Vizvary II Istvan wrote:
>> Oki. Odrobiłem zadanie domowe - do karty można _także_ się
>> połączyć kodowanym kanałem transmisyjnym w trybie exclusive.
[...]
> Opieranie bezpieczeństwa na tym raczej bedzie zawodne (trojan po
> zakończeniu operacji dokonanej w trybie wyłacznym i zwolnieniu
> karty przez aplikacje) tez sobie zarezerwuje kartę w trybie
> dowolnym.

W jaki to niby sposób? Abstrachuję od podsluchiwania klawiatury (bo tego
sie nie da na razie uniknać) - podczas ustanowienia bezpiecznego i
wyłącznego kanału komunikacyjnego z kartą, mamy do czynienia z sytuacją
jak w przypadku https - nie jest możliwe śledzenie komunikacji gdzieś
pomiędzy aplikacją a kartą ani nie jest możliwe "wskoczenie" pomiędzy
transakcjami i wykonanie jakiegoś evil code'u.

> Dalej może sobie wykonywać dowolne operacje niskopoziomowe czy tez
> działać przez CAPI . Możesz teraz zaproponować z kolei, by kartę
> włozyć wtedy gdy aplikacja rząda, aplikacja rezerwuje i nigdy nie
> zwalnia aż do wyjecia, byłoby to przyporzadkowanie karty do
> pojedynczych aplikacji i istotne ograniczenie funkcjonalnosci.

Po zakończeniu operacji na karcie można zamknąć kanał komunikacyjny.
Podejrzewam, że można tak skonfigurować kartę, żeby była dostępna
_tylko_ w trybie exclusive. _Przy_założeniu_że_trojan_nie_zna_PINu,
karta jest bezpieczna.

>> Ja byłbym bardzo zainteresowany, jeśli się zgodzisz to omówiłbym
>> tę sprawę mailem na priva.
>
> Chetnie. Generalnie cały ten wątek jest zbyt technologiczny i
> należałoby prznieść w dużej mierze na priv.

Myślisz? Ja tych informacji szukałem jak głupi w archiowach grup
dyskusyjnych i dość mizerne były tego rezultaty (ale nie żadne), i tak
sobie myślę, że mimo że obecnie nikt pewnie poza nami nie czyta tego
wątku (może jednak się mylę?), to może się to komuś kiedyś w przyszłości
przydać... A jako, że nie ma grupy pl.technologia.kartychipowe, to może
ta grupa jest tak samo dobra jak każda inna? Proponuję follow up to
pl.comp.security, zgodzisz się? Na razie robie crosspost.

A swoją drogą, zauważyłem, że boom zainteresowanie technologią JavaCard
był jakieś 2 lata temu - czy ta technologia czasami nie wymiera? A może
po prostu już nie jest reklamowana, bo toczy się już własnym pędem
(efekt domina)?

Z tego co obserwowałem na różnych witrynach internetowych producentów
kart i czytników, to JavaCard jest nadal supportowana. Tylko nie mogę do
końca dojść jak się ma JavaCard do OpenFramework. Czy to jest to samo?

> Jak juz wczesniej wspomniałem wielodostep nie jest warunkiem ataku.
> Ja tu raczej wceluję w brak jakiejkolwiek sygnalizacji tego, że na
> kacie cos się dzieje.

Przy moich powyższych założeniach chyba jednak wielodostęp jest
niezbędną dziurą, przy rodzaju ataku, jaki opisywałeś. Z tego co wiem
bezpieczny kanał komunikacyjny jest możliwy do ustanowienia, są do tego
odpowiednie api.

>> "1. Bezpieczne urządzenie służące do składania podpisu
>> elektronicznego powinna co najmniej: [...] 4) zapewniać łatwe
>> rozpoznawanie istotnych dla bezpieczeństwa zmian w urządzeniu do
>> składania podpisu lub poświadczenia elektronicznego."
>>
>> A więc jeśli Prezydent używał użądzenia bez takich ficzerów, to
>> dawał bardzo zły przykład :)))
>
> Co miał biedny robić, jeśli na rynku jest tylko jeden taki czytnik.
> Fałszywa skromność konstruktora nie pozwala mi wspomnieć kto to
> produkuje :-))

rotfl

>>> Konkurencja (Sun) proponuje cala kryptografie wyrzucic poza PC
>>> do samodzielnego urzadzenia z klawiatura, z wyswietlaczem. No i
>>> wymienna kartą. Zajmuje sie tym konsorcjum STIP i oczywiście
>>> urzadzenie wykonuje zdalnie ładowane stiplety.
>>
>>To jest rozsądne rozwiązanie.Tylko już widzę urządzenie,które wyświetla
>> zajmującą ładne kilkanaście kilobajtów nowelizację ustawy o podpisie
>> elektronicznym i Prezydenta, który na cieklokrystalicznym ekraniku
>> 3x4cm ją przegląda i pracowicie wciska mikroskopijne klawisze
przewijania
>> tekstu.... Spodziewam się więc że takie terminale będą tylko używane
>> w środowisku niepewnym, jeśli w ogóle.
>
> A ja podejrzewam, że pomysł STIP opracowany był pierwotnie dla
> POSów, tylko z przyczyn praktycznych został zaadaptowany dla PCtów (
> wobec klęski JAVA-station jako alternatywny standard stacji
> roboczej. Pozwoli to bowiem zlikwidować przewagę technologiczną MS z
> oczywistą szkodą dla przeważającej większościuzytkowników, i nie
> tylko tych z systemem Windows w PC)

Poczytam sobie o tej technlologii, zanim cos więcej powiem :)

>> Chyba jednak rozwój pójdzie w kierunku rozwijania aplikacji, gdzie
>> dokumenty przedstawiane do podpisu użytkownik będzie miał
>> dostarczane do swojego prywatnego komputera i tam w zaciszu i z
>> wykorzystaniem wszelkich środków ostrożności będzie podpisywał
>> dokument. I raczej standardem będzie _nie_ wkładanie karty w każdy
>> nadażający się czytnik - bo w gruncie rzeczy każdy może być
>> troszkę "usprawniony", przez nieuczciwych kontrahentów.
>
> Tu jest kilka waznych informacji. Dla mnie na przykład jest
> naturalne, że po tym, że powiedzmy wynegojujemy kontrakt, to
> wymieniamy z partnerem tylko uścisk dłoni. Podpis cyfrowy każdy
> składa we wałsnej siedzibie z własnymi narzedziami. A sprawa
> bynajmniej nie jest dla każdego oczywista. (patrz wymienianie się
> przez dwóch prezydentów KARTAMI !!!! po podpisaniu w miejscu publicznym
> jakiegoś tam aktu).

Hę? To ma niby być gest _zamiast_ wymieniania się teczkami?!?

> Generalnie zaś zmiania to warunki, w jakim naprzykład karcie
> przyjdzie działać. Co zaś do "bezpiecznego urzadzenia" zwróc uwagę,
> że sama ustawa bardzo mało mówi i o urzadzeniu i o innych sprawach
> wiązanych z bezpiecznym wykonywaniem podpisu, raczej jest to "Ustawa
> o urzedach certyfkacji".

Z tego co wiem, wynika to z dyrektywy UE, żeby ustawy o handlu
elektronicznym i pokrewnych, były technologicznie obojętne.

> Przepisy wykonawcze dopiero mają niektóre
> sprawy sprecyzować. Na razie na to wygląda (sądząc po wykładzie p.
> Popisa na Enigmie), że polskie przepisy (tak jak zresztą ine na świecie)
> traktują komputer osobisty jako środowisko w założeniach bezpieczne.

Poza tym wszelkiego rodzaju czytniki będą musiały dostać jakiś
certyfikat z UOP'u stwierdzający zdatność urządzenia do wykorzystania
przy bezpiecznym podpisie. Tak więc może się zdarzyć zapewne, że
wtykając swoją kartę do czytnika przy swoim komputerze będę łamał prawo
:( (bo przez ustawę będę zobligowany do dbania o to, żeby podpisywać
bezpiecznie i tylko to, co zamierzam).

> Co jest zresztą logiczne, acz nieprawdziwe. Gorzej, że na tej samej
> konferencji okazało sie, że są rozbieżne zdania w środowisku co
> nalezy rozumieć pod takimi pojęciami jak "dokument elektroniczny"
> (bo to nie to samo jak wszelkie dane elektroniczne, ale wobec tego
> CO to jest ?) albo co oznacza słowo "weyfikowany" w tym zdaniu KC, w
> którym zrówna się co do skutków prawnych podpis elektroniczny i
> odreczny. Jakby nie mozna było zapytac tych, co to zdanie wpisali
> :-))

Ci kochani prawnicy... ogólnie myślę, że można by przyjąć dość szeroką
definicję dokumentu - jako DANYCH (w odróżnieniu od PROGRAMU).

--
Greetings, -- mailto:m...@p...fm --
Marcin Cenkier "Let's assume that there's only one truth."