памяти, Windows тут же даст команду устройству запустить DMA в изолированных участках памяти. Для устройств, чьи драйверы не поддерживают изоляцию памяти, доступ будет закрыть до тех пор, пока пользователь не войдет в систему или не разлочит экран.
Для тех же гаджетов, которые вообще не имеют поддержки DMA-ремапа, доступ к системе будет закрыт до тех пор, пока пользователь не залогинится или не разблокирует дисплей. Как только это сделано, Windows запустит специализированный драйвер и позволит гаджету активировать функцию DMA-доступа.
Kernel DMA Protection пока доступна для Windows 10 Build 1803, правда, необходима новое firmware для UEFI. Пользователи Windows могут узнать об этом методе защиты здесь. Если компьютер не поддерживает Kernel DMA Protection или же на нем установлена не самая новая версия Windows, корпорация Microsoft рекомендует деактивировать драйвер SBP-2 1394, а также отключить контроллеры thunderbolt в Windows
Стоит понимать, что если вы не работаете с устройствами Thunderbolt или 1394, то отключение контроллеров не даст ровно никакого эффекта. С другой стороны, те пользователи, у кого есть упомянутые выше типы устройств, могут, воспользовавшись советом компании, закрыть возможность осуществления такой атаки.
В Microsoft также заявляют о том, что если железо не соответствует Windows Engineering Guidance, то в нем, скорее всего выключены функции DMA и 1943 от Thunderolt. А это означает, что пиратские системы начинают работать сразу же при подключении к ПК.
защита DMA ядра(также известная как защита доступа к памяти) является компонентом Windows 10 защищенного ядра пк, который поддерживается на платформах Intel и AMD, начиная с Windows 10, версии 1803 и Windows 10, версия 1809.
С помощью этой функции ОС и встроенное по системы защищают систему от вредоносных и нежелательных атак с прямым доступом к памяти (DMA) для всех устройств с поддержкой DMA:
- В процессе загрузки.
- Для вредоносного прямого доступа устройств, подключенных к легко доступным внутреннимвнешним портам с поддержкой DMA, таким как M. 2 разъемы PCIe и молнией™ 3, во время выполнения операционной системы.
- Системное встроенное по должно защищаться от атак DMA с предварительной загрузкой путем реализации изоляции DMA для всех буферов ввода-вывода устройств с поддержкой DMA, предварительно Екситбутсервицес ().
- Системное встроенное по должно отключить бит включения шины (БМЕ) для всех корневых портов PCI, у которых нет дочерних устройств, необходимых для выполнения DMA между Екситбутсервицес () и драйвером устройства, который запускается операционной системой.
- В Екситбутсервицес () IOMMU должно быть восстановлено системным встроенным по в состоянии включения питания.
- Ни одно устройство не может выполнять DMA вне РМРР регионов (Intel) или блоков ИВМД (AMD) после Екситбутсервицес () до тех пор, пока соответствующие драйверы ОС не будут загружены и запущены службой PnP.
- Выполнение DMA вне РМРР регионов или блоков ИВМД после Екситбутсервицес () и до запуска драйвера устройства операционной системой приведет к сбою IOMMU и, возможно, проверке системных ошибок (0xE6).
- Системное встроенное по должно установить соответствующие флаги в таблицах ACPI, чтобы включить защиту DMA для ядра в ОС:
- Для платформ Intel системное встроенное по должно установить «DMA_CTRL_PLATFORM_OPT_IN_FLAG» в поле «флаги таблицы ДМАР» (технология виртуализации Intel для прямого ввода/вывода спецификации, редакция 2,5, раздел 8,1).
- Для платформ AMD системное встроенное по должно установить бит «Поддержка повторного преобразования DMA» в поле ИВРС Ивинфо (Спецификация AMD IOMMU 3,05, раздел 5.2.1).
- Определение внешних предоставляемых корневых портов PCIe.
- Определение внутренних портов PCIe, доступных пользователям и требующим защиты DMA.
- При каждой загрузке, в которой отключены IOMMU (VT-D или AMD-VI) или защита с помощью DMA ядра, будет отключена или настроена на более низкое состояние безопасности, платформа должна расширить событие EV_EFI_ACTION в PCR [7] перед включением DMA.
- Строка события должна быть «Защита DMA отключена». Встроенное по платформы должно регистрировать это измерение в журнале событий, используя строку «Защита DMA отключена» для данных событий.
проверка состояния защиты DMA ядра в Windows 10ной системе
Состояние защиты DMA ядра можно проверить на заданной системе одним из следующих способов.
использование приложения Сведения о системе:
- Запустите MSINFO32.exe.
- Проверьте поле «Защита режима DMA» на странице «Сводка системы».
использование приложения Безопасность Windows:
запустите Безопасность Windows приложение из меню Windows.
Щелкните значок «безопасность устройства».
Щелкните «сведения о изоляции ядра».
«Защита доступа к памяти» будет отображаться как доступная функция безопасности, если она включена.
Мать на nForce4 Ultra конфликтует с CDROM-ом Sony-Q30a. Проблема заключаеться в следующем: если включен DMA то CDROM не работает ни в Linux ни Windows. Windows проблема решается просто, отключаем DMA из диспечера устройст, в Linux приходиться каждый раз выполнять команду hdparm -d 0 /dev/hdc,после загрузки, но если во время загрузки в CDROM есть диск то все зависает. Как отключить DMA для CDROM на начально этапе загрузки. Копался в документации GRUB ничего особо не понял. Объясните на пальцах пожалуйста.
P.S Можно в BIOS отключить DMA, но для Linux это проблемы не решает видать потому, что он работает напрямую с устройствами. Не хотелось бы пересобирать ядро чтобы отключить эту функцию.
ну так запихни /sbin/hdparm -d 0 /dev/hdc в rc.local или rc.sysinit. А вообще попробуй сидиром подключить на другой канал, вообще пошамань немного =) А ядро с "enable DMA only for disks" — почему не пересобрать?
А куда именно надо вписать в rc.local rc.sysinit. Прошлый раз я так сделал вписал в начало файла rc.sysinit система перестла грузится, что-то там про XDM паник и ВСЕ. Не хотелось бы опять такого. Пересобрать ядро с enable DMA only for disks тоже вариант но хотелось бы как-то через GRUB сделать или ещё какой-нибудь вариант без пересборки ядра.
А вообще-то отключить при загрузке DMA можно через параметры ядра: ideN=nodma, где N=0, 1. . Это дело можно прописать в lilo.conf.
Да, лучше уточню. Значение nodma можно указывать непосредственно per drive. То есть, например, hdc=nodma. Если использовать ideN, то отрубится DMA и для master, и для slave, насколько я понимаю.
В Windows 10 версии 1803 (RS4) для защиты компьютера от DMA-атак при использовании устройств с возможностью горячей замены PCI, подключенных к портам Thunderbolt ™ 3, Microsoft представила новую функцию под названием Kernal DMA Protection; возможны DMA-атаки Привести к утечке конфиденциальной информации, хранящейся на ПК,
даже внедряет вредоносное ПО, позволяя злоумышленнику обойти экран блокировки или удаленно управлять компьютером.Эта функция не может быть защищена от DMA-атак через 1394 / FireWire, PCMCIA, CardBus, ExpressCard и т. Д.
Устройства PCI поддерживают DMA, что позволяет им читать и записывать системную память по желанию, не требуя участия системного процессора в этих операциях. Функция DMA делает устройства PCI самыми высокопроизводительными устройствами, доступными сегодня. Эти устройства исторически существовали только внутри корпуса ПК, либо подключены в виде карты, либо припаяны к материнской плате. Для доступа к этим устройствам пользователь должен выключить систему и снять корпус. Сегодня, с портом Thunderbolt ™ 3, не нужно так много хлопот.
Технология Thunderbolt ™ 3 обеспечивает беспрецедентную масштабируемость для современных персональных компьютеров. Он позволяет пользователям использовать те же возможности горячей замены, что и USB, для подключения новых периферийных устройств (например, видеокарт или других устройств PCI) к своим компьютерам. Внешний порт PCI с возможностью горячей замены и легкий доступ делают компьютер уязвимым для DMA-атак.
Атаки DMA — это атаки, которые происходят в отсутствие владельца системы. Обычно они занимают менее 10 минут. Они используют простые или умеренные инструменты атаки (недорогие, готовые к использованию аппаратное и программное обеспечение) без разборки ПК. Простым примером является владелец компьютера, который оставляет компьютер для быстрого перерыва на кофе. Во время перерыва злоумышленник вмешивается, вставляет USB-устройство, забирает все секреты на машине или внедряет вредоносное ПО, чтобы полностью управлять компьютером удаленно. .
Windows использует блок управления системной памятью ввода / вывода (IOMMU) для предотвращения запуска и выполнения DMA периферийными устройствами, если драйверы этих периферийных устройств не поддерживают изоляцию памяти (например, переназначение DMA). Периферийные устройства с совместимыми драйверами автоматически перечисляют, запускают и разрешают выполнение DMA в выделенной области памяти. По умолчанию периферийным устройствам с несовместимыми драйверами будет заблокирован запуск и выполнение DMA до тех пор, пока авторизованный пользователь не войдет в систему или не разблокирует экран.
Если периферийное устройство вставлено до того, как авторизованный пользователь войдет в систему, или когда экран заблокирован, периферийные устройства, несовместимые с сопоставлением DMA, будут заблокированы при запуске. После разблокировки системы драйвер периферийного устройства будет запущен операционной системой, и периферийное устройство будет продолжать нормально работать до тех пор, пока система не перезагрузится или периферийное устройство не будет отключено. Если пользователь заблокирует экран или выйдет из системы, периферийное устройство продолжит нормально работать.
Kernal DMA Protection требует новой поддержки прошивки UEFI. Эта поддержка применима только к недавно представленным системам на базе Intel и поставляется с Windows 10 версии 1803 (не для всех систем) и не требует безопасности на основе виртуализации (VBS).
Чтобы проверить, поддерживает ли система защиту ядра DMA, проверьте настольное приложение с системной информацией (MSINFO32). Системы, выпущенные до Windows 10 версии 1803, не поддерживают защиту ядра DMA, но они могут воспользоваться другими мерами предотвращения атак DMA, описанными в разделе «Контрмеры BitLocker».
Обратите внимание: защита Kernal DMA несовместима с другими средствами противодействия атакам BitLocker DMA. Если система поддерживает защиту ядра DMA, рекомендуется отключить меры противодействия атакам BitLocker DMA. Защита ядра DMA обеспечивает более высокий барьер безопасности для системы, чем средства противодействия атакам BitLocker DMA, обеспечивая при этом доступность внешних периферийных устройств.
Tips: How to check if Kernel DMA Protection is enabled?or more questions please refer such web.
Kernal DMA ProtectionUnselectable for kernel dma protection lenovo как отключить
Kernel DMA Protection is Off..
How can I make turn it ON.
Windows 10 1809 OS
- Edited by DurgaPrasad G Thursday, June 20, 2019 10:32 AM
All replies
We can try the following actions:
1. Reboot into BIOS settings
2. turn off Intel Virtualization Technology for I/O (VT-d) Or turn off Intel Virtualization Technology.Then reboot system and run MSINFO32.exe to see if Kernel DMA Protection is off.
Thanks for your time.
Best regards,
Simon RenPlease remember to mark the replies as answers if they help.
If you have feedback for TechNet Subscriber Support, contact tnmff@microsoft.com.- Proposed as answer by Jason Sandys [MSFT] MVP Thursday, June 20, 2019 2:15 PM
Hello Simon Ren,
Thanks for your reply.
We tried this but no luck.
Memory Integrity is ON and not able to make it Off. Tried the below to Trun Off but no luck.
First, the registry path that you’ve noted above is for HVCI and AppControl, not DMA protection, so flipping it’s value is completely unrelated to DMA protection. FOr details on DMA protections built into Win 10, see http://blog.win-fu.com/2017/02/the-true-story-of-windows-10-and-dma.html
Next, if your settings are UEFI locked, simply flipping a value in the registry is meaningless anyway.
Finally, none of this has to with ConfigMgr (the topic of this forum), so you really need to post in a Windows 10 or security forum.