¿Cómo se evalúan los sobres / empaques resistentes a la manipulación indebida?

9

A diferencia de los algoritmos y protocolos criptográficos digitales en los que muchas personas calificadas de IQ alto profundizan en los detalles y detalles, la resistencia a la manipulación física de los paquetes de baja tecnología no está tan saturada.

Sin embargo, hay algunas personas que lo hacen por dinero, pero sus resultados no son fáciles de obtener. Hay un enlace a un Equipo de Evaluación de Vulnerabilidad en el Laboratorio Nacional de Argonne con resultados fascinantes: enlace

He buscado patentes en la Oficina de Patentes y Marcas de EE. UU. e identifiqué algunas de ellas, la última es la Patente de EE. UU. 7.230.687 B2, y la más antigua data de 1916 (Patente de EE. UU. 1.201.519 asignada a un Arvid Sorensen). p>

Me pregunto qué criterios se deben aplicar a varias ofertas resistentes a la manipulación indebida en el mercado (hasta 180, con base en una búsqueda de motor de compras), siempre que no haya pentesters físicos con experiencia interna.

Un criterio que ya he sugerido es la presencia o ausencia de una patente (por supuesto que no demuestra la seguridad; hay muchas recetas de aceite de serpiente patentadas, pero al menos es un tanto análogo al código abierto en el mundo digital).

Otra solución sería muestrear sobres seguros a prueba de manipulaciones de grandes atuendos, con suerte, apoyándose en sus evaluaciones y "continuando con el flujo", pero no estoy seguro de que no hayan hecho lo mismo.

Tenga en cuenta que esto no es una pregunta de compras. Las respuestas deben evitar nombrar a los proveedores y, en su lugar, presentar criterios objetivos para la evaluación.

    
pregunta Deer Hunter 21.07.2013 - 13:55
fuente

2 respuestas

8

Primero aclaremos algo. En el sentido general, en el mundo de la envoltura / envoltorio no existe prácticamente ninguna manipulación indebida. Lo que estás buscando es un tamper, evidente .

El criterio sobre el que evalúa el sobre a prueba de manipulación indebida es el mismo que se utiliza para evaluar cualquier otra medida de seguridad. Olvídese de todo acerca de la solución en sí y piense en por qué está buscando una solución. Es fácil decir que su problema es la manipulación, pero no lo es.

Por lo tanto, los criterios dependen enormemente del modelo de amenaza su .  Aparte de eso, hay básicamente un criterio; Si se manipula el sobre, nos gustaría detectarlo con un alto nivel de confianza.

En 1997, la Comisión Reguladora Nuclear emitió la RG 5.15 en el que describieron los criterios para juzgar la efectividad de los medios a prueba de falsificaciones utilizados para almacenar documentos nucleares. Citaré algunos de ellos

  
  • La información tomada y registrada al momento de la aplicación del sello no está protegida adecuadamente, lo que permite al desviador falsificar la documentación.   para apoyar o cubrir el desvío.

  •   
  • El método de examen postmortem del sello no es suficiente para detectar un sello defectuoso o comprometido.

  •   
  • La ubicación y el método de aplicación del sello hacen que los sellos sean vulnerables   daños accidentales, proporcionando un historial de tales incidentes que podrían   ser utilizado para ocultar un ataque voluntario.

  •   

Después de eso, se enumeran algunos tipos aceptables de dispositivos que no pueden manipularse para almacenar los datos altamente confidenciales.

En el mismo año, el investigador R.G. Johnston publicó un artículo que describe algunas deficiencias en el RG 5.15 y el estándar de ese entonces ASTM F1158-88 protocolo. Johnston hizo un gran trabajo al proporcionar instrucciones claras para el proceso, combinando las ventajas de los estándares anteriores y parchando la mayoría de sus contras.

  

Una descripción detallada de los ataques exitosos. Para cada ataque el   Se debe proporcionar la siguiente información:

     
  • ¿El ataque es teórico, parcialmente demostrado, totalmente demostrado pero no perfeccionado, o practicado a la perfección?

  •   
  • ¿Cuál es el costo, el tiempo y el esfuerzo para diseñar y demostrar el ataque?

  •   
  • ¿Qué tiempo se requiere en el sitio para realizar el ataque?

  •   

..

     
  • ¿Cuál es el nivel de derrota?

  •   
  • ¿La información interna es necesaria para el ataque, o simplemente lo que está disponible públicamente?

  •   

A pesar de hallazgos y recomendaciones de Johnston , la ASTM F1158 sigue siendo el protocolo estándar de facto para evaluar los sellos de seguridad.

    
respondido por el Adi 21.07.2013 - 15:51
fuente
2

Esta es una publicación provisional para capturar información valiosa de Casey y John Deters 'comentarios. Todos son bienvenidos a editar esta publicación agregando detalles adicionales.

Casey:

  

También me gustaría ver los eventos del concurso Tamper Evident de DEF CON 21. Este será el tercer año en que se ejecutará y ya hay una cantidad decente de desvíos e información circulando ahora. Es probable que aumente, ya que este año están empezando en un Tamper Evident Village, donde todos pueden jugar con numerosos dispositivos Tamper Resistant / Evident / Proof

Nota: DEFCON 21 se llevará a cabo en Las Vegas, NV del 1 al 4 de agosto de 2013. Lo que sucede en Vegas, se queda en Vegas , dicen, pero espero que no sea así así que para las lecciones sobre Tamper Evident Packaging .

John Deters:

  

Los ataques DEFCON anteriores se pueden encontrar aquí: enlace

La nota de

Deer Hunter en Tamper Evident Wiki: las hazañas aquí no son realmente impresionantes. Sin embargo, hay algunos enlaces que vale la pena explorar:

( continuará )

EDITAR:

  • Abrir y volver a sellar bolsas de banco a prueba de falsificaciones: enlace
  • Otro video de Tamper-Evident de DEF CON 21: enlace
respondido por el Deer Hunter 17.03.2017 - 14:14
fuente

Lea otras preguntas en las etiquetas