Комментарии 166
Я думаю логичным было бы заявить сначала об этом производителю, дать ему возможность исправить свои ошибки. А потом уже с гордостью представлять свою работу.
Но почему-то мне сдаётся что так и было на самом деле, но кто-то из них нашел причины чтобы не связываться друг с другом. Все как всегда или жадность или тщеславие.
Я думаю не все так просто как тут описано
Но почему-то мне сдаётся что так и было на самом деле, но кто-то из них нашел причины чтобы не связываться друг с другом. Все как всегда или жадность или тщеславие.
Я думаю не все так просто как тут описано
Если алгоритм реализован аппаратно, то потребуется замена блоков сигнализации во всех оборудованных её авто. В этом случае проще нанять толпу адвокатов и засудить исследователей.
Ну да. А если кто-нибудь найдет недоработку, скажем, в системе управления подушками безопасности? Его засудить, информацию — запретить. Иначе — беда, беда! — придется кучу автомобилей отзывать и переоборудовать.
Такой подход порочный в принципе.
Такой подход порочный в принципе.
Этот подход хорошо описан в Бойцовском клубе.
Бойцовский клуб
Моя задача заключается в правильном применении секретной формулы.
Чистая арифметика.
Классическая задачка из учебника.
Если новая машина, произведенная компанией, на которую я работаю, выехала из Чикаго со скоростью шестьдесят миль в час, и тут у нее заклинило дифференциал, и она улетела в кювет, разбилась, бензобак взорвался и все, кто были в салоне, сгорели заживо, должна ли компания отозвать все проданные автомобили этой модели на доработку?
Возьмите общее количество проданных на настоящий момент автомобилей (А), умножьте на среднее количество серьезных отказов (В), а затем умножьте произведение на среднюю стоимость урегулирования иска родственников пострадавших во внесудебном порядке (С).
А х В х С = X. Вот во сколько нам обойдется проблема, если мы не будем отзывать модель на доработку.
Если Х превышает стоимость доработки, то мы производим доработку, и аварий больше не бывает.
Если Х меньше, чем стоимость доработки, то мы доработку не производим.
Чистая арифметика.
Классическая задачка из учебника.
Если новая машина, произведенная компанией, на которую я работаю, выехала из Чикаго со скоростью шестьдесят миль в час, и тут у нее заклинило дифференциал, и она улетела в кювет, разбилась, бензобак взорвался и все, кто были в салоне, сгорели заживо, должна ли компания отозвать все проданные автомобили этой модели на доработку?
Возьмите общее количество проданных на настоящий момент автомобилей (А), умножьте на среднее количество серьезных отказов (В), а затем умножьте произведение на среднюю стоимость урегулирования иска родственников пострадавших во внесудебном порядке (С).
А х В х С = X. Вот во сколько нам обойдется проблема, если мы не будем отзывать модель на доработку.
Если Х превышает стоимость доработки, то мы производим доработку, и аварий больше не бывает.
Если Х меньше, чем стоимость доработки, то мы доработку не производим.
Есть ещё такая штука, как репутационные потери — даже если никто не будет обращаться в суд, но о нескольких однотипных авариях станет известно, компания может потерять очень многое, если не всё — автомобили фирмы не будут покупать, причём не только данной конкретной модели.
Для этого можно нанять адвокатов и засудить тех, через кого стало известно об этих авариях.
Можно. Стрейзанд именно так и сделала. Что из это вышло известно всем.
После утечки (если она авторитетная) это уже будет неважно. И даже более того — потерянной репутации фирмы это может только повредить ещё больше.
И еще один момент — раньше не было такой возможности для распространения информации. А сейчас есть.
И еще один момент — раньше не было такой возможности для распространения информации. А сейчас есть.
Почитайте про «успех» Suzuki Samurai на рынке США, выигрыш в суде не особо помог.
В свое время Форд именно так и поступил с Пунто (вроде так назывались), а потом долго доказывал общественности, что они не специально сжигали живых людей. Но да, чаще всего так и делают, только формула сложнее.
Отзыв автомобилей — достаточно частая практика.
Заменить болты для крепления двигателя или багажника. ну или любая другая работа, с которой сервис центр справится за 1 час. Ещё на сервисе могут бесплатно сход-развал сделать. КПП, ходовую, сам двигатель или другие сложные узлы никогда не будут менять, ни при каких обстоятельствах.
Недавно Toyota отзывала партию автомобилей из-за заводского косяка в АКПП. Вполне себе не дешевая замена.
Я на 10 приусе уже поменял рулевую рейку (стоимость детали+работ 237 тыр.). Затем на 20 приусе поменял помпу охлаждения гибридной трансмиссии. Теперь вот жду замена рулевого вала (не брякает, но для профилактики). Все абсолютно бесплатно по сервисным кампаниям (СК) тойоты. сразу скажу, что обе машины не для России. Тем не менее тойота все равно проводит СК. Даже на 14 летнем авто!
237 тыр. — за эти деньги они Вам могли б.у. Приус прислать в подарок ). Даже поновее вашей…
Они, эти рейки, на Приусе из золота с платиной делаются, или работы чудовищно дорогие?
Они, эти рейки, на Приусе из золота с платиной делаются, или работы чудовищно дорогие?
Согласен, можно 20-ку бу выдавать взамен 10-ок ))))
Рейка в прайсе стоит что-то в роде 186 тысяч. Там не только рейка, а также электроусилитель, рулевые наконечники, подрамные болты, пыльник в салон на рулевой вал и новый компьютер для электроусилителя.
Тойота вообще молодцы. Ездил и на хонде и на ниссане и на мазде, но от тойоты наверное больше не откажусь.
Касательно темы топика, на приусе штатную систему обходят проще, китайским шнурком прописывают новый ключ через разъем попав внутрь авто. Думаю с лексусами таже проблема, т.к. оборудование одинаковое. Потому многие владельцы переделывают разъем (иногда 220 с инвертора туда выводят ))).
Рейка в прайсе стоит что-то в роде 186 тысяч. Там не только рейка, а также электроусилитель, рулевые наконечники, подрамные болты, пыльник в салон на рулевой вал и новый компьютер для электроусилителя.
Тойота вообще молодцы. Ездил и на хонде и на ниссане и на мазде, но от тойоты наверное больше не откажусь.
Касательно темы топика, на приусе штатную систему обходят проще, китайским шнурком прописывают новый ключ через разъем попав внутрь авто. Думаю с лексусами таже проблема, т.к. оборудование одинаковое. Потому многие владельцы переделывают разъем (иногда 220 с инвертора туда выводят ))).
Не совсем понятно ваше мнение. Вы считаете это плохим или хорошим подходом?
Мое личное мнение: я полностью поддерживаю решение суда и действия авто-производителя, но только лишь при условии, что они _УЖЕ_ предпринимают меры по защите их клиентов. А это далеко не одного дня работа.
Мое личное мнение: я полностью поддерживаю решение суда и действия авто-производителя, но только лишь при условии, что они _УЖЕ_ предпринимают меры по защите их клиентов. А это далеко не одного дня работа.
Я промахнулся с комментарием и согласен с мнением switlle — тут все хороши. Суд принял разумное решение, жаль не указали срок запрета.
security through obscurity — очень плохая затея, не поддерживаю решение суда.
Посмотрите историю про программное обеспечение томографов и рентгенов. Закрытый софт стоил людям жизни и здоровья.
Вчера на хабре была статья про уязвимости в кардиостимуляторах, секрет которой автор унёс с собой в могилу. И что, уязвимость от этого исчезла?
Посмотрите историю про программное обеспечение томографов и рентгенов. Закрытый софт стоил людям жизни и здоровья.
Вчера на хабре была статья про уязвимости в кардиостимуляторах, секрет которой автор унёс с собой в могилу. И что, уязвимость от этого исчезла?
> В этом случае проще нанять толпу адвокатов и засудить исследователей.
Ни в коем случае, а то будет как сейчас. Новость разлетелась по инету и теперь каждый владелец Порше или Бентли знает, что защита в его машине хакнута, и только вопрос времени, когда её угонят. Винить он будет Volkswagen.
Надо было платить за молчание. Угонщики бы всё равно узнали коды, машину бы всё равно угнали, но был бы шанс на то, что никто бы так и не понял, что это косяк Volskwagen.
Ни в коем случае, а то будет как сейчас. Новость разлетелась по инету и теперь каждый владелец Порше или Бентли знает, что защита в его машине хакнута, и только вопрос времени, когда её угонят. Винить он будет Volkswagen.
Надо было платить за молчание. Угонщики бы всё равно узнали коды, машину бы всё равно угнали, но был бы шанс на то, что никто бы так и не понял, что это косяк Volskwagen.
Есть подозрение, что их просто никто и слушать не стал. Позвонили по контактам на сайте, небось, там им сказали — «это дело не нашего уровня, ищите дальше». Далее ребятам просто надоело возиться с поиском того, кому не поленится их выслушать, и они пошли путем гласности.
В конце-концов, что они что-то опубликовали, не отменяет того, что «оснащенным правильными инструментами» воры и без них спокойно могли то же самое уже давно сделать. При цене машины в $0.5M криминал может «вложиться в будущее» и потратить £50K, чтобы потом без шума уводить авто.
Кстати, а есть серьезные основания думать, что а) сигналка вообще столь эффективна, что сдерживает воров, и б) что без сигналки бы их и правда угоняли (с учетом, что продать трудно, что есть страховка, и что страховая компания, оплатив $0.5M, будет искать куда сильнее обычной полиции)? А то как с неуловимым Джо, будто кто-то очень хочет рассказать, что их супернадежную и суперсложную систему поняли, но никто (без пресловутого доклада под рукой) этого фокуса не повторит.
В конце-концов, что они что-то опубликовали, не отменяет того, что «оснащенным правильными инструментами» воры и без них спокойно могли то же самое уже давно сделать. При цене машины в $0.5M криминал может «вложиться в будущее» и потратить £50K, чтобы потом без шума уводить авто.
Кстати, а есть серьезные основания думать, что а) сигналка вообще столь эффективна, что сдерживает воров, и б) что без сигналки бы их и правда угоняли (с учетом, что продать трудно, что есть страховка, и что страховая компания, оплатив $0.5M, будет искать куда сильнее обычной полиции)? А то как с неуловимым Джо, будто кто-то очень хочет рассказать, что их супернадежную и суперсложную систему поняли, но никто (без пресловутого доклада под рукой) этого фокуса не повторит.
Для исследователей разумно было бы сначала сообщить в Volkswagen, дать некоторое время на закрытие уязвимости, и только потом публиковаться. Они это сделали?
Почти одновременно c первым комментарием.
Почти одновременно c первым комментарием.
«Высокий суд Британии наложил запрет на исследование Флавио Гарсиа из Университета Бирмингема»
И что помешает угонщикам люксовых машин найти этого Флавио и взять у него эту научную работу?
И что помешает угонщикам люксовых машин найти этого Флавио и взять у него эту научную работу?
Честь и достоинство самого Флавио Гарсиа? Если он конечно такой человек.
зы. Только вот не надо про различные типы крипто-анализа упоминать :)
зы. Только вот не надо про различные типы крипто-анализа упоминать :)
Не взять — а попросить копию его исследования, для продолжения ПРАКТИЧЕСКИХ научных исследований в полевых условиях.
Я сильно подозреваю, что угонщики это всё уже знают, на чёрном рынке уязвимостей не только дыры к софту продают, а светлых умов, способных расковырять эти системы, вполне достаточно.
процесс, который стоит около 50 000 фунтов
Умов достаточно, ресурсов и терпения не у всех хватит для «исследования»
Учитывая, что у Porsche, Audi, Bentley и Lamborghini вместе взятых наберётся более полусотни моделей, стоимость которых превышает 500 000 $, эти 50 000 фунтов выглядят не такой уж и неподъемной суммой для злоумышленников, которые поставили угон машин на поток. (Хотя, я слабо себе представляю, какой может быть спрос на ворованные автомобили в таком ценовом диапазоне, если честно.)
Я и не говорил, что это не выгодно, ибо дорого. Но тут будет намного выгодней подождать и купить готовое решение, чем вкладывать в исследования в этой области. Тем более, что после обнаружения уязвимости автопроизводители (хочется верить) все же будут принимать меры. В этом случае все деньги, потраченные на поиск уязвимости, улетят в трубу.
Кроме того, 50к фунтов — не цена за результат, а лишь за «один проход».
Кроме того, 50к фунтов — не цена за результат, а лишь за «один проход».
НЛО прилетело и опубликовало эту надпись здесь
Как что — запрет суда!
Пока это временный запрет на время судебного разбирательства, но, учитывая запретительные тенденции британской судебной системы, есть шанс опасного прецедента. В итоге производители небезопасных устройств будут иметь возможность засудить исследователей вместо исправления собственных косяков.
А вы все говорите «Британские ученые»! Вот вам и ученые и даже Британские и смеяться не над чем.
Аргументировать минусы никак не возможно?
Ну, хорошо, минусующим аргументы не нужны.
Сидела как-то на берегу реки лягушка и к ней подошел скорпион:
-Лягушка, перевизи меня пожалуйста на тот берег…
-Ну нет уж, я тебя стану перевозить, а ты меня возьмешь да ужалишь, ищи дураков
-Но лягушка, если я тебя ужалю, ты утонешь а я вместе с тобой, так что зачем мне тебя жалить?
И лягушка согласилась. Скорпион влез ей на спину и они поплыли. Когда они доплыли до самой середины реки скорпион ужалил лягушку, та начала тонуть и из последних сил сказала:
-Зачем же ты ужалил меня? Ведь ты тоже утонишь, где же здесь логика?
-Причем здесь логика? Я скорпион и такова моя природа как скорпиона...
Клеймо «Британские ученые» обычно ставится тем, кто открывает какие-то абсурдные или малопригодные вещи. Тут все по существу.
Лучшей рекламы и ожидать трудно. Теперь про статью знает куда больше людей — спасибо VW!
А по существу — страусом быть проще, да!
А по существу — страусом быть проще, да!
VW изначально просила убрать только сами коды запуска, а не факт наличия уязвимости. Всё правильно сделали. Желание устроить full disclosure до патча — преступно.
Первый правильный комментарий.
Мне кажется, здесь присутствует неточность перевода, если я правильно понимаю подобную систему и принципы криптографии, то коды каждый раз разные должны быть, может ФВ просила не раскрывать сам алгоритм генерации этих ключей или поиска коллизий, без них доклад потерял бы весь смысл.
И судя по тому, что учёные занимались реверсом проца, есть основания, про проблема аппаратная и её патчинг будет проходить крайне долго, подобные доклады точно ускорят этот процесс
И судя по тому, что учёные занимались реверсом проца, есть основания, про проблема аппаратная и её патчинг будет проходить крайне долго, подобные доклады точно ускорят этот процесс
Перевод достаточно близок к оригиналу из «Guardian»
Тогда есть вариант, что журналисты тупанули, ну а если там реально коды одинаковые на все машины, то нужно всем владельцам собраться и отписдить придурков из ФВ
В статье говорится о публикации «кодов» и «алгоритма генерации»
Возможно, действительно использовалось какое-то единое решение типа вшитого ключа. Без сомнения, со стороны VW это огромная ошибка. Однако достоверной информации об этом нет.
Што есть, так это попытка публикации статьи с некой информацией, могущей повлечь за собой массовые угоны авто. Это вроде как не оспаривается ни одной из сторон.
Возможно, действительно использовалось какое-то единое решение типа вшитого ключа. Без сомнения, со стороны VW это огромная ошибка. Однако достоверной информации об этом нет.
Што есть, так это попытка публикации статьи с некой информацией, могущей повлечь за собой массовые угоны авто. Это вроде как не оспаривается ни одной из сторон.
А теперь представьте себя владельцами одной из таких лакшери машин и эта машина теперь находится в зоне риска быть угнанной.
Ваши действия?
Мое мнение в таком случае: Лучше пока запретить публикацию уязвимости и по возможности предпринять действия по защите клиентов. Это работа не одного дня и не одного месяца.
Ваши действия?
Мое мнение в таком случае: Лучше пока запретить публикацию уязвимости и по возможности предпринять действия по защите клиентов. Это работа не одного дня и не одного месяца.
Минусуем? Аргументируем.
Или вы владелец лады калины? Или не владелец авто-транспортного средства вообще?
Или вы владелец лады калины? Или не владелец авто-транспортного средства вообще?
Очень раздражают вот такие автовладельцы, которые в ответ на критику по любой ситуации с автомобилями выдают что-то вроде «вы жалкие пешеходы\владельцы ТАЗов ничего не понимаете. Будь у вас нормальная машина — сами на мою сторону встанете».
Я, хоть сам и не голосовал, подозреваю, вы своим комментарием напомнили хабровцам героев стопхама.
Я, хоть сам и не голосовал, подозреваю, вы своим комментарием напомнили хабровцам героев стопхама.
Мой комментарий не несет смысловой нагрузки «что хочу то и делаю». И я не делаю, что хочу, когда это может мешать другим или создавать трудности. Я переживаю за свою собственность и только.
Меня удивляет другое, не умение людей смотреть нейтрально на проблемы такого рода и входить в положение каждого из сторон. А если уж это не получается, пусть аргументируют свое мнение. Неважно отрицательное оно или благосклонное.
Меня удивляет другое, не умение людей смотреть нейтрально на проблемы такого рода и входить в положение каждого из сторон. А если уж это не получается, пусть аргументируют свое мнение. Неважно отрицательное оно или благосклонное.
>>представьте себя владельцами
Не похоже на нейтральный взгляд на проблему.
С одной стороны — меркантильный страх увеличения страхового взноса по вине производителя машины,
а с другой — судебный прецедент запрета распространения информации об уязвимости в безопасности.
Сегодня машины угоняют, завтра автопилот хакнут потому что производитель посчитал что дешевле нанять ушлого адвоката чем закрывать дыры ПО.
Не похоже на нейтральный взгляд на проблему.
С одной стороны — меркантильный страх увеличения страхового взноса по вине производителя машины,
а с другой — судебный прецедент запрета распространения информации об уязвимости в безопасности.
Сегодня машины угоняют, завтра автопилот хакнут потому что производитель посчитал что дешевле нанять ушлого адвоката чем закрывать дыры ПО.
Думается мне, что человек который может позволить себе Porsche, Audi, Bentley или Lamborghini (новую, естественно, именно с таким запуском) особенно горевать не станет. А горевать станут те, кто отдал последние деньги ради СТАТУСА
Я владелец одной из этих марок, именно с таким запуском, отдал не последние, и поверьте, что горевать (ну скажем, сильно расстраиваться) очень даже буду, если выяснится, что машина уведена через несовершенство электронного ключа.
Ауди не исключительно статусная марка, такие машины часто берут именно за потребительские качества. В прочем, многие подобные машины не покупаются в салоне, а собираются под заказ на заводе (это, в прочем касается любых машин, кроме самых дешевых, наверное) и даже если материального время материал не нанес (страховка, например покрыла, а разница с ценой новой машины не критична), то это как минимум пара месяцев ожидания замены. Что не сильно приятно. В прочем, как и сам факт угона.
а если дополнительно поставить навороченную противоугонку с gps и т.д.?
вы не поверите, но все такие машины покупаются ради статуса, ибо нет утилитарных потребностей иметь ламборджини
Продлю страховку от угона, других вариантов тут нет. Главное, чтобы страховые компании не отреагировали на эту новость :)
Блин, наоборот, лучше, чтобы они отреагировали подачей иска против Volkswagen :)
Угон машин такого класса редко упирается в криптозащиту.
Машины не бросают где попало, машины приметны и их не так просто продать, обычно угон только под заказ.
Очень много факторов. Если прибавить к этому еще и то что взлом нужно как-то реализовать, ведь в работе надеюсь нет готовых исходников и схем, то реальный эффект минимален.
С другой стороны меня смутило упоминание о просьбе «не публикуйте хотя-бы коды доступа… Есть ощущение что ребята решили опубликовать не только алгоритм но и ключи шифрования. А это уже не есть гуд.
Машины не бросают где попало, машины приметны и их не так просто продать, обычно угон только под заказ.
Очень много факторов. Если прибавить к этому еще и то что взлом нужно как-то реализовать, ведь в работе надеюсь нет готовых исходников и схем, то реальный эффект минимален.
С другой стороны меня смутило упоминание о просьбе «не публикуйте хотя-бы коды доступа… Есть ощущение что ребята решили опубликовать не только алгоритм но и ключи шифрования. А это уже не есть гуд.
Проще поднять цену страховки. У VW еще надо выиграть, а владелец все равно заплатить.
Другой вопрос, много ли нового криминалу сообщили «британские ученые»? Кому надо, тот и так умел вскрывать и угонять. Не через чип, так через что-то другое. Вот что общественность (и, да, страховщики) узнала — это несомненно, важнее, как для понимания масштабов всей этой «безопасности через незнание», так и для подери репутации марок.
Впрочем, неужели знание, что очередные умники нашли что-то там в сигналке Porsche, Audi, Bentley или Lamborghini, помешает тому, кто выбирает авто, их купить? Там выбор-то не такой широкий (как и везде), да и неужели авто по сигналке выбирают?
Другой вопрос, много ли нового криминалу сообщили «британские ученые»? Кому надо, тот и так умел вскрывать и угонять. Не через чип, так через что-то другое. Вот что общественность (и, да, страховщики) узнала — это несомненно, важнее, как для понимания масштабов всей этой «безопасности через незнание», так и для подери репутации марок.
Впрочем, неужели знание, что очередные умники нашли что-то там в сигналке Porsche, Audi, Bentley или Lamborghini, помешает тому, кто выбирает авто, их купить? Там выбор-то не такой широкий (как и везде), да и неужели авто по сигналке выбирают?
КАСКО — лучшая противоугонка;)
От заказа на конкретную машины вряд ли помогут защитные средства. В лучшем случае, погрузят на эквакуатор, приглушат все что можно и увезут разбираться в спокойной обстановке. Погрузить — вопрос пяти минут, найти такое окно не проблема. Ради премиум машины есть смысл заморочиться.
Так, что да. страховку продлить — решение верное.
От заказа на конкретную машины вряд ли помогут защитные средства. В лучшем случае, погрузят на эквакуатор, приглушат все что можно и увезут разбираться в спокойной обстановке. Погрузить — вопрос пяти минут, найти такое окно не проблема. Ради премиум машины есть смысл заморочиться.
Так, что да. страховку продлить — решение верное.
Ага выслядят, когда припоркуется в неположенном месте и безпалева погрузят на эвакуатор.
Или даже создадут ситуацию когда, когда "«нерадивый водитель»" решится припорковаться где неположено.
Спрошу страховщиков, через неделю, изменились ли % на страховку.
Думаю, что если они пойдут на повушение, то только позже, чтобы без шума.
Мне интересно скольки битное шифрование используетя, если это понятие применимо?
Я к тому, что в РФ больше скольких-то «бит» запрещено.
Или даже создадут ситуацию когда, когда "«нерадивый водитель»" решится припорковаться где неположено.
Спрошу страховщиков, через неделю, изменились ли % на страховку.
Думаю, что если они пойдут на повушение, то только позже, чтобы без шума.
Мне интересно скольки битное шифрование используетя, если это понятие применимо?
Я к тому, что в РФ больше скольких-то «бит» запрещено.
Как бы если делать полный аппаратный реверс инжениринг криптографических систем то тут уже ничего не спасёт. Ведь основа криптографии — открытые алгоритмы и закрытые данные (ключи, таблички, etc). Алгоритмы доступны в википедии, а закрытые данные — имея аппаратный доступ. Только вот закрытые данные могут быть разными для каждого отдельно взятого устройства (автомобиля), а могут быть как обычно =)
Не понятно правда что именно они взломали? Закрытый ключ принимающей стороны? Алгоритм чексумы? Протокол общения?
Не понятно правда что именно они взломали? Закрытый ключ принимающей стороны? Алгоритм чексумы? Протокол общения?
вероятно все составляющие.
Насколько я понимаю шумиху, там была security through obscurity, а они избавились от этой самой obscurity.
И Volkswagenу надо бы ка-апитально извиниться перед своими клиентами за это очковтирательство, если это действительно так.
И Volkswagenу надо бы ка-апитально извиниться перед своими клиентами за это очковтирательство, если это действительно так.
Если закрытые данные не уникальны для каждой копии, то их всё-таки правильнее считать частью алгоритма. Ну, а если стойкость алгоритма упирается в знание универсального закрытого ключа, то это плохой алгоритм.
Например в ГОСТ 28147-89 есть дополнительная информация (S-блоки). Один набор блоков был приведен в ГОСТ Р 34.11-94, и он же используется центральным банком РФ. Если использовать другой набор блоков то алгоритм останется таким же. Потому S-блоки здесь не являются частью алгоритма. Только две реализации алгоритма с разными S-блоками не совместимы между собой, в этом и идея, что можно такие данные зашить аппаратно и это значительно повышает криптостойкость алгоритма. Но ничего не спасет против человека который полезет реверсить аппаратный блок, хотя тогда ему значительно проще получить доступ к охраняемой системе, чем ломать криптографию (те — угнать автомобиль).
Владельцев подобных автомобилей это должно волновать в меньшей степени — большинство подобных автомобилей застрахованы.
А вот владельцев страховых компаний, страхующих такие автомобили, это должно волновать, так как публикация существенно меняет уровень риска возникновения страхового случая. А вслед за этим, это должно волновать производителей, потому что если исследование не просто раскрывает алгоритмы защиты, а демонстрирует его несовершенство, намеренно допущенное производителем ради снижения расходов, то страховые могут засудить самого производителя.
Тут и возникает второй вопрос: если исследование раскрывает уже имеющуюся в защите дыру, которая может быть найдена злоумышленниками каким-то еще (доступным) способом, то публикация факта наличия этой дыры — необходима, а производители обязаны ее устранить. Если же ситуация такова, что дыра возникает в результате самой публикации исследования, а повторить это исследование на практике могли бы, условно, всего лишь еще десяток профессоров со всего мира, а вероятность повторения его злоумышленниками исчезающе мала, в таком случае запрет на публикацию может быть оправдан.
Без знания деталей, дать моральную оценку судебному решению невозможно.
А вот владельцев страховых компаний, страхующих такие автомобили, это должно волновать, так как публикация существенно меняет уровень риска возникновения страхового случая. А вслед за этим, это должно волновать производителей, потому что если исследование не просто раскрывает алгоритмы защиты, а демонстрирует его несовершенство, намеренно допущенное производителем ради снижения расходов, то страховые могут засудить самого производителя.
Тут и возникает второй вопрос: если исследование раскрывает уже имеющуюся в защите дыру, которая может быть найдена злоумышленниками каким-то еще (доступным) способом, то публикация факта наличия этой дыры — необходима, а производители обязаны ее устранить. Если же ситуация такова, что дыра возникает в результате самой публикации исследования, а повторить это исследование на практике могли бы, условно, всего лишь еще десяток профессоров со всего мира, а вероятность повторения его злоумышленниками исчезающе мала, в таком случае запрет на публикацию может быть оправдан.
Без знания деталей, дать моральную оценку судебному решению невозможно.
Владельцы таких автомобилей и так находятся в зоне риска, особенно в Моске где их количество измеряется на квадратный метр.
Однако исследование, сложно недооценить, т.к. оно действительно поднимает проблему, о которой все боятся говорить в открытую.
С решением суда о разглашении кодов доступа, согласен полностью.
Однако исследование, сложно недооценить, т.к. оно действительно поднимает проблему, о которой все боятся говорить в открытую.
С решением суда о разглашении кодов доступа, согласен полностью.
Если автоконцерн сам первый вышел на тропу войны суда, то я считаю, он заслуживает симметричных действий.
Покупатели могут собраться и подать коллективный иск за халатность в разработке систем безопасности.
У каждой машины должен быть уникальный ключ, чтобы раскрытие какого-либо общего ключа не смогло скомпрометировать все машины.
Иначе это похоже на бекдор.
Покупатели могут собраться и подать коллективный иск за халатность в разработке систем безопасности.
У каждой машины должен быть уникальный ключ, чтобы раскрытие какого-либо общего ключа не смогло скомпрометировать все машины.
Иначе это похоже на бекдор.
Не покупатели, а страховые компании. В случае массовых угонов они ощутимо пострадают. Пусть они с производителями и судятся.
НЛО прилетело и опубликовало эту надпись здесь
Да, я согласен, что уникальный ключ для каждого клиента усложнит жизнь «злоумышленникам», НО для каждого клиента тогда надо будет готовить уникальные железяку, прошивку, ключ-файлы и т.п., что в процессе массового производства не лучшая идея. Вам придется напрямую обращаться в фирму для восстановления это ключа, что может занять от пары дней до нескольких месяцев, а могут вообще ответить отказом. Если вы потеряете свой уникальный брелок от элитной машины, ваше авто будет стоять в гараже и у вас будет только два пути: ждать пока пришлют этот брелок или менять всю охранную систему под новый ключ.Почему-то мне кажется, что в астрономические цены на люксовые машины можно заложить и индивидуальные ключи (тем более, что никаких сложностей при массовом их производстве нет), и сервис по быстрому их восстановлению.
НЛО прилетело и опубликовало эту надпись здесь
Я не очень понимаю, что такое «клонирование». Этот процесс предполагает физический доступ к устройству?
Ну да, сопрут у вас ваш персональный ключ, клонируют его (писят тыщ баксов за один слой микросхемы), потом взломают защиту и угонят автомобиль.
НЛО прилетело и опубликовало эту надпись здесь
А те в 2 счета докажут, что сделали все возможное.
Страховщики повысят % после того, как статистика угонов скажет, что есть проблема с той или иной маркой. Судиться с маркой оставят владельцам. А марка скажет — никто 100% защиты и не обещал, точка.
Страховщики повысят % после того, как статистика угонов скажет, что есть проблема с той или иной маркой. Судиться с маркой оставят владельцам. А марка скажет — никто 100% защиты и не обещал, точка.
Может быть, это и есть цель исследования? Показать как производители наступают на одни и те же грабли, желая сэкономить на смарткартах?
Странно, я всегда думал, что в современных системах охраны автомобилей используются обычные открытые-закрытые ключи. По паре ключей в брелке и машине. Для каждой машины они соответственно должны быть уникальные, т.е. если исследователи выудили ключ из одного брелка, то ни к одной другой машине он не должен подойти. Или автопроизводители настолько не заботятся о безопасности (это кстати по большому счету так и есть — им в какой-то степени выгодно, чтобы машину угнали) что захреначили одни и те же ключи во все свои авто?
Другое дело, что на заводе хранятся все эти ключи, для того чтобы например выпускать замену ключей вместо потерянных. В новых volkswagen tiguan например так и есть — если потерял ключ, дилер новый прописать не сможет, а сможет только заказать с завода по VIN-номеру. Но эти пары открытых-закрытых ключей прямо с заводов воруют уже давно, с помощью коррумпированных сотрудников, так что новости никакой нет.
И еще, как они с помощью chip slicing прочитали содержимое flash-памяти? Я всегда думал, что это невозможно. Знающие люди, прокомментируйте плз.
Другое дело, что на заводе хранятся все эти ключи, для того чтобы например выпускать замену ключей вместо потерянных. В новых volkswagen tiguan например так и есть — если потерял ключ, дилер новый прописать не сможет, а сможет только заказать с завода по VIN-номеру. Но эти пары открытых-закрытых ключей прямо с заводов воруют уже давно, с помощью коррумпированных сотрудников, так что новости никакой нет.
И еще, как они с помощью chip slicing прочитали содержимое flash-памяти? Я всегда думал, что это невозможно. Знающие люди, прокомментируйте плз.
Или автопроизводители настолько не заботятся о безопасности (это кстати по большому счету так и есть — им в какой-то степени выгодно, чтобы машину угнали) что захреначили одни и те же ключи во все свои авто?А может есть некий универсальный master key, который позволяет спецслужбам тихо открывать любые машины, например, чтобы поставить жучок? Тогда этот Флавио Гарсиа может стать эдаким авто-Сноуденом. Пусть радуется, что ещё не арестовали.
Я так и не понял что запретили. Запретили публикацию вскрытых кодов доступа в публикуемой работе, или вообще всю работу запретили публиковать.
Если первый вариант, то я не понимаю этих ученых… подумаешь несколько циферек запретили написать. Ценность их работы не в том что они гордо могут сообщить всему миру эти циферки, типа: «Налетай, угоняй», а в том что они выявили дыры в алгоритмах защиты оборудования, и результаты исследования могут помочь компании внести изменения чтобы избежать этих самых угонов.
Если второй вариант, то как уже было сказано, что запрет временный. Производителю необходимо время для того чтобы исправить косяки… Быстренько за недельку этого не сделать… Ученые могли бы и подождать с публикацией, тем более их об этом просили как я понял, а то что они хотят засветится на каком-то там своем конгрессе, это не оправдание.
Если первый вариант, то я не понимаю этих ученых… подумаешь несколько циферек запретили написать. Ценность их работы не в том что они гордо могут сообщить всему миру эти циферки, типа: «Налетай, угоняй», а в том что они выявили дыры в алгоритмах защиты оборудования, и результаты исследования могут помочь компании внести изменения чтобы избежать этих самых угонов.
Если второй вариант, то как уже было сказано, что запрет временный. Производителю необходимо время для того чтобы исправить косяки… Быстренько за недельку этого не сделать… Ученые могли бы и подождать с публикацией, тем более их об этом просили как я понял, а то что они хотят засветится на каком-то там своем конгрессе, это не оправдание.
НЛО прилетело и опубликовало эту надпись здесь
Если система безопасности такая, что вскрыв одну машину(один чип) можно точно так-же вскрыть все остальные без каких-бы то ни было дополнительных затрат, то это не система безопасности, а система по передаче автомобиля первому встречному, которую производитель намеренно встроил в машину, но при продаже забыл предупредить о ее существовании.
Единственно верным решением суда было бы разрешение публикации, возможно с задержкой на месяцок максимум, чтобы WV успел отозвать и поменять мозги на всех машинах, а убытки стали бы ему уроком.
Текущее решение суда говорит, что да проблема есть, те кто надо о ней знает или может задешево узнать, но если у вас угнали машину, то это исключительно ваша проблема(или вашей страховой компании, которая после такого решения суда увеличит вам счет и в убытке не останется).
Единственно верным решением суда было бы разрешение публикации, возможно с задержкой на месяцок максимум, чтобы WV успел отозвать и поменять мозги на всех машинах, а убытки стали бы ему уроком.
Текущее решение суда говорит, что да проблема есть, те кто надо о ней знает или может задешево узнать, но если у вас угнали машину, то это исключительно ваша проблема(или вашей страховой компании, которая после такого решения суда увеличит вам счет и в убытке не останется).
«Высокий суд Британии...»
Простите за необразованность, но разве не «Верховный суд Британии», а то как в анекдоте: "… кто с высоким образованием, шаг вперед!"
Простите за необразованность, но разве не «Верховный суд Британии», а то как в анекдоте: "… кто с высоким образованием, шаг вперед!"
Э, господа! Да тут авто-расизмом попахивает! И от кого? Со стороны самых толерантных толера… в! Т.е. Bentley — низя. А какой-нибудь Renault Megane — зя? Огласили бы тогда уж список «белых» и «черных» что ли. Чисто для понимания «ху из ху».
Хотя вот у нас намедни освободилось на работе место в паркинге. И в рассылке внутренней такое себе письмо, сам текст которого — готовая завязка Рязановского «Гаража». Но не об этом я. Ибо неэтично будет. Но фрагмент таки процитирую: "… и если у Вас не ВАЗ и не Daewoo"… Мудерасты одним словом.
Короче, «Если у тебя немного кеце — ты имеешь право носить желтые штаны. Тогда...» — дальше все, надеюсь, знают.
Короче, «Если у тебя немного кеце — ты имеешь право носить желтые штаны. Тогда...» — дальше все, надеюсь, знают.
НЛО прилетело и опубликовало эту надпись здесь
Где скачать бесплатно без смс?
Меня всегда интересовал вопрос, почему в автомобильных брелках всегда используется какой-то на коленке склёпаный алгоритмик, вместо банальной аутентификации на основе любого стандартного блочного шифра? Ау, автопроизводители, давайте я вам расскажу как сделать надёжно раз и навсегда. Или дыры в аутентификации — это так надо, чтоб машинки почаще покупали взамен угнанных?
Тоже не понимаю этот момент. Что стоит записать на ключ и в блок защиты автомобиля тонну ключей, которые будут меняться сразу после положительной аутентификации. И всё, без оригинального ключа уже ничего не подобрать.
Десяти миллионов ключей хватит на всю жизнь.
Десяти миллионов ключей хватит на всю жизнь.
Тоже не понимаю
Звучит цинично, но автопроизводители не заинтересованы делать хорошую защиту, т.к. после угона клиент в большинстве случаев идет опять в салон и покупает точно такую же машину, т.к. выбирал он ее долго и осознанно, и она ему нравится.
Нормальные сигнализации уже давным-давно используют ассиметричное шифрование, в их терминах — диалоговые коды (термин взяли из авиации, в которой они уже лет 30 используются). Например одна из самых передовых и навороченных сигнализаций на сегодняшний день — Pandora 5000 NEW — использует в радиометке для снятия с охраны самый обыкновенный, свободно продающийся system on chip Nordic nRF51822 реализующий протокол Bluetooth Low Energy. В основном блоке — такой же SOC + Cortex как центральный проц + акселерометр как в смартфонах. Компоненты дешевые, мега-функциональные и надежные.
Как естественный результат — ни одна из сигнализаций с диалоговыми кодами не подбирается кодграбберами (за исключением кривых изделий, в которых дыр наоставляли).
Нормальные сигнализации уже давным-давно используют ассиметричное шифрование, в их терминах — диалоговые коды (термин взяли из авиации, в которой они уже лет 30 используются). Например одна из самых передовых и навороченных сигнализаций на сегодняшний день — Pandora 5000 NEW — использует в радиометке для снятия с охраны самый обыкновенный, свободно продающийся system on chip Nordic nRF51822 реализующий протокол Bluetooth Low Energy. В основном блоке — такой же SOC + Cortex как центральный проц + акселерометр как в смартфонах. Компоненты дешевые, мега-функциональные и надежные.
Как естественный результат — ни одна из сигнализаций с диалоговыми кодами не подбирается кодграбберами (за исключением кривых изделий, в которых дыр наоставляли).
Звучит цинично, но автопроизводители не заинтересованы делать хорошую защитуВыходит, первое, что должен сделать покупатель — это поменять заводскую защиту на защиту стороннего производителя, в которой уверен? Влечет ли это какие-нибудь последствия типа потери фирменной гарантии?
По хорошему — да. Преступник, который идет угонять конкретную машину само собой умеет вскрывать ее штатную защиту, и вскрывает ее очень быстро. А сторонних сигналок и установщиков много, ставят они разные системы и по-разному, у каждого свои хитрости. Вообще при желании можно всё угнать, поэтому все сигналки рассчитаны на то, чтобы максимально увеличить время угона и повреждения, наносимые для отключения сигналки, чтобы угон стал нецелесообразным — зачем угонщику раскуроченная торпедо, капот, проводка, если соседнюю, точно такую же машину можно угнать без этих повреждений.
На КАСКО я бы тоже сильно не рассчитывал, во-первых выплат долго ждать (полгода легко) — все это время вы без денег и без машины. Во-вторых всегда выплачивают за вычетом процента за амортизацию, даже если машине всего неделя. Да и часто бывает, что не выплачивают — приходится по судам таскаться, а это еще больше времени.
Гарантии это лишить никак не может, тем более если ставить в центрах, имеющих сертификат. Современные сигнализации на современных авто — это коробочки почти без проводов, которые подключаются 2-мя проводками к штатной CAN-шине в штатные места и получают из нее всю информацию со штатных датчиков открытия дверей, капота, багажника, детектят попытку завести двигатель и т.п. Также есть отдельный блочок под капотом, который управляет скрытым реле блокировки — блокирует какую-нибудь цепь в автомобиле. Так что вторжение в машину минимальное, и чтобы снять с гарантии дилер должен доказать, что поломка произошла по вине сигнализации. А если вы ставили хорошую, проверенную сигналку, например Autolis или Pandora (кстати, обе — наши отечественные разработки) у сертифицированных установщиков, то вероятность такого события стремится к нулю. Рассказы про гарантию — это страшилки недобросовестных дилеров, чтобы ставили у них, втридорога. А у них это на потоке, ставят они как правило дешевку, ставят некачественно и всем одинаково — угонщики прекрасно знают как обходить дилерские сигнализации. Да еще и нередко сливают инфу угонщикам, т.к. сигнализаций дилеры ставят много и имеют все личные данные клиентов — адреса прописки и места жительства, телефоны и т.п.
На КАСКО я бы тоже сильно не рассчитывал, во-первых выплат долго ждать (полгода легко) — все это время вы без денег и без машины. Во-вторых всегда выплачивают за вычетом процента за амортизацию, даже если машине всего неделя. Да и часто бывает, что не выплачивают — приходится по судам таскаться, а это еще больше времени.
Гарантии это лишить никак не может, тем более если ставить в центрах, имеющих сертификат. Современные сигнализации на современных авто — это коробочки почти без проводов, которые подключаются 2-мя проводками к штатной CAN-шине в штатные места и получают из нее всю информацию со штатных датчиков открытия дверей, капота, багажника, детектят попытку завести двигатель и т.п. Также есть отдельный блочок под капотом, который управляет скрытым реле блокировки — блокирует какую-нибудь цепь в автомобиле. Так что вторжение в машину минимальное, и чтобы снять с гарантии дилер должен доказать, что поломка произошла по вине сигнализации. А если вы ставили хорошую, проверенную сигналку, например Autolis или Pandora (кстати, обе — наши отечественные разработки) у сертифицированных установщиков, то вероятность такого события стремится к нулю. Рассказы про гарантию — это страшилки недобросовестных дилеров, чтобы ставили у них, втридорога. А у них это на потоке, ставят они как правило дешевку, ставят некачественно и всем одинаково — угонщики прекрасно знают как обходить дилерские сигнализации. Да еще и нередко сливают инфу угонщикам, т.к. сигнализаций дилеры ставят много и имеют все личные данные клиентов — адреса прописки и места жительства, телефоны и т.п.
на основе любого стандартного блочного шифра
Ключ шифра где хранить предлагаете? :)
В брелке (только с умом) и в сигналке, для каждой машинки уникальный. Если есть идея получше — расскажите. С асимметрией та же история получится — серкетный ключ — в брелке.
НЛО прилетело и опубликовало эту надпись здесь
Есть подозрение, что ключ зашит один и тот же во все автомобили. Достаточно расковырять один чип, чтобы получить доступ ко всем. Это значит, что ключ стал частью алгоритма и вся схема чудесным образом превращается в security through obscurity.
НЛО прилетело и опубликовало эту надпись здесь
Так то же самое и с корневыми сертификатами. Их всего несколько десятков на весь мир и можно считать, что «они стали частью алгоритма», т.к. найдя способ подделывать подписи корневого сертификата можно дальше подделать всю цепочку.
Закрытые ключи от корневых сертификатов не хранятся на каждом броузере.
Я бы сказал иначе: закрытые ключи не хранятся на каждом компьютере в легкоизвлекаемом виде. Т.к., если говорить строгим математическим языком, открытый ключ определяет закрытый ключ. Т.е. по открытому ключу воссоздать закрытый теоретически возможно. Другое дело, что это очень сложная вычислительная задача, поэтому мы считаем, что этого ключа там нет.
Здесь то же самое: если ключ можно получить только путем реверс-инженеринга микросхемы, то это некоторым образом роднит этот ключ с закрытым ключом сертификатов. Строго говоря он есть, технически же он очень труднодоступен.
Здесь то же самое: если ключ можно получить только путем реверс-инженеринга микросхемы, то это некоторым образом роднит этот ключ с закрытым ключом сертификатов. Строго говоря он есть, технически же он очень труднодоступен.
Ну и кто им мешал хранить производителям трудноизвлекаемый математически ключ?
Знаю ответ.
Требование иметь сервисный ключ и требование спецслужб.
Кстати, о хваленных российских сигнализациях, не знаю, как сервисный режим, но допуск от ФСБ они получают. Делайте выводы.
Знаю ответ.
Требование иметь сервисный ключ и требование спецслужб.
Кстати, о хваленных российских сигнализациях, не знаю, как сервисный режим, но допуск от ФСБ они получают. Делайте выводы.
А как можно хранить трудноизвлекаемый ключ, и при этом этим ключом пользоватья? :)
Как минимум у одной из сторон (автомобиль или брелок) закрытый ключ должен быть. Иначе его нельзя будет проверить. Вот он и был зашит в кристалл.
Т.е. ответ на ваш вопрос «Кто им мешал хранить трудноизвлекаемый ключ...» таков:
— законы математики.
Как минимум у одной из сторон (автомобиль или брелок) закрытый ключ должен быть. Иначе его нельзя будет проверить. Вот он и был зашит в кристалл.
Т.е. ответ на ваш вопрос «Кто им мешал хранить трудноизвлекаемый ключ...» таков:
— законы математики.
Он будет зашит в кристалл. Исследователи, при желании, могут даже этот кристалл растворить, уткнувшись в микроскопы. Только проблема в том, что запустить чужую машину извлеченный ключ не поможет, а поможет он только сварганить эмулятор брелка для своей.
Ну так теоретически любую защиту можно обойти. Какими бы не были алгоритмы и ключи, всегда можно найти способ их выкрасть/купить и производителя или сервисной организации, у которой есть к ним доступ.
Насколько я понял из статьи, ключ для всех сигнализаций один и тот же, или что-то вроде того (иначе в чем была бы обнаруженная уязвимость).
Почему так — вопрос для меня непонятный.
Насколько я понял из статьи, ключ для всех сигнализаций один и тот же, или что-то вроде того (иначе в чем была бы обнаруженная уязвимость).
Почему так — вопрос для меня непонятный.
Плохо вы учили криптографию. Ту часть, что про открытые ключи.
Если каждой в машине и в ключе будет ИНДИВИДУАЛЬНЫЙ закрытый ключ, и никаких бэкдоров, проблем в извлекаемых ключах не будет. Извлекли в одном ключе или машине, к другой не подойдет.
До того, как заработает квантовый компьютер, по крайней мере.
Если каждой в машине и в ключе будет ИНДИВИДУАЛЬНЫЙ закрытый ключ, и никаких бэкдоров, проблем в извлекаемых ключах не будет. Извлекли в одном ключе или машине, к другой не подойдет.
До того, как заработает квантовый компьютер, по крайней мере.
Мы пока что рассматриваем ту систему, которая есть: в которой почему-то используется общий закрытый ключ. Может быть там используется несколько ключей, но как минимум один из них — общий. Почему так — понятия не имею.
Понятно, что если для кадого автомобиля и брелка генерировать строго уникальные ключевые пары, то описанной уязвимости не будет. Будут другие.
Понятно, что если для кадого автомобиля и брелка генерировать строго уникальные ключевые пары, то описанной уязвимости не будет. Будут другие.
Да в машине вообще не нужно хранить закрытые ключи. Ей нужны только открытые ключи тех устройств, которым позволено её открыть. Вот в этих устройствах («брелках») как раз хранятся закрытые ключи.
И всё просто: есть у тебя брелок с закрытым ключом, надо тебе позволить открывать данную машину — прописываешь в неё соответствующий открытый ключ. Надо запретить тебе доступ к машине — удаляешь из неё этот открытый ключ.
Ключи сервисов и (о нет!) спецслужб туда прописаны на заводе и удалить их не даёт ПО.
Сломав микросхему в машине, ты можешь что угодно делать, но никакой информации, могущей дать доступ до других машин, там нет. Только открытые ключи.
Сломав свой брелок, ты сможешь получить доступ максимум к тем машинам, куда был прописан твой открытый ключ.
Самое опасное — если утечёт ключ сервиса или спецслужб. Но эта безопасность — уже их проблемы, а анализом микросхемы автомобиля их не достать.
Именно так и устроена безопасность протокола SSH.
Теперь вопрос. Какой такой сервисный ключ, который опасно публиковать? Что мешало VW сделать систему безопасности так, как я её сейчас описал?
И всё просто: есть у тебя брелок с закрытым ключом, надо тебе позволить открывать данную машину — прописываешь в неё соответствующий открытый ключ. Надо запретить тебе доступ к машине — удаляешь из неё этот открытый ключ.
Ключи сервисов и (о нет!) спецслужб туда прописаны на заводе и удалить их не даёт ПО.
Сломав микросхему в машине, ты можешь что угодно делать, но никакой информации, могущей дать доступ до других машин, там нет. Только открытые ключи.
Сломав свой брелок, ты сможешь получить доступ максимум к тем машинам, куда был прописан твой открытый ключ.
Самое опасное — если утечёт ключ сервиса или спецслужб. Но эта безопасность — уже их проблемы, а анализом микросхемы автомобиля их не достать.
Именно так и устроена безопасность протокола SSH.
Теперь вопрос. Какой такой сервисный ключ, который опасно публиковать? Что мешало VW сделать систему безопасности так, как я её сейчас описал?
Ну, вспомним о кодоподмене, и о двухсторонней связи. Так что, свой закрытый ключ лучше иметь с обоих сторон.
У сигнализации на моей машине, вроде бы так, жаль ключ всего 4 байта — если кто озадачиться собрать вычислитель ключей на базе перехваченного обмена, у него это, несомненно, получиться на нынешней аппаратной базе.
У сигнализации на моей машине, вроде бы так, жаль ключ всего 4 байта — если кто озадачиться собрать вычислитель ключей на базе перехваченного обмена, у него это, несомненно, получиться на нынешней аппаратной базе.
В данном случае, продолжая вашу аналогию, корневой ssl сертификат лежит в доступной для чтения папке на каждом из миллионов сайтов, использующих ssl.
НЛО прилетело и опубликовало эту надпись здесь
Подход этих ученых сравним с действиями биолога, открывшего смертельно опасный микроорганизм и заражающего им источники питьевой воды «Чтобы все обратили внимание на опасность».
Прямое принесение вреда и предупреждение покупателей дорогих машин от мошеннических ложных заявлений продавцов сравнимо? Это какая-то альтернативная логика.
Публикация технологии угона (или существенной ее части) — это нанесение вреда тем, кто уже купил. И бОльшая часть из них не побежит в СЦ тут же менять систему сигнализации, хотя бы по той причине, что не будет знать о необходимости такой замены. Вот эту группу пользователей такая публикация подставила бы под удар (или под риск удара).
Моя интуиция мне подсказывает, что эти ученые хотели «продать» свою технологию взлома замков VW, но не сошлись в цене, из-за чего решили попытаться надавить на VW таким «научным» образом.
Моя интуиция мне подсказывает, что эти ученые хотели «продать» свою технологию взлома замков VW, но не сошлись в цене, из-за чего решили попытаться надавить на VW таким «научным» образом.
А почему те, кто уже купил должны стоять выше тех, кто ещё не купил, но которых обманывают заявлениями о качестве противоугонки? В конце концов, даже если у купивших угонят машину, этот вред нанесут злоумышленники, а не учёные.
Я вполне себе допускаю, что учёные работают из научного интереса, интересно же знать как всё работает. В конце концов, теоремой о двух генералах доказана принципиальная невозможность истинно надёжных распределённых транзакций, так что любой заявленный механизм якобы надёжного алгоритма консенсуса представляет собой объективно научный интерес.
Ну и технология слайсинга вполне доступна умным чувакам с несколькими микроскопами и плавиковой кислотой — на хабре есть один. Соответственно, угонщикам, у которых и сейчас уже оборудования на несколько миллионов рублей с собой, технология простого получения секретов алгоритмов доступна. В отличие от вашего права знать о дырявости алгоритма, которое по мнению Британского суда (и, судя по всему, вашему), несущественно.
Я вполне себе допускаю, что учёные работают из научного интереса, интересно же знать как всё работает. В конце концов, теоремой о двух генералах доказана принципиальная невозможность истинно надёжных распределённых транзакций, так что любой заявленный механизм якобы надёжного алгоритма консенсуса представляет собой объективно научный интерес.
Ну и технология слайсинга вполне доступна умным чувакам с несколькими микроскопами и плавиковой кислотой — на хабре есть один. Соответственно, угонщикам, у которых и сейчас уже оборудования на несколько миллионов рублей с собой, технология простого получения секретов алгоритмов доступна. В отличие от вашего права знать о дырявости алгоритма, которое по мнению Британского суда (и, судя по всему, вашему), несущественно.
Где-то тут в тексте проскакивала информация о том, что VW изначально предложила ученым опубликовать информацию об уязвимости, не публикуя сам ключ.
Т.е. поделиться с общественностью информацией в том объеме, при котором она уже будет представлять научный интерес, при котором она уже сможет влиять на формирование мнений о безопасности, но при этом не будет непосредственно давать возможность использовать эту технологию во вред.
Кроме того описанное в тексте решение суда является не решением, а определением — обеспечительной мерой. Само же решение еще не вынесено, а в решении уже будет сказано, какие части работы допустимы к публикации.
Т.е. поделиться с общественностью информацией в том объеме, при котором она уже будет представлять научный интерес, при котором она уже сможет влиять на формирование мнений о безопасности, но при этом не будет непосредственно давать возможность использовать эту технологию во вред.
Кроме того описанное в тексте решение суда является не решением, а определением — обеспечительной мерой. Само же решение еще не вынесено, а в решении уже будет сказано, какие части работы допустимы к публикации.
Научные данные без информации, достаточной для повторения опыта? Это что-то новое в научном методе. Это всё равно, что статья: «Великая теорема Ферма справедлива.» Мы такую статью увидели несколько сотен лет назад, и что?
Любые обеспечительные меры, любые запреты и аресты — это тоже решения суда, получающие силу закона (которые можно в установленные сроки обжаловать).
Любые обеспечительные меры, любые запреты и аресты — это тоже решения суда, получающие силу закона (которые можно в установленные сроки обжаловать).
Публикация некоторых научных знаний может наносить больше вреда, чем пользы.
Например стараются особо не распространяться о способах изготовления взрывчатых веществ, ядов, наркотиков. Способов бесследного убийства людей. Не на самом видном месте лежат методы криминалистической экспертизы (настоящей экспертизы, разумеется, а не произвола).
Не особо распространены сведения о медицинских техниках гипноза, шпионские техники вхождения в доверие и т.д. (хотя последние потихоньку начинают просачиваться в литературу в том или ином виде).
Представьте себе, что будет, если кто-то опубликует и широко донесет до населения информацию о том, что на теле человека есть три точки (гипотетические), одновременное нажатие на которые приводит к сердечному приступу. Кому от этого станет лучше?
Например стараются особо не распространяться о способах изготовления взрывчатых веществ, ядов, наркотиков. Способов бесследного убийства людей. Не на самом видном месте лежат методы криминалистической экспертизы (настоящей экспертизы, разумеется, а не произвола).
Не особо распространены сведения о медицинских техниках гипноза, шпионские техники вхождения в доверие и т.д. (хотя последние потихоньку начинают просачиваться в литературу в том или ином виде).
Представьте себе, что будет, если кто-то опубликует и широко донесет до населения информацию о том, что на теле человека есть три точки (гипотетические), одновременное нажатие на которые приводит к сердечному приступу. Кому от этого станет лучше?
В данном случае речь не идёт о технологии производства оружия массового поражения. Субъектов у обсуждаемого запрета конечное количество: покупатели (потенциальные и действительные) и автомобильные бонзы.
Если есть три смертельных точки, то я бы хотел это знать, т.к. тогда я буду носить кожанный нагрудник (или что там надо защищать), что бы предотвратить внезапное прекращение своей жизни. Во всяком случае, я бы хотел получить эту информацию не позднее того момента, как об этом способе узнают гопники на моём районе.
Если есть три смертельных точки, то я бы хотел это знать, т.к. тогда я буду носить кожанный нагрудник (или что там надо защищать), что бы предотвратить внезапное прекращение своей жизни. Во всяком случае, я бы хотел получить эту информацию не позднее того момента, как об этом способе узнают гопники на моём районе.
Следуя вашей логике, субъектов всегда ограниченное количество, ведь количество людей на Земле конечно.
ОМП тем и опасно, что наносит ущерб большому количеству людей. Предоставление методики совершения преступления (в т.ч. угона) — это своего рода тоже ОМП, только социального типа.
Теперь к трем смертельным точкам. Почему вы считаете, что если эта информация станет общественно доступной, то вы ее узнаете раньше, чем гипотетические гопники? Раскрытие информации и ее озвучивание по первому каналу в вечерних новостях — это разные вещи. Информацию о всяких гадостях первым делом достают те, кто эти гадости делает, а потом уже все остальные, и то не всегда.
Кроме того, этими тремя точками сможет воспользоваться и ваша ревнивая жена/невеста/девушка/любовница. Так что спокойнее будет всем, если об этих трех точках просто почти никто не будет знать. Кроме того, кроме вас (к кожаным нагрудником) есть еще много других людей, интересы которых нужно учитывать.
ОМП тем и опасно, что наносит ущерб большому количеству людей. Предоставление методики совершения преступления (в т.ч. угона) — это своего рода тоже ОМП, только социального типа.
Теперь к трем смертельным точкам. Почему вы считаете, что если эта информация станет общественно доступной, то вы ее узнаете раньше, чем гипотетические гопники? Раскрытие информации и ее озвучивание по первому каналу в вечерних новостях — это разные вещи. Информацию о всяких гадостях первым делом достают те, кто эти гадости делает, а потом уже все остальные, и то не всегда.
Кроме того, этими тремя точками сможет воспользоваться и ваша ревнивая жена/невеста/девушка/любовница. Так что спокойнее будет всем, если об этих трех точках просто почти никто не будет знать. Кроме того, кроме вас (к кожаным нагрудником) есть еще много других людей, интересы которых нужно учитывать.
Разумеется, я описался — не конечное количество а ограниченное разумными цифрами.
Практически любой негативный момент можно сравнить с ОМП, если использовать оборот «это своего рода».
Пр 3 точкам: я как раз не считаю. Но если уж эта инфа стала более-менее доступной (например, сотрудникам силовых ведомств), то я бы хотел знать об этом, что бы защититься, т.к. как вы сами указали злоумышленники узнают об этом первыми.
Если я буду не доверять своим близким, то я буду при общении с ними ходить с нагрудником. Непонятно, как вы будете себя чувствовать, если будете знать, что у вашей ревнивой жены есть брат-сотрудник органов, допущенный до инфы о трёх точках?
Практически любой негативный момент можно сравнить с ОМП, если использовать оборот «это своего рода».
Пр 3 точкам: я как раз не считаю. Но если уж эта инфа стала более-менее доступной (например, сотрудникам силовых ведомств), то я бы хотел знать об этом, что бы защититься, т.к. как вы сами указали злоумышленники узнают об этом первыми.
Если я буду не доверять своим близким, то я буду при общении с ними ходить с нагрудником. Непонятно, как вы будете себя чувствовать, если будете знать, что у вашей ревнивой жены есть брат-сотрудник органов, допущенный до инфы о трёх точках?
P.S. Кстати, исходя из объективных данных, которые у меня есть, гипноза как отдельного состояния сознания, не существует. Есть способы, благодаря которым слабые люди добровольно подчиняются авторитету гипнотизёра (находясь при этом в обычном сознании). Если это не так, то я тоже хотел бы об этом узнать.
Эм, доклад уже опубликован в 2013 www.usenix.org/sites/default/files/sec15_supplement.pdf
Или это не то?
Или это не то?
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Суд запретил публикацию кодов запуска люксовых автомобилей