Ars Technica - Raziskovalci z več evropskih univerz so razvili napad Plundervolt, ki s spreminjanjem voltaže skozi sistem za navijanje Intelovih procesorjev doseže, da ti izdajo skrivnosti, ki se obdelujejo v njihovem zavarovanem odseku SGX.

Intel's Software Guard eXtensions (SGX) je set inštrukcij, s katerim je mogoče oblikovati varno enklavo v okviru procesorjevega pomnilnika, kamor lahko odložimo obdelavo posebej občutljivih podatkov, na primer šifrirnih ključev. Od okolice je ločena tako fizično, kakor programsko - s šifriranjem - zato naj druge aplikacije tja ne bi imele dostopa. Vsaj v teoriji, saj smo v začetku tega leta že lahko videli prvo zlo kodo, ki je napadala SGX. Sedaj pa so raziskovalci z univerz v Birminghamu, Leuvenu in Gradcu razvili razmeroma kompakten napad, spretno poimenovan Plundervolt, ki je zmožen iz SGXa pridobiti šifrirne ključe in tudi drugače motiti njegovo delovanje.

Posebno zanimiva je njegova premisa. Medtem ko pretekli razvpiti napadi na strojni ravni, kot so

Slo-Tech - Slack je danes najavil storitev EKM (Enterprise Key Management), ki uporabnikom oziroma strankam Enterprise Grida daje nadzor nad šifrirnimi ključi. Gre novost, ki so jo pokazali že na jesenski konferenci Frontiers. EKM so razvili interno, a uporablja Amazonov KMS za upravljanje ključev za šifriranje. V praksi to pomeni, da imajo organizacije, ki uporabljajo Slackovo platformo, dodaten nivo šifriranja, ki ga v celoti nadzorujejo same, tako da so njihovi podatki varni.

Ta nivo šifriranja podatkov in sporočil se izvaja med podatkovno bazo in odjemalcev, na voljo pa je le uporabnikom Enterprise Grida. Slack sicer že sedaj šifrira podatke tako med prenosom kot pri shranjevanju, le da nadzora nad ključi uporabniki...

Slo-Tech - Znani varnostni raziskovalci in kriptoanalitiki Daniel Genkin, Adi Shamir in Eran Tromer so danes objavili članek o akustični kriptoanalizi s pomočjo katere so uspeli rekonstruirati 4096-bitni RSA ključ v približno eni uri. Napad je mogoče izvesti s pomočjo merjenja zvoka, ki ga oddaja računalnik v času dešifriranja sporočila. Med dešifriranjem namreč prihaja do vibracij nekaterih elektronskih komponent, z analizo vibracij pa so najprej uspeli ločiti različne šifrirne ključe, nato pa še ugotovili kako je mogoče bit po bitu rekonstruirati tudi samo vsebino šifrirnih ključev.

Za uspešno izvedbo napada je potrebno uporabiti mikrofon, napad pa je mogoče izvesti tudi s pomočjo pametnega telefona. Z uporabo usmerjenega mikrofona je mogoče zvočne vibracije rekonstruirati iz...

Crypto-Gram - V priljubljenem programu za šifriranje elektronske pošte in datotek GPG so pred kratkim odkrili resno varnostno pomankljivost.

Odkrili so namreč, da je mogoče digitalno podpisano elektronsko sporočilo spremeniti in sicer na tak način, da po spremembi digitalni podpis ostane veljaven. Spremembe je mogoče vriniti pred ali pa za originalno (in podpisano) sporočilo. Prizadete so vse različice GPG-ja pred različico 1.4.2.2. Popravki pa so seveda že na voljo.

Kaže, da je bila varnostna pomankljivost prisotna že dlje časa, pa jo do sedaj - kljub odprti kodi - ni še nihče opazil. Kljub temu imajo pri odprti kodi uporabniki vsaj možnost, da napake opazijo, kar za zaprto kodo žal ne moremo trditi...

Slo-Tech - Adi Shamir in Eran Tromer sta odkrila nov način kraje šifrirnih ključev, akustično kriptoanalizo. Gre za to, da s snemanjem zvoka, ki ga oddaja računalnik, lahko ugotovimo kaj počne računalnik. S pomočjo kondenzatorskega mikrofona za 170 USD, mešalne mize za 55 USD, zvočne kartice Audigy 2 za 70 USD ter brezplačnega programa za analizo signalov Baudline, ki teče pod Linuxom, je mogoče ugotoviti ali je procesor aktiven ali pa je v prostem teku (idle), mogoče pa je zaznati tudi različne vzorce procesorskih operacij in dostopov do pomnilnika. V nekaterih primerih je mogoče odkriti tudi RSA tajne ključe, ki se uporabljajo pri šifriranju podatkov, oziroma pridobiti dovolj podatkov za uporabo tehnike časovnega napada (timing attack).
Akustični napad je mogoč tudi če imate v sobi glasno navito glasbo, saj se večina teh signalov nahaja na območju nad 10 kHz, pa tudi, če je v sobi več računalnikov.
Kako je potekal eksperiment si lahko ogledate na spletni strani Acoustic cryptanalysis, na...