Re: Bezpečnostní riziko v čipech ESP32: Nebezpečí "zadních vrátek" ...

[Pavel Kutina]

Ona je to možná trochu bouře ve sklenici vody. Osobně mám menší strach z 
průsaku informací z ESP32, než z kávovaru, robotického vysavače, pračky, 
sušičky, televize, teploměru, chytré zásuvky - kde ten bezpečnostní audit s 
velkou pravděpodobností nikdo nedělal, kde je kód uzavřený a povídá si s 
domovským cloudem "by design". A to nemluvím o telefonech, které mají 
přístup vlastně úplně ke všemu.

Takže jo - dokud tedy někdo neudělá odpalovací červené tlačítko, řízené 
ESP32. Pak už to bude stejně jedno.

Pavel Kutina



----- Original Message ----- 
From: "Pavel Kořenský" <pavel.korensky na dator3.cz>
To: <hw-list na list.hw.cz>
Sent: Monday, March 10, 2025 10:26 AM
Subject: Re: Bezpečnostní riziko v čipech ESP32: Nebezpečí "zadních vrátek" 
...


Zdravím,

já o té chybě četl už ten den, kdy se první zmínka objevila na Bleeping
Computer webu. Tehdy ten článek ještě obsahoval informaci o "zadních
vrátkách".

Nicméně, pokud je pravda, že zneužití je možné pouze při fysickém
přístupu k zařízení a je nutno k ESP32 cosi fysicky připojit, aby bylo
možné nedokumentovanou funkcionalitu zneužít, pak se opravdu o "zadní
vrátka" nejedná. Jedná se "pouze" o nedokumentovanou funkcionalitu která
může být nebezpečná, pokud bude zneužita.
V oblasti počítačové bezpečnosti se termín "zadní vrátka" opravdu
používá (resp. měl by se používat) pouze pro utajenou funkcionalitu,
kterou lze bezprostředně zneužít bez vědomí majitele zařízení.

Ale rozhodně je dobré o tomto risiku vědět. Na druhé straně je dobré si
uvědomit, že pokud k jakémukoli zařízení má útočník fysický přístup,
může si s ním dělat cokoli. V krajním případě ho vyměnit za zařízení
zcela jiné, ale na pohled stejné.

Zdraví PavelK

Dne 10.03.2025 v 10:01 Jindrich Fucik napsal(a):
> Ahoj vespolek,
>
> koukám na článek 'Bezpečnostní riziko v čipech ESP32: Nebezpečí "zadních 
> vrátek" ve stovkách miliónů zařízení. Je to opravdu tak vážné?'
> https://chiptron.cz/news.php?readmore=1607
>
> Je možné takový článek najít na různých místech. Je hezké, jak se 
> marketing snaží přetlačit fakta. Tedy konkrétně - vždy najdete jako první 
> a nejvíce protlečovanou reakci, že co je to backdoor a co je to technický 
> upgrade.
> Když jsem byl ještě malej a chodil jsem do školy, tak jsme se učili, že 
> pokaždé, když mám v kódu neznámou (nedokumentovanou) funkcionalitu, je 
> nutné jí považovat za bezpečnostní riziko. Zejména proto, že autor 
> zařízení pracuje s nějakým předpokladem, který se nezakládá na pravdě a 
> extrémně stoupá riziko, že se najde někdo, kdo dokáže využít konsekvence 
> chtěného a nechtěného kódu ve svůj prospěch. V zásadě to samé platí v 
> případě, že mám kód, který je možné nějakým způsobem donutit k výjimce 
> (zhroucení/sestřelení). Protože to znamená, že mohu poslat program někam, 
> kde to nikdo nečekal a je jen otázka času, než se najde někdo, kdo z toho 
> bude profitovat. (v minulosti se používala chyba v příkazu "ping" k 
> lokálnímu zvýšení práv přihlášeného uživatele)
>
> Takže z mého pohledu je to riziko významné a je jen otázka času, než se 
> někdo naučí z něj profitovat OTA.
>
> Velmi zvláštní je, že zatím celkem fungují snahy ho zametat pod koberec. 
> Přitom je to riziko prokázané. Když to srovnám třeba s kauzou Huawej, kde 
> se riziko nikdy neprokázalo, tak mi to přijde řekněme zvláštní. Ale možná 
> je to o tom, že hlavní aktér kauzy Huawej aktuálně přemejšlí, jestli bude 
> Grónsko kupovat, nebo okupovat.
>
> Mno, tak snad jen pro místní komunitu - upgradněte si své hráče v domácí 
> automatizaci.
> _______________________________________________
> HW-list mailing list  -  sponsored by www.HW.cz
> Hw-list na list.hw.cz
> http://list.hw.cz/mailman/listinfo/hw-list


_______________________________________________
HW-list mailing list  -  sponsored by www.HW.cz
Hw-list na list.hw.cz
http://list.hw.cz/mailman/listinfo/hw-list