Vier minuten en drie seconden is niet "minder dan vier minuten". Als we gaan pietlutten, doe het dan goed. Op zich is het punt wel duidelijk: Zo'n aanval vereist fysieke toegang en kost dus de tijd die het kost om een flash uit te voeren plus de tijd die het kost de machine voldoende uitelkaar te halen om te kunnen flashen en daarna weer inelkaar te zetten. Dat zal per laptop verschillen en kost enige oefening. Je zal dus ook kennis van het doelwit moeten hebben, en een specifieke aangepaste firmware, en zo verder. En oh ja, ook nog de tijd om 'm naar je lab te brengen danwel je impromptu werkruimte voldoende op te zetten. Je wil dit niet, bijvoorbeeld, in een volle treincoupe proberen want dan raak je gegarandeerd schroefjes kwijt. Practische reproduceerbaarheid is dus niet een algemeen "vier minuten". Overigens wisten we al dat dit soort dingen gewoon gebeuren: De NSA heeft routinematig allerlei firmwares in routers en switches aangepast. Post onderscheppen, reflash, verder sturen. Dat kost ook ...