The Register publica ('Severe' OpenSSL vuln busts public key crypto) sobre el descobriment d'un seguit de vulnerabilitats a l'OpenSSL, que permet identificar una manera d'extreure la clau privada SSL mitjançant la creació de les fluctuacions en el subministrament d'energia i de la lectura mentre s'està xifrant de dades utilitzant la clau privada. En unes 100 hores poden trobar una clau de 1024 bits.
El NIST publica regularment una col·lecció de CD amb el hash d'un bon nombre de programes informàtics. Això permet tenir una font de confiança per tal de garantir que un determinat instal·lador és legítim i no ha estat modificat de cap forma.
Ara, l'ISC de SANS Institute ha creat una base de dades amb totes aquests hash i els ha publicat a la web amb una eina de cerca. Per exemple, del Microsoft Office hi ha les següents versions amb el seu corresponent hash:
| Hashes (sha1/md5/crc32) | Filename | Filesize | Product | OS |
|---|
26B263A597BF13DFA5B513E25E54CE782178D7E6
D0FAC9482D0DBBA4EAFD4BE10E82981E
0F25DB8C | Microsoft Office | 6842131 | Office:mac 2004 Standard Edition | Mac_OS_X |
26B263A597BF13DFA5B513E25E54CE782178D7E6
D0FAC9482D0DBBA4EAFD4BE10E82981E
0F25DB8C | Microsoft Office | 6842131 | Office:mac 2004 Standard Edition | Mac_OS_X |
29B24A2CCFF44F76C1C07E6535FAFC5E91FE44B5
460AC2BFFA1484549835AEB954ABD602
E4A420F0 | Microsoft Office | 6840467 | Microsoft Office:mac 2004 STUDENT AND TEACHER EDITION | 358 |
29B24A2CCFF44F76C1C07E6535FAFC5E91FE44B5
460AC2BFFA1484549835AEB954ABD602
E4A420F0 | Microsoft Office | 6840467 | Office Mac 2004 Student and Teacher Edition | MacOSX10.2.8+ |
29B24A2CCFF44F76C1C07E6535FAFC5E91FE44B5
460AC2BFFA1484549835AEB954ABD602
E4A420F0 | Microsoft Office | 6840467 | Office:mac 2004 | Mac |
4AE61174C39EFD71EE8AB2BCC028E37B8CC89DF4
A34BC503D03131BB02AD73128F8DDEF3
32A78D86 | Microsoft Office | 6840755 | Office:mac Student and Teacher Edition | Mac_OS_X |
[Help Net Security] The state of encryption in Europe mostra algunes dades sobre la diferència de percepció de l'ús del xifrat com a mesura de seguretat en diversos països europeus (Regne Unit, Alemanya, França i Suècia).
Vist a H-Security: SSL for free, una empresa israeliana anomenada StartSSL ofereix certificats de forma gratuïta amb l'avantatge que la CA emissora es reconeguda pels principals navegadors… d'aquesta forma, els visitants de la pàgina web no reben cap avís en accedir a una pàgina web via HTTPS.
Si fa ben poc de l'anunci del trencament del xifrat A5/1 utilitzat a la telefonia GSM, ara arriba l'anunci del possible trencament de A5/3 (Kasumi), el sistema de xifrat utilitzat a les comunicacions 3G: Another Week, Another GSM Cipher Bites the Dust. Encara no ha sortit publicat el paper que descriu el trencament, només la introducció:
In this paper we describe a new type of attack called a sandwich attack, and use it to construct a simple distinguisher for 7 of the 8 rounds of KASUMI with an amazingly high probability of 2–14. By using this distinguisher and analyzing the single remaining round, we can derive the complete 128 bit key of the full KASUMI by using only 4 related keys, 226 data, 230 bytes of memory, and 232 time. These complexities are so small that we have actually simulated the attack in less than two hours on a single PC, and experimentally verified its correctness and complexity. Interestingly, neither our technique nor any other published attack can break MISTY in less than the 2128 complexity of exhaustive search, which indicates that the changes made by the GSM Association in moving from MISTY to KASUMI resulted in a much weaker cryptosystem.
Uns investigadors han decompost un número de 768-bit, amb 232 posicions decimals, en els dos factors primers i han publicat un treball amb els seus resultats, Factorization of a 768-bit RSA modulus. El número és la cadena publicada com "RSA-768" en el repte de RSA. Com a resultat d'això, el xifrat amb claus de 768-bit hauria de considerar-se, des d'aquest moment, com a trencat.
A5/1 Cracking Project, el projecte d'interceptar les comunicacions GSM i trencar el xifrat.
I la presentació feta al CCC explicant el funcionament de les comunicacions fetes via telèfon mòbil.
[The New York Times] Code That Protects Most Cellphone Calls Is Divulged. A Alemanya el 28 de desembre no és el dia de les inocentades, oi?
A German computer engineer said Monday that he had deciphered and published the secret code used to encrypt most of the world’s digital mobile phone calls, in what he called an attempt to expose weaknesses in the security of global wireless systems.
[…]
Mr. Nohl said the algorithm’s code book was available on the Internet through services like BitTorrent.
Actualització: Open-Source Effort to Hack GSM
Each GSM phone has its own secret key, which is known by the network. Every time a call is initiated, a new session key for that particular call is derived from the secret key and used to encrypt the call. Nohl aims to crack the session key.
The engineer has designed an open-source software program that participants in his A5/1 cracking project can install on their PCs and use to share the task of computing the lookup tables that make up the cryptography system. The final codebook with the computed tables will be shared across a peer-to-peer network. Therefore, no one computer contains all the files, making it difficult, if not impossible, to remove the cracking tool entirely from the Internet.
gpgdir és un script en PERL per a xifrar, de forma recursiva, el contingut d'un directori del disc dur amb el gpg.
[The Register] Crypto pioneer and security chief exits Sun. Whitfield Diffie, un dels dos inventors de la criptografia de clau pública conjuntament amb Martin Hellman, ha plegat de Sun.
De fet, la criptografia de clau pública va ser descoberta abans per l'exèrcit britànic… però com era tecnologia militar això es va saber fins al 2002, quan va ser desclassificada.
Han trigat un mes, des del primer d'octubre quan es va obrir el termini per adquirir un lector de DNI electrònic per només 2 euros, però tot just ara acabo de rebre aquesta notificació:
Nos alegra confirmarte que hoy hemos procedido al envío de tu lector de DNIe. El envío se realiza por correo ordinario y recibirás tu lector de DNIe en tu buzón.
A veure ara quan haig d'esperar en rebre'l.
TrueCrypt és un software de xifrat, amb versions per a Windows 2000/XP/2003/Vista/7, Mac OS X i Linux. Permet crear un disc virtual, que es pot muntar per tal que aparegui com una unitat més (Windows) o un directori més (Linux). Tot el que hi ha dins d'aquest disc virtual és automàtica xifrat. Això vol dir que, per xifrar un document, només cal copiar-lo (o desar-lo) dins d'aquesta unitat. Una altra possibilitat es xifrar tot el disc de forma que en iniciar la màquina cal introduir la contrasenya per tal d'accedir a qualsevol informació emmagatzemada, inclòs el sistema operatiu.
Aquesta nova versió dóna suport a Windows 7 i Mac OS X 10.6 (Snow Leopard)
[TechRepublic] Configure Apache to support multiple SSL sites on a single IP address. El nou mod_ssl de l'Apache 2.2.12 incorpora l'extensió SNI del protocol SSL, permentent que diversos servidors SSL comparteixin la mateixa IP.
Relacionat amb el tema, al Wiki de CaCERT s'avaluen els diversos mecanismes de generació de certificat i la compatibilitat dels navegadors.
L'algortime AES explicat de forma senzilla
"A Stick Figure Guide to the Advanced Encryption Standard (AES)" explica d'una forma senzilla i entenedora com funciona l'algoritme de xifrat AES i com s'ha escollit com a estàndard de xifrat.
Aquests darrers dies he estat llegint el llibre "La darrera victòria de l’exèrcit català. La batalla de Talamanca (1714)", que tracta sobre l'episodi bèlic de la batalla de Talamanca, dins de la Guerra de Successió, els dies 13 i 14 d'agost de 1714. Fou la última victòria d'un exèrcit català contra les tropes borbòniques.
El llibre reprodueix una carta enviada pel Marquès de Poal, cap de l'exèrcit català de Cardona, als Consellers de la Ciutat de Barcelona. A la carta, redactada en català, els informa sobra la batalla de Talamanca i la situació dels seus exèrcits.
Però el més interessant és que, al final de la carta, hi ha un text xifrat… on els dóna detalls sobre els moviments previstos de la tropa. Al manuscrit que es conserva a l'Arxiu Històric de la Ciutat de Barcelona, ja hi ha la traducció del missatge xifrat a text legible.
En reprodueixo algunes pàgines:
Carta del Marquès de Poal als Consellers de Barcelona (agost 1714) — text xifrat
Carta del Marquès de Poal als Consellers de Barcelona (agost 1714) — text xifrat
Carta del Marquès de Poal als Consellers de Barcelona (agost 1714) — text xifrat
A partir de l'1 d'octubre podeu demanar una targeta lectora de smartcards, compatible amb el DNI electrònic. Només costa 2 euros, per les despeses de tramesa i n'hi ha 300.000 per repartir.
El cost dels lectors va a càrrec dels patrocinadors de la campanya (per als enviats a Catalunya i les Illes) i de red.es (els enviats al País Valencià). Són tres models, però de moment només s'han confirmat dos Gemalto PC Twin (valorat en 42 euros) i SCM SCR 3310. El pagament dels 2 € es pot fer per Paypal o amb targeta de crèdit.
La data d'inici de la campanya és el proper 1 d'octubre.
Actualització: El tercer model de lector és Costar US777-A Slim.
Actualització (01−10−09): Ahir a la nit la web no estava disponible, però aquest matí a les 08.00 ja he pogut fer la meva comanda. No estava operatiu el pagament per Paypal, únicament per targeta de crèdit.
Actualització 2 (01−10−09): A la pàgina web anuncien que ja no hi ha disponibles lectors per a les persones que viuen a Catalunya i el País Basc –així com a algunes comunitats autònomes de l'estat espanyol–. Els usuaris del País Valencià i les Illes encara en poden demanar.
Actualització 3 (04−10−09): Ja no en queden disponibles per a les Illes Balears; ja només en resten per al País Valencià.
[Network Computing] Crypto Key Management Is Next Wave In Net Security. La gestió de les claus de xifrat és un dels aspectes dels que més en sentirem a parlar en els propers mesos.
Projecte distribuït, obert a la participació de tothom, per trencar el xifrat utilitzat a la telefonia GSM, de forma que es puguin interceptar les converses telefòniques. Per a fer-ho, s'aprofitaran d'una vulnerabilitat coneguda del sistema de xifrat (coneguda des de fa 15 anys) per a la qual encara no hi ha cap exploit disponible públicament
Més informació a Subverting the security base of GSM.
— Classificat com a: Criptografia — Comentari (0) — Lectures: 38
