Vlákno názorů k článku Miliony zařízení sdílí privátní klíče k HTTPS a SSH od j - Tady nekdo vzivote nevidel, jak se neco vyrabi...

Tady nekdo vzivote nevidel, jak se neco vyrabi ...

Milej zlatej, vazne si myslis, ze ti treba automobilka doda nastaveny a fungujici auto? Nikolivek, to dela az prodejce. Jenze u veci za 1/2M se ta prace jaksi ztrati v cene. Kdyby mel vyrobce kazdou jednu krabku i jen zapnout, tak by nestala 3 kila ale 3 litry.

Kolik % lidi je ochotno zaplatit 3k za krabku, ktera bude konfigurovatelna? (ty parodii od NICu ani nemluve). A proc by to meli delat? Aby jim pak kkti z Mozilly/googlu/... rekli, ze maj tu krabku vyhodit, protoze pouzitej algoritmus uz prej neni dost bezpecnej? lol

Ty miliardy lidi si proste koupej to nejlevnejsi co horko tezko zapojej a pokud jim to funguje, tak to menit nebudou. A ze by to mel resit provider? A proc proboha? O poskytne pripojeni a je mu jedno co si na ty svy lince zakaznik prenasi. Proc by mel vynakladat prozmenu svoje penize na to, aby resil neco, co mu nevadi?

proc by mel byt turris parodie?

Zeptej se vyrobce.

Si precti co o tom napsali ... ze to mel bej levnej konfigurovatelne router pro domacnost ... lol ... a stoji to vic, nez cisco.

Však se ten klíč může vygenerovat při prvním zapnutí u zákazníka. Stejnak je v tom různě ořezaný linux, tak napsat ten script nebude tak těžké.

Ke generovani klice potrebujete entropii. V PC se vyuziva drobny sum pro mereni casu toku dat od HDD, pohyb mysi, stisky klavesnice, a ruzna casova razitka udalosti., ktere je obtizne kontrolovat.
Co mate nartiklad na takove zasuvce ovladane pres Wifi? Sitove napeti, pokud se vubec meri, Okamzik bootu vhledem k pruchodu faze nulou (pokud se vyhodnocuje) a jinak NIC. Mala entropie v takto vygenerovanm klici zpusobi, ze hromada zarizeni si vygeneruje nezavisle na sobe stejny klic a jsme tam kde ted.

Pokud se něco ovládá přes prohlížeč, není problém přece takovou aktivitu vykonat v prohlížeči. Stejně se ta krabka musí napřed nakonfigurovat.

Kdyz je tam prohlizec, tak je to mozne. Jenze dnes je trend aby se to "nemuselo" (a casto ani nemohlo) konfigurovat vubec. proste plug&play.
A to "plug" je v pripade IoT predevsim do cloudu, dokonce ani ta zasuvka neni tak povina.

Když tam už je rádio, asi by nebyl zase takový problém do něj přidat API pro čtení šumu.

To ano, ale to jen o malo lepsi nez nic. Predpokladem totiz je, ze jde skutecne o sum a ne podvrzeny radiovy signal. A tento predpoklad nemusi byl splnen (i kdyz vetsinou je)

A co traffic na síti? Čas mezi paketama, data lítající po síti,.. Udělá se z toho nějaký pěkný dlouhý binární blob (otázka obvykle několika sekund), spočítá hash a je to...

Pro případ zapnutí několika krabiček na stejné síti současně třeba... sériový číslo FLASH/CPU/... jako sůl. Tam už výrobci čipů dávají aspoň kontinuální řadu, že je tam nějaký rozdíl.

Zrovna traffic na domaci siti se muze za specialnich okolnosti stat silne predikovatelnym. Ale jak psal nekdo vyse, znamena to utok utocnika v dobe instalace a ne az potom, takze porad vyrazne lepsi nez nic.

Zajímalo by mě, jakým způsobem se v továrně do těch zařízení flashuje firmware. Já to dělal zatím jenom v malém ručně, pár desítek kousků maximálně, a při tom není problém tam vždycky zapsat pár náhodných bajtů. Továrna to programuje nějak masově?

Routery většinou při bootu pokoušejí stáhnout firmware z TFTP, divil bych se, kdyby se to v továrnách dělalo jinak.

Dela se to uplne jednoduse, mas zhruba nasledujici varianty
1) nechas si vyrobit chip, na kterym je soft napalenej rovnou z vyroby natvrdo
2) naladujes vsechny chipy do nejaky masiny, ktera ti tam proste (jeste pred osazenim) napali soft
3) mas na desce nejakej pinout, na kterej se po osazeni pripojis a napalis to na uz hotovou desku

Poradi odpovida taky cena - cim pozdejs, tim vyssi.

Problem (s jakoukoli) odlisnosti mas predevsim v tom, ze pri aspon trochu normalnim postupu se dela verifikace - ovsem binarni pochopitelne, a vadny chipy/desky se rovnou vyhodej. Pokud bys tam tudiz napalil pokazdy neco jinyho, mas problem, protoze ten primitivni test ti nebude fungovat. Navic by to misto opakovanyho zapisu stale stejny matrice znamenalo pokazdy spocitat cosi ... a pokud se bavime o milionech kusech a potreby rozumny entropie, tak ses v riti.

Nezapne? A jak se tam dostane bootloader. firmware a MAC adresa?

Když jde nahrát MAC, proč nejde klíč? Protože výrobce je <<autocenzura>>.

Tady by mělo platit nejsem tak bohatý, abych kupoval levné věci...
Nějaký switch který není vystavenej ven je v pohodě, takže laciná krabička může bejt, ale router musí být bezpodmínečně zabezpečenej tak, aby zvnějšku nebyla šance. Člověk musí před pořízením zařízení myslet a když to nedokáže nebo se mu nechce, dobře mu tak!