¿Debe un sistema ser inseguro contra el acceso físico? Si es así, ¿por qué?

La respuesta fundamental es que el mercado realmente no quiere pagar por computadoras de propósito general que son seguras contra ataques físicos. Usted propone hacer concesiones, y esas compensaciones implican costos de ingeniería y costos operativos que solo preocupan a un pequeño número de compradores.

Algunos sistemas informáticos intentan hacer estas concesiones (por ejemplo, la Xbox) porque hay una razón del mercado (que reduce la piratería de juegos). Los fabricantes de cajeros automáticos y los fabricantes de máquinas de votación generalmente han optado por poner sus máquinas en gabinetes con llave.

Por supuesto, la mayoría de las formas de mitigar las amenazas están sujetas a nuevos ataques. Los bloqueos pueden ser seleccionados, el pegamento puede ser raspado o disuelto, por lo que un atacante tal vez pueda modificar el sistema incluso después de que se haya realizado todo este trabajo, lo que pone una presión adicional en la economía.

Otra solución es buscar evidencia de manipulación indebida sobre resistencia a manipulación indebida, y ese es el enfoque que generalmente utilizan los fabricantes de terminales de tarjetas de crédito. Por supuesto, allí, la evidencia de falsificación plantea la pregunta de "¿evidente para quién y cómo están capacitados?" La evidencia de manipulación es otro punto a lo largo del espectro económico.

Creo que algunas de las cosas que propones son factibles, pero entran en conflicto con la facilidad de uso, la flexibilidad o la libertad de uso esperadas. Otros toman ideas del mundo del software e intentan adaptarlo al hardware, pero no resuelven los problemas que ya tenemos en el lado del software. Pero algunas de las ideas ya se utilizan en la práctica.

Algunos ejemplos:

• Selle el hardware, péguelo sobre la mesa, destrúyalo cuando alguien intente abrirlo ... Existe un hardware autodestructivo, es decir, encuentra resistencia a la manipulación indebida en tarjetas inteligentes y quizás también en computadoras usadas con la más alta seguridad. ambientes Pero para uso general, solo afecta la facilidad de uso porque, ¿cómo sabe que el hardware está realmente manipulado de manera malintencionada y no solo se deja caer accidentalmente en el suelo? En el último caso, la mayoría de los usuarios esperan poder recuperar los datos del sistema roto, pero esto no sería posible si el sistema detecta un ataque y destruye los datos.
• El emparejamiento criptográfico seguro entre los componentes de hardware con las claves públicas-privadas, certificados, etc ... Simplemente observe el desorden que tenemos con los cientos de agencias de certificación dentro de los navegadores, con CA comprometida, etc. No mejorará si nos movemos esto al hardware. En realidad, dicho emparejamiento ya existe, pero principalmente para aplicar restricciones digitales (DRM) como con HDCP, etc.

En resumen: ganarías algo y perderías algo al mismo tiempo. En su mayoría, no puede obtener más seguridad sin renunciar a partes de usabilidad, flexibilidad o libertad de uso. El objetivo es encontrar el mejor equilibrio entre estos requisitos, pero esto, por supuesto, depende en gran medida del caso de uso.

Depende de lo que consideres una "computadora segura". La seguridad se define normalmente mediante la tríada de la CIA de confidencialidad, integridad y disponibilidad. Una vez que permite el acceso físico a un dispositivo, pierde la capacidad de mantener la disponibilidad. Es demasiado difícil hacer algo indestructible contra un adversario motivado y financiado cuando tienen control físico sobre él.

Pero podemos considerar la confidencialidad y la integridad. Por ejemplo, un dispositivo que tiene una fuerte detección de manipulación y resistencia que destruye los datos cuando se detecta la manipulación podría decirse que es seguro incluso cuando se pierde la seguridad física. Eso no solo es alcanzable, sino que existen estándares para productos tales como FIPS 140-2 Nivel 3 : / p>

  

FIPS 140-2 Nivel 3 agrega requisitos para la resistencia a la manipulación física (lo que dificulta que los atacantes obtengan acceso a la información confidencial contenida en el módulo) y la autenticación basada en identidad, y para una separación física o lógica entre las interfaces mediante qué "parámetros de seguridad críticos" entran y salen del módulo, y sus otras interfaces.

Pero cumplir con tales criterios es costoso. Puede encontrar medios de almacenamiento y procesadores criptográficos compatibles con FIPS 140-2 Nivel 3, pero no sistemas informáticos completos. Simplemente termina siendo más barato bloquear la computadora en una habitación, ponerle una alarma y contratar seguridad que a las computadoras de producción masiva que pueden protegerse contra ataques físicos.

Hay tres problemas.

1. Por definición, alguien que tiene acceso físico sobre un sistema ya rompe la seguridad.
2. El hardware está hecho para ser compatible
3. El hardware tiene mucho más y mucho más severos vectores de ataque

  

Mi pregunta es, es que solo los fabricantes de hardware apestan a la seguridad,   o hay una razón intrínseca que es verdadera. Puedes crear sistemas   que son seguros contra el acceso físico?

Es poco probable que el acceso físico signifique que un sujeto no autorizado ha compartido el acceso a un sistema debido a la naturaleza misma del acceso físico.

Por lo tanto, si el acceso físico se define como tener control exclusivo sobre un sistema : La definición misma de seguridad de la información se basa en la confidencialidad, integridad y disponibilidad de los datos:

  

"Preservación de la confidencialidad, integridad y disponibilidad de la información". (ISO / IEC 27000: 2009)

Si los datos se almacenan dentro de un sistema físico y este sistema es tomado físicamente en posesión por alguien no autorizado, la disponibilidad y, por lo tanto, la seguridad del sistema ya se han perdido. Esta es la definición de facto de seguridad de la información. Si alguien controla un servidor exclusivamente, la información ya no es segura. Este es solo un aspecto.

  

¿Los fabricantes de hardware simplemente apestan a la seguridad?

No, pero la mayoría de ellos priorizan la facilidad de uso y el desarrollo rápido en lugar de incluir características que podrían no mejorar los componentes.

Además del hecho de que el hardware está diseñado para ser compatible y usar protocolos abiertos, el acceso físico permite muchos más vectores de ataque como el arranque en frío o la entrada de tuberías (keyloggers de hardware) o la salida (ataques de canal lateral como Van Eck). Si bien es posible defenderse contra tales ataques, el esfuerzo no guarda relación con el efecto . Los ataques basados en hardware no son la forma habitual en que se infectan las computadoras y, para áreas de alta seguridad, existen políticas de seguridad que cubren el acceso físico.

Entonces, aunque sea completamente poco práctico, ¿es imaginable un sistema físico seguro?

Sí, pero estará especializado y limitado por su incompatibilidad. Todo su hardware debe estar controlado por protocolos de código cerrado y los datos deben estar encriptados en tiempo de ejecución de manera que sean inaccesibles incluso para las personas que poseen el sistema físicamente. Además, este sistema no debe tener una HCI, ya que cada interfaz con la que interactúan los seres humanos es per se insegura. Esto se debe a que cada entrada no controlada por el propio sistema puede interceptarse cuando se ingresa, y no hay forma de controlar qué sujetos pueden ver, por ejemplo, una salida visual. No hace falta decir que este sistema tendría que ser completamente inaccesible internamente, lo que significa que es indestructible, para evitar que se desarme y se realice ingeniería inversa.

Además, este no interfiere con el principio de Kerckhoff, ya que para que un sistema físico sea 100% seguro, debe ser imposible realizar ingeniería inversa de todos modos , y bajo esta restricción, el principio de Kerckhoff no se aplica .

Al final, sería un sistema realmente teórico y limitado con cero usabilidad.