Comments 26
Извините, дичь какая-то, ИМХО.
Во-первых отправлять кому-то коды от своих ворот — это не безопасно, даже если есть возможность их отозвать.
Хотя-бы потому, что этот «кто-то» сможет собрать БД с ключами от всех ворот, которые через него проходили. А если пользователь будет достаточно грамотным, то и он сможет )))
Ворота созданы для безопасности, а Вы предлагаете их отдать «дяде» с «неломаемыми серверами» :)
Во-вторых:
В-третьих, у тех, у кого несколько таких устройств — например ворота на участок + гараж — это решается c помощью мультибрелока, который имеет по одной кнопке на запомненное устройство и стоит копейки, а сейчас и штатно делают, если покупаешь от одной фирмы.
Остается интересным только режим с GPS, типа «подъехал — открылось», но, такое уже есть на основе радиометок/маячков, и там не нужен никакой GPS — важно расстояние до ворот и все. Работает проще, точнее и надежней + делают штатно (теже производители).
Ну и небольшой пипец, который может случиться — рассинхрон реального брелока из-за применения GATORа тоже никто не отменял. И придется другу, к которому ты приехал на один раз, в мороз выходить и в ручную синхронизировать его брелок, которым он поделился с тобой, с воротами. Ибо счетчик (последовательность) съехала из-за вклинивания GATOR-а, и сейчас в базе ворот для данного брелока счетчик не соответствует тому, что помнит брелок.
Во-первых отправлять кому-то коды от своих ворот — это не безопасно, даже если есть возможность их отозвать.
Хотя-бы потому, что этот «кто-то» сможет собрать БД с ключами от всех ворот, которые через него проходили. А если пользователь будет достаточно грамотным, то и он сможет )))
Ворота созданы для безопасности, а Вы предлагаете их отдать «дяде» с «неломаемыми серверами» :)
Во-вторых:
у него въезд на территорию закрыт автоматическими воротамиСейчас либо есть брелоки и они работают очень далеко, либо ворота открываются с телефона. Достаточно просто позвонить другу «Я на месте» — и он откроет тебе ворота.
В-третьих, у тех, у кого несколько таких устройств — например ворота на участок + гараж — это решается c помощью мультибрелока, который имеет по одной кнопке на запомненное устройство и стоит копейки, а сейчас и штатно делают, если покупаешь от одной фирмы.
Остается интересным только режим с GPS, типа «подъехал — открылось», но, такое уже есть на основе радиометок/маячков, и там не нужен никакой GPS — важно расстояние до ворот и все. Работает проще, точнее и надежней + делают штатно (теже производители).
Ну и небольшой пипец, который может случиться — рассинхрон реального брелока из-за применения GATORа тоже никто не отменял. И придется другу, к которому ты приехал на один раз, в мороз выходить и в ручную синхронизировать его брелок, которым он поделился с тобой, с воротами. Ибо счетчик (последовательность) съехала из-за вклинивания GATOR-а, и сейчас в базе ворот для данного брелока счетчик не соответствует тому, что помнит брелок.
Вооот, и я тоже вначале так подумал, дичь какая-то. Это и есть первый взгляд на GATOR. :)
Ну, похоже, что взгляд этот самый правильный :)
Я где-то ошибся в своих выводах?
Если да — расскажите где.
Ибо применять устройство, снижающее безопасность к устройству, которое служит для повышения безопасности, без видимого профита — это реально дичь. Причем еще и купленная за свои-же деньги.
Я где-то ошибся в своих выводах?
Если да — расскажите где.
Ибо применять устройство, снижающее безопасность к устройству, которое служит для повышения безопасности, без видимого профита — это реально дичь. Причем еще и купленная за свои-же деньги.
Вы вольны предоставлять ключ только тем кому доверяете. И как вы представляете сбор ключей? Ну Вам скажем удастся каким-то образом «выдернуть» состав ключа из набора байтов, а как вы поймете как его расшифровать/шифровать? И как поймете сколько насчитал счетчик? Если у вас есть алгоритмы шифрования и ключи шифрования, то вы итак можете «украсть» ключ из радиоэфира и открывать что хотите. Сейчас NFC/RFID есть во многих смартфонах, и для кого-то дичь это рассчитываться «со смартфона», GATOR это кусочек который «прилепляясь» к смартфону дает ему модуль RF приемопередатчика, а как вы будете его использовать, дело ваше.
Вы вольны предоставлять ключ только тем кому доверяете.Я доверяю своему другу, я не доверяю вам и вашей инфраструктуре — вот разница.
И как вы представляете сбор ключей?Они проходят через инфраструктуру GATOR-а? Ну значит все.
А расшифровывать — а зачем, если у злоумышленника будет модуль GATOR-а?
Инфраструктуру взламывали и у гораздо бОльших компаний. Ну а имея базу и само устройство, а также приложение дальше можно уже делать любые чудеса.
Счетчик :) У многих производителей есть окно на счетчик например +-10 итераций последовательности, можно и подобрать, имея предыдущее значение, или даже не имея.
Вы мне лучше объясните, как ваша система счетчик будет обновлять, если она — лишь копия физического ключа со счетчиком. При выходе из окна отсчетов. Тоже перебором?
Т.е. пример:
- друг дал ключ от своего брелока
- друг открыл/закрыл своим брелоком n раз — он ведь живет там
- тут приехал я с GATOR-ом и? Там хранится старая последовательность из п.1, как генерить будете?
Они проходят через инфраструктуру GATOR-а? Ну значит все.
А расшифровывать — а зачем, если у злоумышленника будет модуль GATOR-а?
Метод атаки опишите? Доступа у вас нет, сервер вам не дает ключ.
О чем говорите не имеете вообще представления, в статье описана общая информация, никаких отсылок на инфраструктуру, поэтому и сколь угодно качественных методов атаки и возникнуть не может. Это уже балаболка получается, вы гнете мысль о том что идея плохая, я вас понял и в первом комментарии. Спасибо, я вас услышал.
Вы так и не поняли посыл.
Еще раз, от «балаболки» тому кто в бронепоезде:
1. Доверять непроверенной инфраструктуре нельзя, ломают все
2. Тем более — чувствительную информацию какому-то стартапу.
Т.е. если получили доступ к инфраструктуре — прощай ключики.
Недобросовестный сотрудник слил, хаккеры постарались — это уже вторично.
Или у вас сертификаты пентестов есть вашей инфраструктуры, серверов и т.д.? Может показать?
Приложение получает ключ? Значит, на клиенте его можно перехватить. Да, это позволяет перехватывать только те ключи, которые дали лично тебе, но вполне позволяет.
Например, ты вообще цемент мужику везешь какому-то, он тебе расшарил ключ, а потом отозвал его, а ты копию сохранил с помощью пересобранного приложения, а дальше просто скармливаешь этому-же приложению перехваченный ключ и все — GATOR выплюнет его на радиочастоте. Все, ключ утек.
По-этому давайте с переходом на личности завязывать.
На данный момент Вы толком не объяснили и не прокомментировали все то, что я написал.
Кроме пафоса и наездов и вашего «Вы вольны предоставлять ключ только тем кому доверяете».
Вот как разобьете их в пух и прах — там и видно будет, кто балаболка.
Еще раз, от «балаболки» тому кто в бронепоезде:
1. Доверять непроверенной инфраструктуре нельзя, ломают все
2. Тем более — чувствительную информацию какому-то стартапу.
Т.е. если получили доступ к инфраструктуре — прощай ключики.
Недобросовестный сотрудник слил, хаккеры постарались — это уже вторично.
Или у вас сертификаты пентестов есть вашей инфраструктуры, серверов и т.д.? Может показать?
Приложение получает ключ? Значит, на клиенте его можно перехватить. Да, это позволяет перехватывать только те ключи, которые дали лично тебе, но вполне позволяет.
Например, ты вообще цемент мужику везешь какому-то, он тебе расшарил ключ, а потом отозвал его, а ты копию сохранил с помощью пересобранного приложения, а дальше просто скармливаешь этому-же приложению перехваченный ключ и все — GATOR выплюнет его на радиочастоте. Все, ключ утек.
По-этому давайте с переходом на личности завязывать.
вы гнете мысль о том что идея плохаяЯ не гну мысль, я констатирую факты, которые вы сами в статье и написали.
На данный момент Вы толком не объяснили и не прокомментировали все то, что я написал.
Кроме пафоса и наездов и вашего «Вы вольны предоставлять ключ только тем кому доверяете».
Вот как разобьете их в пух и прах — там и видно будет, кто балаболка.
А в теории всё решается тем, чтобы передавать файл с сигналом именно как файл — через те же мессенджеры или MMS, благо сейчас каждый тапок с иконкой пейсбука с завода идёт.
Пейсбук, правда, тоже, не будь дураком, начнёт их индексировать, поэтому для совсем полного счастья можно класть файл в запароленный архив, а пароль передавать отдельным каналом.
И никаких облаков и прочего шмурдяка, мессенджер тоже поломать можно, конечно же — но гораздо сложнее и менее бесшумно. Тут уже проще будет с приёмником засесть около ворот, чем получить доступ в цифре :-)
Для контроля отзыва доступа к сигналу можно поверх шифровать сигнал ещё и неким ключом с сервака производителя, отозвал доступ — с сервака ключ удалился, не расшифруешь. С сервака слили все ключи — а толку с них, если все файлы, которые к ним прилагаются, запаролены пользовательскими паролями, выбранными локально. Но тут уже появляется тема, что ключ с сервака можно тоже записать. И опять же, всё это не спасает от лежащего рядом с гатором приёмника, который пишет на интересующей частоте в независимый девайс.
доступ появится когда (не если, а когда) в ПО вашего сервера будет уязвимость, которую злоумышленник знает.
1. Шлагбаум встаки это не дверь в квартиру. GATOR для удобства, а открыть шлагбаум, если сильно нужно, можно хоть отломив «палку» от него. Вы прям так набросились на «защищенность», хотя сейчас есть масса «код граберов» которые умеют повторять и могут из радиоэфира воровать ключи на расстоянии 100 метров. И тут GATOR вообще не угроза.
Пардон, доступ к инфраструктуре получил и да, прощай ключики, а в банке не так? Получил доступ и всё… прощай. Взломать можно всё что угодно, я тут не спорю, вопрос целесообразности.
2. Вы можете конечно «скормить» GATOR'у ключ из пересобранного приложения и GATOR, разумеется, его повторит. Но открыть шлагбаум таким образом удастся только со статическим кодом и таких устройств сейчас уйма, которые брутфорсят коды шлагбаумов, они копейки стоят, да и есть примеры бесплатной реализации, зачем тратиться на GATOR если можно собрать бесплатно? А вот если внутри шлагбаума установлен приемник с динамическим кодом, то приемник проигнорирует повторяющийся код, потому как понимает что его обманывают. И да, без сервера и интернета тут никак, ибо как консолидировать счетчики в динамических системах кодирования. И как считать состав след. посылки для динамических систем. И если вам сервер ключ не дает пересчитанный, что вы скармливать GATOR'у будете? Код со старым счетчиком? Его приемник в шлагбауме как я писал выше проигнорирует.
3. И вот самый важный вопрос, однако же это не тема статьи, статья о том как «начинку» делали. Вообще не ожидал такой негативной реакции. Набросились и «накидали минусов», Вам не понравились статья? Я её плохо написал? Тогда так и пишите, написано плохо, неинтересно, плохие изображения, не читаемо.
Пардон, доступ к инфраструктуре получил и да, прощай ключики, а в банке не так? Получил доступ и всё… прощай. Взломать можно всё что угодно, я тут не спорю, вопрос целесообразности.
2. Вы можете конечно «скормить» GATOR'у ключ из пересобранного приложения и GATOR, разумеется, его повторит. Но открыть шлагбаум таким образом удастся только со статическим кодом и таких устройств сейчас уйма, которые брутфорсят коды шлагбаумов, они копейки стоят, да и есть примеры бесплатной реализации, зачем тратиться на GATOR если можно собрать бесплатно? А вот если внутри шлагбаума установлен приемник с динамическим кодом, то приемник проигнорирует повторяющийся код, потому как понимает что его обманывают. И да, без сервера и интернета тут никак, ибо как консолидировать счетчики в динамических системах кодирования. И как считать состав след. посылки для динамических систем. И если вам сервер ключ не дает пересчитанный, что вы скармливать GATOR'у будете? Код со старым счетчиком? Его приемник в шлагбауме как я писал выше проигнорирует.
3. И вот самый важный вопрос, однако же это не тема статьи, статья о том как «начинку» делали. Вообще не ожидал такой негативной реакции. Набросились и «накидали минусов», Вам не понравились статья? Я её плохо написал? Тогда так и пишите, написано плохо, неинтересно, плохие изображения, не читаемо.
Шлагбаум встаки это не дверь в квартиру.Нет, а вот ворота — можно сказать что да.
Вы прям так набросились на «защищенность», хотя сейчас есть масса «код граберов» которые умеют повторять и могут из радиоэфира воровать ключи на расстоянии 100 метров.Граббер надо купить, уметь им пользоваться и далеко не все легкопродающиеся грабберы умеют в периодичный код.
Пардон, доступ к инфраструктуре получил и да, прощай ключики, а в банке не так?В банке не так, они сдают пентесты, там гораздо более квалифицированные кадры и т.д. Вероятность есть, но в сотни раз ниже чем у вас.
Вы можете конечно «скормить» GATOR'у ключ из пересобранного приложения и GATOR, разумеется, его повторитМожно даже не пересобирать приложение — достаточно просто прокси.
И да, без сервера и интернета тут никак, ибо как консолидировать счетчики в динамических системах кодирования.А что, пиринг уже отменили? Как один из вариантов + возможность сделать несколько запросов на ± последовательность — возможно подберет.
Код со старым счетчиком? Его приемник в шлагбауме как я писал выше проигнорирует.Кодграбберам это скажите :D Например можно попробовать это сделать подбором от старого значения счетчика, используя тот факт, что скорее всего, последовательность увеличивалась, а не уменьшалась за это время.
И вот самый важный вопросНа который Вы так и не ответили.
Никто не просит ответа размером со статью — достаточно просто кратко ответить.
Так что там с коллизиями? Что будет с физ.брелоком после того, как используют вперед GATOR или брелок, или наоборот?
Вообще не ожидал такой негативной реакцииЗдесь технический ресурс и подкованные люди, беспокоящиеся о своей безопасности. Вы разместили на нем свою статью, о продукте, у которого масса проблем с безопасностью и главное — полезностью одновременно и при этом Вы удивляетесь реакции? Браво!
Как раз здесь и интересуются теми самыми тех.нюансами, которыми не будут интересоваться на других ресурсах. А не просто «вот мы сделали это и рассказали, вот фоточки плат — аплодируйте нам» — это на другие ресурсы.
Какую еще Вы реакцию ожидаете, если на неудобные вопросы Вы толком ответить не можете?
Возникает вопрос — а вообще для чего это писалось на тех.ресурс? Чтобы говорить что «это не тема статьи»?
Вот написали бы, например, что запросы к API шифруются, или вот у нас серты пентестов, или что программе можно не давать выход в интернет — она может хранить последовательности и сами ключи локально — разговор был-бы абсолютно другой.
Но зато Вы вешаете клеймо про балоболство, переходя на личности — это да, прямо профессионально ))) А потом удивляетесь гнилым помидорам, в вас летящим.
На данный момент у меня сложилось впечатление, что очередной хипстерский, практически не дающий профитов и при этом ставящей под угрозу домашнюю инфраструктуру, проект. И сложилось это с ваших-же слов.
И видимо — не только у меня.
Граббер надо купить, уметь им пользоваться и дажеко не все легкопродающиеся грабберы умеют в периодичный код.
Можно даже не пересобирать приложение — достаточно просто прокси.
То есть Вы хотите сказать что нажимать кнопки на код грабере сложнее чем проксировать шифрованный трафик?
В банке не так, они сдают пентесты, там гораздо более квалифицированные кадры и т.д. Вероятность есть, но в сотни раз ниже чем у вас.
То есть не зная ни кого из нас, Вы утверждаете что наша команда в целом является низкоквалифицированными кадрами?
у которого масса проблем с безопасностью
В конце статьи написано, — реализацию серверной части и приложений опишу в следующих постах, каким образом Вы смогли оценить vulnerability системы в целом? По внешнему виду прибора?
Отсутствие пантеста не является доказательством слабой защищенности системы. Отсутствие пантеста является показателем отсутствия пантеста.
и главное — полезностью
В первом вашем комментарии было написано «ИМХО», теперь вы это объявляете как установленный факт? Это называется «предвзятое мнение».
На который Вы так и не ответили.
На какой из Ваших вопросов я не ответил?
То есть не зная ни кого из нас, Вы утверждаете что наша команда в целом является низкоквалифицированными кадрами?Я где-то написал, что Вы — низкоквалифицированные? Давайте пруф.
Я написал, что не уверен в системе, котрую делали несколько человек, и надежность которой никем не была подтверждена. Разница есть.
То есть Вы хотите сказать что нажимать кнопки на код грабереРазбирать трафик можно тихонько дома, а не в поле около объекта.
И грабберы с поддержкой последовательностей — это не простой пультик с кнопками. Там надо понимать что делаешь, и, зачастую, еще в комп смотреть, где показывается что происходит и корректировать на ходу.
каким образом Вы смогли оценить vulnerability системы в целомПо вашим ответам. У человека, кто что-то реально сделал, проблем не будет кратко это описать.
Отсутствие пантеста является показателем отсутствия пантеста.Отсутствие пентеста является показателем того, что вашей инфраструктуре нельзя доверять. Она никем не проверена, кроме вас. А вам нельзя доверять по-умолчанию, ибо вы продаете свой продукт.
теперь вы это объявляете как установленный фактВсе, что я пишу — это мое «ИМХО» по-умолчанию, где я написал, что это для всех?
Вот начало того места, откуда Вы выдернули цитату:
На данный момент у меня сложилось впечатлениеЭто не ИМХО? Так что не надо выдергивать мои слова из контекста и пытаться толковать их по-своему.
На какой из Ваших вопросов я не ответил?Я два раза повторил, ок, напишу в третий, последний:
- друг дал ключ от своего брелока
- друг открыл/закрыл своим брелоком n раз — он ведь живет там
- тут приехал я с GATOR-ом и? Там хранится старая последовательность из п.1, как генерить будете?
Ну и в обратную сторону точно также — что будет делать друг с физ.брелоком, у которого после использования GATOR-а хранится старая последовательность?
Разбирать трафик можно тихонько дома, а не в поле около объекта.
Вы тут самое главное забыли. Если сидеть с кодграббером, то грабанёшь код конкретно того объекта, с которым рядом уселся. Если же дырень появляется в серваке гатора, то получаешь коды всех объектов, которые через него расшаривали и расшаривают.
То есть не зная ни кого из нас, Вы утверждаете что наша команда в целом является низкоквалифицированными кадрами?Простите, извините, что вмешиваюсь в вашу высокодуховную дискуссию, но то, как сделаны печатные платы вашего проекта заставляет задуматься.
Зачем столько переходных отверстий на финальной плате?
Вы полагаете, такое их количество чему-то поможет?
Вы полагаете, что шелк в области антенны это нормально, также как и земля между выводами проходных индуктивностей в радиотракте?
И вишенка на торте — кто вам разрешил ставить на свои платы номер свидетельства о регистрации узнаваемого продукта вот от этой штуки?
Nuff said, как говорится.
1. друг дал ключ от своего брелока
2. друг открыл/закрыл своим брелоком n раз — он ведь живет там
3. тут приехал я с GATOR-ом и? Там хранится старая последовательность из п.1, как генерить будете?
Да, вы верно уловили суть, чудес не бывает, брелок не связан с системой, он OFFLINE, но и друг не сможет отправить код, если у него нет GATOR'а. Поэтому предлагается в динамических системах использовать следующую модель поведения, генерировать используя приложение новый ключ для системы от которой брелок, он не будет ни чем отличаться от ключа в брелке, кроме как серийным номером, вписать его в шлагбаум и пользоваться брелком и GATORO'м совместно, коллизий счетчика не будет по факту брелки разные. Или, если нет доступа к системе, скопировать брелок и пользоваться только GATORO'м.
В чем тогда профит?
Можно просто другу (те частому гостю) просто выдать брелок, вписанный в ворота.
Дешевле, безопасней, проще и всегда можно надежно отозвать )
А не заставлять его покупать непонятно для чего нужный ему GATOR.
А если еще и учесть, что «вписать новый брелок» для обывателя — это тоже не тривально…
То по мне — опять-же — натягивание совы на глобус.
Предложу вам альтернативную идею — но с оговоркой — если иcпользуете — выплачиваете мне вознаграждение:
У человека есть модуль — GATOR — один, или несколько — не важно.
Он прописывает телефон друга в него (через приложение, например), сопоставляет ему нужные коды и когда приезжает друг — он просто кидает смс/сообщение в мессенджер/звонит на телефон друга — и если он есть в базе по номеру телефона — идет команда на открывание ворот. В этом случае и ключи никуда не улетают — с безопасностью порядок, и GATOR другу не уперся.
Правда, такие системы уже есть )
Можно просто другу (те частому гостю) просто выдать брелок, вписанный в ворота.
Дешевле, безопасней, проще и всегда можно надежно отозвать )
А не заставлять его покупать непонятно для чего нужный ему GATOR.
А если еще и учесть, что «вписать новый брелок» для обывателя — это тоже не тривально…
То по мне — опять-же — натягивание совы на глобус.
Предложу вам альтернативную идею — но с оговоркой — если иcпользуете — выплачиваете мне вознаграждение:
У человека есть модуль — GATOR — один, или несколько — не важно.
Он прописывает телефон друга в него (через приложение, например), сопоставляет ему нужные коды и когда приезжает друг — он просто кидает смс/сообщение в мессенджер/звонит на телефон друга — и если он есть в базе по номеру телефона — идет команда на открывание ворот. В этом случае и ключи никуда не улетают — с безопасностью порядок, и GATOR другу не уперся.
Правда, такие системы уже есть )
В чем тогда профит?
Можно просто другу (те частому гостю) просто выдать брелок, вписанный в ворота ))) Дешевле, безопасней, проще и всегда можно надежно отозвать )
Есть брелок CAME, можно китайских накупить по 3$, а есть HOERMANN BS, по 60$ за штуку.
Тут вроде как, не обязательно ж отдавать ключи, все брелки можно объединить и пользовать их в одном приложении, на сервере они зашифрованы личным сертификатом, бахнул приложение и всё, ключи превратились в набор байтов, минус конечно существенный в том что навсегда.
И да :), друг про которого я говорю выше меня ростом, и тяжелее килограмм эдак на 20. Если он мне отдаст брелок, то норм, а вот если я… задумает противостоять отзыву, думаю отозвать не получиться ))).
Прошу прощения если внезапно обидел Вас в чем-либо в своих комментариях, цели такой не преследовал.
Предложу вам альтернативную идею — но с оговоркой — если иcпользуете — выплачиваете мне вознаграждение:
У человека есть модуль — GATOR — один, или несколько — не важно.
Он прописывает телефон друга в него (через приложение, например), сопоставляет ему нужные коды и когда приезжает друг — он просто кидает смс/сообщение в мессенджер/звонит на телефон друга — и если он есть в базе по номеру телефона — идет команда на открывание ворот. В этом случае и ключи никуда не улетают — с безопасностью порядок, и GATOR другу не уперся.
Правда, такие системы уже есть )
Мда, у нас подобная функция уже есть в приложении…
А не заставлять его покупать непонятно для чего нужный ему GATOR.
Автор предполагает что в результате взрывного
Sign up to leave a comment.
Как мы GATOR'a делали