Wojciech Bancer <w...@g...com> writes:

> A, mówisz o tych kluczach, generowanych sprzętowo, do których trzeba
> podać komponent użytkownika (np. pin) aby potwierdzić autentyczność,
> ale do których nawet system nie ma dostępu? No do Secure Enclave (iOS)
> jest póki co znany jeden exploit, na procki starsze niż A12, ale wymaga
> fizycznego dostępu do urządzenia.
>
> Podobny mechanizm ma oczywiście android i jak masz nowe urządzenie,
> to jest spora szansa że tam takie rzeczy siedzą. Tu również tych
> exploitów specjalnie za dużo nie ma.

Pytanie tylko, czy bankowe apki mogą z tego korzystać, i czy korzystają?

BTW nie mam zaufania do kluczy "generowanych sprzętowo" (bez dokładnego
wyjaśnienia i możliwości weryfikacji co to oznacza). Zdecydowanie
korzystniejsze wydają mi się klucze, które można wygenerować dowolnym
sposobem, a następnie umieszcza się je w takiej czarnej skrzynce,
i tylko nie można ich (łatwo) stamtąd wyciągnąć. Jakoś przeżyje ten
moment, w którym klucze są w zwykłej pamięci RAM, i to, że można mieć
ich backup.

Podobnie nie wierzę w bezpieczeństwo szyfrowania w wielu aplikacjach -
np. ostatnio, konferencyjnych, w sytuacji, gdy nie mam żadnej kontroli
nad używanymi kluczami (są ściągane z serwera usługodawcy) itd.

> Oczywiście że nie, ale to diametralnie inna sytuacja.
> Po pierwsze malware bazuje na tym, że go uruchamiasz (socjotechnika),
> najczęściej z kontekstu usera administracyjnego (pod windows
> standardowe) i że przyklepiesz podniesienie uprawnień.
> "samo się" to nic się nie zainstaluje.

Z tym, że wiele razy właśnie "samo" się instalowało. Wykorzystując błędy
w przeglądarce czy w innym flashu. Np. demonstrowano wyciąganie danych
innych procesów (lub kernela) z RAMu przy użyciu JS w przeglądarce.
Problemy sprzętowe są trudne do załatania, zwłaszcza w telefonach, gdzie
każdy procent np. mocy obliczeniowej CPU jest istotny.

> Po drugie Windows nie odpala aplikacji w sandboxie,
> a iOS/Android i owszem, a w tym sandboksie użytkownik
> nie ma prawa dać aplikacji uprawnienia root.

Tak piszesz, jakby nie można było uzyskać roota w żadnym takim
przypadku.

Stare powiedzenie mówi, że jeśli ktoś (człowiek) uzyska dostęp lokalny
do czegokolwiek, to uzyska też prawa roota. Owszem, może się zdarzyć, że
to w danym przypadku będzie niemożliwe. Ale chodzi o to, by w każdym
przypadku było to niemożliwe, albo przynajmniej niepraktyczne.

> Więc jeśli chcesz wykorzystywać exploity by sobie zrootować
> urządzenie (do tego jeszcze zdalnie), to wersja systemu jak
> najbardziej się liczy, bo te dziury są łatane dość na bieżąco
> i nawet konkretna podwersja robi różnicę.

Ale wersja systemu jest ostatnia. Ostatnia wspierana. Wszędzie
w praktyce jednakowa.

Np. 4.1.2. I co wtedy?
No bo chyba nie myślisz, że mało ludzi takich używa?

Ja wiem, że można wyprodukować token, który będzie wystarczająco
bezpieczny. Zupełnie nie o to chodzi.
--
Krzysztof Hałasa