Reuters - Koliko stane integriteta? Odvisno, koga vprašate. Slovenski zdravniki jo po zadnjih preiskavah glede podkupovanja očitno prodajo za nekaj tisočakov. Pri avtocestah se je merila v stotinah milijonov dolarjev. Kaj pa v ZDA? Podjetje RSA (sedaj podružnica EMC) je svojo verodostojnost in integriteto očitno prodalo za 10 milijonov dolarjev. Toliko denarja so prejeli od NSA, da so namenoma ošibili svoje algoritme.
Novi Snowdnovi dokumenti, ki jih je pridobil Reuters, kažejo, da je NSA sklenila 10 milijonov dolarjev vredno pogodbo z RSA, ki sodi med velikane računalniške varnosti, da je ta v svoje algoritme za tvorjenje naključnih števil vgradila ranljivosti, ki omogočajo lažje razbijanje. Da NSA kaj podobnega počne, ni presenečenje, saj smo že septembra pisali, da je NSA uspela izsiliti vgraditev ranljivosti v algoritem Dual EC-DRBG, s čimer je velik del verodostojnosti izgubil NIST (National Institute of Standards and Technology). RSA je tedaj odsvetovala uporabo programske opreme, ki ima kakršnokoli povezavo z NSA.
RSA pa je bila glavni faktor, ki je poskrbel za vpeljavo pomanjkljivega algoritma v programsko opremo BSafe, kažejo nova poročila. Uradno RSA, EMC in NSA ne komentirajo navedb. Viri iz RSA in nekdanji uslužbenci pa pravijo, da je podjetje storilo veliko napako s sklenitvijo te pogodbe in pravijo, da jih je NSA do neke mere celo zavajala, saj naj bi nov algoritem predstavljala kot varnostni napredek.
RSA pa ni bila vedno v postelji z NSA. Ko je podjetje nastalo in začelo revolucionirati šifriranje z javnimi in zasebnimi ključi, so se v ZDA zbali, da bo predstavljajo težavo za prisluškovanje. Zato so poizkusili doseči omejitev dolžine ključev, pa vgradnjo obvezne tehnologije za prisluškovanje (Clipper Chip) in naposled omejitvijo izvoza tehnologije, a je RSA ustanovila podružnico v Avstraliji in prodajala od tam. Na prelomu tisočletja se je RSA začela spreminjati in podjetje je sodelovalo tudi z vlado. Tako je NSA dosegla, da je RSA v svoje programe vključila omenjeni algoritem z dvojnimi eliptičnimi krivuljami kot privzeto možnost, še preden ga je NIST standardiziral. NSA je potem uporabo algoritma v RSA pri NIST omenila kot argument za standardizacijo, kar jim je na koncu uspelo. Sedaj je jasno, da je RSA za to prejela 10 milijonov dolarjev. To ni veliko denarja, a še vedno predstavlja približno tretjino letnih dohodkov, ki jih RSA ustvari na tem področju.
Novice » Varnost » RSA za 10 milijonov dolarjev iz NSA namerno oslabila algoritem
![](https://static.slo-tech.com/stili/avatar_gray.gif)
rand ::
pfff. Firma ki prodaja varnostne produkte, dejansko prodaja nevarnost. Torej so useless.
while(1)fork();
![](https://static.slo-tech.com/stili/avatar_gray.gif)
filip007 ::
Naj bo splet zastonj pa bodo delali, kar se jim zazdi, ker pa pač ni, to ni potem to.
Trevor Philips Industries
![](https://static.slo-tech.com/stili/avatar_gray.gif)
opeter ::
Seveda je. Vse kar je ameriškega izvora.
Hrabri mišek (od 2015 nova serija!) -> http://tinyurl.com/na7r54l
18. november 2011 - Umrl je Mark Hall, "oče" Hrabrega miška
RTVSLO: http://tinyurl.com/74r9n7j
18. november 2011 - Umrl je Mark Hall, "oče" Hrabrega miška
RTVSLO: http://tinyurl.com/74r9n7j
![](https://static.slo-tech.com/stili/avatar_gray.gif)
mtosev ::
haha kot pravijo
money buys anything
money buys anything
Core i9 10900X, ASUS Prime X299 Edition 30, 32GB 4x8 3600Mhz G.skill, CM H500M,
ASUS ROG Strix RTX 2080 Super, Samsung 970 PRO, UltraSharp UP3017, Win 11 Pro,
Enermax Platimax 1700W | moj oče darko 1960-2016, moj labradorec max 2002-2013
ASUS ROG Strix RTX 2080 Super, Samsung 970 PRO, UltraSharp UP3017, Win 11 Pro,
Enermax Platimax 1700W | moj oče darko 1960-2016, moj labradorec max 2002-2013
![](https://static.slo-tech.com/stili/avatar_gray.gif)
flbroker ::
Pa kaj si ti nor malo. Kar na bruhanje mi gre, dobesedno več ne moreš verjet ničemur, zdaj sem še v bitphone podvomil. Bo treba ponovno začeti z offline komunikacijo in se 100% izogniti internetu če bi rad zasebnost. Edino še ipv6 mi daje upanje, če še v to niso vrnili kak svoj backdoor.
![](https://static.slo-tech.com/stili/bel_non_grata.png)
Hayabusa ::
Edino še ipv6 mi daje upanje, če še v to niso vrnili kak svoj backdoor.
Vse kar se pretaka po inetu nsa&gchq prestrezata.Če se pretaka v plaintextu toliko lažje za njih.
![](https://static.slo-tech.com/stili/avatar_gray.gif)
flbroker ::
mislil sem na ipsec in gromozansko število hostov kar praktično onemogoči prisluškovanje, načeloma se pa strinjam, offline je safest bet, HW in SW sta okužena, kaj drugega nam več ne preostane edino "roll your own" za kar ja 99% ljudi nima znanja. Razen če bi kot ruter uporabil PC + OpenBSD, pa še tu ne moreš verjet matični, cpu, ram... če pa je že vse okuženo.
![](https://static.slo-tech.com/stili/bel_non_grata.png)
Hayabusa ::
20.09 2013 je Rsa izdal obvestilo, da odsvetujejo uporabo njihovih izdelkov
:
RSA warns developers not to use RSA products
http://blog.cryptographyengineering.com...
-> http://arstechnica.com/security/2013/09...
![;)](https://static.slo-tech.com/smeski/icon_wink.gif)
RSA warns developers not to use RSA products
http://blog.cryptographyengineering.com...
-> http://arstechnica.com/security/2013/09...
Zgodovina sprememb…
- spremenilo: Hayabusa ()
![](https://static.slo-tech.com/stili/avatar_gray.gif)
cryptozaver ::
Se strinjam a je vprašanje tudi, kdo ima čas in voljo v detajle analizirat odprotokodne...
![](https://static.slo-tech.com/stili/avatar_gray.gif)
poweroff ::
Vsaj možnost obstaja. Rešitev je tudi crowdfunding javnih varnostnih pregledov. Trenutno se zbira denar za auditing TrueCrypta...
sudo poweroff
![](https://static.slo-tech.com/stili/avatar_gray.gif)
FireSnake ::
Uf, škoda, da ne najdem komentarjev na novico: skydrive pa šifriranje je zmagovalna kombinacija .... ![:))](https://static.slo-tech.com/smeski/icon_lol.gif)
Offline je zakon! Vse ostalo so približki, to sem ves čas trdil.
![:))](https://static.slo-tech.com/smeski/icon_lol.gif)
Offline je zakon! Vse ostalo so približki, to sem ves čas trdil.
Poglej in se nasmej: vicmaher.si
![](https://static.slo-tech.com/stili/avatar_gray.gif)
lanko ::
Posledično so verjetno vsi certificate authority-ji, ki uporabljajo ta algoritem problematični?
Zgodovina sprememb…
- spremenil: lanko ()
![](https://static.slo-tech.com/stili/avatar_gray.gif)
lanko ::
Katera orodja za izdelavo lastnega CA-ja in certifikatov pa potem niso kompromirana? OpenSSL? PGP?
Osebno tudi sam menim, da so vsi CA-ji problematični. Že to je problem, da nikoli ne veš ali se zasebni ključ pri prevzemu generira pri tebi ali pri njih. CA-ji nikoli ne bi smeli imeti stika z zasebnim ključem.
Osebno tudi sam menim, da so vsi CA-ji problematični. Že to je problem, da nikoli ne veš ali se zasebni ključ pri prevzemu generira pri tebi ali pri njih. CA-ji nikoli ne bi smeli imeti stika z zasebnim ključem.
![](https://static.slo-tech.com/stili/bel_non_grata.png)
Mr.B ::
V bistvu imaš na koncu kot kupec izbiro, kdo ti bo prisluškoval. PA še to nisi čisto prepričan, ker verjetno definirajo prijatelske agencije, ksjese sma prodajati katera strojna oz. programska oprema, ter katere sw sme biti podprt....
France Rejects Genocide Accusations Against Israel in Gaza,
To accuse the Jewish state of genocide is to cross a moral threshold
To accuse the Jewish state of genocide is to cross a moral threshold
![](https://static.slo-tech.com/stili/avatar.gif)
Gandalfar ::
> Že to je problem, da nikoli ne veš ali se zasebni ključ pri prevzemu generira pri tebi ali pri njih.
Ce nisi svojega uploadal, se seveda pri njih.
Ce nisi svojega uploadal, se seveda pri njih.
![](https://static.slo-tech.com/stili/avatar_gray.gif)
Utk ::
Če bi nekdo to napisal tu pred petimi leti, ga bi imeli za neumnega teoretika zarot. Kaj če je še marsikaj drugega res?
![](https://static.slo-tech.com/stili/avatar_gray.gif)
1fris ::
Pa kaj si ti nor malo. Kar na bruhanje mi gre, dobesedno več ne moreš verjet ničemur, zdaj sem še v bitphone podvomil. Bo treba ponovno začeti z offline komunikacijo in se 100% izogniti internetu če bi rad zasebnost. Edino še ipv6 mi daje upanje, če še v to niso vrnili kak svoj backdoor.
Moj predlog je na sliki:
![](https://static.slo-tech.com/stili/avatar_gray.gif)
lanko ::
![](https://static.slo-tech.com/stili/avatar_gray.gif)
trizob ::
![](https://static.slo-tech.com/stili/avatar_gray.gif)
arjan_t ::
Generiral naj bi se na strani uporabnika recimo javascript. Ali se to res zgodi je pa drugo vprašanje.
nimas secure RNG-ja v browserjih
S tem so tudi potrjene govorice o podtaknjenih ranljivostih v algoritme z eliptičnimi?
v vsakem primeru je broken (samo ta RNG seveda, ne vsi ki uoprabljajo elipticne krivulje)
Zgodovina sprememb…
- spremenil: arjan_t ()
![](https://static.slo-tech.com/stili/avatar_gray.gif)
poweroff ::
Pri eliptičnih krivuljah je problem, ker so notri neke konstante, za katere se ne ve zakaj so take, kot so. Špekulira se, da ima preko njih NSA morda kakšen matematičen backdoor. Po drugi strani so eliptične krivulje idealne za mobilne naprave, plus odporne so na faktorizacijo.
sudo poweroff
![](https://static.slo-tech.com/stili/avatar_gray.gif)
poweroff ::
Ja, zato je čudno, da v RSA niso vedeli oz. posumili, ko jih je NSA začela nagovarjati/zavajati, češ, da bodo potem njihovi produkti bolj varni.
sudo poweroff
![](https://static.slo-tech.com/stili/bel_non_grata.png)
Hayabusa ::
Pri eliptičnih krivuljah je problem, ker so notri neke konstante, za katere se ne ve zakaj so take, kot so. Špekulira se, da ima preko njih NSA morda kakšen matematičen backdoor. Po drugi strani so eliptične krivulje idealne za mobilne naprave, plus odporne so na faktorizacijo.
http://arstechnica.com/security/2013/10...
Elliptic Curve DSA @ Wikipedia
http://www.youtube.com/results?search_q...
Katere konstante so čudne ?
Zgodovina sprememb…
- spremenilo: Hayabusa ()
![](https://static.slo-tech.com/stili/avatar_gray.gif)
Migelo ::
backdoor je bil pokazan ze leta 2007 (http://rump2007.cr.yp.to/15-shumow.pdf)
Link je mrtu.
Kaj pa vse uporablja ta NSAjev eliptic curve algoritem? Katere open source stvari?
![](https://static.slo-tech.com/stili/avatar_gray.gif)
k4vz0024 ::
Zgleda, da je bilo naivno pričakovati, da bodo oni dopustili kaj takega. Verjetno že ta trenutek snujejo kako bo vse to potekalo na strojnem nivoju (če že ne), pol ti pa softwarske rešitve nič ne ščitijo. Vse za prevlado ekonomsko, politično.
![](https://static.slo-tech.com/stili/avatar_gray.gif)
arjan_t ::
![](https://static.slo-tech.com/stili/bel_non_grata.png)
Hayabusa ::
![](https://static.slo-tech.com/stili/avatar_gray.gif)
Migelo ::
Usaj nekej :D
http://arstechnica.com/security/2013/12...
The fatal Dual EC_DRBG bug resides in the FIPS Object Module v2.0, an optional OpenSSL library used to build crypto apps that are certified by the US government's Federal Information Processing Standards. When using the module's implementation of Dual EC_DRBG, the application crashes and can't be recovered.
http://arstechnica.com/security/2013/12...
![](https://static.slo-tech.com/stili/bel_non_grata.png)
jype ::
Če nisi še vedno paranoik nekaj delaš narobe.
Kdaj bo Slo-Tech organiziral naslednjo ključepodpisovalno zabavo?
Kdaj bo Slo-Tech organiziral naslednjo ključepodpisovalno zabavo?
Zgodovina sprememb…
- spremenilo: jype ()
![](https://static.slo-tech.com/stili/avatar_gray.gif)
7982884e ::
Če bi nekdo to napisal tu pred petimi leti, ga bi imeli za neumnega teoretika zarot. Kaj če je še marsikaj drugega res?oh for fucks sake, ne, ne bi te imeli za teoretika zarot. pravilen odziv bi bil, da čisto lahko, ampak dostavi dokaze.
če to povezuješ s tapravimi "teorijami" zarote, potem si malo moten.
vladno sponzorirani backdoori se špekulirajo in so tudi znani že celo jebeno zgodovino backdoorov
![](https://static.slo-tech.com/stili/avatar_gray.gif)
Utk ::
Ah dokaze...na internetu imaš cel kup dokazov za vesoljce na Zemlji.
Kaj je pa tokrat drugače? Nič, samo da so to priznali.
Sej ne mislim zdej zato, da so vesoljci res na Zemlji, je pa verjetno res še marsikaj. Čeprav ne vem več kaj dost še ostane. Morda edino samo še da je bil 9/11 ameriško maslo. Drugega večjega sranja ne more več bit.
Kaj je pa tokrat drugače? Nič, samo da so to priznali.
Sej ne mislim zdej zato, da so vesoljci res na Zemlji, je pa verjetno res še marsikaj. Čeprav ne vem več kaj dost še ostane. Morda edino samo še da je bil 9/11 ameriško maslo. Drugega večjega sranja ne more več bit.
![](https://static.slo-tech.com/stili/avatar_gray.gif)
LightBit ::
A to pomeni, da moj RSA ključek za NKBM ni več varen? ;)
Verjetno ni nikoli bil varen pred NSA ..., samo ne zaradi tega (CA).
Tvoj ključek je RSA algoritem, RSA v tej novici je pa RSA Security firma.
RSA algoritem je starejši od firme.
Zgodovina sprememb…
- spremenil: LightBit ()
Vredno ogleda ...
Tema | Ogledi | Zadnje sporočilo | |
---|---|---|---|
Tema | Ogledi | Zadnje sporočilo | |
» | Podrobnosti o Juniperjevih stranskih vratihOddelek: Novice / Varnost | 4852 (3276) | čuhalev |
» | RSA zanika očitkeOddelek: Novice / Varnost | 10052 (7604) | poweroff |
» | RSA za 10 milijonov dolarjev iz NSA namerno oslabila algoritem (strani: 1 2 )Oddelek: Novice / Varnost | 19184 (15733) | LightBit |