1 Тема от Henry

  • Henry
  • Henry
  • Язва с аргументами
  • Неактивен
  • Откуда: Кострома
  • Зарегистрирован: 23-03-2007
  • Сообщений: 7,194

Тема: Шифрование

Бесплатная кросс-платформенная утилита TrueCrypt остаётся самым популярным средством шифрования. Её используют известные правозащитники, интернет-активисты и десятки миллионов рядовых пользователей по всему миру. В последнее время внимание к ней усилилось из-за проводимой экспертной оценки, которая уже дала первые результаты.

Созданная неизвестно кем программа TrueCrypt успешно развивается вот уже девять лет. На первый взгляд, это типичный проект с открытым исходным кодом, но у него до сих пор нет официального репозитория исходников (например, на GitHub).

Настораживает и то, что результат самостоятельной компиляции часто отличается от выложенного на сайте готового исполняемого файла. Объясняется это тем, что детали процесса нигде не указаны, а вариантов довольно много.
...
Серьёзный сдвиг с мёртвой точки произошёл только в минувший понедельник. На сайте проекта появился отчёт компании iSEC, подписанный двумя экспертами в области безопасности (ещё четверо указаны как рецензенты).

    К настоящему времени в последней версии (7.1a) удалось обнаружить одиннадцать уязвимостей, четыре из которых признаны угрозами среднего уровня.

Среди них слабый алгоритм деривации ключа-заголовка, возможность выгрузки конфиденциальной информации из стека ядра, различные проблемы в декомпрессоре загрузчика и использование драйвером ядра Windows ненадёжной функции memset для очистки области памяти, содержащей конфиденциальные данные.
...
Теперь команда Open Crypto Audit Project приступает ко второй фазе аудита — непосредственной проверке в разных сценариях атак криптостойкости файловых контейнеров и дисковых разделов, защищённых с помощью TrueCrypt.
http://www.computerra.ru/98120/truecrypt-audit-part-1/

Сайт Henry

2 Ответ от ringman

  • ringman
  • ringman
  • инжынер
  • Неактивен
  • Зарегистрирован: 23-03-2007
  • Сообщений: 4,611

Re: Шифрование

Просто надо понимать что большинство буржуйских алгоритмов шифрования дырявые.
RSA, к примеру получило взятку от АНБ в размере 10 млн. $ за:

Итак, в их продуктах RSA Data Protection и RSA Bsafe во всю использовался алгоритм Dual EC_DRBG (Dual Elliptic Curve Deterministic Random Bit Generation), сертифицированный NIST (описание). И сертифицированный, как выяснилось, с сюрпризом от агенства национальной безопасности США. То есть, это никакой не random, если вы знаете в чём суть закладки.
Ну и о том, что этот алгоритм может содержать бэкдор, исследователи говорили еще в 2007м году. Что не помешало NIST его сертифицировать. А кипиш начался после опубликованных Сноуденом документов, где явно говорилось о неком стандарте 2006 года.

Dual_EC_DRBG, между прочим, является довольно популярной штуковиной.
Реализован в Windows, начиная с Vista SP1, что делает его самым популярным в мире. Так же, реализация есть в OpenSSL и вообще он похоже пролоббирован в куче продуктов (McAfee, например, но те использовали его только для программ гос сектора). Так что, вычищать от него код придется еще долгое время.

http://habrahabr.ru/post/200686/

Список продуктов использующих этот алгоритм:
http://csrc.nist.gov/groups/STM/cavp/do … bgval.html

На что им либерализм? Они из него не могут сделать никакого употребления, кроме злоупотребления.
Левак - всегда русофоб.
SQL Exercises Rank

3 Ответ от Henry

  • Henry
  • Henry
  • Язва с аргументами
  • Неактивен
  • Откуда: Кострома
  • Зарегистрирован: 23-03-2007
  • Сообщений: 7,194

Re: Шифрование

Мнение про массовое шифрование переписки

В который раз уже думаю над тем, что чем больше и массовее становится количество и разновидность шифрующих мессенджеров, тем хуже становится для безопасности отдельных пользователей. Я сейчас не рассматриваю совершенно вопрос кривости кода этих мессенджеров, криптографической кривости или совмещение этих двух кривостей. Вопрос находится в другой плоскости, более философской. И заключается он в следующем: чем больше ты сжимаешь пружину - тем сильнее она долбанет. Означает в этом случае это буквально вот что. Если каждый пользователь будет иметь защищенный мессенджер (с достаточным уровнем защиты), значит вопрос со стороны NSA будет решен совершенно иным путем. Это вот как в истории с https/SSL/VPN. Это будет означать, что начнут вливать огромные деньги и усилия специалистов в то, чтобы получать удаленный доступ и контроль за устройствами. Т.е. основной вектор получения информации будет именно проламывание устройства, а далее - получение полного доступа ко всему содержимому. Собственно, некоторые отголоски этого уже были в некоторых документах по Telegram. А при текущем развитии и подходе к устройствам, нормально защитить устройства - от "очень сложно" до "практически невозможно". Т.е. на самом деле, идеальным решением является распространение нешифрующих мессенджеров, шифрующих слабо и криво, не повышающих безопасность в массе. В этом случае не будет выделено ни ресурсов, ни самого направления (а как итог - не будет или будет меньше инструментов) для атаки на устройства целиком.

http://sporaw.livejournal.com/466090.html

Сайт Henry

4 Ответ от Henry

  • Henry
  • Henry
  • Язва с аргументами
  • Неактивен
  • Откуда: Кострома
  • Зарегистрирован: 23-03-2007
  • Сообщений: 7,194

Re: Шифрование

Сравнение мессенджеров с функцией end-to-end шифрования относительно различных параметров

Сайт Henry