Slo-Tech - Zadnji dnevi so spričo intenzivne uporabe mobilnih poti za delo, zabavo in druženje razkrili tudi nekatere ranljivosti v programski opremi, ki bi sicer dlje ostale neznane. Microsoft je tako danes izdal izredni popravek za Windows 10, ki je odpravil težave s povezljivostjo z oblakom za Office 365, če so naprave uporabljale posredniški strežnik (proxy) ali povezavo v navidezno zasebno omrežje (VPN). Microsoft je o ranljivosti obvestil minuli teden in ni čakal na drugi torek v mesecu, ko je na sporedu redni mesečni paket popravkov, temveč ga je ponudil že sedaj. Posodobitev pa je treba trenutno namestiti ročno, saj jo Microsoft priporoča le tistim, ki imajo dejansko težave. Medtem pa uporabniki že poročajo o različnih težavah, ki jih prinese namestitev popravka.

Poleg hroščev pa so tu še ranljivosti. Priljubljena aplikacija za spletne videokonference Zoom, ki ima tudi pri nas sedaj veliko uporabnikov, ni tako varna, kot se predstavlja. Čeprav se oglašujejo kot platforma, ki ponuja...

Slo-Tech - Viber je pravkar prestopil na temno stran (gone dark), če si smemo izposoditi senzacionalističen besednjak, ki ga uporablja FBI, ker šifriranja ne morejo premagati. Uvedli so...

Slo-Tech - Teroristični napadi, kakršen je bil lani pariški, so vsakokrat povod za razprav o regulaciji in zakonitosti šifriranja. V ZDA se trenutno Apple in FBI na sodišču prepirata, ali naj Apple zgradi orodje za lažji napad na šifrirane iPhone s surovo silo, v Evropi pa so zlasti v Veliki Britaniji in Franciji čedalje močnejše težnje po prepovedi šifriranja ali vsaj zagotovitvi stranskih vrat za oblasti. The New York Times razkriva, da napadalci v Parizu niso uporabljali šifriranja, pa napada oblastem vseeno ni uspelo preprečiti.

Napadalcem je bilo očitno znano, da obveščevalne agencije redno kontrolirajo nezaščiten promet po internetu, zato za komunikacijo niso uporabljali orodij za hipno...

Slo-Tech - S pojavom tim. pametnih telefonov in prenosom podatkov v mobilnih omrežjih, se meja med klasičnimi telefonskimi klici in VoIP klici čedalje bolj briše. Dokončno bo zabrisana s prehodom na LTE - v prihodnosti bomo tako v mobilnih omrežjih prenašali le podatke.

Ena izmed oblik prenašanja "telefonskih" podatkov preko omrežja je tudi VoIP. VoIP (Voice over Internet Protocol) je telefonija preko internetnega protokola. Za uporabo VoIP telefonije na mobilnem omrežju potrebujemo ustrezno aplikacijo, ki analogni govorni signal pretvori v digitalni format, ga kompresira z ustreznim kodekom in podatke preko IP omrežja prenese do sogovornika na drugi strani. Seveda mora biti ustrezna aplikacija tudi na drugi strani.

Pomembno je...

ZDNet - Ta teden je ozračje v industriji mobilnih telefonov in programske opreme zanje pošteno razburkalo odkritje, da telefoni z operacijskim sistemom Android, BlackBerry in še nekateri drugi beležijo vso uporabnikovo interakcijo (kličoče in klicane številke, besedilna sporočila, brskanje po spletu ...) in jo posredujejo tretjim...

CNet - Od uspele vojaške akcije ameriških sil, v kateri so ubili Osamo bin Ladna in preiskali njegovo skrivališče v Pakistanu, je minil en teden. V akciji so zaplenili pet osebnih računalnikov, 10 trdih diskov in več deset USB-ključev in DVD-jev, ki jih mora sedaj ameriška obveščevalna služba analizirati. Analiza bo bržkone potekala v organizaciji NMEC (National Media Exploitation Center), ki namenoma deluje čim dlje od oči javnosti in ima posebej za take slučaje izurjene strokovnjake.

Problem pri analizi postajajo razširjene metode za šifriranje, ki lahko ob pravilni rabi popolnoma preprečijo dešifriranje podatkov. Kot pravijo strokovnjaki, se šibka gesla in druge pomanjkljivosti v šifriranju razkrijejo v prvih sedmih dneh. Če v tem času šifriranja ne...

Slashdot -

Dobra novica za Android uporabnike, ki si želijo malo več kontrole nad svojo zasebnostjo: priznani varnostni raziskovalec Moxie Marlinspike je predstavil brezplačno aplikacijo Whisper Monitor, ki služi kot dinamični požarni zid za Android naprave. Orodje omogoča sprotni nazor in blokado poizkusa povezav iz aplikacij na telefonu...

Slashdot -

Android razvijalci imajo precej težav s piratskimi kopijami programov, ki jih je mogoče dobiti na neuradnih app marketih. Podjetje Incorporate Apps se je odločilo vzeti stvari v svoje roke, s proaktivno pripravo posebne piratske različice svoje aplikacije Walk and Text za US$ 2.10, ki pod oknom za pisanje sporočila prikaže sliko s kamere in s tem omogoči varno tipkanje tudi med hojo po mestu.

Takoj po namestitvi piratske različice se vsem številkam v imeniku pošlje SMS sporočilo v spodnjem stilu (vir) in s tem osramoti uporabnika:

Hej, pravkar sem si neta prenesel piratsko različico aplikacije Walk and Text za Android. Sem neumen in škrt, čeprav stane le dobra dva dolarja. Ne biti lopov tako kot sem jaz!

Zatem se uporabniku pokaže obvestilo v stilu "Preveri svoj račun za telefon [1, op.p.]....

Slo-Tech - V okviru GNU Projecta pripravljajo nov projekt z imenom GNU Free Call. Šlo naj bi za odprtokodno alternativno Skypu, ki bo ponujala anonimne VoIP klice na principu P2P. Za posredovanje klicev nameravajo uporabiti GNU SIP Witch server, ki zaradi nizke porabe sistemskih sredstev teče tudi na mobilnih telefonih. Kot telefonski strežnik pa nameravajo uporabiti GNU Bayonne, ki se sicer že uporablja v komercialnih okoljih.

GNU Free Call v osnovi sicer ne bo ponujal videotelefonije, bo pa uporaba videoklicev mogoča s pomočjo končnih SIP aplikacij, kot npr. Ekiga, Empaty, Twinkle, itd, saj je naloga omrežja zgolj posredovanje podatkov, oblika komunikacije, izbira kodekov itd. pa bo stvar končnih aplikacij.

Sistem bo podobno kot Skype omogočal P2P klice, tudi znotraj NAT omrežij, podpiral pa bo tudi šifriranje pogovorov. GNU SIP Witch bo namreč služil kot varni VoIP proxy vmesnik, podatki med GNU SIP Witch točkami pa bodo potekali v šifrirani obliki s protokolom, ki bo temeljil na...

Slo-Tech - Na letošnji 27c3 konferenci v Berlinu so raziskovalci zbrani okrog GSM hacking projekta o katerem smo že večkrat poročali, predstavili kopico zanimivosti iz področja varnosti GSM telefonije.

Karsten Nohl in Sylvain Munaut sta v predavanju Wideband GSM Sniffing predstavila novosti v razvoju odprtokodne GSM prisluškovalne naprave. Tako sta na predavanju prikazala kako je s pomočjo 2 TB preko torrent omrežja dostopnih mavričnih tabel, programa Kraken in nekoliko modificiranega GSM aparata mogoče prestrezati GSM pogovore v skoraj realnem času.

GSM telefonija kot enega izmed varnostnih mehanizmov uporablja tudi tim. preskakovanje med frekvencami (ang. frequency hopping), kar so raziskovalci poskušali rešiti s prestrezanjem celotnega GSM spektra s pomočjo USRP, izkazalo pa se je, da je ta problem mogoče rešiti s strojno modifikacijo cenenih GSM telefonov. V tem primeru mora biti napadalec lociran na območju iste bazne postaje kot telefon "žrtve", potrebuje pa še IMSI oz. TMSI številko...

Slo-Tech - Skupina raziskovalcev, ki se ukvarja s kriptoanalizo A5 šifrirnega algoritma, ki se uporablja za šifriranje pogovorov v GSM omrežju, je prejšnji teden izdala program Kraken. Program omogoča kriptoanalizo prestreženih pogovorov oziroma omogoča uporabo mavričnih tabel, ki jih skupina pripravlja že dlje časa (javno so jih prvič izdali lansko leto na Berlinski CCC konferenci).

...

Slo-Tech - Kot kaže, se na področju (mobilne) telefonije in zasebnosti obetajo velike spremembe. Tradicionalno je veljalo, da je šifriranje široko dostopno le za računalnike, uporaba kvalitetnega šifriranja v telefoniji pa je bila povezana s številnimi težavami in visokimi stroški. Telefonija je pač bistveno bolj zaprta tehnologija.

A s prihodom pametnih mobilnih telefonov, zlasti pa s prihodom odprte Android platforme, se je to pričelo spreminjati. In ta teden se je zgodil prvi konkretnejši premik k uporabi varnega šifriranja telefonskih pogovorov. Varnostni strokovnjak Moxie Marlinspike (znan tudi...

Slo-Tech - Po več mesecih, pravzaprav letih razvoja, je v začetku meseca luč sveta ugledal tudi Tor za mobilne telefone z Androidom.

V programskem paketu Orbot so združeni odjemalec za omrežje Tor, posredniški vmesnik Privoxy, libevent in aplikacija za nadzor povezovanja v Tor omrežje

Kljub temu, da je bila prva različica Tor odjemalca za Android OS uspešno prevedena že konec decembra 2008, pa je Orbot najbolj celovita rešitev za anonimizacijo na mobilnih telefonih. Orbot je bil testiran na Androidu 1.5, 1.6, 2.0, 2.1 in nekaterih nestandardnih uporabniških različicah Androida (tim. customized...

Slo-Tech - Skupina sodelavcev znane skupine, ki se ukvarja z razbijanjem GSM šifrirnega algoritma A5 se je lotila novega področja. Tokrat gre za projekt OsmocomBB - Open Source / Free Software GSM Baseband software implementation.

Namen projekta je izdelati odprtokodno programsko opremo za GSM, konkretneje odprtokodne gonilnike za GSM naprave ter "telefonski" del GSM protokola (layer 1 do layer 3). Mimogrede, sorodna projekta (pri katerima prav tako sodelujejo isti avtorji) sta OpenBTS, in OpenBSC, namenjena pa sta izdelavi odprtokodne GSM bazne postaje oziroma odprtokodnega GSM omrežja.

Cilj projekta je izdelati odprtokodno strojno programsko opremo (firmware), s pomočjo katere bo mogoče telefonirati, sprejemati in pošiljati SMS in ostala sporočila, itd.

Da so avtorji projekta resni ne dokazuje samo dejstvo, da so že uspešno izvedli nekaj testiranj na "omrežni strani" GSM telefonije, pač pa tudi dejstvo, da so v okviru projekta OsmocomBB uspeli zagotoviti popoln nadzor nad GSM strojno...

Slo-Tech - V mobilnih omrežjih tretje generacije (tim. 3G GSM) bosta obstoječa A5/1 in A5/2 algoritma za šifriranje pogovorov med telefonskim aparatom in bazno postajo zamenjana z algoritmom A5/3.

Gre za šifrirni algoritem Kasumi, ki temelji na algoritmu MITSY, razvitem leta 1995.

Kljub temu, da je algoritem šele na začetku uporabe, so ga raziskovalci že uspeli teoretično zlomiti. Orr Dunkelman, Nathan Keller in Adi Shamir so namreč predstavili članek z naslovom A Practical-Time Attack on the A5/3 Cryptosystem Used in Third Generation GSM Telephony, v katerem opisujejo enega izmed možnih napadov na A5/3.

Napad so raziskovalci poimenovali sendvič napad (ang. sandwich attack), gre pa za tim. napad sorodnih ključev (ang. related-key attacks). Ranljiv je sicer Kasumi, ne pa tudi Mitsy, kar pomeni, da so razvijalci pri razvoju Kasumija algoritem oslabili (hoteli so ga namreč narediti hitrejšega in bolj strojno prijaznega).

S pomočjo napada so raziskovalci 128-bitni ključ z uporabo samo 4...

Slo-Tech - Kot je znano, GSM telefoni za šifriranje pogovorov (med telefonom in bazno postajo) uporabljajo algoritma A5/1 (močnejši) in A5/2 (šibkejši).

Šifrirni algoritem A5/1 je bil razvit leta 1987, A5/2 pa leta 1989. Oba sta bila razvita na skrivaj in ob sodelovanju tajnih služb, šibka zasnova pa je bila namerna.

Prvi uspešni napad na algoritem A5/1 je izvedel Jovan Golić maja 1999 neodvisno od njega pa tudi Marc Briceno, ki je izvedel reverzni inženiring na GSM telefonu. Biryukov in Shamir pa sta dokazala, da ga je mogoče razbiti v manj kot sekundi z uporabo računalnika z vsaj 128 Mb RAM ter dvema 73 Gb diskoma.

Kljub vsemu so bili ti napadi zgolj teoretični, dejanska oprema za njihovo izvedbo pa zelo draga in dostopna zgolj državnim organom. Se je pa zato leta 2007 na internetu izoblikoval The A5 Cracking Project, katerega namen je bil izgradnja odprtokodne GSM prisluškovalne naprave za manj kot 1000 EUR. Namen projekta je bil javno pokazati na ranljivosti v algoritmu A5/1 in A5/2,...

Schneier.com - Da pavšalno prisluškovanje vsem telefonskim klicem seveda ne more predstavljati dobre stvari je bilo očitno že na začetku izbruha prisluškovalne afere v ZDA, ko se je izkazalo, da NSA prislušuje ameriškim civilistom, sedaj pa je tudi potrjeno, da različni analitiki pri NSA med svojimi manj zanimivimi delovnimi urami prislušujejo (tudi) za lastno zabavo.

Tako sta dva analitika, ki sta bila v NSA-jevi izpostavi za srednji vzhod opisala kako so prisluškovali ameriškim vojaškim oficirjem, novinarjem in humanitarnim delavcem in v primeru različnih humorističnih pogovorov (npr. telefonski seks, pogovori s puncami/ženami in skorajda kakršni koli osebni telefonski pogovori z pikantnimi podrobnostmi), sodelavce opozorili na le-te in na nujnost poslušanja.

Ko je ob različnih priložnosti kateri izmed analitikov opozoril na kršenje zasebnosti tudi nadrejene, so le-ti opomnili analitika, da trenutni ukazi velevajo prepis vseh telefonskih pogovorov. NSA je vse obtožbe že zavrnila in dejala, da...

Slo-Tech - Kot poroča DELO, je mobilni operater T-Mobile včeraj napovedal skorajšnji prihod mobilnega telefona T-Mobile G1, na katerem bo tekel Google Android.

Gre za mobilni aparat Dream podjetja HTC na katerem bo tekel operacijski sistem Android, ki so ga razvili pri Googlu. Android temelji na Linuxu in je odprtokoden, telefon G1 pa podpira povezovanje v GSM, EDGE, 3G, Wi-Fi in Bluetooth omrežja, omogoča uporabo GPS, predvajanje različnih multimedijskih datotek (MPEG4, H.264, MP3, AAC, AMR, JPG, PNG, GIF,...), vsebuje 3 Mpx vgrajeno kamero, zaslon občutljiv na dotik, tipkovnico.

Za razliko od ostalih telefonov je Android že v osnovi razvit tako, da omogoča kar najtesnejše povezovanje mobilnega telefona z Googlovimi storitvami kot na primer Gmail, Google Maps, YouTube, itd.

Včeraj so pri Googlu za razvijalce izdali tudi Google Android SDK 1.0, pri razvoju pa je sicer sodelovalo 30 partnerjev združenih v Open Handset Alliance (med drugim tudi HTC, Motorola, LG in Samsung) ter seveda

Slo-Tech - Trije nemški raziskovalci Timo Gendrullis, Martin Novotny in Andy Ruppiz iz nemškega Inštituta za IT varnost na Ruhr-University Bochum so na Cryptology ePrint Archive objavili članek z naslovom A Real-World Attack Breaking A5/1 within Hours.

V članku opisujejo napad na GSM šifrirni algoritem A5/1. Za razliko od večine teoretičnih kriptoanalitičnih napadov, gre v tem primeru za praktičen napad, ki ga je mogoče izvesti s posebno napravo, ki so jo poimenovali COPACOBANA, sestavljena pa je iz FPGA čipovja.

Raziskovalci v članku trdijo, da je uspešen napad mogoče izvesti v povprečju v okrog sedmih urah, predstavljajo pa tudi optimizacijo, ki omogoča še približno 16% pohitritev napada.


Napad sicer ni tako hiter kot tisti, ki sta ga na BlackHat Europe 08 prikazala David Hulton in Steve Muller, je pa v članku objavljenih dovolj podrobnosti za nadaljnje raziskovanje na tem področju. Hulton in Muller sta pri svojem delu sicer izhajala iz članka Kellerja in Seitza, ki sta opisala napad...

Slashdot - Kot poroča Forbes, sta raziskovalca David Hulton in Steve Muller na hekerski konferenci BlackHat Europe 08 prikazala pasivni napad na GSM.

Njun napad temelji na pasivnem prisluškovanju (mogoče ga je opraviti iz oddaljenosti več kilometrov), prestrežene signale pa sta uspela dekodirati v približno uri in pol z opremo v vrednosti le 1000 USD. Podobne naprave pred tem so stale okrog milijona dolarjev.

Raziskovalca nameravata podrobnosti o dešifrirni metodi javno objaviti, odkrila pa sta še eno metodo, ki omogoča razbitje šifriranih pogovorov v le 30 sekundah. To tehnologijo nameravata v marcu pričeti prodajati za ceno med 200.000 in 500.000 USD.

Na vprašanje o tem ali bo sedaj mogoče prisluškovati tudi njunim telefonskim pogovorom pa je Muller odgovoril, da telefonov ne uporabljata.

Schneier.com - Devetega marca 2005 so v Grčiji našli obešenega 38-letnega vodjo oddelka za omrežno načrtovanje podjetja Vodafone Grčija Kostasa Tsalikidisa. Domneva: samomor. Naslednji dan je vodstvo podjetja grškemu predsedniku vlade sporočilo, da so v telefonskih centralah podjetja našli programsko opremo, s pomočjo katere so neznani napadalci prisluškovali njemu in še več kot sto drugim visokim politikom, pomembnim državnim uradnikom, mirovnim aktivistom in članom organizacij za zaščito človekovih pravic. Izkazalo se je, da so neznani napadalci v telefonske centrale podjetja namestili posebno zlonamerno programsko opremo, tim. rootkit, s katero so izvedli prisluškovanje.

Ta mesec sta Vassilis Prevelakis in Diomidis Spinellis v reviji IEEE Spectrum objavila članek The Athens Affair, v kateri je podana pregledna analiza primera. Da se očitno dogaja nekaj nenavadnega so v grškem Vodafonu prvič odkrili 24. januarja 2005, po tem ko je nezakonito prisluškovanje že potekalo nekaj mesecev. Eno...