Libertonia || Comments || Driver GPL para TCPA


Portada · Todo · Software Libre · Desarrolladores · Comunidad · Internet · Tecnología · Meta · Diarios

Driver GPL para TCPA | 20 comentarios (20 temáticos, editoriales, 0 ocultos)

Pero esa clave no es "confiable" (4.00 / 1) (#17)
por jorginius ("jorginius" en Google Mail) a las Thu Feb 6th, 2003 at 12:41:00 AM CET
(Información Usuario) http://www.rodriguezmoreno.com

...Y hay muchos posibles usos de TCPA que obligarían a usar una llave confiable. Por ejemplo, si alguna empresa de software diseña un sistema anticopia o de distribución de contenidos basado en TCPA, usará evidentemente la clave del TPM ya que el usuario no la puede extraer (y así no puede instalar/ejecutar el software en otra máquina). También se usaría esta llave para implementar un control de acceso para ciertas máquinas a recursos sensibles.

Por otro lado, nunca podrías estar seguro al 100% de que el fabricante no guarda las llaves. Incluso si hubiera una ley que prohibiese hacer las copias, no tendrías forma de saber si se cumple o no.

Hay esquemas mucho m'as seguros hoy en dia. Por ejemplo, solo yo puedo firmar con mi clave privada GPG.

GPG no es equivalente a TCPA en funcionalidades (este último es, salvando las distancias, como tener parte de OpenSSL implementado en hardware), pero ya que sacas el tema, ten en cuenta de que la seguridad con GPG tiene un punto flaco, que es la (falta de) confianza. ¿Quién respalda que la clave pública que acabo de recibir es tuya (de tu máquina) y no de otra persona que dice ser tú?. Para que GPG funcione, necesita al final de un canal de distribución para la llave pública que sea confiable (e.j: de mano en mano, mostrando el DNI), de otra manera la gente no firmará (o no debería firmar) tu clave. Sin firmas no hay anillo de confianza y GPG casi se vuelve inútil.

Por mucho que tu firmes con tu privada, si no me has dado en mano tu pública (o esta no ha sido firmada por X personas de mi total confianza, a las que tendrás que haber mostrado tu clave con anterioridad), no puedo saber si realmente eres tú el que firma.

TCPA tampoco es comparable a GPG en sus objetivos: GPG no provee de mecanismos para que el software "se asegure" de que está corriendo en el hardware donde debería correr y no sobre un ICE o sobre un PC no autorizado. Por ahí esta añadiendo un grado más de paranoia.

Mira, un uso que se me acaba de ocurrir de TCPA y que no podría realizarse con GPG (o por software). Coges el compilador y lo modificas de tal forma de que, al realizar una llamada anidada, introduzca código para que saque el resumen de la dirección de retorno antes de meterla en la pila y al final de la llamada, cuando nos preparamos para retornar, haga de nuevo el hash de la dirección y compruebe si ambos resúmenes cuadran. Si no es así, aborta el proceso. ¿Qué se consigue con esto?: virtualmente acabar con todos los buffer overflows 8-), y como es una solución hardware, el rendimiento no se resiente demasiado y es muy difícil de atacar.

Esquemas de seguridad informática (tarjetas inteligentes, biometría, controladoras de disco "cifradoras", etc) hay un montón, y seguro que muchos de ellos son tanto o más seguros que TCPA, pero éste tiene la ventaja de que será barato, más que nada porque vendrá de serie.

[ Padre ]

Others have rated this comment as follows:

Envite

Driver GPL para TCPA | 20 comentarios (20 temáticos, editoriales, 0 ocultos)

Menu

· crear cuenta
· FAQ
· búsqueda
· Fuentes de Noticias

Login


Nueva cuenta
Usuario:
Contraseña:

Todas las Marcas Registradas y copyrights de esta página son propiedad de sus respectivos dueños.
Los comentarios son propiedad del que los escribe.
Los iconos de las noticias y el logotipo son propiedad de Javier Malonda.
El Resto © 2002 Escomposlinux.org y aledaños.

Puedes sindicar los contenidos de libertonia en formato RSS 1.0 y RDF 0.9. También se puede sindicar la cola de envíos pendientes de moderación.

El proyecto escomposlinux.org está dedicado a la memoria de tas

crear cuenta | faq | búsqueda