Libertonia
Portada · Todo · Software Libre · Desarrolladores · Comunidad · Internet · Tecnología · Meta · Diarios
Ver: Modo: Orden:
Driver GPL para TCPA | 20 comentarios (20 temáticos, editoriales, 0 ocultos)
Registrar las claves (none / 0) (#16)
por Envite a las Wed Feb 5th, 2003 at 11:47:16 PM CET
(Información Usuario)

Si mi proveedor TCPA registrara las claves, simplemente no usaria la clave maestra TCPA para nada. Hay esquemas mucho m'as seguros hoy en dia. Por ejemplo, solo yo puedo firmar con mi clave privada GPG.
No estoy de acuerdo con lo que dices, pero defenderé con mi vida tu derecho a decirlo.
Voltaire

[ Padre ]


Pero esa clave no es "confiable" (4.00 / 1) (#17)
por jorginius ("jorginius" en Google Mail) a las Thu Feb 6th, 2003 at 12:41:00 AM CET
(Información Usuario) http://www.rodriguezmoreno.com

...Y hay muchos posibles usos de TCPA que obligarían a usar una llave confiable. Por ejemplo, si alguna empresa de software diseña un sistema anticopia o de distribución de contenidos basado en TCPA, usará evidentemente la clave del TPM ya que el usuario no la puede extraer (y así no puede instalar/ejecutar el software en otra máquina). También se usaría esta llave para implementar un control de acceso para ciertas máquinas a recursos sensibles.

Por otro lado, nunca podrías estar seguro al 100% de que el fabricante no guarda las llaves. Incluso si hubiera una ley que prohibiese hacer las copias, no tendrías forma de saber si se cumple o no.

Hay esquemas mucho m'as seguros hoy en dia. Por ejemplo, solo yo puedo firmar con mi clave privada GPG.

GPG no es equivalente a TCPA en funcionalidades (este último es, salvando las distancias, como tener parte de OpenSSL implementado en hardware), pero ya que sacas el tema, ten en cuenta de que la seguridad con GPG tiene un punto flaco, que es la (falta de) confianza. ¿Quién respalda que la clave pública que acabo de recibir es tuya (de tu máquina) y no de otra persona que dice ser tú?. Para que GPG funcione, necesita al final de un canal de distribución para la llave pública que sea confiable (e.j: de mano en mano, mostrando el DNI), de otra manera la gente no firmará (o no debería firmar) tu clave. Sin firmas no hay anillo de confianza y GPG casi se vuelve inútil.

Por mucho que tu firmes con tu privada, si no me has dado en mano tu pública (o esta no ha sido firmada por X personas de mi total confianza, a las que tendrás que haber mostrado tu clave con anterioridad), no puedo saber si realmente eres tú el que firma.

TCPA tampoco es comparable a GPG en sus objetivos: GPG no provee de mecanismos para que el software "se asegure" de que está corriendo en el hardware donde debería correr y no sobre un ICE o sobre un PC no autorizado. Por ahí esta añadiendo un grado más de paranoia.

Mira, un uso que se me acaba de ocurrir de TCPA y que no podría realizarse con GPG (o por software). Coges el compilador y lo modificas de tal forma de que, al realizar una llamada anidada, introduzca código para que saque el resumen de la dirección de retorno antes de meterla en la pila y al final de la llamada, cuando nos preparamos para retornar, haga de nuevo el hash de la dirección y compruebe si ambos resúmenes cuadran. Si no es así, aborta el proceso. ¿Qué se consigue con esto?: virtualmente acabar con todos los buffer overflows 8-), y como es una solución hardware, el rendimiento no se resiente demasiado y es muy difícil de atacar.

Esquemas de seguridad informática (tarjetas inteligentes, biometría, controladoras de disco "cifradoras", etc) hay un montón, y seguro que muchos de ellos son tanto o más seguros que TCPA, pero éste tiene la ventaja de que será barato, más que nada porque vendrá de serie.

[ Padre ]


Opinamos distinto, pero es lo bonito de Libertonia (none / 0) (#18)
por Envite a las Thu Feb 6th, 2003 at 10:01:23 AM CET
(Información Usuario)

"Amos" a ver... lo primero, lo de la direccion de retorno y tal, creo que lo entiendo, pero no soy informatico, y programando no voy mas abajo de C (y gracias, que eso ya es sumergirme, mi nivel de superficie es matlab/basic).
Pero bueno. A lo que "ibanos". Si una empresa diseña un sistema anticopia o de distribución de contenidos basado en TCPA, me obliga a utilzar esos contenidos en un solo PC. Eso es DRM, que no es uno de los objetivos de TCPA, aparte de que puede ser ilegal. Yo tengo derecho a utilizar mis programas y mis contenidos en cualquier PC, siempre que lo haga en un solo PC a la vez (uno por licencia, claro). En realidad el unico valor claro de acceso de maquina confiable a recursos sensibles lo encuentro dentro de una oficina, donde se suponga que el ordenador del administrador de cuentas solo lo puede usar el administrador de cuentas, por ejemplo. Y en ese caso no hace falta que el fabricante te certifique las claves, lo puede hacer el sysadmin, ya que tiene acceso a la maquina que se va a considerrar "confiable" a partir de ese momento.
En cuanto a que no se puede confiar en que el fabricante no guarde las claves, precisamente por eso no me gusta la idea de usar la clave hardware de TCPA (llamemosla asi) para nada.
En cuanto a la seguridad de GPG (de OpenPGP en general), es evidente que tiene ese punto flaco que comentas, pero es el unico sistema (u otros semejantes) que permite comprobar la identidad de una persona, no de un PC. Y si yo, al registrarme en un servicio, doy mi clave publica (como una lista de correo), pueden estar seguros de que solo yo escribo correo y solo yo lo leo. El unico problema es si menti al registrarme, pero eso tambien puede pasar con los servicios basados en la clave hardware TCPA. Por ejemplo, yo doy mi clave publica GPG al registrarme, por correo-e, en mi grupo de usuarios de Linux. A partir de ese momento puedo incluso participar en votaciones por correo, ya que solo yo puedo emitir ese voto que va con mi firma. En cuanto a si me registre con mi propio nombre o no, es lo de menos, Para eso pago la cuota.
Bueno, en una cosa si estoy totalmente de acuerdo contigo, GPG y TCPA no solo son cosas distintas sino con objetivos distintos. Solo trato de "demostrar" que no es necesario, para ningun uso legal, usar la clave hardware TCPA.

A mandar
No estoy de acuerdo con lo que dices, pero defenderé con mi vida tu derecho a decirlo.
Voltaire

[ Padre ]


De acuerdo con tu comentario (3.00 / 1) (#19)
por jorginius ("jorginius" en Google Mail) a las Thu Feb 6th, 2003 at 04:28:31 PM CET
(Información Usuario) http://www.rodriguezmoreno.com

Pero añado una aclaración de algo que has dicho que, aunque no tiene mucho que ver con el tema, se me antoja incorrecto.

Yo tengo derecho a utilizar mis programas y mis contenidos en cualquier PC, siempre que lo haga en un solo PC a la vez (uno por licencia, claro).

Me temo que ese "derecho" depende de las condiciones de uso del software. No es un derecho inalienable ni nadie te lo garantiza "por ley".

En el caso de la CLUF de Microsoft se especifica claramente que la licencia es para una única máquina. Aunque tengamos dos PC y no vayamos a usar los dos a la vez, necesitamos sendas licencias (o bien instalar/desinstalar continuamente el software: surrealista pero cierto :-)).

También prohibe expresamente "compartir" las licencias (por ejemplo, instalar el software en un servidor central y acceder mediante terminal server, o simplemente ceder tu asiento a un compañero para que trabaje con tu ordenador: ambos necesitais una licencia para hacerlo).

Te pongo el ejemplo de Microsoft por ser quizás el más conocido, pero hay muchas otras empresas que van más allá. Por ejemplo, es habitual que te cobren las instalaciones: te licencian el programa para una sola máquina (se aseguran de que no funciona en otra) y, si cambias tu hardware, tienes que pagar a un técnico de la empresa de desarrollo para que te visite, inhabilite la copia antigua y te instale otra en el nuevo PC.

TCPA no es un "refuerzo" para el cumplimiento de las licencias y quizás tampoco sea uno de sus objetivos serlo... Pero podría usarse para eso también. Es un posible uso más, entre otros muchos.

[ Padre ]


Toy de acuerdo (none / 0) (#20)
por Envite a las Tue Feb 11th, 2003 at 01:47:04 AM CET
(Información Usuario)

pos eso
No estoy de acuerdo con lo que dices, pero defenderé con mi vida tu derecho a decirlo.
Voltaire

[ Padre ]


 

Driver GPL para TCPA | 20 comentarios (20 temáticos, editoriales, 0 ocultos)
Ver: Modo: Orden:
Menu
· crear cuenta
· FAQ
· búsqueda
· Fuentes de Noticias

Login
Nueva cuenta
Usuario:
Contraseña:

ecol Logo Powered by Scoop
Todas las Marcas Registradas y copyrights de esta página son propiedad de sus respectivos dueños.
Los comentarios son propiedad del que los escribe.
Los iconos de las noticias y el logotipo son propiedad de Javier Malonda.
El Resto © 2002 Escomposlinux.org y aledaños.

Puedes sindicar los contenidos de libertonia en formato RSS 1.0 y RDF 0.9. También se puede sindicar la cola de envíos pendientes de moderación.

El proyecto escomposlinux.org está dedicado a la memoria de tas

crear cuenta | faq | búsqueda