500 האקרים מול צ'יפ אבטחה חדש. הצ'יפ ניצח

קודם כל, יפה. נשמע קונספט מעניין. דבר שני, מעניין מה יקרה אם יחברו אותו למאגר מידע פיקטיבי ואז יתנו לכל האינטרנט לנסות לפרוץ – מישהו, מתישהו, ישתחל פנימה. דבר אחרון, צריך לזכור שבסופו של יום מדובר במנעול למאגר שמישהו חוקי עדיין צריך גישה אליו והמישהו הזה הוא כנראה בן אדם עם מפתח. אז או שעושים הנדסה כלשהי לאיש עצמו כדי לקבל ממנו את המפתח, או שמייצרים חוצץ בינו למאגר כך שהמפתח ייחשף כשהוא ינסה לגשת לשם או שממשיכים לנסות עד שמצליחים לשכפל את המפתח. אם למישהו יש גישה למאגר (ותמיד יש מישהו אחרת אפשר פשוט למחוק את המאגר) זה אומר… Read more »

1. נחכה לעולם האמיתי – צבא, ופושעי סייבר.
2. אין מוצר אבטחה שאין לו Backdoor, משום שמערכות עלולות לנעול את עצמן ללא יכולת גישה, ובנוסף גורמי אבטחת מידע בארגונים ירצו לעקוב אחרי התנהגות המשתמשים (בני אדם או מכונות). שאלה של זמן שה-Backdoor ידלוף.
3. השאלה היא איך הצ'יפ ימוקם בארכיטקטורה של מערכות עתידיות, שמן הסתם המיקומים הפיסי והלוגי יקבעו את האפשרויות לעקוף אותו.
4. הסוגייה האחרונה מה יקרה כאשר מהירות העיבוד תגדל למשל במחשוב קוואנטי, או שימוש בתקיפה על ידי ריבוי טרמינלים ברשת?

הרעיון מעניין אבל נשמע שבחרו בקבוצת "האקרים" נוחה בדמות חוקרים, אם היו באמת בטוחים במוצר שלהם היו פותחים את התחרות לכולם עם פרס נחמד, כנראה שהיו נפרצים ואם לא, יכלו להתפאר בכך שעמדו תחת ניסיון פריצה של אלפי האקרים.

חסרה מילה אחת בכותרת – "בינתיים"

תוכניות באג באונטי בדרך כלל מאוד מגבילות בגבולות הגזרה שלהן, ובנוסף באג באונטי הוא בתנאים סטריליים שבשטח לא קיימים כשיש אינטרקציה בין סביבה אמיתית לבין המוצר. כמו כן חולשות לעיתים קרובות מתגלות רק לאחר שנים רבות, ו3 חודשים של באונטי לא בהכרח אומר שזה "חסין לפריצה". בנוסף 500 האקרים זה לא כל חוקרי האבטחה, בפרט שבבאונטי לא כל החוקרים תמיד מתמסרים בכלל רק לנושא הזה, להרבה מהם זה רק תחביב מהצד שלא תמיד הם ימשיכו מעבר לכמות השקעה מסויימת. אם קבוצת APT מיומנת עם אינטרס ממשי תעבוד על זה תקופה התוצאה עלולה להיות שונה. בפרט אם זו טכניקה חדשנית, לוקח… Read more »

ההיסטוריה מלמדת אותנו שקורים דברים מעניינים כשמישהו מכריז על משהו ש-"אי אפשר לפרוץ אותו"

לכל המגיבים כאן דחוף להדגיש שזה לא סוף פסוק.
וזה נכון.
פרצת האבטחה העיקרית בכל ארכיטקטורה שהיא, ממוקמת בין המסך והכיסא. כך גרסו לי לינוקסאים ותיקים.

אבל בכל זאת. אם עד עכשיו היו צריכים להתמודד עם פרצות אבטחה מובנות בחומרה,
ככל הנראה עתה מספר הפירצות מסוג זה יפחת משמעותית, וזה במקרה הרע.

זו פריצת דרך משמעותית.

הממ. שכחו להסביר משהו ״קטן״ – המעבד הזה לכאורה מונע זליגות זכרון וקפיצות מקטע קוד אחד לאחר בזכרון. אם תשאיר פרצות אחרות, כדוגמת sql injection או כל בעיית סניטציה של קלט מהמשתמש, המעבד הזה לא יוכל לעזור לך כלל. ועוד משהו חסר – איפה הפתרון הזה אל מול טכניקות אחרות, כמו ASLR של מיקרוסופט ועוד דוגמאות אחרות? מה היתרון של הגישה הזו לעומת הגישה האחרת? עד שלא יסבירו את זה בצורה טובה יותר, אני אשאר סקפטי (אגב, חפשו את morphisec הישראלית שעושה משהו דומה, במוצר זמין, כבר כמה שנים)

3 חודשים שלמים???? וואו!!!! זה מלאאאאא זמן.
נו באמת…. האקרים שיושבים על מטרות "שמנות" יכולים לשבת עליהם במשך חודשים רבים רק בשביל לאסוף מידע שיכול לעזור להם.
הכל תלוי בכמה "שווה" הפרס שהם יקבלו בסוף. כלומר כמה אטרקטיבי היעד שלהם.
אם הם הציעו כמה עשרות אלפי דולרים זה חמוד. אבל בעולם האמיתי, פריצות חברות ענק מניבות מליוני דולרים ובגלל זה האקרים מוכנים להשקיע הרבה מאוד זמן על מטרות כאלו.

שום חוקר שמבין משהו לא יטען שיש משהו שהוא בלתי פריץ.
הכל כולל הכל פריץ, זה רקר עניין של מוטיבציה ומשאבים.

מה גם שכמו שנכתב פה – החולשה הכי גדולה בכל מערכת היא הבנאדם שיש לו גישה.

בניגוד למה שכתבו כאן, רוב המערכות האיכותיות בעולם הן בלתי פריצות כל עוד משתמשים בהם בצורה נכונה.
אבל מה שיקרה זה שהשבב הזה יחובר למחשב, והמחשב לדיסק, לזיכרון, לרשת, לתוכנה, למערכת הפעלה, לשרת, לmidleware, לקליינט ולדפדפן או מובייל, ובסוף למשתמש הדביל שיגדיר סיסמה של "1234" או ישלח אותה במייל לא מאובטח או סתם ימסור אותה לבחור שהזדהה כ"טכנאי של IBM" או משתמש באותה סיסמה ל20 אתרים מפוקפקים אחרים.

גם הביטקוין לא ניתן לפריצה אבל זה לא מנע מתוקפים לרוקן את הארנקים של טובי הבורסות קריפטו בעולם.

מה ההתלהבות? ידעתם שמעולם לא הצליחו לפרוץ את xbox one? כמה שנים היא כבר קיימת? 8? והרבה יותר מ 500 חוקרים ניסו לפרוץ, פריצה שווה הרבה יותר מכמה עשרות אלפי דולרים, וכולם התייאשו ממזמן

אין מה להתלהב. חומרה בלתי פריצה זה דבר שלא קשה לעשות. ולא כל "חולשה" בחומרה ניתן להשמיש. האם מישהו שמע על שרשרת חולשות שמתבססת על חולשה בחומרה? לא? כי זה לא ביג דיל….

מה ההתלהבות? ידעתם שמעולם לא הצליחו לפרוץ את xbox one? כמה שנים היא כבר קיימת? 8? והרבה יותר מ 500 חוקרים ניסו לפרוץ, פריצה שווה הרבה יותר מכמה עשרות אלפי דולרים, וכולם התייאשו ממזמן

אין מה להתלהב. חומרה בלתי פריצה זה דבר שלא קשה לעשות. ולא כל "חולשה" בחומרה ניתן להשמיש. האם מישהו שמע על שרשרת חולשות שמתבססת על חולשה בחומרה? לא? כי זה לא ביג דיל….

כל דבר שבן אדם יצר בן אדם יכול לפרוץ