Переделать Интел в БЭСМ-6

[vak]

По ссылке народ раскусил формат интеловского микрокода и научился подменять машинные команды. Могу предложить достойную задачу: заменой микрокода превратить процессор Intel Atom в БЭСМ-6.

https://www.offensivecon.org/speakers/2022/maxim-goryachy.html

Comments

[spamsink]

Интересно, как у них устроен менеджмент этого магического ключа. Есть ли хоть один человек, который его знает, или он распределён между разными людьми, которых всех одновременно не подкупишь?

[ircicq]

Технически можно реализовать в виде опломбированного компьютера.
1. Ключ сгенерировался внутри и никогда не вылезал наружу
2. Компьютер принимает файлы на вход и выдаёт подписанные на выходе
3. При попытке вскрыть - уничтожает ключ. но это убъёт возможность выпуска новых прошивок

но может быть в CPU прописано несколько ключей. И если выходит из строя один генератор, у Intel припасены запасные.

Такая схема гарантирует что ключа нет ни у кого из сотрудников. Могут только физически украсть компьютер. Но опять же можно встроить саморазрушение на случай перемещения с места

[spamsink]

Это работает, но тогда нужно предусмотреть защиту от несанкционированного использования этого компьютера, защиту от модификации логов сеансов подписывания файлов, и т. п. То есть вопрос, сколько человек надо подкупить, чтобы скрытно получить произвольный подписанный файл, всё равно остаётся.

[ircicq]

Как только обнаружатся левые подписанные файлы, начнётся расследование, усилят Секьюрити

Для компании это не так опасно как утечка ключа, которая необратима

[is39]

Хранение таких секретов - довольно стандартная задача (не то, что идеально решенная, но решаемая на практике) - например для хранения ключей в CA (Certificate Authority), DNSSEC и других "high value" секретов.

Обычно используется HSM (Hardware Security Module) с одной из схем Secret Sharing, реализованных через смарт-карты у персонала:
https://en.wikipedia.org/wiki/Hardware_security_module
https://en.wikipedia.org/wiki/Secret_sharing