Группа экспертов по безопасности встраиваемых устройств представила (http://www.devttys0.com/2010/12/breaking-ssl-on-embedded-dev.../) проект LittleBlackBox (https://code.google.com/p/littleblackbox/), в рамках которого собрана коллекция секретных SSL-ключей, поставляемых в комплекте с различными встраиваемыми устройствами. С практической точки зрения, подобрав в коллекции ключ для заданного устройства, можно организовать расшифровку генерируемого данным устройством SSL-трафика (например, SSL-ключи используются для шифрования работы в административном web-интерфейсе через HTTPS или для создания VPN).
В настоящее время в коллекции насчитывается более двух тысяч ключей для почти 500 встраиваемых устройств, среди которых беспроводные маршрутизаторы, сетевые шлюзы и ADSL-модемы таких производителей, как Cisco/Linksys, D-Link, Asus, Compex, Ubiquiti, Nokia, Netgear, Motorola и т.п. Ключи выделены из общедоступных прошивок. В представленной БД закрытые ключи поставляются в комплекте с...URL: http://www.devttys0.com/2010/12/breaking-ssl-on-embedded-dev.../
Новость: https://www.opennet.ru/opennews/art.shtml?num=29102
Даже самый хитрый метод шифрования бессилен против пароля "123"
и думаете это что-то поменяет? Нет и еще раз нет. Так ведь и сертификацию можно не пройти у безопасников и продавать устройство в стране не разрешат. Так что все это не случайно или недосмотр - это целенаправленная политика
Какая сертификация у открытых прошивок - openwrt или tomato, например?
А самому этот ключ перегенерить можно?
Думается приборы умеющие OpenWRT спасут ситуацию.
Ваше высказывание кратко можно охарактеризовать как "газификация лужи".
Пруф:
Если у человека хватит ума поставить альтернативную прошивку, то возможно он наверное (но не обязательно) сможет и ссл ключ поменять.
Но таких людей - 1 на 100.
А что делать обычным леммингам, которые даже на задумываются над тем что ССЛ ключ может быть уникальным не для отдельного устройства а для всей линейки в 100 тыж штук? А ведь полно контор которые проводят инет и сами подключают клиентам вайфай, они даже парится небудут над установкой опенврт. И в даном случае даже обычный WPA preshare key значительно надежней чем такого рода сертификат.
> А что делать обычным леммингам, которые даже на задумываютсяС таким подходом - разве что стену и место для разбега поискать.
Ну признайся же, что фигню сказал. На мой вопрос человек нормально ответил, тебе смысла не было влезать.
> А что делать обычным леммингам, которые даже не задумываются над тем что ....
По российским законам, несанкционированное использование шифрования - нарушение закона. А использование при этом неподконтрольной прошивки - видимо вообще вопиющее действие )
На андроиде с рутованной прошивкой можно. например )
> А самому этот ключ перегенерить можно?В Zyxel'ях сертификат генерится на основе MAC адреса, кроме того сертификаты можно импортировать.
>В Zyxel'ях сертификат генерится на основе MAC адресаА чем это надежней? MAC адрес то известен
как минимум убивает возможность словарного перебора. Генерация (пусть даже "на основе") уже весьма серьёзный шаг.
1. для доступа к прибору надо юзать отдельную сеть без юзеров.
2. для доступа к прибору надо юзать выделеный комп в этой сети.
3. для доступа к прибору из долёка надо юзать выделеный комп с SSH.
Не всегда в таких приборах есть SSH. Недавно настраивал TPLink - там только хттп и телнет.
> Не всегда в таких приборах есть SSH. Недавно настраивал TPLink - там
> только хттп и телнет.ключевое слово "выделеный комп", на него залогинется, а там уж телнет или СОМ-порт.
А разве использование коммутаторов не сводит на нет всю прелесть Promiscuous mode?Вообще, где может найти применение эта фича? В Ethernet ведь уже не послушать трафик с других компов просто так...
> А разве использование коммутаторов не сводит на нет всю прелесть Promiscuous mode?
> Вообще, где может найти применение эта фича?Где, где, .... в разрыв кабеля суёшь и дампишь, дома распарсиваешь.
Залезь в любом доме на последний этаж, там столько проводов висит :)
> В Ethernet ведь уже не послушать трафик с других компов просто так...
Интересно, а почему криптосмартфоны и другие устройства для шифрования телефонных переговоров обязательно сертифицировать в ФСБ? Там что, в процессе сертификации аналогичные ключи что ли они получают? Соответственно- а существует ли возможность перехвата и прослушивания скайп-траффика?
как-то так
http://www.bfm.ru/news/2010/08/12/indija-vydvinula-ultimatum...
> обязательно сертифицировать в ФСБ? Там что, в процессе сертификации аналогичные ключи
> что ли они получают?На сколько я понимаю требования к сертификации только для госорганизаций и т.п. актуальны. На счет личного использования никаких законов/требований я не знаю. А с чего вы взяли что ключи на сертифицированных устройствах будете генерировать Вы а не Они?
Объясните тупому, зачем хранить ключик в прошивке, ведь можно генерить при первом запуске/ресете?
В некоторых, особо извращенных, девайсах могут быть проблемы с дальнейшим сохранением ключа, например, если (почти) вся внутренняя FS девайса в read only.
во *всех* девайсах есть память доступная для записи для хранения настроек (ssid и пароль например). сохранить туда ключ - задача просто элементарная.
Угу, только памяти там этой сотня-другая байт, и каждый байт уже подо что-то зарезервирован. И воткнуть туда какой-нибудь 4096bit rsa ключ весьма затруднительно.P.S. Если ничего не путаю, то у меня как раз старенький роутер от асуса так работал. 8 метров флэша под прошивку и сколько-то там байт (подозреваю, что 256) под настройки (скорее всего, это объем флеша броадкомовской SoC). Доступа к основному флешу на запись у девайса нет (только при заливке прошивки).
Потом openwrt туда залил - теперь вся конфа хранится в основной флеш-памяти в обычных файлах в /etc.
в броадкомоподобных роутерах на флеше есть раздел с настройками. и размер у него не сто-двести байт, а около 32k, и большая его часть не занята.
к тому же, у моего девайса всего 2Мб, а всё есть.
Возможно, пример с асусовским роутером был не самый удачный, но в существовании девайсов с очень ограниченным объемом NVRAM, куда не влезут ключи, я не сомневаюсь.P.S. Это в современных устройствах на энергонезависимую память не жадничают, в более древних и дешевых все не так радужно (особенно, если прошивка в простом ПЗУ).
> Объясните тупому, зачем хранить ключик в прошивке, ведь можно генерить при первом
> запуске/ресете?Браузеры будут ругаться, что ключ не заверен центром сертификации.
>> Объясните тупому, зачем хранить ключик в прошивке, ведь можно генерить при первом
>> запуске/ресете?
> Браузеры будут ругаться, что ключ не заверен центром сертификации.Он и так ругается. Никому не надо купленный сертификат(а у него ещё срок действия может быть маленький!) с приватным ключом впиливать в легкодоступную прошивку.
DD-WRT v24-sp2 (10/10/09) stdIt Works!!!
я чего то во всем этом ни разу не увидел слова ZyXel.
Они что дартаньяны? на фоне остальных...
Или неуловимые Джо?
всем доброго вечера, а вот у меня вопрос: А что по поводу дешифровки ssl-трафика с сайтов? Если трафик перехватят на стороне провайдера, они тогда тоже имеют все шансы его дешифровать?