<div dir="ltr"><div dir="ltr"><br></div><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Sat, Aug 24, 2019 at 6:40 PM Jerry Leichter <<a href="mailto:leichter@lrw.com" target="_blank">leichter@lrw.com</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">OK, this one has me puzzled.  I can't figure out if they are talking about better entropy generators running within individual machines, or some kind of centralized entropy generation service (secured how?) or ... what, exactly.<br>
<br>
I guess everything the becomes a buzzword is someone's business opportunity....<br>
<br>
<a href="https://www.business2community.com/cybersecurity/entropy-as-a-service-a-new-resource-for-secure-development-02230605" rel="noreferrer" target="_blank">https://www.business2community.com/cybersecurity/entropy-as-a-service-a-new-resource-for-secure-development-02230605</a></blockquote><div><br></div><div>In this room of experts this service seems silly. <br></div><div><br></div><div>They say:<span style="color:rgb(51,51,51);font-family:Lato,sans-serif;font-size:15px"> "Companies can even use EaaS outside a development context. Comparing keys generated through software-based resources against new entropy reveals whether those keys are actually secure. Instead of assuming cryptography is secure, EaaS tests it objectively.</span> " and testing one key or even a dozen is foolish logic.   </div><div><br></div><div>In a development context where this is important I suspect that reaching out to some service is a rather large risk.<br>It might however make sense for an IOT startup to be able to point at a contract service for liability reasons. <br>It does seem that it is a better choice than allowing some new hire roll one in house from a blank screen for<br>the same reasons that one should not invent their own crypto.<br><br>None here would trust hardware from a factory process that self-seeds unique SSH keys or product keys of any length from <br>budget SOC parts in an early boot and short test cycle.   Especially parts without a hardware TRNG.  We have had lengthy discussions about the The Arm TrustZone TRNG hardware module and the Intel  equivalent in hardware and if there is some risk  hidden in the hardware of vendor after vendor so even TRNG hardware is a thing. <br></div><div><br>They overestimate the value of human generated entropy from mice and keyboards.<br>They make allusions to historic news: "...investigation of the cryptographic keys inside firewalls and routers. Multiple duplicate keys were discovered, offering bad actors an easy way to bypass encryption." [possibly this link of research]</div><div><a href="https://www.pcworld.com/article/2886432/tens-of-thousands-of-home-routers-at-risk-with-duplicate-ssh-keys.html" target="_blank">https://www.pcworld.com/article/2886432/tens-of-thousands-of-home-routers-at-risk-with-duplicate-ssh-keys.html</a><br>"The problem is not unique to home routers. Cloud computing providers have occasionally made mistakes by not generating fresh SSH keys with new instances of virtual machines, Matherly said."<br><br>Early boot time is fragile... I often see:" random: systemd: uninitialized urandom read (16 bytes read)" in boot logs.<br>So there is validation that a factory development process should have a reach out and get the good stuff trick or two.<br>Now what is 'the good stuff'?  Is there an audit process recommended for the developer. <br>Is there an audit process that the developer can apply to maintain a quality log.<br><br>As a group how would we evaluate such a service?<br><br><br><br><br><br><br></div><div><br></div><div><br></div><div><span style="color:rgb(84,84,84);font-family:Roboto,arial,sans-serif;font-size:14px"><br></span></div><div><span style="color:rgb(84,84,84);font-family:Roboto,arial,sans-serif;font-size:14px"><br><br><br><br><br></span><br><br><br><br><br><br></div><div> </div><div><br></div></div>- <br><div dir="ltr" class="m_6900701824872463744gmail_signature"><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><div dir="ltr"><div dir="ltr">          T o m    M i t c h e l l ( o n   N i f t y E g g )<br></div></div></div></div></div></div></div></div></div>