Slo-Tech - S pojavom tim. pametnih telefonov in prenosom podatkov v mobilnih omrežjih, se meja med klasičnimi telefonskimi klici in VoIP klici čedalje bolj briše. Dokončno bo zabrisana s prehodom na LTE - v prihodnosti bomo tako v mobilnih omrežjih prenašali le podatke.
Ena izmed oblik prenašanja "telefonskih" podatkov preko omrežja je tudi VoIP. VoIP (Voice over Internet Protocol) je telefonija preko internetnega protokola. Za uporabo VoIP telefonije na mobilnem omrežju potrebujemo ustrezno aplikacijo, ki analogni govorni signal pretvori v digitalni format, ga kompresira z ustreznim kodekom in podatke preko IP omrežja prenese do sogovornika na drugi strani. Seveda mora biti ustrezna aplikacija tudi na drugi strani.
Pomembno je vedeti, da je VoIP tehnologija varna toliko, kot so varne prenosne poti. Ob ustreznem dostopu do prenosnih poti je namreč VoIP komunikacije mogoče razmeroma enostavno prestrezati. Leta 2006 je Phil Zimmermann z nekaj sodelavci pripravil ZRTP protokol. Zimmermann Real-time Transport Protocol je sistem, ki omogoča šifriranje telefonskih pogovorov v VoIP omrežju. Protokol omogoča varno izmenjavo šifrirnih ključev med dvema komunikacijskima partnerjema (s pomočjo tim. Diffie-Hellmanove izmenjave šifrirnih ključev), povezava med njima pa je nato šifrirana z SRTP protokolom (Secure Real-time Transport Protocol). ZRTP je leta 2011 postal standard (RFC 6189).
Danes ZRTP protokol za šifriranje telefonskih klicev med dvema končnima napravama (gre za tim. end-to-end šifriranje) uporablja kar nekaj aplikacij, nekaj pa jih je na voljo tudi za mobilne telefone. Pri tem je pomembno vedeti, da šifriranje telefonskih pogovorov z ZRTP protokolom popolnoma onemogoči vsakršno prestrezanje pogovorov (prisluškovanje) – tako zakonito, kot tudi nezakonito, s pomočjo operaterja ali pa brez njegove pomoči.
In kako je s prometnimi podatki?
Kot rečeno VoIP klici potekajo s pomočjo prenosa podatkov. Klasični, "telefonski", prometni podatki se zato v zbirki prometnih podatkov ne beležijo. To smo preverili z uporabo dveh aplikacij, ki omogočata šifriranje telefonskih pogovorov, in sicer plačljivo SilentPhone ter brezplačno RedPhone. SilentPhone je na voljo za Android in iPhone, RedPhone pa trenutno samo za Android, različica za iPhone pa prihaja v nekaj mesecih. Mimogrede, takole se sliši z ZRTP/SRTP šifriran zvok telefonskega pogovora (originalni zvok je šumenje ventilatorja).
Analiza izpiskov, ki smo jih pridobili od operaterja (na izpisku operaterja smo primerjali seznam dohodnih in odhodnih klicev iz telefona) jasno kaže, da operater ne vidi prometnih podatkov telefonskih pogovorov opravljenih na ta način, saj ne obdeluje podatkov, ki predstavljajo vsebino podatkovne povezave.
Naj ob tem dodamo, da obe rešitvi dodatno šifrirata tudi podatkovni promet do svojih VoIP strežnikov, zato na strani operaterja ni mogoče videti koga v SilentCircle oziroma RedPhone omrežju kličemo (podatki so torej dvojno šifrirani - do strežnika, ter med končnima odjemalcema). S prestrezanjem in analizo IP prometa bi bilo mogoče videti le, da se uporabnik povezuje v VoIP omrežje, torej le da kliče ali sprejema klic. Koga kliče in kaj se pogovarja, pa je operaterju nevidno.
Če uporabnik ob tem uporablja še šifriranje pomnilnika mobilnega telefona, kjer se privzeto hranijo tudi podatki o opravljenih klicih (od različice 4.0 je to v Androidnih sistemih že vgrajena možnost) je jasno, da je do kakršnegakoli izpiska klicev težko priti.
Za obe aplikaciji velja, da sta povsem enostavni za uporabo, zlasti RedPhone je po namestitvi zelo dobro integriran v sistem. Prenos zvoka deluje zelo dobro tako v 3G, kot seveda tudi v HSDPA in Wi-fi omrežjih. Testiranje je pokazalo, da je kvaliteta prenosa malo sporna v EDGE omrežjih. Morda se bo z uporabo še bolj varčnih kodekov (npr. Codec2) ta težava v prihodnosti še omilila.
Edina resnejša omejitev navedenih aplikacij je torej dejstvo, da mora enako aplikacijo imeti tudi sogovornik na drugi strani. A ob nizki mesečni naročniki na SilentCircle (10 USD) oziroma dejstvu, da je uporaba RedPhona popolnoma brezplačna, zbledi tudi še ta omejitev.
Če torej zaključimo, velja naslednje. Po eni strani se hrambi prometnih podatkov lahko zelo enostavno izognemo z uporabo šifriranih VoIP komunikacij. Po drugi strani pa smo varnostni raziskovalci v preteklosti že pokazali kako je mogoče v mobilnem omrežju prevzeti mobilno identiteto drugega uporabnika in tako v njegovem imenu in na njegov račun vzpostavljati govorne klice in pošiljati SMS sporočila, v določenih okoliščinah pa tudi sprejemati klice in SMS sporočila namenjena njemu. Pri vsem tem operater seveda zabeleži tudi napačne prometne podatke o telefonskih klicih, saj ne zmore ločiti med klici legitimnega uporabnika in klici, ki jih je v njegovem imenu izvedel napadalec.
Spomnimo, hrambo prometnih podatkov smo uvedli z namenom borbe proti kriminalu. Če se torej lahko organiziran kriminal na tako enostaven način izmakne nadzoru, zakaj je potem potrebno s hrambo teh podatkov nadzorovati tudi vse nedolžne državljane?
Spomnimo, hrambo prometnih podatkov smo uvedli z namenom borbe proti kriminalu. Če se torej lahko organiziran kriminal na tako enostaven način izmakne nadzoru, zakaj je potem potrebno s hrambo teh podatkov nadzorovati tudi vse nedolžne državljane?
Zato, ker veliki večini ljudi sploh nebi bilo jasno, kaj v tem članku piše. Ob vse tej tehnologiji se še vedno najdejo ljudje, ki grejo ropat pošto s sekiro. Policija pa tud ni kaj hudo bolj pametna od ljudstva.
Spomnimo, hrambo prometnih podatkov smo uvedli z namenom borbe proti kriminalu. Če se torej lahko organiziran kriminal na tako enostaven način izmakne nadzoru, zakaj je potem potrebno s hrambo teh podatkov nadzorovati tudi vse nedolžne državljane?
Zato, ker veliki večini ljudi sploh nebi bilo jasno, kaj v tem članku piše. Ob vse tej tehnologiji se še vedno najdejo ljudje, ki grejo ropat pošto s sekiro. Policija pa tud ni kaj hudo bolj pametna od ljudstva.
Boljše rečeno: ker ma veliki brat fetiš na nadzor.
>Boljše rečeno: ker ma veliki brat fetiš na nadzor.
Postavi se v vlogo preiskovalcev, kriminalistov... Iz njihove perspektive je jasno, da jim lahko pride prav vsaka možnost, ki jo nudi tehnologija za preiskovanje kaznivih dejanj.
Povprečni "kriminalec" (bolje rečeno storilec kaznivega dejanja) se mi zdi da ni ravno "profesor doktor" oziroma v povprečju ti ljudje sodijo prej med manj razgledane in izobražene ljudi, tako da se vsi niti ne zavedajo kaj pomeni, če po umoru pokliče po telefonu sorodnika, "da ga pride iskat, ker je spet naredil štalo".
Organizirna kriminal je povsem druga zgodba. V teh primerih gre za "podjetja", ki so ponavadi zelo dobro organizirana, obračajo velike denarja, ustvarajo visoke dobičke, skrbijo za redna usposabljanja svojega kadra in tudi investicija v kakšno bolj sofisticirano opremo ponavadi ne predstavlja večje težave.
>Kriminalci postavljajo svoje cell towerje in delajo svoja privat mobilna omrezje, tle se pa eni sprasujejo ce znajo uporabljati RedPhone ... :) Silly.
Pojdi ti to razlagat na kakšno policijsko postajo v Novem mestu.
Nekako si ne predstavljam balkanskih bojevnikov na seminarju o sifriranju.
Jaz si pa ne predstavljam, da ti lahko postaneš nek člen v verigi organiziranega kriminala in ti ne razložijo, da ne moreš s svojim naročniškim telefonom komunicirati direktno s svojimi nadrejenimi, ne moreš pošiljati "poslovnih podatkov" kar iz gmaila... Izobraževanje "zaposlenih" je zelo pomemben faktor tudi na tem področju. Seveda pa ti ni potrebno na akademskem nivoju poznati celotne teorije šifriranja, da znaš uporabljati razne tehnične rešitve s tega področja.
>Boljše rečeno: ker ma veliki brat fetiš na nadzor.
Postavi se v vlogo preiskovalcev, kriminalistov... Iz njihove perspektive je jasno, da jim lahko pride prav vsaka možnost, ki jo nudi tehnologija za preiskovanje kaznivih dejanj.
Povprečni "kriminalec" (bolje rečeno storilec kaznivega dejanja) se mi zdi da ni ravno "profesor doktor" oziroma v povprečju ti ljudje sodijo prej med manj razgledane in izobražene ljudi, tako da se vsi niti ne zavedajo kaj pomeni, če po umoru pokliče po telefonu sorodnika, "da ga pride iskat, ker je spet naredil štalo".
Organizirna kriminal je povsem druga zgodba. V teh primerih gre za "podjetja", ki so ponavadi zelo dobro organizirana, obračajo velike denarja, ustvarajo visoke dobičke, skrbijo za redna usposabljanja svojega kadra in tudi investicija v kakšno bolj sofisticirano opremo ponavadi ne predstavlja večje težave.
Torej ker 5 kriminalcev low profile lopovov dobijo s to tehnologijo je to za tebe dovolj dober razlog, da nadzirajo vso svetovno populacijo? Je že bilo omenjeno, da imajo velike ribe svoje omrežja.
>Torej ker 5 kriminalcev low profile lopovov dobijo s to tehnologijo je to za tebe dovolj dober razlog, da nadzirajo vso svetovno populacijo?
Moje res osebno mnenje je da ne, ker se da te vrste kriminalce dobiti tudi na druge načine in gre tu verjetno res za "overkill". Bi pa moral videti konkretno statistiko, da bi si lahko ustvaril pravo mnenje. Predvsem koliko in kakšne vrste kaznivih dejanj je bilo raziskanih s pomočjo teh podatkov in pri koliko od teh so bili ti podatki odločilen faktor, da so storilce prijeli (tu mislim podatke, ki jih zbirajo mobilni operaterji).
Ali pri LTE in šifriranem VoIP prometu ne postane sumljiv promet na točno določene IP naslove ponudnikov IP telefonije? Vsebine in cilja res ne morejo prestreči, vedo pa da gre za klic. Če imaš pa dnevnike prometa pri vseh internet ponudnikih pa lahko narediš tudi korelacijo - vsaj časovno in količinsko če že ne tudi vsebinsko (če telefon šifrira samo na nivoju govora, ne pa tudi na nivoju prenosa že šifriranega govora). Tu bi pomagala decentralizacija, razpršitev, lastni voip strežniki ali omrežje tor.
Nekako si ne predstavljam balkanskih bojevnikov na seminarju o sifriranju.
Oni so imeli malo bolj primitiven pristop, redna menjava predplačniških "službenih" mobijev, najboljša stranka lokalnega mobi shopa. Tele appse bi jim lahko mobi dealer namestil. Ampak ob redni menjavi so smartfoni večji strošek.
>Tele appse bi jim lahko mobi dealer namestil. Ampak ob redni menjavi so smartfoni večji strošek.
Saj ti verjetno ni treba menjat celotnega telefona, samo SIM kartice? Uporaba predplačniških telefonov ima veliko pomankljivost pred šifriranim VoIP, ker ko se nate spravijo z imsi catcherjem, si hitro v težavah pri tako preprosti rešitvi - pripeljejo črn kombi v sosednjo ulico, skenirajo okoliške telefonske številke in tako hitro ugotovijo, katera številka se pojavlja na novo. Fino je, če v takih primerih vsaj tako pogosto kot telefone menjaš še stanovanja.
Jaz si pa ne predstavljam, da ti lahko postaneš nek člen v verigi organiziranega kriminala in ti ne razložijo, da ne moreš s svojim naročniškim telefonom komunicirati direktno s svojimi nadrejenimi, ne moreš pošiljati "poslovnih podatkov" kar iz gmaila... Izobraževanje "zaposlenih" je zelo pomemben faktor tudi na tem področju. Seveda pa ti ni potrebno na akademskem nivoju poznati celotne teorije šifriranja, da znaš uporabljati razne tehnične rešitve s tega področja.
Ce govoris o organiziranem kriminalu iz filmov o Jamesu Bondu ok. Povprecen Mujo, ki prevaza ilegalce ali pa drogo, dobi predplacniski telefon za klicat. Povejo mu kako sifro za stvari, svojega naj pusti doma, tega vrze stran na cilju. Minuta dela. Lahko temu reces izobrazevanje pa usposabljanje sicer, samo izpade smesno.
Mene pa zanima kako podatkovno požrešna je ta zadeva. Koliko Mb/min?
S speexom dobiš razumljivo kvaliteto govora z nekje 1500-2000 bajti na sekundo, kar znese 90-120 KB/minuto. (To v praksi pomeni, da lahko na 3,5" disketo daš več kot 10 minut govora.)
Ce grejo obcasno na strelisce povadit to ni lih redno usposabljanje...
Nekako si ne predstavljam balkanskih bojevnikov na seminarju o sifriranju.
Nekaj podobnega je bilo pri ruski mafiji, prve generacije so poznale samo streljanje, kar jih je preživelo so se vrgli v legalne posle, tako da jih jaz ne bi podcenjeval (se zelo hitro učijo).
Mene pa zanima kako podatkovno požrešna je ta zadeva. Koliko Mb/min?
S speexom dobiš razumljivo kvaliteto govora z nekje 1500-2000 bajti na sekundo, kar znese 90-120 KB/minuto. (To v praksi pomeni, da lahko na 3,5" disketo daš več kot 10 minut govora.)
Hmm, v članku pravi, da je na EDGE že težava. EDGE je nekje 100-200 kbps. Sem na hitro izračunal. Je nekje 1 MB na minuto pogovora (računam nekje 100 kbps).
V EU je to približno enako ceni navadnega odhodnega klica. Pri domačih paketih pa odvisno. Tudi nekje podobno. Izven EU pa zna biti VoIP klic dražji.
Upoštevati je tudi treba, da plačaš dohodne in odhodne pakete. (čeprav ko en govori, je drugi tiho, tako da bi to malo zmanjšalo količino podatkov).
Zakupljene količine podatkov bi znale biti še cenejše.
Ideja za naslednji članek? (stroški podrobno) (če ni že v tem, nisem ga še v celoti prebral)
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!
>Boljše rečeno: ker ma veliki brat fetiš na nadzor.
Povprečni "kriminalec" (bolje rečeno storilec kaznivega dejanja) se mi zdi da ni ravno "profesor doktor" oziroma v povprečju ti ljudje sodijo prej med manj razgledane in izobražene ljudi, tako da se vsi niti ne zavedajo kaj pomeni, če po umoru pokliče po telefonu sorodnika, "da ga pride iskat, ker je spet naredil štalo".
povprečnež, ki umori sorodnika, še ni povprečen kriminalc in ga je dost simpl na kup drugih načinov izsledit. Povprečn vaški diler, pa dobro ve, da mora mobitel pustit doma, ko gre robo nabavlat, ker mu bo drugač prodajlc zobe zbil, takisto pri prodaji strankam. seveda se pri tem pogosto menjava mobije, uporablja ukradene ...
Ne si mislt, da so kriminalci kr eni beboti.
"Figures don't lie, but liars figure."
Samuel Clemens aka Mark Twain
Ne vem, kaj pomeni beseda "bebo", samo zapori so prepolni, če ti to kaj pove? Sicer se mi pa zdi, da se večino iz te skupine ujame na bistveno bolj preproste načine. Velik pomagajo razni "tajni sodelavci", ujeti kriminalci, ki si za izdajanje pajdašev kupijo milejšo kazen...
Redhpone je sicer kul (ker je brezplačen), ampak zadeva je dejansko VoIP in se vedno poveže preko enega in istega master strežnika, ki je razdeljen na par "varnih" lokacij. Kriptirani del pa baje poteka preko strežnikov, ki so razpršeni po celem svetu. Poleg tega je zadeva še vedno beta, kar dejansko pomeni da je razvijalcem jasno, da zadeva ni bulletproof. Zadnji JCA pripetljaj, ki sicer zadeva precej droidnega programja npr. ni bil tako nedolžen. So ga pa redphonovci vsaj hitro porihtali.
Redhpone je sicer kul (ker je brezplačen), ampak zadeva je dejansko VoIP in se vedno poveže preko enega in istega master strežnika, ki je razdeljen na par "varnih" lokacij. Kriptirani del pa baje poteka preko strežnikov, ki so razpršeni po celem svetu. Poleg tega je zadeva še vedno beta, kar dejansko pomeni da je razvijalcem jasno, da zadeva ni bulletproof. Zadnji JCA pripetljaj, ki sicer zadeva precej droidnega programja npr. ni bil tako nedolžen. So ga pa redphonovci vsaj hitro porihtali.
Podatki se še vedno šifrirajo na napravi in ne na strežniku, kar pomeni, da vsebina komunikacije zato ni kompromitirana.
Kolikor se čivka po medmrežju, naj bi tudi strežniški del programja kmalu prešel v javno domeno, kar pomeni, da si boš lahko zagotovil lastno infrastrukturo v celoti. OSTN za klasično VoIP omrežje pa je tako ali tako že razpoložljivo - veselo na delo torej.
Glede bete in (ne)varnosti se ne bi povsem strinjal.
RedPhone pa najbrž lahko vidi, koga kličem? Kako se lahko potem zavarujem, da teh podatkov ne bo pokazal komurkolipačže?
Načeloma da, a sem sam prepričan, da je vsebina komunikacije veliko pomembnejša, ki pa ostaja nekompromitirana. Z lastno infrastrukturo - strežniškim delom pa nikakor.
Speex kodek je res zelo nezahteven, ampak večinoma uporabljamo flat rate pakete. Poleg tega ne pozabit na wi-fi, sploh v tujini je zadeva lahko cenovno ugodna. Codec2, paje še bolj nezahteven - 1200, 2400 bps!
Ne, discontinuous transmission (DTX) ne smeš uporabljat, če ne želiš, da ti tretja oseba dešifrira klic.
Sicer pa Voice activity detection (VAD) ni niti približno tako problematična kot uporaba VBR kodekov. Uhajanje informacij zaradi VAD je sicer mogoče precej zmanjšati z nastavljanjem ustreznih parametrov v sami VoIP aplikaciji. VBR se je pa treba izogniti.
Ja, RedPhone vidi prometne podatke in jih lahko tudi posreduje dalje. Če je to problem, lahko uporabiš OSTN, kjer se ne identificiraš s svojo obstoječo telefonsko številko. Se pa v vsakem primeru zabeleži tvoj IP.
VoIP preko Tor omrežja... to je pa zelo hot tema zadnje čase. Problem je latenca. Sinhrona je taka komunikacija zelo težko ob obstoječi tehnologiji oz. obstoječem stanju tor omrežja.
Se pa trenutno zelo aktivno dela na push-to-talk preko Tor omrežja. Mumble server, pa to.
P. S. RedPhone serverski del bo nekoč gotovo opensource, mislim pa da še ne tako kmalu. Najprej bodo sportali zadevo na iPhone in Windows phone, potem pa bodo verjetno šli na odpiranje serverskega dela.
VoIP preko Tor omrežja... to je pa zelo hot tema zadnje čase. Problem je latenca. Sinhrona je taka komunikacija zelo težko ob obstoječi tehnologiji oz. obstoječem stanju tor omrežja.
Hja, že v osnovi je UDP over TCP precej pregrešna misel. Da bi pa to udejanjal prek slabotnega in a priori nekoliko počasnejšega/manj odzivnega omrežja, je neumnost.
Med push-to-talk sistemi in burst encoderji vidim močno homologijo, v prvem primeru zaradi latenc - torej zmogljivosti tehnologije, v drugem pa zaradi izogibanja sovražniku. Vsekakor bo PTT zelo dobrodošel in ga sam vidim kot nekakšen glasovni IM.
Ja. Menda razvijalci ChatSecure (bivši Gibberbot) za naslednje leto pripravljajo PTT preko Tor omrežja. Pustimo se presenetit.
Zagotovo pa se pripravlja dodatna funkcija za TextSecure, in sicer pošiljanje SMS sporočil preko podatkovne povezave kadar je to mogoče. V tem primeru ta sporočila v bistvu sploh ne bodo SMS-i, pomembno pa je, da operater prometnih podatkov ne bo videl.
Ne, discontinuous transmission (DTX) ne smeš uporabljat, če ne želiš, da ti tretja oseba dešifrira klic.
Sicer pa Voice activity detection (VAD) ni niti približno tako problematična kot uporaba VBR kodekov. Uhajanje informacij zaradi VAD je sicer mogoče precej zmanjšati z nastavljanjem ustreznih parametrov v sami VoIP aplikaciji. VBR se je pa treba izogniti.
Zakaj sta DTX oz. VAD problematična? Ker napadalcu razkriješ, kateri del podatkovnega toka je dejanski govor in se ne rabi dodatno ukvarjati s tišino ali zaradi česa drugega?
Kakšne informacije bi uhajale iz VAD algoritma, ki je tipično implementiran kot del kakšnega G.xxx kodeka?
RedPhone je trenutno za neko redno in aktivno uporabo precej svoh. Vceraj sem malo testiral in v avtu med voznjo je stvar prakticno neuporabna. Je pa bilo lepo videti, da kar lepo dela s sistemom za prostorocno telefoniranje, kolikor pac deluje.
Doma na WiFiju je stvar delala precej bolje in se je dalo pogovarjati. Je pa kar obremenjujoc za baterijo.
Zanimivo, jaz po navadi vedno kličem med vožnjo. Indela brez večjih težav. Je pa seveda odvisno od pokritosti.
Natanko tako, od pokritosti in kakovosti/prepustnosti mobilnega omrežja. Med vožnjo na kakšni AC še GSM ne deluje brez distorzije ali krajših prekinitev.
Zanimivo, jaz po navadi vedno kličem med vožnjo. Indela brez večjih težav. Je pa seveda odvisno od pokritosti.
Jaz sem imel tudi na wirelessu tezave. Je sicer delalo ampak je ene parkrat prekinil povezavo in sem moral trikrat klicat znova, da sem uspel vzpostaviti povezavo.
Po vzorcih bi lahko ločil besede in stavke. Iz tega pa potem ugibal, kaj bi lahko bile posamezne besede.
Sem si mislil, da bi naj bilo nekaj v tej smeri. Na šifriranje se ne spoznam kaj posebej, se pa toliko bolj na digitalno procesiranje signalov. Zadeva je takšna, da je med najlažjimi nalogami na področju procesiranja govora ravno ločiti, kaj je tišina in kaj govor (VAD). Tukaj se da tudi v oteženih razmerah dobiti rezultate čez 95%. Bistveno težje pa je potem iz posameznega odseka govora ugotoviti, katera je posamezna beseda. Tukaj je pomemben faktor tudi jezik, pri takšnem splošnem pogovoru se da recimo za angleščino priti čez 90% pravilnosti, za slovenščino pa nekje največ 70% običajno pa še manj. Če pa zna kdo kakšen še bolj eksotičen jezika, pa je pred takšnimi metodami procesiranja še bolj varen.
Pod črto: če te je strah, da bi nekdo prisluškoval takšnemu šifriranemu VoIP in znal iz šifriranega podatkovnega toka izluščiti besede, potem mu z neuporabo DTX ne boš nič kaj bistveno otežil dela.
No, no, andmer99, ne tako po kmečko. Kakršna koli prednost, ki jo ima napadalec da loči šifrirane podatke od nekih naključnih cifer je ranljivost.
Z izluščenjem besed je skrivnost razbita.
Verjamem, da je pri šifriranju razlika med podatki in naključnimi ciframi bistvena. Hec je samo v tem, da je tišina, ki ti jo VAD pri DTX izreže ven, kar lepo podatek in je zelo daleč od nekih naključnih cifer.
A ni celo tako, da je eden izmed primitivnih pristopov razbijanja šifriranih podatkov, da gledaš, kje se ponavlja kakšen vzorec? In kaj se v govoru ravno najbolj ponavlja - tišina.
andmer99, ne, bistveno pri šifriranju je da podatke narediš podobne toku naključnih cifer.
Ker je zajem govora na mikrofonu konstanten tok podatkov (stalen zajem 16bitnih vzorcev z 16KHz = 32000 bajtov/sekundo) je ranljivost kakršna koli obdelava, ki pri prenosu čez linijo daje slutiti v katerem časovnem paketu je kakšna vsebina. Pri tem paketi prihajajo v enakomernih časovnih intervalih, ker gre za interaktiven govor.
Torej, če vmes določene podatke izločaš, ker so v osnovi "nepomembni" za vsebino, ali jih skompresiraš bolje, ker nimajo toliko informacij (VBR), to pomeni, da lahko zgolj na osnovi velikosti paketa vidiš ali gre za govor ali za tišino.
In to je tisti podatek, ki napadalcu tako zelo pomaga, ne pa vsebina sama ali neki vzorci znotraj paketov.
Kalkulator nove omrežnine 2024 - https://omreznina.karlas.si/Kalkulator
Redhpone je sicer kul (ker je brezplačen), ampak zadeva je dejansko VoIP in se vedno poveže preko enega in istega master strežnika, ki je razdeljen na par "varnih" lokacij. Kriptirani del pa baje poteka preko strežnikov, ki so razpršeni po celem svetu. Poleg tega je zadeva še vedno beta, kar dejansko pomeni da je razvijalcem jasno, da zadeva ni bulletproof. Zadnji JCA pripetljaj, ki sicer zadeva precej droidnega programja npr. ni bil tako nedolžen. So ga pa redphonovci vsaj hitro porihtali.
Podatki se še vedno šifrirajo na napravi in ne na strežniku, kar pomeni, da vsebina komunikacije zato ni kompromitirana.
RedPhone pa najbrž lahko vidi, koga kličem? Kako se lahko potem zavarujem, da teh podatkov ne bo pokazal komurkolipačže?
Načeloma da, a sem sam prepričan, da je vsebina komunikacije veliko pomembnejša, ki pa ostaja nekompromitirana. Z lastno infrastrukturo - strežniškim delom pa nikakor.
Diffie-Hellmanova izmenjava šifrirnih ključev ne preprečuje man-in-the-middle napada. Če se RedPhone tako odloči, ali ga v to prisili kakšna vladna agencija, mu ni noben problem dobiti tudi vsebine pogovora. Povezava je lahko resnično varna samo, če si predhodno s sogovornikom na varen način izmenjata neke javne ključe, naprimer certifikat, da se poleg Diffie-Hellmanove izmenjave ključev opravi še avtentifikacija sogovornika.
Diffie-Hellmanova izmenjava šifrirnih ključev ne preprečuje man-in-the-middle napada. Če se RedPhone tako odloči, ali ga v to prisili kakšna vladna agencija, mu ni noben problem dobiti tudi vsebine pogovora. Povezava je lahko resnično varna samo, če si predhodno s sogovornikom na varen način izmenjata neke javne ključe, naprimer certifikat, da se poleg Diffie-Hellmanove izmenjave ključev opravi še avtentifikacija sogovornika.
Točno zato se ti ob vzpostavitvi povezave izpiše par besed, ki morata biti na obeh straneh enaki. Če sta enaki, potem stisneš kljukico, RedPhone pa tako ve, da se mora naslednjič fingerprint ključa ujemat.
Kalkulator nove omrežnine 2024 - https://omreznina.karlas.si/Kalkulator
Diffie-Hellmanova izmenjava šifrirnih ključev ne preprečuje man-in-the-middle napada. Če se RedPhone tako odloči, ali ga v to prisili kakšna vladna agencija, mu ni noben problem dobiti tudi vsebine pogovora. Povezava je lahko resnično varna samo, če si predhodno s sogovornikom na varen način izmenjata neke javne ključe, naprimer certifikat, da se poleg Diffie-Hellmanove izmenjave ključev opravi še avtentifikacija sogovornika.
Točno zato se ti ob vzpostavitvi povezave izpiše par besed, ki morata biti na obeh straneh enaki. Če sta enaki, potem stisneš kljukico, RedPhone pa tako ve, da se mora naslednjič fingerprint ključa ujemat.
Ja, opisal is SAS + ZRTP in RedPhone podpira dvonivojsko zaščito, ki preprečuje MiTM napade. SAS (Short Authentication String) je izmenjava skupne vrednosti na obeh straneh. ZRTP (Zimmermann Real time Transport Protocol), pa uporablja segmente kode iz prve povezave pri vseh nadaljnih. Če je bil prvi pogovor čist - so čisti tudi vsi ostali.
Vsekakor bo PTT zelo dobrodošel in ga sam vidim kot nekakšen glasovni IM.