| |
 Выбор процессора для u-PC, По мотивам "Патента для нового ..." |
|
|
|
|
 Nov 22 2009, 20:36
|
Помогу, чем смогу
Группа: Админы
Сообщений: 2 786
Регистрация: 28-05-04
Из: Москва
Пользователь №: 25
|
Коллеги! Вторая попытка завести тему, в которой будут обсуждаться только технические вопросы. Начало обсуждения здесьБыли предложения S3C6410, потом i.MX51. Заданы вопросы относительно защиты, на которые пока не найдены ответы. У меня была идея попробовать решать задачу защиты простым способом и без помощи производителя процессора. 1. Применяю шифрование для флэш или ее важной части 2. В зашифрованной части храню ключ и несколько резервных ключей 3. Каждое изделие снабжаю уникальным серийным номером, например с помощью DS28CN01 4. При заливке и тестировании устройств запоминаю в базе данных сформированные ключи и резервы в соответствии с серийным номером. Ключи создаю специально разработанным аналоговым методом (который также можно патентовать  ), что позволяет получить их уникальность даже при огромной серии. Джитаг не вывожу. Консольный порт секречу: контактные точки разбросаны, вывод по-умолчанию отключен, пока не задано сочетание сигналов на вспомогательных контактах. Если u-PC потерян или украден, то разборка его на детали сразу не дает результатов: во-первых нужно демонтировать БГА и попробовать считать зашифрованную часть, во-вторых вкрытие одного u-PC не рушит всю инфраструктуру, так как эти ключи подходят только для этого компьютера. Эти ключи можно заблокировать также, как и кредитную карту при утере.
--------------------
|
|
|
|
|
|
|
 |
Ответов
|
|
Nov 25 2009, 19:56
|
Помогу, чем смогу
Группа: Админы
Сообщений: 2 786
Регистрация: 28-05-04
Из: Москва
Пользователь №: 25
|
Цитата Как один диск или как раздельные диски? Дисков в любом случае придется делать несколько. Один как минимум для системы, второй для драйверов и приложений для различных ОС (MacOS, Windows, Linux), когда машинка при первом подключении прикидывается флэшкой. И еще, было бы классно, если получится учесть особенности оборудования при использовании на uPC двух вариантов ОС: Windows Mobile и Linux. А может и Android... Дело в том, что привлеченные спецы на месте не сидят, нарыли ряд интересных (пока на их взгляд) вариантов применения. Один из вариантов: Скайп-машинка с Wi-Fi на борту. Я пока не принял их доводы, почему стоит урезать возможности микрокомпьютера до одного приложения, но они еще не все сказали.
--------------------
|
|
|
|
|
|
|
|
Nov 26 2009, 22:19
|
Участник
Группа: Участник
Сообщений: 17
Регистрация: 19-11-09
Пользователь №: 53 740
|
Я что-то пропустил видимо, так как появился какой-то сервер, для которого будут делать клоны. Это что такое? Это система инициализации токена? Я правильно понял, что система разграничения прав доступа не может быть реализована с гарантированной надежностью, как в смарт-картах? Тогда остается единственный путь – полное шифрование с пре-бут аутентификацией. Атака на алгоритм бессмысленна, если использовать открытые AES, «рыбы» или ГОСТ 28147—89 (последнее полезно при сертификации) Отечественная открытая пре-бут шифровалка: http://diskcryptor.net/index.php/Main_PageЗарубежный аналог: http://www.truecrypt.org/Остается один тонкий момент: надежность ключа-пароля, которым шифруется ключ шифрования. Проблема в том, что этот пароль должен водиться пользователем, а значит, не может быть достаточно (да и вообще) надежным-сложным. Таким образом, важным становится вопрос о предотвращении подбора ключа-пароля. То есть, есть разрешенное кол-во попыток ввода, после чего токен должен блокироваться. Вопрос: как? Уничтожением зашифрованного ключа? Далее: будет ли предусмотрена возможность разблокировки? Если я понял правильно идею «сервера», то разблокировать токен можно будет «восстановлением» ключа на токене
|
|
|
|
|
|
|
|
Nov 27 2009, 08:25
|
Участник
Группа: Участник
Сообщений: 17
Регистрация: 19-11-09
Пользователь №: 53 740
|
Цитата(Petka @ Nov 27 2009, 09:48)  Принципиально неразрешимая проблема в другом: пароль будет вводится через незащищённого "донора" там его простенькая программа "keylogger" и соберёт. Удачи. Есть такое дело! Вопрос перехвата клавиатуры "токеном" реализуем? Далее, существуют не только программные килогеры, но и аппаратные, борьба и обнаружение которых крайне проблематичная. Предлагаю рассмотреть вариант подключения клавиатуры напрямую в токену. Это, в том числе, позволит реализовать требования, изложенные в FIPS 140-2 L3.
|
|
|
|
|
|
|
|
Nov 27 2009, 08:42
|
Ally
Группа: Модераторы
Сообщений: 6 232
Регистрация: 19-01-05
Пользователь №: 2 050
|
FIPS 140-2 это скорее стандарт механической защиты, а не программной.  Сами почитайте FIPS, в рамках простого USB дивайса адекватно можно говорить только об уровне L1 Цитата(Reason @ Nov 27 2009, 10:25) Есть такое дело! Вопрос перехвата клавиатуры "токеном" реализуем?
Далее, существуют не только программные килогеры, но и аппаратные, борьба и обнаружение которых крайне проблематичная. Предлагаю рассмотреть вариант подключения клавиатуры напрямую в токену.
Это, в том числе, позволит реализовать требования, изложенные в FIPS 140-2 L3.
|
|
|
|
|
|
|
|
Nov 27 2009, 09:16
|
Участник
Группа: Участник
Сообщений: 17
Регистрация: 19-11-09
Пользователь №: 53 740
|
Цитата(AlexandrY @ Nov 27 2009, 11:42) FIPS 140-2 это скорее стандарт механической защиты, а не программной. Сами почитайте FIPS, в рамках простого USB дивайса адекватно можно говорить только об уровне L1 реализовать полностью требования FIPS, здесь, согласен, нереально. В упомянутом выше стандарте есть прямое указание на то, что в том числе и данные аутентификации должны передаваться на устройство напрямую! Это одно из ключевых отличий L2 от L3 For Security Levels 3 and 4, the physical port(s) used for the input and output of plaintext cryptographic key components, authentication data, and CSPs shall be physically separated from all other ports of the cryptographic module or the logical interfaces used for the input and output of plaintext cryptographic key components, authentication data, and CSPs shall be logically separated from all other interfaces using a trusted path, and plaintext cryptographic key components, authentication data, and other CSPs shall be directly entered into the cryptographic module (e.g., via a trusted path or directly attached cable). (See Section 4.7.4.)
|
|
|
|
|
|
Сообщений в этой теме
 one_man_show Выбор процессора для u-PC Nov 22 2009, 20:36 AlexandrY Почитал errata на i.MX51 и слегка поплохело. Очень... Nov 22 2009, 21:02  HardJoker Цитата(AlexandrY @ Nov 23 2009, 00:02) ..... Nov 23 2009, 10:58 one_man_show Рассчитываю именно на год-два, чтобы оторваться. Н... Nov 23 2009, 11:52 AlexandrY Из доки на S3C6410 косвенно можно сделать вывод чт... Nov 24 2009, 14:19 one_man_show ЦитатаА может есть готовый паттерн компонента под ... Nov 25 2009, 13:24 AlexandrY Аналогично.
Цитата(one_man_show @ Nov 25 2009... Nov 25 2009, 14:45 AlexandrY Кстати, Самсунг зажал свою технологию XSR под Лину... Nov 25 2009, 17:38 AlexandrY Это может оказаться сильно нерентабельно делать на... Nov 25 2009, 21:38 AlexandrY Хорошо, есть идея как вводить пароли напрямую.
Ста... Nov 28 2009, 14:55 Petka Цитата(AlexandrY @ Nov 28 2009, 17:55) Хо... Nov 28 2009, 15:58 AlexandrY Защите чего?
Я привел идею для случая пароноидаль... Nov 28 2009, 16:47 Petka Цитата(AlexandrY @ Nov 28 2009, 19:47) То... Nov 28 2009, 17:23 AlexandrY Чего не знает гугль, того не существует.
Приведите... Nov 28 2009, 17:35 blackfin Цитата(Petka @ Nov 28 2009, 20:23) Вам чт... Nov 28 2009, 17:38 Reason Цитата(AlexandrY @ Nov 28 2009, 17:55) Хо... Nov 28 2009, 19:02 AlexandrY По идее юзер все коды и сертификаты заведет в дива... Nov 28 2009, 19:22 Petka Цитата(Reason @ Nov 27 2009, 11:25) Далее... Nov 27 2009, 10:10 KRS А почему вы не смотрели в сторону TI OMAP3?
Это вс... Nov 26 2009, 21:27 el_chapo Цитата(KRS @ Nov 27 2009, 00:27) А почему... Dec 3 2009, 06:37 AlexandrY Почему же, очень даже смотрели.
Но при внимательн... Dec 3 2009, 13:29 el_chapo Цитата(AlexandrY @ Dec 3 2009, 16:29) ...... Dec 3 2009, 22:25 AlexandrY С OMAP-ами конечно дело имел.
Бенчмарк BDTI очен... Dec 4 2009, 09:24 sasamy Цитата(AlexandrY @ Dec 3 2009, 17:29) Раз... Dec 4 2009, 18:40 AlexandrY Эти цифры берутся всегда в отрыве от реальности. С... Dec 5 2009, 10:54 sasamy Цитата(AlexandrY @ Dec 5 2009, 13:54) Эти... Dec 6 2009, 08:21 AlexandrY Отлично, я и оценил времени в год.
Если за следу... Dec 6 2009, 11:07 el_chapo Цитата(AlexandrY @ Dec 5 2009, 13:54) Эти... Dec 7 2009, 15:22 one_man_show ЦитатаТем более, зачем тогда свой вай-фай?
Это был... Nov 28 2009, 20:45 one_man_show ЦитатаЯ гарантию даю, что в течении недели будет п... Dec 2 2009, 16:16 Petka Цитата(one_man_show @ Dec 2 2009, 19:16) ... Dec 2 2009, 17:21 Master of Nature Цитата(Petka @ Dec 2 2009, 21:21) Неа. + ... Dec 2 2009, 20:17 wangan Цитата(el_chapo @ Dec 4 2009, 04:25) Тако... Dec 4 2009, 16:26 one_man_show Получив дев.кит на S3C6410, временно закрыл для се... Dec 4 2009, 20:47 wangan Цитата(one_man_show @ Dec 5 2009, 02:47) ... Dec 5 2009, 18:07 one_man_show Для меня подобные споры разрешаются проще: для экм... Dec 13 2009, 19:50 AlexandrY Тут в поисках дешевого JTAG отладчика ядра Линукса... Dec 18 2009, 09:01 dch Цитата(one_man_show @ Dec 13 2009, 22:50)... Mar 16 2010, 15:18 one_man_show Если у Вас есть контакты с ними, узнайте, пожалуйс... Jan 6 2010, 16:36 Ronin Цитатаhttp://www.techor.com/product-282.html
Непло... Mar 15 2010, 15:38 Pechka А почему не смотрите в сторону Blackfin? в частнос... Mar 25 2010, 21:16 aaarrr Цитата(Pechka @ Mar 26 2010, 00:16) ...ку... Mar 25 2010, 21:23 Pechka Цитата(aaarrr @ Mar 26 2010, 00:23) И оди... Mar 25 2010, 21:53 aaarrr Цитата(Pechka @ Mar 26 2010, 00:53) Прошу... Mar 25 2010, 22:13 one_man_show По поводу Blackfin не стал копать, так как не увид... Mar 26 2010, 08:19 Pechka Цитата(one_man_show @ Mar 26 2010, 11:19)... Mar 26 2010, 15:04 one_man_show Вы же согласитесь, что ucLinux - это несравнимо с ... Mar 26 2010, 20:00 Pechka Цитата(one_man_show @ Mar 26 2010, 23:00)... Mar 26 2010, 22:14 Yra Спасибо, что просветили про OMAP.
Наведите на схем... Nov 18 2010, 08:24 Yra Наткнулся на проблему : наши поставщики ещё пока н... Jan 10 2011, 17:12 Dron_Gus 1) Рассыпные преобразователи
2) TPS6501*
3) компан... Jan 11 2011, 03:47 Yra Ещё вопросик к спецам: где загрузчик хранить? На N... Jan 20 2011, 18:47
1 чел. читают эту тему (гостей: 1, скрытых пользователей: 0)
Пользователей: 0
|
|
|
