Verwarrend verhaal. Hoe label ik bits in een chip? of met andere woorden; Hoe stop ik meer bits in een bit?
Of heeft men het over een simulatie aan de hand van HW code regels, maar dat wil niet zeggen dat de chip ook werkelijk via die code gemaakt is...

Ik snap er niets van.Iemand?

Ook ik niet, d.w.z. van de detectiemethode.

Bij de trojans kan ik me wel wat voorstellen. Destijds had mijn Atari ST geen hardware klok met batterij. Een bedrijf sprong daar op in en maakte een oplossing die je zonder solderen kon monteren.

Het besturingssysteem van de ST zat in ROM (Read Only Memory) chips.

Off topic: dat was nog eens secure boot! Software kon die ROM's niet wijzigen. Zelfs als je ze verving door EPROM's (Erasable Programmable Read Only Memory) kon malware er niets in veranderen, maar jijzelf wel. Om dat laatste te kunnen doen, moest je die EPROM chips uit hun "voetjes" (sockets) trekken, ze wissen onder een UV lamp, programmeren met een EPROM programmer en terugplaatsen in de computer. Een "evil maid" zou dit natuurlijk ook kunnen, maar zoals gezegd, kale software niet (om een EPROM te kunnen programmeren heb je een hoger voltage nodig dan beschikbaar op het moederbord).

De klokchip met batterij zat op een printje dat je in plaats van een van de ROM (of EPROM) chips in een voetje stak. Op het printje (boven de klokchip + batterij) zat vervolgens weer een voetje waar je de (EP)ROM chip in moest steken (ook wel piggy-backen genoemd).

Het probleem hierbij is dat je alle verbindingen tussen moederbord en (EP)ROM chip nodig hebt om het hele adresgebied van de (EP)ROM te kunnen benaderen; er waren dus geen "draadjes over" om driversoftware voor het uitlezen van de klokchip in plaats van de (EP)ROM te laten kiezen (by default was alleen (EP)ROM geheugen "zichtbaar" in het hele adresgebied van die (EP)ROM).

Er was dus een trojan-achtige truc nodig! Die bestond eruit door direct achter elkaar enkele specifieke (EP)ROM adressen uit te lezen: als je dat deed werden de registers (met actuele datum en tijd) van de klokchip toegankelijk. Na het uitlezen van het laatste register van die klokchip kreeg de processor in het betreffende adresgebied weer gewoon (EP)ROM geheugen "te zien".

Met andere woorden: een reeks specifieke leesacties vormt de sleutel om toegang te krijgen tot iets anders dan normaal.

Terug naar backdoored chips: in plaats van de registers van een klokchip kan het daarbij om kwaadaardige code gaan (die normaal gesproken "niet zichtbaar" is). Iets dergelijks kan natuurlijk ook in één chip uit een fabriek zitten, zoals bijv. in een flash geheugenchip. De kwaadaardige code is dan aanwezig in de computer; er is alleen een speciale trigger (kan een heel klein stukje van buiten aangeleverde software zijn dat er niet kwaadaardig uitziet) nodig om de kwaadaardige code te kunnen starten. Maar het kan natuurlijk ook om een "tellertje" gaan: als een aantal normale handelingen n keer is uitgevoerd, wordt de kwaadaardige code actief.

Creatieve kwaadwillenden hebben onnoemelijk veel mogelijkheden voor dit soort scenario's. Het zal lastig zo niet onmogelijk zijn om daarop te anticiperen. En daarna geldt hetzelfde als bij virusscanners: zodra de kwaadwillenden weten wat een beveiligingsmaatregel als kwaadaardig herkent, brengt deze net zo lang kleine wijzigingen aan totdat detectie niet meer plaatsvindt.

Stuxnet kon ook heel lang onopgemerkt blijven, en ook dit zal wel weer een kat-en-muis-spel worden.

http://www.securityweek.com/new-technique-detects-hardware-trojans?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+Securityweek+%28SecurityWeek+RSS+Feed%29

Het blijkt inderdaad om detectie van trojans te gaan die in de 'Code' van de chip verwerkt kunnen zijn.
Werking zoals hierboven beschreven. Nuttig op zich, maar zoals gezegd, wie zegt dat de uiteindelijke chip volgens die code is gemaakt?
Hebben chip bakkers een manier om de code en de uiteindelijke chip aan elkaar te koppelen, anders is dit niet de gehele oplossing?

Eindelijk weer iets geleerd van die Atari 1040 en Falcon