Vzdálené odemykání LUKS partitiony a bezpečnostní rizika

Jenda

Re:Vzdálené odemykání LUKS partitiony a bezpečnostní rizika
« Odpověď #30 kdy: 08. 08. 2016, 21:45:04 »
Takže. Zákazník nemá do raspi přístup. Má ho sice u sebe, ale žádného uživatele na raspi nemá.
Takže vyndám SD kartu a přidám si do /etc/passwd svého uživatele, ideálně s právy roota?

Riziko co mne napada:
  - pokud ma zakaznik plnou kontrolu nad systemem, muze si vlozit do odemceneho LUKS svuj vlastni klic (ted z hlavy nevim zda je to treba pri uz otevrenem LUKSu autorizovat existujicim klicem nebo heslem)

"dmsetup table --show" ti ochotně ukáže klíče.

Chceš chránit kód aplikace? Tak ji hlavně nepiš v pythonu!
Dropbox má nějaký obfuskovaný Python, ale nerozumím tomu jak to dělají.

Pokud je premisa, že to má být odolné jenom proti normálnímu laikovi, tak se dají udělat i všelijaké levné skopičiny simulující hw klíč - třeba licenční soubor rozšifrovávat pomocí sériového čísla libovolného donglu (klidně pidi bluetooth dongle za pár kaček).

No což o to, nějakou jednoduchou challenge-response kryptografii by snad zvládla i AtTiny za 30 Kč a když se nastaví fuses, tak dostat to z toho je pěkná pakárna (typicky je potřeba čip rozpouzdřit a přímo na křemíku bity fyzicky nebo UVčkem flipnout). Ale pořád to má v Pythonu, takže si ten dešifrovaný kód stačí prostě zkopírovat.

Podle mě to předplacení na rok a používání potom bude eliminováno tím, že v EET budou furt dělat nějaké změny, takže zákazníkovi bude stará ukradená verze k ničemu.

nebo teď modernějšího "platba za pronájem remote sw" (jak psal RDa)

Tak takovou věc si celej žhavej běžím koupit. Abych nebyl závislý jenom na funkčnosti internetu a babišových serverů, ale ještě k tomu na nějakém startupu co řeší lamácké dotazy na rootu a doufal, že to nepoloží…


Re:Vzdálené odemykání LUKS partitiony a bezpečnostní rizika
« Odpověď #31 kdy: 08. 08. 2016, 22:32:03 »
Dropbox má nějaký obfuskovaný Python, ale nerozumím tomu jak to dělají.
Obfuskátory na Python existují, stačí zagooglovat. Ale Python je prostě jeden z jazyků, které nejsou na utajovaný kód moc vhodné :)

No což o to, nějakou jednoduchou challenge-response kryptografii by snad zvládla i AtTiny za 30 Kč a když se nastaví fuses, tak dostat to z toho je pěkná pakárna (typicky je potřeba čip rozpouzdřit a přímo na křemíku bity fyzicky nebo UVčkem flipnout).
Jo, s ATtiny se dá udělat ledasco, i OTP :) Ale za tu cenu donglu z Číny to ve stejné estetické kvalitě nevyrobíš a efekt je stejnej - odradit laiky. Takže jestli je tam challenge response nebo jenom přečteš statický kód, je úplně jedno.

Podle mě to předplacení na rok a používání potom bude eliminováno tím, že v EET budou furt dělat nějaké změny, takže zákazníkovi bude stará ukradená verze k ničemu.
Taky si myslím. Ale OP zřejmě není tím, kdo by cenovou politiku tvořil... To už je úděl nás smrtelníků, nějak vyřešit nevhodná zadání ;)

Tak takovou věc si celej žhavej běžím koupit. Abych nebyl závislý jenom na funkčnosti internetu a babišových serverů, ale ještě k tomu na nějakém startupu co řeší lamácké dotazy na rootu a doufal, že to nepoloží…
Když budou v EET "furt dělat nějaké změny", tak jsi úplně stejně závislý na tom, jestli to položí nebo ne.

Re:Vzdálené odemykání LUKS partitiony a bezpečnostní rizika
« Odpověď #32 kdy: 10. 08. 2016, 16:14:06 »
Ještě mě napadlo, co kdybych místo rpi použil něco, co má vnitřní paměť? Tudíž by aspoň nešlo sdčko dát jinam a nedostali by se pod jakéhokoliv usera.

JardaP .

  • *****
  • 11 064
    • Zobrazit profil
    • E-mail
Re:Vzdálené odemykání LUKS partitiony a bezpečnostní rizika
« Odpověď #33 kdy: 10. 08. 2016, 18:30:34 »
@Darkhunter: Na Olimexech je nejaka NAND pamet. Udajne se nejakym lidem podarilo dostat na to Linux. Ja osobne jsem byl rad, ze se mi podarilo vygooglovat alespon jakousi funkcni image pro SD, protoze soudruzi z Olimexu jsou paka a nejsou schopni dodat funkcni minimalni obraz, ale pouze nefunkcni maximalni obraz a to pouze pro SD, ne pro NAND.

Jenda

Re:Vzdálené odemykání LUKS partitiony a bezpečnostní rizika
« Odpověď #34 kdy: 10. 08. 2016, 22:25:00 »
Ještě mě napadlo, co kdybych místo rpi použil něco, co má vnitřní paměť? Tudíž by aspoň nešlo sdčko dát jinam a nedostali by se pod jakéhokoliv usera.
neBGA NANDku jsem takhle dal bez přípravy přes noc. Odpájet, udělat breakout, připojit k MCU, přečíst (, zapsat, vrátit). Ale jo, lepší než SDčko.