Dark Reading - Raziskovalci iz Univerze v Michiganu bodo na konferenci Black Hat ta teden predstavili zaključke svojega dela, v katerem so z nižanjem voltaže na čipu v strežnikih prišli do celotnega RSA zasebnega ključa. Njihovo delo je nadaljevanje dela raziskovalcev iz Frankfurta, ki so že pred časom odkrili, da je s kvarjenjem procesorja mogoče priti do dela zasebnega ključa, a so takrat predvidevali, da bo rezultate težko reproducirati, posebej pa v nenadzorovanem laboratoriju (torej, v produkciji).

Valeria Bertacco, profesorica na UM, pa je uspela ponoviti napako na strežnikih, ki so tekli na Linuxu in so za RSA enkripcijo uporabljali OpenSSL knjižico. Prva metoda, ki so jo uporabili, je bila da so znižali napetost tranzistorjev pod...

Slo-Tech - LittleBlackBox Project je na internetu objavil bazo več kot dva tisoč zasebnih SSL-ključev, ki se uporabljajo pri asimetričnem šifriranju komunikacije. Objavljeni so ključi, ki so nespremenljivo zapisani (hard-coded) v različnih vgrajenih napravah, kot so usmerjevalniki interneta in podobno. Da imajo te naprave zapečene SSL-zasebne ključe v svoji strojno programsko opremo (firmware), je znano že dolgo časa, a doslej se jih nihče ni lotil sistematično iskati in objavljati.

Problem je, da so ti ključi fizično in nespremenljivo zapisani v naprave, tako da imata dve...

Slo-Tech - Dva tedna po objavi glavnega ključa HDCP, ki je ušel Intelu, je na spletu že odprtokodna implementacija algoritma za šifriranje in dešifriranje. Pod licenco BSD objavljena koda vsebuje bločni kod (block cipher), tokovno šifro (stream cipher) in zgoščevalno funkcijo (hashing algorithm) za vzpostavitev povezave s HDCP-napravo ter šifriranje in dešifriranje videa.

Konkretni primer zmore šifrirati video pri 180 sličicah na sekundo ločljivosti 640 x 480 na Xeonu z 2,33 GHz, medtem ko lahko višje ločljivosti dosežemo s paralelizacijo. Dešifriranje videa v HD-ločljivosti 1080p je sedemkrat počasnejše, tako da na enem jedru ni možno (recimo zmogljiv dvojedrni 64-bitni procesor bi zmogel 1080p pri 30 fps). Mogoče so še dodatne izboljšave algoritma, recimo z izkoriščanjem nabora ukazov SSE, ki jih ta koda ne.

PC Magazine - Intel je potrdil, da je ta teden objavljeni glavni ključ za HDCP pristen. To je po dveh dneh preiskave objavil njihov tiskovni predstavnik Tom Waldrop, ki je dodal, da so objavljeni ključ preizkusili in da je z njim resnično moč generirati veljavne ključe za izdelke. To pomeni, da je odslej moč neomejeno kopirati vse diske Blu-Ray, ki so zaščiteni s HDCP-jem. Intel predpostavlja, da bodo hekerji vedno izdelali svoje računalniške čipe, ki bodo imeli vgrajen glavni ključ, medtem ko je programski dekodirnik manj verjeten.

Slo-Tech - Na spletni strani pastebin.com je objavljena 40 x 40 matrika 56-bitnih šestnajstiških števil, ki naj bi predstavljala glavni ključ (master key) Intelovega sistema HDCP. Če to drži, potem je HDCP razbit in bo možno generirati poljubno število zasebnih ključev ter tako prisluškovati domnevno varni komunikaciji med virom in ponorom večpredstavnostne vsebine, s čimer bo mogoče zaščiteno vsebino kopirati v polni kakovosti.

Intel je HDCP razvil z namenom preprečitve kopiranja digitalnih video in avdiovsebin, ki potujejo prek povezav DisplayPort, DVI, HDMI, GVIF in UDI. Vsaka naprava, ki želi sprejemati omenjeno komunikacijo, ima svoj par ključev. Zasebni ključ uporabi za dešifriranje podatkovnega toka, ki ga v šifrirani obliki pošilja vir. Na ta način je preprečeno prisluškovanje komunikaciji in kopiranje, saj jo le licencirane naprave lahko dešifrirajo. Razkritje ključev je kršitev licenčne pogodbe, poleg tega pa Intel v takem primeru omenjene zasebne ključe prekliče. Zato so ti ključi...

Slo-Tech - Todd Austin, Valeria Bertacco in Andrea Pellegrini in University of Michigan so odkrili nov napad na zasebne RSA šifrirne ključe ter resno ranljivost v kriptografski knjižnici OpenSSL oziroma njenem RSA avthentikacijskem mehanizmu, ki za potenciranje uporablja CRT (Chinese Remainder Theorem - kitajski izrek o ostankih) funkcijo.

Gre za klasičen posredni napad na kriptografijo (tim. channel side napad) oziroma napad na strojno programsko opremo, na kateri teče kriptografska koda. Raziskovalci so namreč ugotovili, da je z majhnimi spremembami (nižanjem) napetosti električne energije s katero se napaja procesor mogoče povzročiti napako (spremembo enega bita, tim. single-bit error) v delovanju procesorja, kar pa v primeru, da...

Slo-Tech - Nate Lawson je imel 5. avgusta letos na Google Tech Talk predavanje na temo varnosti kriptografije z naslovom Crypto Strikes Back!.

Številne kriptografske metode so danes dobro preizkušene in so postale kar nekako standardne, navadno pa se zaplete pri njihovi implementaciji. Lawson tako na predavanju predstavi nekaj glavnih težav pri implementaciji kriptografije, od tim. side-channel napadov, do napak pri implementaciji algoritmov za izračun kontrolnih vsot. Dotakne se tudi slavne Debian PRNG ranljivosti ter posledic za DSA digitalne podpise.

Ob hitri menjavi ključev se je namreč kar nekako spregledalo, da so ranljivi tudi vsi DSA ključi, ki so bili zgolj uporabljeni v sistemih z okvarjenim generatorjem naključnih števil.

Lawson namreč na svojem blogu ugotavlja, da je varnost DSA zelo odvisna od varnosti tim. naključnega izziva (ang. random challenge) k. Če je ta parameter znan, je namreč mogoče izračunati celoten zasebni ključ uporabnika. To pa pomeni, da napadalec lahko v...

Schneier.com - Na blogu Brucea Schneierja je objavljena koda, s katero je mogoče odpreti vsako elektronsko ključavnico proizvajalca Sentex. Proizvajalec je namreč v svojo napravo vgradil poseben glavni ključ.

Koda je sledeča: ***00000099#*

Prve tri zvezdice aktivirajo administrativni način naprave, šest ničel je tovarniško privzeto geslo, z ukazom 99# se odprejo vrata, s končno zvezdico pa se ponovno izključi administrativni način.

Proizvajalec seveda ni nič kriv, varnost skozi skrivanje (security through obscurity) pa spet "deluje"...

Schneier.com - Domain Name System Security Extensions ali DNSSEC je nabor specifikacij za DNS sisteme prihodnjih generacij, ki bodo DNS zahtevke digitalno podpisovali in avtenticirali, z čimer naj bi onemogočili različne oblike zlorab, ki imajo za posledico goljufije in zavajanje uporabnikov s preusmeritvami na lažne spletne strani.

Ideja je vsekakor dobra in bi preprečila številne "phishing" in "pharming" goljufije, pojavila se je le manjša težava. Ameriško ministrstvo za domovinsko varnost si je zaželelo kopije glavnega ključa za korensko DNS cono.

Želja po cenzuri ali po goljufijah?

CNet - Spam je že dolgo največji problem v svetu elektronske pošte. Obstaja kar nekaj rešitev proti tej nadlogi, največkrat se pojavljajo v obliki posebnih filtrov za ločevanje reklamne pošte, vsem pa je skupno, da jih razvijajo posamezni razvijalci, tako da so precej neodvisne ena od druge in posledično tudi manj učinkovite. Ker pa je problem iz dneva v dan hujši, so začela vodilna IT podjetja sestavljati predloge za standardizacijo tehnologij v boju proti neželeni e-pošti.

Na čelu akcije sta Cisco in Yahoo (vpleteni so še Alt-N Technologies, America Online, Sendmail, PGP, EarthLink, IBM, Microsoft in VeriSign), ki sta razvilaa tehnologijo DomainKeys Identified Mail. Sistem temelji na kriptografskem preverjanju pošte - lastnik email domene ustvari javni in zasebni ključ, od teh je prvi shranjen v DNS zapisih in dostopen vsem, drugi pa se nahaja na odhodnem email strežniku. Pošta se pri pošiljanju ustrezno označi z zasebnim ključem, ki ga naslovnikov email klient ob prejemu sporočila...