Názory k článku Postřehy z bezpečnosti: krádež dat pomocí „mluvících pixelů“

Ten únik skrz kondenzatory monitoru mi trochu připomíná ten vtip s jedem proti komárům. Komára chytíme mezi prsty a do jeho sosáku vložíme jed a on umře. No a nebo, když už ho držíme v prstech, tak ho mohu rozmáčknout.

Tady by se nabízelo k přenosu použít svetlo a kameru a podle mne by to šlo i na větší vzdálenost. Ale zase je to sektorove vysílání

Kamera je napadnejsi - ma-li neco zaznamenat, odposlechovy mikrofon se vcelku logicky schova jednoduseji.

Zase můžeš odchytit data pokud monitor je vidět v okně, tak jako špion můžeš být v protějším baráku

U LCD to moc nefunguje. Jas se s textem nemeni tak moc. Drive to ale fungovalo s CRT obrazovkou, kde se obraz vykresluje po pixelu a slo to. Pry :)

A paranoik by z doporuceni "nepouzivejte LCD" mohl odvodit, ze podprahove nekdo touzi po navratu k CRT ;-)

Zkusim ti pro zajimavost popsat prostredi ve kterem jsme generovali klice na offline hsm. Podzemni bunkr kde projdes nejprve kontrolou ostrahy 3 lidi (24/7), neproneses nic krome obleceni, tvuj prichod musi byt hlasen tyden predem. Mistnost s hsm ma rozmery 3x3m, zadna okna, zadne otvory krome mantrap kterym projde jenom jeden clovek, vse odizolovane (olovene zdi ve kterych byla pak postavena mistnost). V mistnosti muze byt soucasne jenom jeden clovek (mantrap, kamery, alarm, procesy). Pokusis se jit pres mantrap s kolegou? Alarm a jste vykazani z mista, probehne vysetrovani a mozna te tam znovu pusti. Spise ne. Jednalo se o komercni firmu, zadnou armadu…

Jako jo, krásnej typ útoku s tím monitorem, ale v praxi ho podle mě nikdo nepoužije. Když vidím, na co jsou schopni lidi naletět, tak tohle je mrhání inteligenčním potenciálem útočníka. Kolikrát se oběti stačí jen zeptat na heslo (jo, nadsázka, ale v daném kontextu ne až tak moc velká).

Jenomze po vyzrazeni hesla muze treba dojit k jeho zmene. Jsou mista a systemy kde i kdyz se zeptas na to heslo a nekdo ti ho rekne tak je ti to k nicemu protoze potrebujes treba heslo dalsich 4 lidi. V minulosti jsme generovali sifrovaci klice na offline hsm, k tomu aby proces probehl bylo zapotrebi 5 lidi, v danem okamziku mohl byt v mistnosti jenom jeden clovek, atd. Vyexportovat neexportovatelne klice z tohodle ti znalosti hesla jednoho cloveka nepomuze.

Asi chodím po špatných firmách, protože nikde mantrap ani izolovanou místnost nemají.
Nejtěžší část sociálního hackingu se ukázala (pro české prostředí) překážka tykání/vykání vytipovaného IT pracovníka s cílem útoku. Proto jsme raději při průzkumu upřednostili ty, kteří s dotyčným byli ve styku na FCB/Diskchord, pak už to byla docela brnkačka i OTP 2FA :-)

Pokud chce mit firma proverku na tajne, pak takovy prostor musi mit - ze zakona.

Nicméně předpokládám, že to, jestli tu ostrahu nezajišťuje agentura, která strážným platí minimální mzdu, se neřeší... ostatně jako vždycky :-)

Cca deset let dozadu mel na vicemene tohle tema na ETH prednasku Adi Shamir (mj. to "S"-ko z RSA). Nemuzu to ted nikde najit, ale casove by to sedelo na vysledky co jsou v https://dl.acm.org/doi/10.1145/2851486 . Dle toho clanku to zjevne taky zajima NATO / NSA ( https://en.wikipedia.org/wiki/Tempest_(codename) ). A teda jak Shamir (Weizman Institute) tak tihle z Ben Gurion Uni jsou Izraelci, takze si muzeme pekne zafabulovat o jejich motivaci (myslim ze modelova situace, co na tom seminari tehdy zminoval, byla, ze "cinknout" dodavku hardware do jinak offline kancelare neni takovy problem, ale jak pak z toho cist ta chtena data?)

Kdyz uz si tak konspiruji / fabuluji, tak ja si porad nejsem jisty, jestli Shamirova motivace k precteni vseho, co leaknul Snowden, tkvela ciste v tom, zda tam objevi stopy o prolamovani RSA jinak, nez hrubou silou; viz. jiny Shamiruv talk na ETH z doby ~10let dozadu ( https://av.tib.eu/media/37025 ). FWIW, rikal tehdy, ze nic nenasel :-)

16. 9. 2024, 21:01 editováno autorem komentáře

Ajťák u psychiatra.
Pane doktore, povídám si s mím počítačem.
Jak si povídáte?
No mluvím na monitor. Je to normální?
Ano, pokud Vám neodpovídá.

:-D

Nechci kazit vtip, ale zrovna v datacentru, v uniformním hluku klimatizací, nejlépe po dvou nočních ten monitor občas i odpovídá i zdravému ajťákovi.

Multimodal ganzfeld effect se tomu tuším říká, a zdravému jedinci se stačí jít vyspat.