Wo ist denn TPM sicher? Es wurde vorgeführt das die Kritiker doch recht haben. Und seit wann rechnet man Sicherheit in Euro oder Dollar? Also: TPM ist nicht sicher.
also sicher vor dir auf jeden Fall, denn ich glaub nicht das du mal eben 6 Monate Zeit und 200.000 Dollar hast die du wahrscheinlich brauchen wirst um diesen oder ähnliche Chips zu knacken. Deswegen im "allgemeinen Sicher".
(ärger dich nicht, ich hab auch keine 200.000 Dollar übrig ;) )
Panzerschränke sind auch nicht unendlich sicher, da geht es nach der Zeit die deine Person benötigt um ihn zu öffnen. (je länger man braucht desto sicherer...) und warum sollte man nicht die Sicherheit in der IT nach Geld und Wissen bewerten
cu
dreizehn
dreizehn schrieb:
--------------------------------------------------------------------------------
> also sicher vor dir auf jeden Fall, denn ich glaub nicht das du mal eben 6
> Monate Zeit und 200.000 Dollar hast die du wahrscheinlich brauchen wirst um
> diesen oder ähnliche Chips zu knacken. Deswegen im "allgemeinen Sicher".
200.000 Dollar sind lächerlich wenig für alles was sich zu schützen lohnt. Das zahlt jeder Industriespion aus der Portokasse (und ein Steuerfahnder wahrscheinlich auch). Wofür dann überhaupt so ein superduper Sicherheitssystem? Zum Verschlüsseln Deiner Urlaubsbilder?
Es ist schon klar, das der Prof die TPM-CPU regelrecht in der Hand hatte? Und das dies kein Angriff von außen war? Sobald physischer Zugriff möglich ist, ist nichts Sicher.
Weder der Tresor, deine Oma, dein Schreibtisch und auch nicht deine Daten.
Golemleser2k schrieb:
--------------------------------------------------------------------------------
> Wo ist denn TPM sicher? Es wurde vorgeführt das die Kritiker doch recht
> haben. Und seit wann rechnet man Sicherheit in Euro oder Dollar? Also: TPM
> ist nicht sicher.
Auch AES ist nicht sicher, da man den Schlüsselraum ganz einfach in ein paar Milliarden Jahren durchsuchen kann. Merke, sicher ist etwas, wenn der Kostenaufwand größer ist als der Nutzen. Ein Information die nur noch bis Morgen einen Nutzen hat, kann man sicher mit DES verschlüsseln. Für Informationen die noch in 10 Jahren einen Nutzen haben, braucht man dagegen AES zum sicheren verschlüsseln.
Die allermeisten Einsatzzwecke macht ein TPM ausreichend sicher. Z.B. wenn ein Unternehmen das TPM nutzt um die Systemintegrität sicher zu stellen, dreht es meist um remote Angriffe, bei dem die Angreifer keinerlei Zugriff auf die Hardware haben. Dann gibt es noch den internen Angreifer, der aber keine 6 Monate hat um das TPM des Servers so zu analysieren, bevor der IT auffällt das ein wichtiger Server fehlt.
Mir persönlich ist ein Mechanismus dann schon sicher genug, wenn der Angreifer 6 Monate Zugang zu meinem PC brauch um die Daten darauf zu entschlüsseln.
Jungs, er brauchte sechs Monate für den ersten Versuch. Der Zweite würde schon wesentlich weniger Zeit in Anspruch nehmen und wenn man erstmal weiß wie das Ding funktioniert, dann kann man auch ein Kit zum Knacken bauen. Vielleicht fallen so auch SIcherheitslücken oder Bugs in den Prozessoren auf.
AES mit 'ner vernünftigen Bitzahl und einem guten Kennwort. Da kannst Du auch eine Milliarde Dollar und 10 Jahre verwenden, es wird nichts fruchten.
Und selbst so ein TPM-Chip ist ausreichend sicher. Die meisten Geheimnisse sind einfach keinen solchen Aufwand wert. Und die, die es wert sind, verlassen sich (hoffentlich) nicht ausschließlich auf ein System. Ich kenne die Ansprüch von bspw. Militär und Geheimdienst an hochsichere Umgebungen - dagegen ist das System hier ein Witz.
Golemleser2k schrieb:
--------------------------------------------------------------------------------
> Wo ist denn TPM sicher? Es wurde vorgeführt das die Kritiker doch recht
> haben. Und seit wann rechnet man Sicherheit in Euro oder
Dollar? Also: TPM
> ist nicht sicher.
Dann ist nichts sicher, weil du mit genügend hohem Budget + Aufwand alles knacken kannst.
Ziel von Sicherheitsmechanismen (wie z.B. TPM) ist es, den Aufwand für erfolgreie Angriffe auf das jeweilige Schutzziel so hoch werden zu lassen, dass der Aufwand den Ertrag von Angreifern nicht mehr lohnenswert macht bzw. möglichst sogar übersteigt.
Der Forscher hat also genaugenommen demonstriert, dass TPM nicht geeignet ist, Daten mit einem Wert von deutlich über 200.000 Dollar zu schützen.
das ist zu pauschal schrieb:
--------------------------------------------------------------------------------
> Golemleser2k schrieb:
> ---------------------------------------------------------------------------
> -----
>
> Der Forscher hat also genaugenommen demonstriert, dass TPM nicht geeignet
> ist, Daten mit einem Wert von deutlich über 200.000 Dollar zu schützen.
Die 200.000 Dollar dürften wohl der Wert seiner Hardware sein. Die sechs Monate Arbeitszeit zur Entwicklung des Angriffs wurden ja getrennt erwähnt.
Die Hardware ist aber auch für weitere Angriffe noch nutzbar. Ein Industriespion könnte also die Kosten auf mehrere Angriffe verteilen.
Wenn man weiß wie so ein Chip aufgebaut ist und funktioniert braucht man auch keine sechs Monate mehr, um die unverschlüsselten Daten im Kern abzugreifen. Das dürfte sich dann eher noch im Bereich Stunden, bei leidlich bekannten Chipversionen Minuten handeln.
Fakt ist und bleibt: man braucht physischen Zugriff auf die Hardware. Und recht sperrige Apparaturen, die man nicht eben aus der Jackentasche ziehen kann. Aber vielleicht lässt sich die Technik in einem Lieferwagen verbauen, der dann vor eurem Haus parkt und die greifen das mal schnell ab während ihr nicht zuhause seid?
Klar doch, Du hast zuhause ein FIB-Mikroskop mit Ionenstrahl und kannst auch damit Umgehen?
___________
"Aufgrund der globalen Klimaerwärmung sowie der gegenwärtigen Finanzkrise wird das Licht am Ende des Tunnels nun abgeschaltet!"
- Autor unbekannt -
billig schrieb:
--------------------------------------------------------------------------------
> dreizehn schrieb:
> ---------------------------------------------------------------------------
> -----
> > also sicher vor dir auf jeden Fall, denn ich glaub nicht das du mal eben
> 6
> > Monate Zeit und 200.000 Dollar hast die du wahrscheinlich brauchen wirst
> um
> > diesen oder ähnliche Chips zu knacken. Deswegen im "allgemeinen Sicher".
>
> 200.000 Dollar sind lächerlich wenig für alles was sich zu schützen lohnt.
> Das zahlt jeder Industriespion aus der Portokasse (und ein Steuerfahnder
> wahrscheinlich auch). Wofür dann überhaupt so ein superduper
> Sicherheitssystem? Zum Verschlüsseln Deiner Urlaubsbilder?
Ueberhaupt nicht. Ein TPM hat nix mit *Deiner* Security zu tun, sondern mit der Security *vor* Dir.
dreizehn schrieb:
--------------------------------------------------------------------------------
> also sicher vor dir auf jeden Fall, denn ich glaub nicht das du mal eben 6
> Monate Zeit und 200.000 Dollar hast die du wahrscheinlich brauchen wirst um
> diesen oder ähnliche Chips zu knacken. Deswegen im "allgemeinen Sicher".
>
> (ärger dich nicht, ich hab auch keine 200.000 Dollar übrig ;) )
>
> Panzerschränke sind auch nicht unendlich sicher, da geht es nach der Zeit
> die deine Person benötigt um ihn zu öffnen. (je länger man braucht desto
> sicherer...) und warum sollte man nicht die Sicherheit in der IT nach Geld
> und Wissen bewerten
>
> cu
> dreizehn
Wenn ein Chip geknackt ist, dann sind auch alle anderen der Baureihe offen. ...
Wie hier bereits schon gesagt:
Es geht bei TPM nicht um Deine Sicherheit, sondern um die Sicherheit von Inhalten vor Dir...
___________
"Aufgrund der globalen Klimaerwärmung sowie der gegenwärtigen Finanzkrise wird das Licht am Ende des Tunnels nun abgeschaltet!"
- Autor unbekannt -
Na eben nicht.
Jeder TPM Chip hat seinen eigenen key. Selbst wenn man einen ausfindig macht, dann funktioniert der nur dort. Also auch wenn nun ein erfolgreicher Angriff auf einen TPM Chip möglich war, so lässt sich dies nicht umlegen auf andere Chips. Die müssten alle mit dem selben Verfahren geknackt werden. Soo einfach wie damals mit der DVD wird es uns nun nicht gemacht ;-)
Habt ihr alle vergessen das jedes Modul einen eigenen key besitzt und es nichts nützt wenn man ein Modul aushebelt? Selbst wenn er den key nun gefunden hat, so kann er bis auf seinen Chip nirgendwo was damit anfangen.
Ainer v. Fielen schrieb:
--------------------------------------------------------------------------------
> Klar doch, Du hast zuhause ein FIB-Mikroskop mit Ionenstrahl und kannst
> auch damit Umgehen?
Den Artikel gelesen? Das Mikroskop wurde verwendet um das Chipdesign zu visualisieren! Der eigentliche Hack - das abgreifen der Signale am "Kern" des Prozessors - wurde mit deutlich transportablerem Gerät durchgeführt (wenn auch nicht, wie schon geschrieben, für die Jackentasche). Wenn man den Kern manuell abtasten kann, dann ist die entsprechende Tastspitze mit einer vernünftigen Lupe zu führen. Also kein Bedarf für aufwändige Bildgebende Verfahren.
Amanda B. schrieb:
--------------------------------------------------------------------------------
> Habt ihr alle vergessen das jedes Modul einen eigenen key besitzt und es
> nichts nützt wenn man ein Modul aushebelt? Selbst wenn er den key nun
> gefunden hat, so kann er bis auf seinen Chip nirgendwo was damit anfangen.
Sicher. Aber weitere Chips derselben Baureihe sollten jetzt recht schnell knackbar sein (Lage der abzugreifenden Kontakte bekannt).
Auch andere Chipdesigns dürften wohl kaum noch einmal sechs Monate in Anspruch nehmen. Die Prinzipien sind immer dieselben.
Der Grundsatz der Sicherheitsspezialisten hat sich bewährt.
Eine Technik gilt als geknackt, wenn der erste Angriff nachgewiesen wird der nicht alle Möglichkeiten durchprobieren muss.
fangorn schrieb:
--------------------------------------------------------------------------------
> Ainer v. Fielen schrieb:
> ---------------------------------------------------------------------------
> -----
> > Klar doch, Du hast zuhause ein FIB-Mikroskop mit Ionenstrahl und kannst
> > auch damit Umgehen?
>
> Den Artikel gelesen? Das Mikroskop wurde verwendet um das Chipdesign zu
> visualisieren! Der eigentliche Hack - das abgreifen der Signale am "Kern"
> des Prozessors - wurde mit deutlich transportablerem Gerät durchgeführt
> (wenn auch nicht, wie schon geschrieben, für die Jackentasche). Wenn man
> den Kern manuell abtasten kann, dann ist die entsprechende Tastspitze mit
> einer vernünftigen Lupe zu führen. Also kein Bedarf für aufwändige
> Bildgebende Verfahren.
Das FIB-Mikroskop brauchst du, damit du überhaupt an die Metallbahnen rankommst.
Und Messtechnik und die Tastspitzen sind nicht mal annähernd transportabel. Mit der Lupe siehst du nichtmal die Metallbahnen. Wird also schwierig darauf was abzusetzen :) Du brauchst alleine für die elektrische Messung einen kompletten Messplatz den du garantiert nicht rumträgst ;)
qwertz123 schrieb:
--------------------------------------------------------------------------------
> fangorn schrieb:
> ---------------------------------------------------------------------------
> -----
> > Ainer v. Fielen schrieb:
> >
> ---------------------------------------------------------------------------
>
> > -----
> > > Klar doch, Du hast zuhause ein FIB-Mikroskop mit Ionenstrahl und
> kannst
> > > auch damit Umgehen?
> >
> > Den Artikel gelesen? Das Mikroskop wurde verwendet um das Chipdesign zu
> > visualisieren! Der eigentliche Hack - das abgreifen der Signale am
> "Kern"
> > des Prozessors - wurde mit deutlich transportablerem Gerät durchgeführt
> > (wenn auch nicht, wie schon geschrieben, für die Jackentasche). Wenn man
> > den Kern manuell abtasten kann, dann ist die entsprechende Tastspitze
> mit
> > einer vernünftigen Lupe zu führen. Also kein Bedarf für aufwändige
> > Bildgebende Verfahren.
>
> Das FIB-Mikroskop brauchst du, damit du überhaupt an die Metallbahnen
> rankommst.
>
> Und Messtechnik und die Tastspitzen sind nicht mal annähernd transportabel.
> Mit der Lupe siehst du nichtmal die Metallbahnen. Wird also schwierig
> darauf was abzusetzen :) Du brauchst alleine für die elektrische Messung
> einen kompletten Messplatz den du garantiert nicht rumträgst ;)
Den man aber durchaus in einem 7,5t Kleinlaster unterbringen kann. Und nichts anderes habe ich behauptet.
Kommentare: 170 | letzter Beitrag 15:54 Uhr
Kommentare: 94 | letzter Beitrag 26.05. 19:45
Kommentare: 74 | letzter Beitrag 18:52 Uhr
Kommentare: 70 | letzter Beitrag 18:56 Uhr
Kommentare: 59 | letzter Beitrag 19:29 Uhr
E-Mail an news@golem.de
Lockheed Martin hat eine neue Version des Exoskeletts Hulc vorgestellt, das es einem Menschen ermöglicht, schwere Lasten zu heben und zu tragen. Der Hersteller will das System im Spätsommer testen und, wenn alles gutgeht, danach an US-Soldaten in Afghanistan ausliefern.
Immer wieder zeigt Google seine Project Glass genannten Datenbrillen, ohne aber bislang konkrete Ankündigungen zu machen. Neben zahlreichen Fotos, die mit der Brille gemacht wurden, stellte Google nun auch ein erstes Video, das mit der Brille aufgenommen wurde, ins Netz.
Symantec hat sich zu den Aussagen der Bundesregierung geäußert, nach denen Geheimdienste in der Lage seien, SSH oder PGP zu knacken oder zu umgehen. Mathematisch gesehen sei kein wirksamer Angriff bekannt.
Renesas ist nach Elpida der zweite schwer angeschlagene japanische Chiphersteller. Renesas, das Hitachi, Mitsubishi Electric und NEC gehört, macht Verlust und will seine größte Fabrik verkaufen.
RIM soll in den kommenden Tagen erneut einen massiven Stellenabbau ankündigen. "Ich habe herausgefunden, welche Teile ich in meinem Puzzle nicht mehr benötige", sagte Firmenchef Thorsten Heins.
Ein britisches Blog will erfahren haben, dass Facebook den norwegischen Browserhersteller Opera Software kaufen will. Beide Unternehmen wollen sich dazu nicht äußern.