ברביעי לאוקטובר 2018 פירסמו Jordan Robertson and Michael Riley

כתבה מרעישה ב bloomberg businessweek, כיצד סין הצליחה (לכאורה) לחדור למערכות של אמזון, אפל ושאר קונצרנים מפלצתיים על ידי השתלה של שבב ריגול בגודל חוד של עיפרון בלוחות אם של מחשבים המיוצרים בסין ומשווקים בכל העולם.
מקור-
https://www.bloomberg.com/news/feat...s-top-companies
ובעברית-
https://www.themarker.com/wallstreet/1.6530162
וידאו למי שאין לו כח לקרוא עכשיו ובכלל לא בטוח שזה מעניין אותו:



לצפייה במקור באתר YouTube, לחצו כאן.

התגובות לשערוריה מצד אפל, אמזון ושירותי הבטחון בארה"ב ובבריטניה לא איחרו לבוא, וטענו שלא היו דברים מעולם.

מקור שמכיל את רוב התגובות-
https://www.theguardian.com/comment...ro-amazon-apple


אני האמנתי שנושא כל כך מורכב ובעייתי כמו supply chain attack לא ירד כל כך מהר מסדר היום, והנה- שלושה חודשים מאוחר יותר אני אינני יודע האם היום דברים מעולם, ולא נראה שלמישהו בכלל אכפת. חיפוש בגוגל "the big hack "debunked

מעלה שלל דיונים אין סופיים בשאלה, גולש לבעיית אמינות המקורות והסיבות (ככל הנראה המוצדקות) של ארגוני ביון להשתיק את הנושא בלי קשר אם זה קרה או לא קרה.
בלומברג כמובן הגיבו -
https://www.bloomberg.com/news/arti...-in-u-s-telecom
וחוקרים מאוניברסיטת קיימברידג' הוסיפו והוכיחו-
https://www.lightbluetouchpaper.org...erboard-attack/

הכצעקתה? לא ברור. אומנם אין אקדח, אך כמות העשן סביב הנושא מניחה את הדעת שקורה פה משהו. ומה לגבינו? אנו צורכים את אותם רכיבים כמו כולם והכל מגיע מאותו מקום. האם למקור הבא יש קשר עקיף לעניין-
https://www.maariv.co.il/news/israel/Article-679518


מעניין אותי לדעת מה אתם חושבים על הנושא. אין פה נכון או לא נכון- ראש פתוח.
תודה מראש למי שמוכן להיכנס לזה.

אם זה לא קרה, איזו הוכחה אפשר להביא למשהו שלא קרה? נניח והיה מקור בחברות שסיפר על כך לבלומברג - לפי המספרים שלהם יש לפחות 7000 שרתים שפרקו מהם את הצ'יפ הזה, המקור לא יכל לתת לעיתונאי אחד כזה לדוגמה? (אגב, הדבר שבתמונה מעל האצבע הוא לכאורה רק מגעים של כניסה למעגל, בסגנון תקע USB - אם כי חסר שם פין אחד בשביל שזה יהיה USB - ולא נחזה להיות צ'יפ).

מבחינה טכנית הצ'יפ הזה צריך להיות מבריק: הוא צריך לעמוד על מספר צמתי תקשורת של המעבד - בין המעבד לדיסק או לזיכרון או לשניהם מצד אחד, ולכרטיס הרשת מצד שני; את המידע שהוא קורא הוא צריך לדעת לפענח ללא עזרה חיצונית - מה חשוב ומה לא. אי אפשר לשלוח הכל. רוחב הפס בין המעבד לדיסק ובוודאי בין המעבד לזיכרון גדול לפחות בסדר גודל מכרטיס הרשת המהיר ביותר שקיים היום, וכל שליחה של כמות מידע משמעותית, היו עולים עליה בניטור רשת. כיוון שמדובר בצ'יפ חיצוני (זו הטענה), ככל הנראה לא ניתן להשתמש בכוחו של המעבד נגדו (שהרי מערכת ההפעלה מניחה שהיא המשתמשת היחידה במעבד, בכרטיס הרשת וכו', וחלק מההנחות האלה נעשות בתוך חישובים בתוך המעבד עצמו, במיוחד כשדברים נמצאים בתוך ה L-Cache של המעבד - כדי לעשות את זה "מעל הראש" של מערכת ההפעלה, יהיה כנראה צריך לפצ'פצ' אותה תוך כדי שהיא עולה כדי להוסיף לה "קוד תיאום", ולהכניס סוג של סוס טרוייאני תוכנתי - שיתאים לכל מערכת הפעלה שכל לקוח יבחר להתקין: חלונות, מק, ומאות סוגים שונים של לינוקס עם קרנל שמתחלף תדיר. יש כאן גם בעייה של ביצה ותרנגולת - כדי לעשות את זה, הצ'יפ כבר צריך שיתוף פעולה כבר בשלב ההכנסה - כשמערכת ההפעלה שמבצעת את ההתקנה של מערכת ההפעלה, עושה את זה.).

את החיבורים לשרתים של סין ייתכן מאוד שיהיה בעייתי להוציא ישירות לרשת, משום שבהרבה מקומות הרשת שאליה השרתים מחוברים לא באמת מחוברת ישירות לאינטרנט, אלא ישנה שכבת אבטחה שבה מערכת ההפעלה יוצרת חיבורים מאובטחים (מוצפנים) ברשת המקומית שבתוכה נישא המידע של המכונות הוירטואליות אל עבר ה"שערים" האמיתיים של הרשת, שם הוא עובר פענוח וביטול כימוס, ואז נשלח. מה שלא נכנס דרך השכבה הזו פשוט לא יגיע לשום מקום. שירותי ענן בסדרי גודל של אמאזון גוגל וכו' חייבים לעבוד כך. ר' https://en.wikipedia.org/wiki/Softw...ined_networking ו-https://en.wikipedia.org/wiki/Netwo..._virtualization.

בקיצור - יכולת חישוב אדירה יותר משל מעבד של שרת, זכרון מובנה כדי לבצע בו את החישובים, תוכנה ברמת AI שלכאורה יגיעו אליה רק בעוד שנים רבות, וכל זה במשהו שקטן בהרבה מהמעבד, וכו'. ובייצור המוני. ובחוסר כשלונות מוחלט (רכיב תקול שכזה יהיה חייב להפריע לפעילות הרגילה של השרתים שבתוכם הוא נמצא)

ואם כל זה נעשה, אנחנו בעצם טוענים שזה נעשה דרך סין. השאלה המתבקשת: ממי הם העתיקו את הצ'יפ? ולא היה יותר הגיוני שידאגו להכניס את זה לחומרה שהולכת למקומות עם מידע אפילו יותר רגיש, כגון הפנטגון או ה NSA?

אז לדעתי: או שמדובר במדע בדיוני (במובן של מה שהמדע יודע לעשות היום, לא במובן שסותר את המדע כמו חללית הנעה במהירות האור כפול 1516), או שהטכנולוגיה התקדמה בכמה סדרי גודל ממה שחברות עם אלפי עובדים שעובדים עליה הצליחו להגיע אליו. (אני לא אומר שזה לא אפשרי)

נמאס לכם לזכור סיסמאות? לחצו כאן!

הוא יכול "סתם" להכיל קצת ROM שמכיל קוד של סוס-טרויאני זה או אחר.
מכיוון שהוא לא על קובץ - מקשה על אנטיוירוסים לזהותו.
ולא צריך משהו גדול לצורך כזה, כי רכבי ROM זה רכיב מאוד קטן. רק שעון, ניטור העדר פעילות(שלא תהיה התנגשות עם תוכנות בהרצה), COUNTERים שיאפשרו הזרקה סדרתית של המידע, וספירת DELAYS בין הרצות - ומיקום מתאים שיאפשר הזרקה של הקוד למעבד.

ציטוט:

במקור נכתב על ידי שימי ואם כל זה נעשה, אנחנו בעצם טוענים שזה נעשה דרך סין. השאלה המתבקשת: ממי הם העתיקו את הצ'יפ?

אל תזלזל בסינים - יש להם יכולות לא רעות.

אם כל האינטילגנציה שלו חיצונית - הוא צריך להיות מסוגל להוריד אותה מהאינטרנט (זה לא ROM פשוט של כרטיס רשת); כל בעיות ה networking שהזכרתי בסביבות Cloud. הוא צריך לעשות את זה בלי להתגלות. הוא צריך לדעת בדיוק מתי הוא נמדד במעבדה (שם אסור לו לגלות את עצמו ולשלוח אפילו frame אחד החוצה) ולהיכנס לעבודה רק כשמתחיל ה production workload. שאתה אומר הזרקת קוד למעבד, אתה מתכוון בעצם לזיכרון? (או לתווך ביניהם) - צריכה כאמור להיות לוגיקה שמזהה את זרם הביטים הנכון שהוא מערכת ההפעלה (על ידי השוואה לכל הקרנלים האפשריים שאמורים להיות שמורים באותו ROM?), סיווגה (שוב, קרנלים מתחלפים בקצב גבוה פי 1000 מפיתוח תוכנה מסוג זה[*]) - פיצ'פוצ'ה וכו'. קצת AI לפני שאפשר להוריד את הקוד שעושה AI...

אנטי וירוס זו בכלל לא הרמה שאנחנו מדברים עליה עכשיו, זה כמה שכבות מתחת ל"אנטי וירוס". לא שיש אנטי וירוס בשרתים שאינם מריצים חלונות (ככה"נ כל השרתים המדוברים, בהתחשב בזהות החברות שכביכול התגלה בהן הצ'יפ) אז מה זה בכלל קשור...

ציטוט:

במקור נכתב על ידי ai22 אל תזלזל בסינים - יש להם יכולות לא רעות.

בהחלט, בייחוד בתחום האמינות! (הכה נחוצה בצ'יפ מסוג זה). מאז שהעולם העביר את הייצור לשם, אנחנו נהנים מאוד מהיכולות שלהם. ובגלל שיש להם יכולות לחדור לחומרה ו AI להבין איך מידע עובר, למרות הרצון שלהם לדעת הכל על האזרחים שלהם ולדעת מי חס וחלילה קורא על מה שקורה מחוץ לסין - הם פשוט חוסמים גישה לשירותים במקום לנתח את המידע שעובר אליהם...

[*] מכיר את זה שאי אפשר לטעון מודול של minor version מסויים לקרנל שמריץ minor version אחד אחריו? מדוע זה כך?

נמאס לכם לזכור סיסמאות? לחצו כאן!

וקצת מכיר רכיבי חומרה שיושבים צמוד למעבד.
מבחינת מי שמסתכל על המחשב - הוא נראה כבוי. אין אפילו מערכת הפעלה שמדליקה לדים - ובפועל, הוא יכול לעשות הרבה.
מכיר את Intel Management Engine?

אני גם מכיר קוד שיושב בBOOTLOADER, של כל מעבד ARM ועושה משהו דומה,
דרייבר לינוקסאי של כל כרטיס רשת - אתה יכול להטמיע בBOOTLOADER.
ואז אתה יכול להתחבר למחשב מרוחק, להוריד לזיכרון קרנל מרוחק (אבל למה להוריד - כשיש לך ROM?),
ואין שום מ"ה או אנטי-וירוס.
ואין צורך בAI כדי לזהות קרנל.

תיאורטית,
מבחינתך - המחשב צרך קצת יותר חשמל בזמן שחשבת שהוא כבוי.
או שהתגובתיות להתרסקות או עליה הייתה פחות טובה מהצפוי,
או שקיבלת מסך כחול - ולא חשבת שמישהו פתאום חוגג על המחשב שלך,
או מתקפה מתואמת לתאריכים מסויימים,
לא חושב שיחשבו או יצליחו אפילו לבדוק דברים כאלו במעבדה.

ושוב,
אתה חושב על צ'יפ סופר-חכם,
במקום על צ'יפ רום הכי פשוט בעולם (רכיבי BOOTLOADER תמצא בכל מעבד, תואם כל מערכת הפעלה), וקוד ממזרי.

מספיק שהוא דוגם ושולח שבבי מידע קטנים, ויודע להאזין להוראות חדשות, ויש לך סניפר לא רע שמסוגל כאמור להציג למפעילים שלו דגימות של תעבורת המידע, והמפעילים שלו יכולים לשלוח לו סט הוראות שאומרות לו במה להתמקד - אם יש בכלל במה להתמקד. ככה אמנם לא תופסים את כל התעבורה והמרגלים עלולים לפספס מידע שיכול להיות שיעניין אותם, אבל זה גם מוריד את הסבירות שהם יתפסו ובהינתן מספיק זמן, יהיה גם מספיק סדר גודל של דגימות כדי לקבל תמונה טובה של אופי השימוש והמידע שעובר במכונה מסויימת.

"אילו שמוכנים לוותר על חירות חיונית כדי להרוויח ביטחון זמני, לא ראויים לא לחירות ולא לביטחון - ומהר מאוד חסרים את שניהם."
-בנג'מין פרנקלין

ציטוט:

במקור נכתב על ידי Carl Sagan "If you wish to make an apple pie from scratch, you must first invent the universe"

למה להשתיל בלוח האם. ניתן להשתיל בתוך השבבים!

.

הרבה יותר מסובך לשנות צ’יפ מאשר מעגל מודפס, זכור שאת התכנון עושה הלקוח והסיני צריך לעשנות אותו בלי להתגלות, ואני מניח שאת השנוי צריך לעשות אחרי שכמה אבות טיפוס אושרו ויוצרו

אני כבר כמה שנים אומר שזה לא הגיוני .
שאיך שהוא המחשב שלי "מדבר " עם מחשבים אחרים ברשת בזמן שאני מתשמש בתוכנת CAD כזאת או אחרת . - אני באמת לא צוחק....
כבר אמרתי בעבר . - אין מחשב שהוא חסין בעולם . הכל פתוח .

המזל שזה לא המחשב עבודה שלי ( ללא חיבור לאינטרנט ) אלא מחשב לפנאי .

יצא לי לעבוד בחברה שהשתמשה בתוכנה פרוצה,
רק כדי לגלות שכל הקוד זלג לרשת...