TEE’s vragen om een kleiner vertrouwen; open micromanipulator en Neato-herstelserver maken hardware toegankelijker

Een overzicht van aanvallen op trusted execution environments (TEE’s) laat zien waarom ‘draait in een enclave’ geen eindpunt voor een threat model is. Daarnaast zijn twee open hardwareprojecten praktisch interessant: een motorische XYZ-micromanipulator met gesloten regelkring en een self-hosted server die een deel van de gestopte Neato-robotstofzuigers weer bruikbaar wil maken.

TEE is een extra grens, geen plaats om alle vertrouwen op te stapelen

Een nieuw overzicht inventariseert aanvallen en ontwerprisico’s rond TEE’s zoals Intel SGX/TDX en AMD SEV. De kern is niet dat isolatie in hardware waardeloos zou zijn, maar dat er meerdere onafhankelijke zwakke plekken blijven: fouten in enclavecode, fouten in attestation, side channels en — afhankelijk van het dreigingsmodel — fysieke manipulatie van geheugenpaden.

De auteur verwijst onder meer naar eerder onderzoek naar gestolen attestation keys en DRAM-interpositie, en wijst erop dat remote attestation alleen betekenis heeft binnen precies gedefinieerde aannames. Voor TDX wordt als mogelijke aanscherping genoemd om alleen eigen platformcertificaten te accepteren; dat verkleint de trust scope, maar voegt PKI-beheer en dus een nieuwe foutgevoelige laag toe.

De bruikbare praktijkles is bescheidener dan de polemische conclusie van het essay: behandel een TEE als één control. Houd secrets, privileges en de enclave-interface zo klein mogelijk; ontwerp voor key-rotatie en attestation-falen; en bepaal expliciet of een aanvaller fysieke toegang, host-root of alleen netwerktoegang kan hebben. Het overzicht is een auteursanalyse met verwijzingen naar onderzoek, geen nieuw advies of bewijs dat iedere TEE-deployment lek is. Overzicht met aangehaalde onderzoeken · Lobsters-discussie

Open Micro-Manipulator brengt gesloten regeling naar een reproduceerbare bouwset

Open Micro-Manipulator publiceert CAD, PCB’s, firmware en een Python-interface voor een gemotoriseerd XYZ-platform voor onder meer microscopie, elektronische probing en optische uitlijning. Het ontwerp gebruikt kleine stappenmotoren, een closed-loop-regelaar van 30 kHz en magnetische overbrenging om de resolutie van goedkope rotatie-encoders volgens het project met factor 30 te vergroten. Aansturing loopt via G-code over USB-serieel; de firmware heeft look-ahead motion planning.

De actuele hardwareversie 4.0 lost volgens de projectdocumentatie onder meer zelfbotsing bij homing, minder betrouwbare verbindingen rond kogelgewrichten en problemen rond reproduceerbare stanglengte aan. Firmware 1.0.4 voegt gereedschapsuitvoer via twee GPIO-pinnen toe, met PWM en planning naast G-codebewegingen. Dat maakt het meer dan een mechanische demo: het is een controleerbare startbasis voor meet- of labautomatisering die een eenvoudige seriële interface kan benutten.

De precisieclaim vraagt wel nauwkeurig lezen. Het project noemt stappen tot 50 nm, maar zegt zelf expliciet dat resolutie niet hetzelfde is als absolute nauwkeurigheid. Geprinte onderdelen kunnen thermisch driften; ook in de HN-draad wordt relatieve closed-loopprecisie onderscheiden van absolute positie. Kalibratie, referentiepunten en het materiaal van de mechanica bepalen dus of dit bij een echte meetopstelling past. Repository, bouwinformatie en firmware · HN-discussie

Vacuula wil ondersteunde Neato-stofzuigers na cloudverdwijning lokaal beheren

Het open-sourceproject Vacuula biedt een eigen server en installer voor bepaalde Neato-robotstofzuigers. Volgens de projectpagina worden D3–D7 (Gen3) en D8–D10 (Gen4) ondersteund; kaarten, historie, schema’s, instellingen en zones/no-go-lijnen zijn aanwezig. De oude BotVac Connected (Gen2) ontbreekt vooralsnog. Wie Home Assistant gebruikt kan de server volgens de documentatie als app installeren; anders is Docker Compose de aanbevolen route.

Dit is interessant als reparatie- en levensduurproject: de gebruiker vervangt een verdwijnende online dienst door een eigen endpoint, in plaats van werkende hardware af te schrijven. Maar zelfhosten is hier een echte operationele taak. De server moet permanent aanstaan; Gen3 vereist poort 443 en Gen4 gebruikt standaard 3443. De documentatie noemt vooralsnog alleen geteste ARM64- en x86-64-platforms.

Ook ‘zelfgehost’ is niet automatisch ‘geen externe afhankelijkheden’. Een HN-reactie zegt dat Gen3 na configuratie nip.io gebruikt om naar de eigen server te verwijzen; dat detail staat niet in de gelezen hoofddocumentatie en is dus niet onafhankelijk bevestigd. Controleer bij installatie DNS-, certificaat-, poort- en netwerkvereisten zelf, zeker wanneer het apparaat buiten het eigen LAN bereikbaar zou worden. Vacuula: modelondersteuning en installatie · HN-discussie

Verder nog

Parser combinators als visuele introductie: een interactieve TypeScript-uitleg bouwt stap voor stap parsers op die een waarde plus resterende invoer retourneren, van sequenties tot het uitlezen van ping-output. Een HN-discussie noemt tegelijk de onderhoudsgrens: combinators kunnen veel mapping en unwrapping opleveren, waar een parsergenerator grammatica en resultaatconstructie soms helderder scheidt. Interactieve uitleg · HN-discussie