Quando scarichiamo un file ISO o qualsiasi file, possiamo cancellarlo per assicurarci che il file scaricato non sia stato temperato, l'integrità di quel file è preservata.
Ma quando acquisto un dispositivo hardware (monitor, HDD, tastiera, ecc.) dal mercato, come posso essere sicuro che non sia stato manomesso dal rivenditore o da qualsiasi dipendente malintenzionato del produttore?
Come possiamo garantire l'integrità del dispositivo hardware che sto acquistando?
Il mondo dell'hardware crittografico certificato FIPS 140-2 ha requisiti simili ai livelli 2 e 3
Dispositivi certificati per FIPS 140-2 livello 2 è necessario "mostrare evidenza di manomissione", che di solito si ottiene inserendo adesivi simili ai comuni adesivi "Garanzia-annullati se rimossi" sopra i fori delle viti e le cuciture, ma la versione FIPS 140-2 di questi adesivi è numerata in serie e come fare esplodere l'inchiostro e cambiare i colori quando li rimuovi. Non sono affatto infallibili e possono essere rimossi con molta abilità e pazienza.
Dispositivi certificati per FIPS 140-2 Livello 3 è necessario avere "enclosure resistenti e circuiteria di rilevazione / risposta antimanomissione che azzeri tutte le [chiavi crittografiche] quando vengono aperti i coperchi / le porte rimovibili della [periferica]".
Si tende a vederlo su server di fascia alta destinati a eseguire la crittografia (ad esempio HSM ) che vengono eseguiti in $ 1.000 - Gamma $ 10.000 USD. Non ho mai sentito parlare di questo tipo di manomissione / resistenza alla manomissione su dispositivi di consumo come HDD e tastiere, ma suppongo che potrebbe esistere se c'è un mercato per questo?
Probabilmente ben oltre lo scopo della tua domanda, ma mi ricorda il campo di studio intorno a Funzioni fisicamente non risolvibili (PUF) - sono essenzialmente funzioni hash hardware nel senso che daranno sempre lo stesso output allo stesso input, ma il loro comportamento è molto difficile da caratterizzare o duplicare. Questi sono in genere cristalli complessi in cui si misura il percorso ottico di un laser o complessi circuiti elettrici in cui si misura la latenza e la resistenza precise dai pin di input ai pin di uscita. Sono principalmente utilizzati per l'unicità - ogni dispositivo ha un'impronta digitale unica - ma rispondono anche alla tua domanda che la loro firma cambierà dopo la fusione fisica (ho sentito parlare di PUF incorporate nelle custodie dei dispositivi per rilevare se il sigillo è stato rotto, per esempio).
Ora, stai chiedendo se questo può essere fatto con parti di computer di grado consumer arbitrario, ad esempio un disco rigido Western Digital.
** Qui inizia la speculazione selvaggia: ** Se puoi prendere un circuito esistente e caratterizzarne la latenza e la resistenza come PUF, o se avresti bisogno di costruire un PUF nel circuito che faccio lo so, non sono abbastanza esperto di PUF. In ogni caso, perché funzioni, presumo che il produttore debba mettere ogni dispositivo su una macchina ad altissima precisione mentre esce dalla catena di montaggio, pubblicare i risultati. Quindi è necessario acquistare la stessa macchina di prova, testare il nuovo disco rigido e confrontare i risultati con i risultati pubblicati per il numero di serie del dispositivo. Non è possibile costruire il dispositivo di test nell'HDD (o spedirlo nella stessa scatola) perché l'autore dell'attacco potrebbe riprogrammarlo per visualizzare sempre il risultato corretto.
Bottom-line: Non ho mai sentito parlare del tipo di resistenza alla manomissione di cui stai parlando per dispositivi consumer. In teoria è possibile, ma probabilmente aumenterebbe significativamente il costo del dispositivo.
Una ragionevole via di mezzo per il dilettante stilo-lamina-hattist è comprare solo elettronica di persona dagli scaffali di negozi di grandi dimensioni rispettabili e mai ordinarli online dove verranno spediti in tutto il paese (e forse oltre i confini internazionali) con il tuo nome sulla scatola.