Dovrò utilizzare un token hardware, in particolare il SafeNet eToken 5110 fornito con i certificati EV di DigiCert, per la firma del codice su Windows.
So che emettono un messaggio per inserire manualmente la password del token ad ogni tentativo di firma (o in ogni sessione, se abiliti l'opzione di accesso singolo).
Mi chiedo:
Quanto sono sicuri i prompt di keylogging o altre tecniche di intercettazione della password?
E quindi quanto aumenterei la sicurezza riempiendo realmente quei prompt manualmente o automatizzandoli con metodi come quelli elencati qui ?
So che automatizzando il processo aumenterei la superficie di attacco, dal fatto che la password verrà probabilmente memorizzata su disco e sicuramente su varie posizioni di memoria aggiuntive, ma ho la sensazione che queste richieste di password software siano nondimeno per lo più "teatro della sicurezza", e che ci sono modi semplici per intercettare la password (e quindi averla inserita successivamente in modo programmatico da un programma malevolo) anche se digitata manualmente.
Qui presumo che il computer su cui verrà utilizzato il token sarà un sistema Windows 10 aggiornato ragionevolmente rafforzato, quindi almeno sicuramente non verrà eseguito con un account amministrativo. Certamente non sarà completamente isolato anche se (in un modo o nell'altro dovrò passare i file da firmare al sistema).
Modifica
Mi sono reso conto che questa descrizione dell'ambiente potrebbe essere troppo vaga, se per il momento è questo il problema, possiamo supporre invece una nuova installazione di Windows 10, in esecuzione su un account limitato, con password decenti e l'account dell'amministratore, connesso a Internet tramite una lan e diciamo anche aderito a un dominio.
Il resto della lan non è da considerarsi veramente sicuro.
Aggiungiamo solo che le opzioni di privacy di Windows sono state impostate per negare, solo per eliminare la possibilità che Windows invii la password ai suoi server per "migliorare la digitazione", il che non mi sorprenderebbe troppo.
Non sono preoccupato per gli attacchi fisici qui.
Ho trovato la politica di sicurezza FIPS 140 di eToken 5110 . Ho dato una rapida occhiata ma non ne ho ricavato molto, non sembra riguardare la parte della password dalla sua digitazione a quando viene inviata al dispositivo.
Penso (ma non sono sicuro al 100%) che sia un CCID USB dispositivo e che utilizza i Driver Microsoft Class per USB CCID Smart card , e questo implica che l'immissione della password è gestita principalmente dal sistema operativo, piuttosto che dal codice del venditore (ma di nuovo non sicuro al 100%).