Il software può essere controllato, esiste un equivalente per l'hardware?

7

Nel software, il controllo del codice può essere usato come mezzo per guadagnare fiducia in un software. Ovviamente chiuso, il software proprietario potrebbe complicarlo e richiedere il reverse engineering. Ad ogni modo sembra che ci sia un modo per il software di eliminare la sfiducia in qualche modo.

Gli eventi recenti hanno dimostrato ancora una volta che i componenti hardware nei computer sono diventati un potente vettore di attacco. In effetti, l'attacco DMA è problematico e può trovarsi all'interno dei seguenti componenti hardware: dischi rigidi e unità SSD, PCI, dispositivi USB quando possono compromettere il controller host USB. Ovviamente le CPU stesse e i microcontrollori laterali, ad es. Intel vPro / AMT / ME può anche essere backdoor (da un progetto di prospettiva IC).

A patto che la tecnologia utilizzata nella produzione del CI sembri dubbia che si possa "guardare nell'hardware" in un modo che corrisponda al controllo del codice e, o quanto meno al reverse engineering del software.

Esistono alcune best practice sviluppate per controllare l'hardware in parte contro backdoor dannosi?

Il modo attuale che ho trovato per mitigare il rischio dell'hardware è quello di connetterli con componenti di airgaping o configurarli con jumpers hardware, fornendo quindi una sorta di isolamento. Ovviamente questo è esattamente l'opposto di ciò per cui sono concepiti un circuito integrato o un SoC (System on Chip).

    
posta humanityANDpeace 29.03.2015 - 15:12
fonte

2 risposte

1

Il controllo del software è più semplice poiché il codice viene principalmente eseguito su piattaforme standard, mentre HW ha almeno due componenti: SW (firmware) e componenti elettronici, che a volte sono proprietari e soggetti a leggi sui brevetti.

Reverse engineering di un firmware HW è anche possibile, tuttavia è necessario comprendere a fondo come funzionano i componenti elettronici e che tipo di vulnerabilità hanno (o potrebbero avere) da un componente e da un'intera prospettiva di sistema.

CC - Common Criteria risolve questo problema garantendo che una soluzione (HW e SW) offra ciò che è supposto (dal punto di vista della sicurezza). Hanno persino un livello di classificazione per la sicurezza. Tuttavia, il fornitore deve menzionare esplicitamente quali vulnerabilità hanno la protezione in atto.

    
risposta data 11.08.2015 - 15:46
fonte
1

Nel talk Mungitura della Digital Cash Cow , il relatore discute le differenze tra la crittoanalisi software e hardware a partire da circa 9 minuti nel prezo - link

È interessante pensare che gli attacchi side-channel basati su hardware possano essere applicati anche al software, ma è ancora più interessante pensare che le tecniche classiche di fagliatura del software possano funzionare anche sull'hardware.

    
risposta data 10.09.2015 - 19:29
fonte

Leggi altre domande sui tag