Názory k článku
Kraken identifikoval kritické chyby v HW peněženkách Trezor

Bude to patchovatelné ve firmware?

tam je všeličo opraviteľné

Intel Quietly Released A Redistributable, Lightweight ME "Ignition Firmware" Binary
on 2 February 2020 at 08:03 AM EST.

Intel quietly released an "ignition firmware" for the Management Engine (ME) on their Cascade Lake platform that is also their first ME firmware release to be under a license permitting redistribution.

As for the "ignition" part of the ME firmware, this variant is intended for lightweight chipset initialization and goes without many traditional ME features, but means just a ~0.5MB binary blob rather than around 3MB.
https://www.phoronix.com/scan.php?page=news_item&px=Intel-ME-CXL-Ignition-Firmware

Vcelku sa pýtame, keď je možne z Intel ME odstrániť 83,5-85% kódu iME a CPU stále ide, čo to bol za kód, čo ide teraz odstrániť a pôvodne nešiel?

Čo to breptáš?
V Trezoru není žádný procesor od Intelu a obzvláště ne x86. Je tam Cortex M3/4 od ST Microelectronics.

On tyhle posty rozhazuje pod vše o AMD/Intel a potom ještě pod další náhodné články na základě volných asociací... A nejen tady.

The attack takes advantage of inherent flaws within the microcontroller used in the Trezor wallets. This unfortunately means that it is difficult for the Trezor team to do anything about this vulnerability without a hardware redesign.

teda by som povedal ze skôr nie

https://blog.trezor.io/our-response-to-the-read-protection-downgrade-attack-28d23f8949c6

Takže stačí krom pinu zadat heslo (passphrase) a chybu nelze zneužít?

Nesnáz těchto zařízení (i software) je, že nelze bezpečně prokázat, že v nich není žádná díra. Lze prokazovat, že něco existuje (bezpečnostní riziko), ale vyloučit nelze nikdy. Může se jen vyvíjet úsilí k hledání chyb. Tady vidím kámen úrazu, protože komu můžeme věřit jestli, a jak důkladně chyby v návrhu hledal? Státní agentury docela pravděpodobně podobné slabiny hledají, ale není v jejich zájmu o nich informovat. Kdo další má zájem a rozpočet je hledat i zveřejňovat? Sem tam někdo, ale rozhodně ne průběžně a systematicky.

Hezky je to vidět na zařízeních pro odemykání telefonů. Na světě existují jednotky firem, které na to peníze seženou (nechají si zaplatit, často i od vlád) a často se jim to podaří.

Myslím si, že nové generace lidstva se budou muset naučit odlišovat opravdu citlivé informace od méně citlivých. Citlivé informace bude potřeba chránit kombinací metod (heslo, 2FA, fyzická bezpečnost), ty méně citlivé pak vkládat do podobných peněženek a počítat s tím, že jejich ochrana je jen omezená. Za poslední staletí si lidstvo zvyklo na papírové peníze, na bezhotovostní platební styk. Museli jsme se naučit, že bankovky se mohou zničit a potřebují více péče než zlaťáky. Museli jsme se naučit, že na příkaz k úhradě musíme napsat správné číslo příjemce, jinak peníze dostane někdo jiný a nemusíme je získat zpět. Proč bychom si nezvykli i na nové myšlení v této oblasti?

Správa citlivých údajů je dnes v neutěšeném stavu. Systémy historicky vyžadovaly nesmyslně složitou ochranu na nedůležité služby, zatímco na důležité už nebyla prakticky zesílena. Je samozřejmě méně důležité chránit informace o mém účtu, o mnoho důležitější je zabránit dispozici s ním. Díky tomu dnes, když se chci v bance podívat na zůstatek, dost často zadávám stejné údaje, jako když podepisuji příkaz (některé banky to mají lépe). To dává případným útočníkům daleko větší prostor na hledání slabin.

Ten "problém" je i u krypto-algoritmů samotných. Myslím že v podstatě u všech, kromě nějakých velmi nepraktických.

Třeba one-time pad je 100% bezpečný, tedy za "drobného" předpokladu že použitý náhodný generátor je nepředvídatelný a že z klíče nic neunikne, apod. Tohle zrovna je i relativně jednoduché dokázat.

"Státní agentury docela pravděpodobně podobné slabiny hledají, ale není v jejich zájmu o nich informovat"

Pokud je vas default mindset "stat je nepritel" pak vas to trvale negativne ovlivnuje. Nepochybuji o tom ze nektere statni agentury uz nekdy nejake slabiny hledaly, nasly a zneuzily, ale negeneralizoval bych to. Pokud se stat zacina chovat jako mafie, tak je treba se snazit o zmenu a ne si nastavit mindset na "Stat=Mafie".

Nepochybuji o tom ze nektere statni agentury uz nekdy nejake slabiny hledaly, nasly a zneuzily, ale negeneralizoval bych to. Pokud se stat zacina chovat jako mafie, tak je treba se snazit o zmenu a ne si nastavit mindset na "Stat=Mafie".

To podle mě není žádné mafiánské chování od státu. Stát má teoretickou možnost dívat se na Váš bankovní účet, sledovat telefony, pohyb. Má právo při vyšetřování využívat všechny zákonné prostředky, a k nim patří i odposlechy, sledování a má právo i částečnou povinnost aktivitu nezveřejňovat. Viz aktuální kauza o sledování vozidel a osob přes mýtné brány. Takže je nezbytné k tomu tak přistupovat.

Stát od mafie odlišuje jediná věc - a to kontrola nad jeho chováním. Ani ta však není veřejná, náleží Parlamentu ČR. Jeho nezávislost je zajištěná volbami (funguje v dlouhodobém měřítku, krátkodobě to může selhat).

Příkladů z historie i současnosti můžete najít spoustu. Namátkou z IIWW - bombardování města Coventry. Ze současnosti - výkupné za Čechy unesené v Pakistánu.

Osobně nemám s rozumnými zásahy státu do soukromí jednotlivce problém. Jsem rád, že mohu žít ve vyspělé zemi a přijímám to jako daň za blahobyt. Nebojím se, že by stát na mě něco našel a nemám pocit, že sleduje každou stokorunu, kterou zdaním špatně. Co je potřeba sledovat je ta hranice, kde se stát dobrovolně drží stranou, aby zůstala zachována svoboda pro všechny. (Snad tu nikdo nevytáhne svinstva československého socialismu - ten se odlišoval tím, že sice stejně tak vyžadoval kázeň, ale zároveň sebral možnost svobodně volit i odejít jinam).