[e-privacy] IBM, Linux e... TCPA?

[Francesco Poli]

On 28 Jan 2003 11:38:44 +0100
Simone Piccardi <piccardi at softwarelibero.org> wrote:

> On Tue, 2003-01-28 at 00:25, Francesco Poli wrote:
[...]
> > Si` pero`, per quello che avevo letto su varie FAQ riguardanti TCPA
> > e Palladium, il TCPA puo` essere usato per impedire l'esecuzione di
> > software non certificato (cioe` `autorizzato') da un'autorita` di
> > certificazione. E` questa la parte che mi sembra inquietante: mi
> > domandavo "se io voglio ricompilare il kernel per quel PDA, non
> > posso?"
> Secondo loro puoi e dicono di stare sviluppando driver GPL.
> E non sarebbe in grado di controllare l'esecuzione, solo do
> attestare una autenticita`. Ma come ti ho detto i particolari
> tecnici non erano chiari e non ho avuto tempo di approfondirli.

Infatti non capisco... Su why_tcpa.pdf leggo:

"The TCPA chip does not prevent the hacker from exploiting
vulnerabilities in the client, but it does protect the user's private
key. No matter what the remote hacker does, he cannot get a copy of the
private key out of the TCPA chip."

A parte l'uso scorretto del termine hacker al posto di quello
appropriato, cioe` cracker, noto una cosa: se il chip TCPA protegge le
chiavi private dell'utente, le deve comunque rendere disponibili ai
programmi client (per esempio i browser con supporto per l'SSL).
Programmi che potrebbero essere vulnerabili e quindi attaccati da un
cracker allo scopo di carpire i dati privati. Quindi non mi torna che un
cracker non possa ottenere una copia delle chiavi private. Inoltre il
chip deve rifiutarsi di comunicare dati privati ad eventuali programmi
maligni (trojan horses, worm, virus o programmi installati manualmente
da un cracker che ha gia` violato il sistema): come fa il chip TCPA a
distinguere i `buoni' dai `cattivi'? Elenchi di hash di programmi
`buoni'? Si torna al problema di chi decide cosa e` `buono' e cosa e`
`cattivo'... Autorizzazione via software da parte dell'utente o
dell'amministratore di sistema? Allora anche un cracker puo`, dopo aver
ottenuto l'accesso al sistema (sfruttando le vulnerabilita` dei
software), autorizzare i programmi contenuti nel suo rootkit
preferito...

Sono io che non ho capito oppure IBM ci prende in giro?

-- 
      Francesco Poli      <frx at firenze.linux.it>
======================================================
You're compiling a program and, all of a sudden, boom!
  -- from APT HOWTO, version 1.8.0