Wojciech Bancer <w...@g...com> writes:

> Mogą się pojawić problemy ze sprzętem, których nie da się załatać (obecnie
> chyba to Spoiler, ale nie dotyczy procków mobilnych), ale raczej nie
> z oprogramowaniem.

Przede wszystkim z oprogramowaniem. Nie dlatego, że to jest wycięte
w szkle, tylko ze względu na liczbę powstających błędów.
Faktem jest, stosunek liczby błędów do wielkości softu jest coraz
korzystniejszy (co jest zasługą edukacji programistów, oraz m.in.
automatów testujących), ale wielkość softu rośnie szybciej.

> A i nie są istotne "wszystkie" błędy, tylko
> błędy które można wykorzystać przez złośliwy atak. Nie wystarczy
> "dziura w sprzęcie". Większość błędów sprzętowo-systemowych może
> być wykorzystana jedynie "lokalnie" i przy bardzo dużej wiedzy
> o docelowym systemie ofiary, więc są nie do wykorzystania na masową
> skalę.

Akurat w realiach telefonicznych, to wiedza o sprzęcie ofiary jest
bardzo dobra. Kwestia prawdopodobieństwa * liczba użytkowników
chociażby.

> Zapominasz o starej, dobrej zasadzie: zabezpieczenie jest na tyle dobre,
> na ile opłaca się go złamać. Jak na przełamanie zabezpieczeń wydasz 1mln$,
> zadziała przez dobę i uda Ci się w tym czasie może skubnąć ofiary na 100k$,
> to się to nie opłaca.

Owszem. Ale jeśli ktoś wyda na to $50k (realna kwota), uda mu się przez
miesiąc okraść 200 kosób średnio na $300 (i to też są realne wartości),
to nie wiem jak to się może nie opłacać.

> Z dużą dozą pewności można stwierdzić, że większość ataujących "za pomocą
> fałszywych SMS/maili" na masową skalę nie ma wiedzy/środków by przeprowadzić
> bardziej zaawansowane ataki.

Są ludzie, których można wynająć, i którzy mają potrzebną wiedzę.

> Jak chcesz wykorzystać bład systemu, to musisz mieć człowieka,
> który ten błąd odkryje (bo raczej na te odkryte to już nic nie
> wymyślisz),

Zdziwiłbyś się jak wiele jest starych, od dawna nie wspieranych
telefonów. Takich, które można załatwić zdalnie błędem znanym od lat.

> Pamiętaj że sam błąd nie wystarczy, musisz jeszcze mieć spełnione
> warunki do jego wykorzystania (np. dostęp lokalny do konkretnej
> maszyy i dużo czasu).

Daj spokój. Dostęp lokalny do maszyny w ogóle dyskwalifikuje taką
sytuację.
--
Krzysztof Hałasa