Flash disky chráněné proti zapisu do firmwaru

[empleat]

Prodavaji s CR flash disky chranene proti zapisu do firmwaru? Nic se mi nevygooglilo... Pokud ne pripadne kde koupim? Nevim kolik stoji ne nejake zbytecne drahe!

Dik!

[Reklama]

[hknmtt]

asi hladas WORM ulozisko, nieco ako https://estore.flexxon.com/products/worm-usb-drive ? ak tym "firmware" mas na mysli ulozisko a nie fw priamo v hw ovladaci pametoveho zariadenia.

[Filip Jirsák]

Ony se prodávají flash disky, které mají nějaký firmware, do kterého se dá zapisovat?

[Jakub Štech]

Ano, prakticky všechno na trhu má přepisovatelný firmware (typicky přes standardní USB DFU režim). Existují praktické útoky (hledejte "BadUSB" pro pěkné shrnutí tématu). Ve flashkách jsou 8051 nebo nověji 32-bitová RISC jádra, dá se udělat cokoliv, od různých HID emulací až po sofistikovanější vykrádání paměti.

Je to důvod proč ve státní správě od důvěrného výše máme nařízeno používat konkrétní schválené nosiče – ty, které mají firmware v ROMce.

[_Jenda]

Ony se prodávají flash disky, které mají nějaký firmware, do kterého se dá zapisovat?

Například SD karty se prý dají téměř všechny flashovat pomocí speciálních utilit od výrobce. Nedivil bych se, kdyby to u flashdisků bylo podobné. Prošel jsem si prezentaci badUSB, tvrdí, že tohle udělali, ale neuvádí podrobnosti.

Tazatel: myslím že bude velmi složité takovou věc sehnat, a navíc ji odlišit od obyčejné flashky, na kterou někdo nalepil cedulku že je chráněná. Nemáš jak to auditovat, vždy může existovat utilita od výrobce, která to proprietárním příkazem přepne. Pokud nevadí nižší rychlost, můžeš zkusit mass storage nebo MTP emulovat na něčem co má USB OTG.

[Reklama]

[Jakub Štech]

SD karta má naštěstí omezené možnosti, jak se projevit negativně. USB flashka může přes HID spustit terminál, napsat pár powershell příkazů na vyhledání a zkopírování souborů, a pak tu část flashe může skrýt/deaktivovat.

[ondrej _]

Ony se prodávají flash disky, které mají nějaký firmware, do kterého se dá zapisovat?

No jasne, ze su. Predpokladam, ze autor to nemyslel uzivatelsky ppomocou nejakeho file manager ale asi mu islo modifikaciu firmwaru flash disku. Ak mas spravny nastroj, tak to ide. V minulosti som niekolko krat upravoval flashky. Dostal som sa k nastrojom par firiem a clovek vedel carovat s urcitymi druhmi USB flashiek. Vedel robit aj napriklad "cinske" velkobjemove flasky z fyzicky malych flashiek. Alebo slo menit ako USB disk hlasil do systemu.

Ak autorovi ide presne o toto, tak nieco take sme riesili davnejsie v byvalej firme. Riesili sme fiskalny modul do registracnej pokladnice. Ziaden WORM disk na trhu neslo zohnat. Sandisk mal vyvinutu WORM SD kartu pre potreby policie v Japonsku aby zaznam na nej slo pravne pouzit ale neslo sa k nej dostat. Okrem toho som v tej dobe na ine nenarazil.
Skoncili sme pri USB flashke ale nebola to nejaka klasicka flashka. Bola to flashka vyrobena na zakazku, ktora bola vytvorena pomocou nejakeho Atmelu,  2x 512kB pamete + program, ktory z toho robil USB flashu. Pre system sa to tvarilo ako klasicka flashka ale zapis nebol uplne klasicky(hlavne kvoli debilnym poziadavkam zakonu). Nejaky Cech nam to naprogramoval(neviem ako sa k nemu nasi sefovia dostali), navrhol sa plosak, kde bol ten Atmel, par pasivnych suciastok a tie pamete. Pajkovali sme si to sami a zalievali do hmoty. Boli to male serie a davat si to vyrabat by to len predrazilo a mohli sme si to dovolit aj ako mala firma. Za celu eru platnosti zakona sme ich vyrobili mozno tisic. Ten Atmel sa po nahrati programu islo zablokovat, ze uz neslo donho nic nahravat/menit mu program. Vdaka tomu nam to schvalili pouzit na uchovavanie dat z registracnej pokladnice.
Pouzivali sme ich v registracnych pokladniciach, kde sa pouzival embeded x86 HW. Strcil sa do USB, chvilu trvalo kym "nabootovalo" USB-cko, potom sa to v system objavilo ako klasicky USB disk a vybavene.
Bolo to ovela jednoduchsie riesenie ako mala konkurencia a super riesenie, kedze financna sprava v pripade potreby mala vediet nacitat data z nej. Mali sme dodat citacky a manual k nej. V nasom pripade ziadna citacka nebola potrebna, len manual, kde bola uveden struktura dat a to, ze po zasunuti do UB portu maju pockat, kym sa rozvieti LED kontrolka. Chlapci cucali.

Ta WORM USB flaska je super. To vtedy nebolo.

[Filip Jirsák]

No jasne, ze su. Predpokladam, ze autor to nemyslel uzivatelsky ppomocou nejakeho file manager ale asi mu islo modifikaciu firmwaru flash disku. Ak mas spravny nastroj, tak to ide. V minulosti som niekolko krat upravoval flashky. Dostal som sa k nastrojom par firiem a clovek vedel carovat s urcitymi druhmi USB flashiek. Vedel robit aj napriklad "cinske" velkobjemove flasky z fyzicky malych flashiek. Alebo slo menit ako USB disk hlasil do systemu.

Ak autorovi ide presne o toto, tak nieco take sme riesili davnejsie v byvalej firme. Riesili sme fiskalny modul do registracnej pokladnice. Ziaden WORM disk na trhu neslo zohnat. Sandisk mal vyvinutu WORM SD kartu pre potreby policie

To přece popisujete dvě různé věci. V prvním odstavci píšete o firmware, v druhém píšete o nemožnosti přepisu dat na úložišti, tedy to, co je normálně dostupné jako souborový systém v operačním systému. Přičemž WORM úložiště by potřebovalo speciální souborový systém (např. UDF), protože běžné souborové systémy přepisují minimálně metadata.

Každopádně všem díky za info, že i flash disky mají přepisovatelný firmware.

[ondrej _]

To přece popisujete dvě různé věci. V prvním odstavci píšete o firmware, v druhém píšete o nemožnosti přepisu dat na úložišti, tedy to, co je normálně dostupné jako souborový systém v operačním systému. Přičemž WORM úložiště by potřebovalo speciální souborový systém (např. UDF), protože běžné souborové systémy přepisují minimálně metadata.

Každopádně všem díky za info, že i flash disky mají přepisovatelný firmware.

Necital si pozorne. Pisem tam aj toto

Ten Atmel sa po nahrati programu islo zablokovat, ze uz neslo donho nic nahravat/menit mu program.

[_Jenda]

SD karta má naštěstí omezené možnosti, jak se projevit negativně. USB flashka může přes HID spustit terminál, napsat pár powershell příkazů na vyhledání a zkopírování souborů, a pak tu část flashe může skrýt/deaktivovat.

Otázka je jestli je správný přístup tohle řešit pomocí „bezpečné flashky“ (a doufat že to opravdu bude fungovat, a doufat že nikdy v životě nebudeš potřebovat jinou protože ti klient přinesl materiály na své a potřebuješ si je zkopírovat), a neměl by to řešit OS, třeba tím, že se řekne, že zadní USB porty jsou na všechna zařízení včetně HID (skutečná klávesnice a myš) a přední USB porty jsou jen na mass storage.

Boli to male serie a davat si to vyrabat by to len predrazilo

FYI dneska existuje JLCPCB s automatickou osazovací linkou za pakatel.

Na vaše použití by se dneska použil blockchain   Jinak něco podobného jsem měl na mysli když jsem tazateli psal, že jako možnost vidím si to postavit sám z něčeho co má USB. Na různé mikrokontroléry určitě najde hotový mass storage demo program, ale teda peklo bude udržet memory safety toho programu, což je typicky bare-metal C… Ale pokud se mu podaří zablokovat flashku proti dalšímu zápisu (některé MCU to asi umí), tak se takto nahraný malware neudrží přes odpojení napájení.

[ondrej _]

Boli to male serie a davat si to vyrabat by to len predrazilo

FYI dneska existuje JLCPCB s automatickou osazovací linkou za pakatel.

Na vaše použití by se dneska použil blockchain  

Nie nehodilo. Tu islo uchovavat to lokalne. Dnes namiesto toho mame eKasu(nieco podobne mate aj vy), kde sa posielaju vsetky doklady na financu spravu. Ale aj tu pri vypadku siete alebo nedostupnosti siete je potrebne uchovavat neodoslane data v takzvanom chranenom datovom ulozisku. Zase nieco na baze WORM ale inac zapojene a to nase riesenie uz tam neslo pouzit. Fest hovadina to je. U nas a zakony ohladom toho dost casto menia a to radikalne. K nicomu to nieje(leda tak k nabaleniu sa ludi dodavajucich systemy pre financu spravu) a zbytocne naklady pre podnikatelov.
Koto niekedy robil v danej oblasti vie, ze tu sa podvadz alen dvomi sposobmi.
1.Maly podnikatelia nevydavaju doklady
2.Vecsi optimalizuju vo vyssom systeme.
Na ani jeden z tychto sposobom nefunguje ziadna ochrana na urovni registracnej pokladnice. Clovek sa ale nedozvie kolko to cele stalo a stoji prevadzka a kolko realne usetrilo na znizeni podvodov. Preto, lebo by to bolo vysoko negativne na strane nakladov.

[_Jenda]

Já nějak nechápu před jakým podvodem má teda ten WORM systém chránit (ale ty to teda podle popisu taky nechápeš). Ještě kdyby to mělo hodiny tak bych to chápal, aby sis nemohl vymyslet historii v okamžiku kontroly. Ale jinak?

Jinak v ČR jsem potkal zajímavou odrbávku, obchodník vytiskne účtenku, a když vypadáte, že si ji berete, tak vám ji klidně i vytrhne z ruky, že si všiml že tam je něco špatně, a vytiskne vám jinou a tu vám dá. Nestihl jsem si všimnout, co bylo na té původní.

[ondrej _]

Já nějak nechápu před jakým podvodem má teda ten WORM systém chránit (ale ty to teda podle popisu taky nechápeš). Ještě kdyby to mělo hodiny tak bych to chápal, aby sis nemohl vymyslet historii v okamžiku kontroly. Ale jinak?

Jinak v ČR jsem potkal zajímavou odrbávku, obchodník vytiskne účtenku, a když vypadáte, že si ji berete, tak vám ji klidně i vytrhne z ruky, že si všiml že tam je něco špatně, a vytiskne vám jinou a tu vám dá. Nestihl jsem si všimnout, co bylo na té původní.

Ja to chapem velmi dobre ale danovy urad/financna sprava to nechape. Totalne nezmyselne zakony vymysleli, my sme sa im len prisposobovali aby sme dostali certifkat. Toto by bolo na dlhu debatu. Fakt nezmyselne veci, ktore k nicomi neboli vymyslaju.
Islo o to, ze do toho WORM modulu sa mali zaznamenavat denne uzavierky(plus este nejake menej podstatne udaje). Spolu s dalsim opatreniami mala byt moznost skontrolovat zurnal(prepocitat dennu trzbu) a porovnat, ci data sedia s uzavierkou ulozenou vo fiskalnom module. V reale to bol nevykonantelny predpis, lebo kazdy vyrobca si mohol vymysliet vlastny sposob ako to urobit(aj to tak bolo). Predstava, zeby to danovak vedel urobit bola nerealna. My sme mali najjednoduchsi system na tuto kontrolu ale aj tak to bolo zlozite. V reale to koncilo tym, ze sa maximalne tlacili kopie ucteniek zo zurnalu ale to bolo nanic, lebo to slo sfalsovat. V pripade nasledovnika eKasy(obodoba vaseho EET) uz to zmenili. Jednak umiestnenie toho WORM-u do celeho retazca a jednak , ze ten WORM je uz tam "len" pre offline stav, ked je nedostupny interent alebo je nedostupny system financje spravy. V reale ale to nieje ale ovela lepsie a skoncilo to rovnako a to zbytocnou zatazou pre obchodnikov.
K tomu tvojmu prikladu.
Tipujem, ze dany podnikatel ma moznost vylacit uctenku aj mimo EET a slo by na nej jednoducho zisit, ze je falosna. Na tej uctenke pravdepodobne nieco chybalo.