Anonimizacija mobilnih komunikacij

poweroff je 20. dec 2016 ob 14:23 izjavil:

Poglej:
- https://slo-tech.com/forum/36
- https://briarproject.org/

Oba sta še v razvoju, drugega boš moral celo sam prevesti (ampak ni težko, so navodila gor).

Decentralizirana komunikacija, Briar se zna meshati preko wifi ali bluetootha.

Hmm, prvi link je do "Moje teme".

Glede na prevzem Facebooka Whatsappa, tezko verjamem, da odzadaj noben ne "opazuje". Nasel sem slovensko alternativo, se mi zdi. https://biocoded.com/home Pozna kdo tole?

Tale Biocodedm je zanimiva stvar, ker je ena redkih, ki naj bi delala tudi v Windows phonih .

Sicer pa iz varnostnega stališča , oziroma tako ali tako moram menjati telefon, je bolje iti na IOS Iphone 7 ali na Android Samsung S7 , glede varnostnega stališča?

Ni važno, morda smo paranoiki, zakaj pa naj bi bilo vse javno, naj se malo potrudijo če želijo poslušati, ali pa naj amerikanosom plačajo, če želijo da jim dekriptira Skype pogovore.

MrStein:
Prvi link je bil https://ring.cx

Biokodo poznam. Dober produkt, ampak security in UX model ima po mojem mnenju Signal boljši.

MrStein je 16. jan 2017 ob 19:09 izjavil:

V imeniku ima vsak vnos flag, ali podpira Signal? Ali se vedno najprej poskusi klic preko Signal-a?

Izračuna se hash. Na serverju se hranijo hashi. Tvoj klient periodično za tvoje kontakte preverja te hashe na serverju.

MrStein je 16. jan 2017 ob 19:09 izjavil:

Ni to funkcija "Dual Apps" na MIUI in še kateri različici Androida?
Opisujejo kot "Run two Facebook accounts at once", probal še nisem.

Ne vem, meni ni uspelo.

MrStein je 16. jan 2017 ob 19:09 izjavil:

Ni potem problem, da te nekdo pokliče na številko govorilnice (pomotoma ali namerno), telefon pa dvigne nekdo, ki ni ti? Sploh, če si osumljen in v govorilnici čaka policaj (oziroma napravica).

Ja, to je problem, ampak po drugi strani je pa tudi prednost. Ti si namreč dosegljiv izključno po Signalu. Če te kdo pokliče po "navadni" cifri te sploh ne more dobiti. Samo po varni povezavi te lahko dobi.

Ales je 17. jan 2017 ob 20:42 izjavil:

V vsaki temi o zasebnosti se najde vsaj en genij, ki nima nič za skrivat.

Kot tudi nima kaj za skrivat mobilnih komunikacij 99,99% normalnih ljudi. Me res zanima kaj se pogovarjaš da te skrbi da bo to en tehnik v NSA, FSB, kitajci, severni korejci... slišal.

Ah torej se ti pogovarjaš o arbitraži in pri tem kršiš pravila arbitražnega postopka ;)), dej nehaj bluzit no....

Goody je 18. jan 2017 ob 10:47 izjavil:

Ah torej se ti pogovarjaš o arbitraži in pri tem kršiš pravila arbitražnega postopka ;)), dej nehaj bluzit no....

Ne, temveč se prijavljaš na državni razpis, kjer je eden od ponudnikov Telekom —> npr elektronsko cestninjenje... In ne, nimam nobenih dokazov.

Bolj verjetno je, da na enem od telekomov poznaš kakšnega tehnika, mu plačaš 2 pivi in ti vklopi snemanje. Še bolj efektivno pa je seveda pri e-poštnih ponudnikih, primer Gorenaka in SiOL.net mailov:
http://www.mladina.si/106950/ali-v-sds-...

poweroff je 18. jan 2017 ob 07:39 izjavil:

https://www.schneier.com/blog/archives/...

How serious this is depends on your threat model. If you are worried about the US government -- or any other government that can pressure Facebook -- snooping on your messages, then this is a small vulnerability. If not, then it's nothing to worry about.

To je vse kar je treba vedet o tem.

Nisem še prebral, ampak če živiš npr v Turčiji je to kar resen problem.

jukoz je 18. jan 2017 ob 10:54 izjavil:

Em, spodaj je tvoj odgovor na moj komentar na prejšni strani (v smislu da če rabiš imeti zasebno komunikacijo, jo izvajaj preko svojega strežnika). Kje je razlika?

Matthai > Mogoče to pride v poštev za zaključeno kriminalno združbo. Tam pač veš, da te bo kontaktiralo samo 5 tvojih pajdašev. V drugih primerih bi pa rad, da se ne ubadaš z registracijo in učenjem vsakega, ki bi te rad varno kontaktiral.

Torej, če imaš ti nek svoj strežnik, lahko uporabljaš povsem anonimen handler, ampak ker je strežnik tvoj, se bo točno vedelo da ga ti uporabljaš. Tudi če boš uporabljal Tor. Še več, če ga uporablja neka opozicijska stranka se ve, da bodo gor zbrane vse relevantne tarče.

Če pa uporabljaš Signal strežnike, se veliko lažje skriješ v množici. Vlada bo težje identificirala tarčo v množici ljudi, ki strežnik uporabljajo.

Na tak način tudi Signal skriva svoje uporabnike z domain frontingom - Savdska Arabija težko loči kateri so Signal uporabniki in kateri zgolj uporabljajo Google / AWS,...

Jukoz - če živiš v Turčiji boš pač redno preverjal varnostna števila.

Mamamija ;), že prva premisa ti je povsem napačna "Zagovornikom nimam nič za skrivat je isto, če sediš doma na kavču in se pogovarjaš ali če pogovor objaviš recimo na Facebooku. Ni razlike v stopnji pričakovane zasebnosti."

poweroff je 18. jan 2017 ob 11:42 izjavil:

jukoz je 18. jan 2017 ob 10:54 izjavil:

Em, spodaj je tvoj odgovor na moj komentar na prejšni strani (v smislu da če rabiš imeti zasebno komunikacijo, jo izvajaj preko svojega strežnika). Kje je razlika?

Matthai > Mogoče to pride v poštev za zaključeno kriminalno združbo. Tam pač veš, da te bo kontaktiralo samo 5 tvojih pajdašev. V drugih primerih bi pa rad, da se ne ubadaš z registracijo in učenjem vsakega, ki bi te rad varno kontaktiral.

Torej, če imaš ti nek svoj strežnik, lahko uporabljaš povsem anonimen handler, ampak ker je strežnik tvoj, se bo točno vedelo da ga ti uporabljaš. Tudi če boš uporabljal Tor. Še več, če ga uporablja neka opozicijska stranka se ve, da bodo gor zbrane vse relevantne tarče.

Če pa uporabljaš Signal strežnike, se veliko lažje skriješ v množici. Vlada bo težje identificirala tarčo v množici ljudi, ki strežnik uporabljajo.

Na tak način tudi Signal skriva svoje uporabnike z domain frontingom - Savdska Arabija težko loči kateri so Signal uporabniki in kateri zgolj uporabljajo Google / AWS,...

Jukoz - če živiš v Turčiji boš pač redno preverjal varnostna števila.

Razlika pri uporabi svojega strežnika je, da ko potrka NSA/FSB/SOVA/... na vrata in zahteva vpogled v komunikacijo, nekako veš da se je to zgodilo. Ko zahteva vpogled pri WhatsApp/Signal/... ne veš nič in še naprej veselo komuniciraš.

Pa da gremo nazaj na temo - glede WhatsApp je lepo razloženo kje je problem.
https://www.theguardian.com/technology/...

https://www.theguardian.com/technology/...

"You should be notified when sent a friend's new public key, and given the option to validate again that this new key indeed belongs to your friend and not some other party. This behaviour is called "blocking". The problem with WhatsApp is that you are not given this option.

Instead, your WhatsApp will automatically accept this new key and resend all "in transit" messages (those marked with only one tick), encrypted with the new, potentially malicious key. This behaviour is called "non-blocking".

It does not sound too bad because it only affects "in transit" messages, but it is at the discretion of the WhatsApp server to decide which messages are "in transit" and which are not by passing the "delivered" message back to the sender. Furthermore, WhatsApp voice calls are also affected: when you call someone and during the time the call connects you receive a new key, your phone will just switch to this new key without alerting you."

"The Signal protocol allows "lost or out-of-order messages". Therefore it should be possible for the WhatsApp server to block all "message has been received" notifications from the recipient to the sender for a long conversation while it still correctly forwards the actual text messages. The "receipt" notifications, if encrypted at all, can be distinguished from the normal text messages because they are the ones sent directly after the recipient receives the message.

The users would then only see one tick for all their messages, but many might not realise something isn't right because the messages would get through and the conversation would carry on as normal. After days, weeks or maybe even months, the described attack can then be launched in order to get a copy of the whole conversation since that point in time."

Samo res neverjetno, za kako pomembne izvore strogo zaupnih informacij se imajo nekateri tukaj, da paranoično iščejo variante za 'prikrivanje svojega početja'.

Kaj ste visoki državni uradniki, mafiozi ali mali Einstein-i, da menite, da ste dovolj pomembni, da si bo kdo vzel čas in sploh poskusil slediti vašim komunikacijam?

V IT varnosti se dela analize tveganja, da se potem določi smiselne ukrepe in postopke. Če bi pri vas naredil analizo tveganja, stavim da pri 99% ni popolnoma nobenega razloga niti za download signala in podobnih aplikacij, kaj šele za njihovo namestitev.

Podpiram to, da so ljudje seznanjeni s tovrstnimi orodji, da jih preizkusijo in se kaj naučijo. Za vsakodnevno rabo povprečnega neomadeževanega državljana RS pa so tovrstne aplikacije popolni bullshit. Nasprotno - če bi bil preiskovalec in takšno aplikacijo našel na preiskovančevem mobitelu/ računalniku, bi takoj bil za 500% bolj sumljiv, pa tudi če mu sicer ni drugega za očitat, kot da poje v cerkvenem pevskem zboru.

jukoz je 18. jan 2017 ob 11:01 izjavil:

Goody je 18. jan 2017 ob 10:47 izjavil:

Ah torej se ti pogovarjaš o arbitraži in pri tem kršiš pravila arbitražnega postopka ;)), dej nehaj bluzit no....

Ne, temveč se prijavljaš na državni razpis, kjer je eden od ponudnikov Telekom —> npr elektronsko cestninjenje... In ne, nimam nobenih dokazov.

Bolj verjetno je, da na enem od telekomov poznaš kakšnega tehnika, mu plačaš 2 pivi in ti vklopi snemanje. Še bolj efektivno pa je seveda pri e-poštnih ponudnikih, primer Gorenaka in SiOL.net mailov:
http://www.mladina.si/106950/ali-v-sds-...

Je iz tega primera bilo kaj več kot članek na mediju, ki bi ga eni označili kot "strankarsko trobilo" ?

SeMiNeSanja je 18. jan 2017 ob 16:04 izjavil:

Samo res neverjetno, za kako pomembne izvore strogo zaupnih informacij se imajo nekateri tukaj, da paranoično iščejo variante za 'prikrivanje svojega početja'.

Kaj ste visoki državni uradniki, mafiozi ali mali Einstein-i, da menite, da ste dovolj pomembni, da si bo kdo vzel čas in sploh poskusil slediti vašim komunikacijam?

V IT varnosti se dela analize tveganja, da se potem določi smiselne ukrepe in postopke. Če bi pri vas naredil analizo tveganja, stavim da pri 99% ni popolnoma nobenega razloga niti za download signala in podobnih aplikacij, kaj šele za njihovo namestitev.

Podpiram to, da so ljudje seznanjeni s tovrstnimi orodji, da jih preizkusijo in se kaj naučijo. Za vsakodnevno rabo povprečnega neomadeževanega državljana RS pa so tovrstne aplikacije popolni bullshit. Nasprotno - če bi bil preiskovalec in takšno aplikacijo našel na preiskovančevem mobitelu/ računalniku, bi takoj bil za 500% bolj sumljiv, pa tudi če mu sicer ni drugega za očitat, kot da poje v cerkvenem pevskem zboru.

Glede na to kako rineš DPI v vsak pogovor o varnosti omrežij je tvoj komentar razumljiv in povsem na mestu. Seveda nočeš šifriranja, saj ti otežuje delo.

Če bi se vsi malo bolj pametno obnašali in varovali podatke s katerimi operiramo na dnevni bazi bi bilo to vsem v korist. Kako pogosto se srečate s podobni scenarijem:
Oseba A: "Jožica, mi lahko prosim preveriš pri stranki N.N. vrednost naročila? Kupila ga je 01.02.2016 z dostavo na Nekje 22a"
Oseba B: "Stranka N.N. je izdelek A kupila 01.02.2016, plačala po predračunu iz računa MMM na banki AAAA ob 14:16:36 z želeno dostavo na Nekje 22."

Drugi primer:
Oseba A: "Ali lahko prosim preverite izvožen seznam strank. Manjkajo mi stranke ki so kupile A, izvoz mi ne prikaže kupcev iz NN pravilno."
Priložen je seznam nekaj 10.000 kupcev, z vsemi podatki (ime, priimek, naslovi, čas nakupa, ...)

Najboljši pa seveda:
Oseba A: "Na dropbox sem ti naložil ZIP fajl z podatki za razpis. Tule je link. Geslo ti pošljem po SMS."

Kaj znano? To se sporoča po telefonu, po e-mailu... Konstantno. Če bi vse skupaj šifrirali bi bil svet boljši.

Kaj pravi analiza IT varnosti o tem? Uporabniki ne smejo pošiljati podatkov po e-pošti, dropboxih, ... Pa jih vseeno. Analiza varnosti samo določi kdo nosi odgovornost, namesto da bi se reklo: OK, v določenih primerih se dogaja da je potrebno poslati kakšne datoteke zunanjim izvajalcem. Kako bi to lahko uredili?

In kot sem že omenil, industrijsko vohunjenje se pri nas dogaja. Če ga vi ne zaznate, še ne pomeni da se ne dogaja. Podjetja, ki vlagajo veliko v razvoj (pa ne samo farmacevti, tudi železarji vseh sort...), imajo kaj za skrivati pred konkurenco.
Primer iz prakse - zaposleni pošilja podatke za prijavo na mednarodni razpis konkurenčnemu podjetju. Od tega podjetja občasno tudi pade kak euro ali telefon, ali pa 300 metrov kabla in kanalov, ker ravno zida hišo.
Korupcija se ne zganja samo na visokih pozicijah. Precej več lahko dosežeš s podkupovanjem nižje.

Sicer pa še en primer zakaj je pametno šifrirati e-pošto - imam ne ravno pogosto kombinacijo imena in priimka, ime pa se hitro zameša (Matija - Matej). In imam e-poštni naslov pri enem od večjih ponudnikov že več kot 15 let.
In v Sloveniji obstaja en Matija s takim priimkom. Ki je nekje sredjni management po državnih firmah (malo se seli sem in tja). Začuda na moj e-mail dobivam maile, namenjene njemu - maile kot so priporočila za zaposlitev, priporočila za nakupe vozil, visoke porabe goriva, ...

Noben ne gre podkupovat direktorja UKC, ker je to brez veze. Referenta v nabavi se bolj splača.

MrStein je 18. jan 2017 ob 17:47 izjavil:

jukoz je 18. jan 2017 ob 11:01 izjavil:

Goody je 18. jan 2017 ob 10:47 izjavil:

Ah torej se ti pogovarjaš o arbitraži in pri tem kršiš pravila arbitražnega postopka ;)), dej nehaj bluzit no....

Ne, temveč se prijavljaš na državni razpis, kjer je eden od ponudnikov Telekom —> npr elektronsko cestninjenje... In ne, nimam nobenih dokazov.

Bolj verjetno je, da na enem od telekomov poznaš kakšnega tehnika, mu plačaš 2 pivi in ti vklopi snemanje. Še bolj efektivno pa je seveda pri e-poštnih ponudnikih, primer Gorenaka in SiOL.net mailov:
http://www.mladina.si/106950/ali-v-sds-...

Je iz tega primera bilo kaj več kot članek na mediju, ki bi ga eni označili kot "strankarsko trobilo" ?

Vpraši klele:

V javnosti znani incidenti s Siolovo pošto

@Jukoz - če bi pozorno prebral, kar sem napisal, bi videl, da sem govoril o nesmiselnosti za vsakdnevno rabo povprečnega državljana.

To, o čemur TI govoriš so poslovne skrivnosti in ne spadajo v to kategorijo.
Tu se gre bolj za poglavje odtekanja podatkov, kjer ti pa v večini primerov enkripcija same komunikacije čisto nič ne koristi - ali pa odtekanje še celo olajša! Večina odtekanja podatkov se zgodi iz 'nerodnosti' uporabnikov. Če ti potem še kriptirajo samo komunikacijo, ga ne bo sistema, ki bi to odtekanje zaustavil. To je pa ravno obratno od tega, kar se ves čas zagovarja kot nujen argument za močnejše kriptiranje komunikacij.

Same komunikacije ne more kar kdorkoli vohljati - vsaj ne na zakonit način. Če pogledaš tvoj primer, po koliko je nekdo prodal nek izdelek, ali pa seznam nekih kupcev, je to področje industrijske špionaže, s katerim dvomim, da se ukvarjajo naši organi pregona. Ti so pa tudi edini, ki pod določenimi pogoji pri nas legalno prisluškujejo komunikacijam.
Resno dvomim, da bo neposredni konkurent imel tehnične možnosti, da bi na nezakonit način prisluškoval GSM pogovorom in drugim komunikacijam. Če že, se bo potrudil, da ti nekako namesti trojanca na omrežje (Phishing&Co) - tam ti pa sama kriptirana komunikacija nič ne koristi, če nimaš kriptiranih tudi podatkov na strežnikih, ne uporabljaš izključno varne protokole tudi v internem omrežju, nimaš pokrpane vse varnostne luknje v operacijskih sistemih in aplikacijah,.....

Ampak poudarek je na običajnih državljanih, tvoji materi in očetu, sestri in bratu, teti in stricu. Stavim, da niti tak promotor enkripcije kot je Matthai ni namestil Signal na mobitele celotne žlahte, da nebi slučajno prišlo na napačna ušesa, ko se bodo menili kdo bo prinesel ikebano za dan mrtvih na družinski grob.

Nikakor pa nisem nikoli trdil, da je taka tehnologija na splošno nesmiselna. Definitivno obstajajo vrste komunikacij in poklicne skupine, ki se nikoli nebi smeli drugače pogovarjati, kot preko kriptirane povezave. Obstajajo tudi vrste podatkov, katere se nikoli nebi smelo pošiljati naokrog brez enkripcije (kot npr. banka, ki mi pošilja plaintext pdf izpisek prometa kreditne kartice na gmail ?!?).

Ampak za boga milega nehajte tveziti, da bi vsi morali komunicirati preko kriptirane povezave, kaj bomo imeli za kosilo in kaj bi bilo še dobro prinesti iz Mercatorja. To je potem že popolnoma nesorazmerna paranoja.

Tudi če te kot nedolžnega obtožijo nevem katerega kaznivega dejanja, ker se je slučajno pokrival tvoj komunikacijski profil s profilom dejanskega storilca, boš zagotovo imel še kakšen alibi, pričo,....da boš dokazal, da nisi ti tisti storilec, katerega iščejo. Če pa si storilec.... potem pa takointako bolje, da te dobijo in to čim prej.

Saul Goodman je 19. jan 2017 ob 01:06 izjavil:

Goody je 18. jan 2017 ob 10:47 izjavil:

Ah torej se ti pogovarjaš o arbitraži in pri tem kršiš pravila arbitražnega postopka ;)), dej nehaj bluzit no....

pa iz katerega planeta si ti padu? na tem forumu so sysadmini, ki imajo dostope do core routerjev od mnz do mzz in vlade, domain admini, folk z dovoljenjem za dostop do podatkov z oznako STROGO TAJNO..

kaj se ma ta folk za bat? pa koga misliš, da oni nadzorujejo? le pedote in teroriste?

Hja, samo kaj, ko pri nas vlada narobe svet - tisti, ki bi morali uporabljati kriptirane komunikacije, jih ne uporabljajo.
Tisti, ki si pa s tem nimajo prav nič pomagati, pa paranoično rinejo vanje.

Stvar je preprosta. Če je strošek in uporabniška zahtevnost uporabe kriptiranih komunikacij enaka uporabi nekriptiranih komunikacij, potem naj se uporablja prvo.

Čim več bo šifriranja, težje se bodo voajerski vohljači znašli.

Pa še nekaj - zakaj bi že uporabljali HTTPS? Saj to kakšne bedarije pišeš po forumih, katere novice bereš, itd. je pa ja povsem nepomebno...

Točno zato, ker je uporaba HTTPS iz uporabniške prijaznosti enaka kot uporaba HTTP, stroški pa so tudi praktično isti. In ko je večina prometa v HTTPS, potem imajo bolestni vohljači težavo že pri iskanju trč.

HTTPS sem dal kot primer.

Rešitev na infrastrukturi... da, ampak saj to JE infrastruktura. Poleg tega je end-to-end bolje kot server-only.

Danes mora bit sindikalnim kifeljčkom zelo žal, da so svoje akcije usklajevali na facebooku. FBI zrihtal loge. :-)

SeMiNeSanja je 19. jan 2017 ob 15:18 izjavil:

Če je na http možno, zakaj ni možno na GSM? Ker tričrkovnim agencijam to nebi bilo po volji?

Legacy.

Včasih o teh stvareh še niso razmišljali. In potem ostanejo zabetonirane.

poweroff je 18. jan 2017 ob 07:39 izjavil:

https://www.schneier.com/blog/archives/...

How serious this is depends on your threat model. If you are worried about the US government -- or any other government that can pressure Facebook -- snooping on your messages, then this is a small vulnerability. If not, then it's nothing to worry about.

To je vse kar je treba vedet o tem.

++
Biokodo poznam. Dober produkt, ampak security in UX model ima po mojem mnenju Signal boljši.

Care to elaborate?

In, kaj je po tvojem razlicno/drugacno me pravtako zanima, ce se ti da razpisati?