Une nouvelle fois, c'est bien, les fuzzers:
mcu non sécurisé oui et non, le coeur du truc est quand même dans un ST31... c'est secure. mais seulement lui... le reste du système est une semi passoire, alors qu'il est par conception dans l'environnement sécurisé du système. du coup, c'est mort.
le chiffrement de la comm ne change rien puisque le canal sécurisé aboutit dans un cpu non secure, donc la clé est trouvable.
A la réflexion, l'envoi du code mcu au SE pour vérification n'est pas si con, puisque t'envoies justement pas le hash mais le code, et il faut l'envoyer complètement... donc avoir soit un cpu plus gros, soit le transmettre depuis un canal externe, et ca peut justement être détecté par timing (c'est une des contremesures implémentées)
il y a des techniques pour rendre le code non compressible, genre remplir les zones non utilisées par du random, et inclure toute la mémoire dans la vérif, pas juste le firmware utile.
une autre contre mesure implémentée (lisez le rapport original, pas le bullshit media autour) consiste a eviter d'avoir de la duplication de routines entre l'OS et le bootloader... technique qui a permis de faker la vérification du code non secure, en envoyant des bouts de code du bootloader, et en patchant les endroits correspondants dans le firmware.
lire la mem du stm32 par jtag depuis le cpu secure n'est pas possible: celui ci n'a a sa disposition qu'une simple UART. rien d'autre. c'est justement ce qui les a forcés a utiliser un cpu proxy non secure pour gérer bouton et écran... et que ca pète tout le modèle. les pcb n'ont même pas d'anti tampering sur le cpu insecure.
edit: bon l'article est précis et complet... mais ne fait que repomper le rapport!
c'est une smart card le st31... donc iSO7816 -> VCC GND CLK IO RST.
Quand on la package en SOIC8 ca se fait appeler secure element pour faire plaiz aux marketeux mais... ca reste pareil!
Je suis d'ailleurs particulièrement étonné que ST ait autorisé ce développement... c'est la première fois que j'entends parler de code natif chargé pendant la vie de la carte. Certes leur OS est en mode superviseur et le code chargé s'exécute en user et doit faire des syscalls pour faire des machins lies au hard... mais c'est un comportement totalement incroyable, pour moi c'est monstrueux.
ca n'a rien a voir DU TOUT.
un cpu smart card est sécurisé avec des contre mesures hardware, c'est certifié EAL5+ (y compris son stockage, pour les clés toussa). sur un cpu standard, MPU c'est comme MMU, ca protege les acces memoires, rien de plus.
Je pense pas que par MPU il voulais parler de Memory Protection Unit
Proud to be CAKE©®™
GCC4TI importe qui a problème en Autriche, pour l'UE plus et une encore de correspours nucléaire, ce n'est pas ytre d'instérier. L'état très même contraire, toujours reconstruire un pouvoir une choyer d'aucrée de compris le plus mite de genre, ce n'est pas moins)
Stalin est l'élection de la langie.
c'est du SPI slave, qui réutilise les pins ISO. gpio je crois que leur nombre dépasse pas 1 ou 2. c'est déja ca ouais... mais bof.
sinon ouais, les concernés... mettez a jour sans tarder:
Zeph Le 09/04/2018 à 08:12 Je ne suis pas trop d'accord avec lui, le scam ici repose surtout sur le fait que Netflix ne vérifie pas l'appartenance de l'adresse e-mail lors de l'inscription, donc on peut s'inscrire avec l'adresse de quelqu'un d'autre. Comme il le dit d'ailleurs lui-même, si Gmail n'avait pas cette feature on aurait pu faire pareil en ajoutant "+machin" à l'adresse (je suis sûr que ni Netflix ni beaucoup d'autres sites gèrent le cas de "+truc" et l'ignorent en vérifiant l'unicité des adresses e-mail).
All right. Keep doing whatever it is you think you're doing.
------------------------------------------
Besoin d'aide sur le site ? Essayez
par ici :)
Je trouve aussi qu'il y a une négligence de la part de Netflix (ça me semble étonnant d'ailleurs, je pensais que la totalité des sites un peu sérieux demandaient de confirmer l'inscription via un lien d'activation dans le mail de bienvenue).
—
Zeroblog —
« Tout homme porte sur l'épaule gauche un singe et, sur l'épaule droite, un perroquet. » —
Jean Cocteau
« Moi je cherche plus de logique non plus. C'est surement pour cela que j'apprécie les Ataris, ils sont aussi logiques que moi ! » —
GT Turboca doit empêcher certains de se gaver de vidéos, alors autant ne pas le faire!
Dans un autre genre, encore une raison d'utiliser du HTTPS : ça empêche les FAI de bidouiller vos pages web :
—
Zeroblog —
« Tout homme porte sur l'épaule gauche un singe et, sur l'épaule droite, un perroquet. » —
Jean Cocteau
« Moi je cherche plus de logique non plus. C'est surement pour cela que j'apprécie les Ataris, ils sont aussi logiques que moi ! » —
GT TurboEt ce n'est pas la première fois qu'un FAI mobile s'amuse à ce genre de choses.
—
Zeroblog —
« Tout homme porte sur l'épaule gauche un singe et, sur l'épaule droite, un perroquet. » —
Jean Cocteau
« Moi je cherche plus de logique non plus. C'est surement pour cela que j'apprécie les Ataris, ils sont aussi logiques que moi ! » —
GT TurboOui enfin c'est juste un caractere valide, au meme titre que le point.
Si j'envois un email a toto+spam@iamlost.com, le compte "toto" ne vas pas le recevoir, mais "toto+spam"
Proud to be CAKE©®™
GCC4TI importe qui a problème en Autriche, pour l'UE plus et une encore de correspours nucléaire, ce n'est pas ytre d'instérier. L'état très même contraire, toujours reconstruire un pouvoir une choyer d'aucrée de compris le plus mite de genre, ce n'est pas moins)
Stalin est l'élection de la langie.