#006 - Bezpieczeństwo w krzemie zaklęte

W szóstym odcinku przybliżamy wam tematykę zabezpieczeń nowoczesnych procesorów i SoCW odcinku poruszamy szereg zagadnień bezpieczeństwa których bazą są sprzętowe rozwiązania zaszyte w nowoczesnych układach scalonych znajdujących się np w każdym smartfonie. Ten z pozoru prosty przedmiot codziennego użytku posiada wbudowaną technologię której nie są w stanie złamać nawet wyspecjalizowane komórki rządowych agencji bezpieczeństwa. Staramy się pokazać, jak ogromną zasługą w zachowaniu bezpieczeństwa i poufności zarówno naszej korespondencji jak i komunikacji np z bankiem, mają te małe płatki krzemu które są cichymi towarzyszami naszych codziennych połączeń poprzez publiczną sieć Internet.Prowadzący: Radosław Biernacki, Michał Stanek, Jan Dąbroś, Konrad DulębaHashtag: ArmTrustZone, ATF, ArmTrustedFirmware, Android, Security, Trusty, TEE, OP-TEE, SecureBoot, VerifiedBoot, Firmware### Plan odcinka# 0:08 - Wstęp# 1:25 - Kim jesteśmy# 5:40 - Dlaczego rozwiązania sprzętowe są podstawą modelu bezpieczeństwa# 9:17 - Czym są enklawy kryptograficzne# 10:48 - Reverse engineering krzemu# 14:45 - Arm Trust Zone# 22:22 - Trusted Platform Module# 24:47 - Jak i po co łączyć ATZ i TPM# 26:18 - Czy do budowy enklawy konieczny jest element zewnętrzny# 30:29 - Android jako modelowy przykład bezpiecznego systemu operacyjnego# 30:50 - UID jako podstawa dla sandbox# 32:09 - TEE (Trusty) jako podstawa enklawy kryptograficznej# 35:30 - Full Disk Encryption# 36:40 - File Based Encryption# 39:03 - API do kryptografii bazowane na enklawie# 41:00 - Luki bezpieczeństwa w TEE# 42:16 - Enklawy jako podstawa dla DRM ;(# 44:05 - SGX od Intela# 48:47 - Verified Boot i Secure Boot# 54:45 - Dlaczego nie powinno się “root’ować” smartfona# 58:48 - Trusted Platform Module - detale działania# 1:00:15 - TPM + Bitlocker# 1:02:00 - Atestacja serwerów przy pomocy TPM# 1:02:58 - Czy TPM chroni przed atakami fizycznymi? Czyli dlaczego nie szyfruj Bitlocker`em bez hasła ;)# 1:06:45 - Czym jest Yubikey i dlaczego jeszcze go nie używasz?# 1:09:10 - PSD2 vs Yubikey vs Smartfon# 1:10:11 - Protected Confirmation# 1:11:59 - Czy nadal używasz PC do przelewów?# 1:15:32 - Zakończenie### LinkiTrustzone TEEhttps://www.trustkernel.com/uploads/pubs/TZResearch_GetMobile2018.pdfhttps://www.arm.com/files/pdf/20160701_A04_ATF_Taiwan_I-Wei_Lin.pdfTEE, Secure & Measured Boot for Samsung Payhttps://developer.samsung.com/tech-insights/pay/device-side-securityBasics of TBSA https://www.arm.com/files/pdf/20160628_A01_ATF_Korea_Udi_Maor.pdfApple TouchIDhttps://hackernoon.com/demystifying-apples-touch-id-4883d5121b77(Programista 2017, numer 63, artykuł Jana Dąbrosia) - tzw. Biblia Arm TrustZone :Phttps://drive.google.com/drive/u/0/folders/0BwLtsK2HpuELallaSFcxb2RtR3c Extracting ECDSAKeys from Qualcomm’s TrustZone:https://www.nccgroup.trust/globalassets/our-research/us/whitepapers/2019/hardwarebackedhesit.pdfGoogle IO Android Security