id: Гость   вход   регистрация
текущее время 21:47 28/03/2024
Владелец: unknown (создано 05/07/2013 11:27), редакция от 05/07/2013 20:35 (автор: unknown) Печать
Категории: криптография, софт, pgp, анонимность, инфобезопасность, сеть доверия, шифрование с открытым ключом, уничтожение информации, аутентификация, управление ключами
http://www.pgpru.com/Новости/2013/ИспользованиеPGPВозможноПозволитДеанонимизироватьКонтактыЭСноудена
создать
просмотр
редакции
ссылки

05.07 // Использование PGP возможно позволит деанонимизировать контакты Э. Сноудена


Ряд блоггеров обратили внимание на шифрованную переписку, которую вёл владелец сайта Cryptome.org через твиттер и рассылки, её привязку к метаданным ключей шифрования и времени определённых событий (например перемещению определённых персонажей).


Так, по анализу метаданных использованных ключей шифрования удалось выявить связь Джона Янга (Cryptome) с Джулианом Ассанджем (Wikileaks), Брэдли Мэннингом (арестованным информатором Wikileaks), Бирджитой Джонсдоттир (политической активисткой из Исландии), Эдвардом Сноуденом (включая его различные адреса в компании Boozallen — контракторе американских спецслужб и на сервисе Hushmail).


Также интересно, что три ключа Сноудена, Джонсдоттир и Ассанджа были подписаны Майклом Варио на следующий день после того, как Сноуден покинул свой отель в Гонконге. В профиле Варио на Facebook указано, что помимо разных учебных заведений он закончил разведшколу. В то время как никто из них не делал ответной подписи его ключа, что тем не менее может свидетельствовать о связи между этими людьми, так как Варио не просто случайный человек, подписавший ключ, но и находившийся с ними на связи в тот день. Также была выявлена связь между Брэдли Мэннингом и Дэнни Кларком (активистом свободного программного обеспечения). Эта связь, касающаяся обмена PGP-данными между Мэннингом и Кларком была показана ранее и совпадала по времени с утечкой крупных сведении в WikiLeaks во время работы Мэннинга аналитиком разведки в Ираке.


Анализ собранных в интернете данных подтолкнул блоггеров ещё раз осмыслить модель безопасности PGP: она подходит лишь для коммерческих компаний и внутренних коммуникаций и совершенно не подходит для организаторов утечки информации в открытые медиа. Также как она не подходит для сокрытия анонимности пользователя и круга его контактов, т.к. исторически привязана к сети доверия. И хотя в блоге упомянуты возможности простановки скрытого ID получателя сообщения, это сводит ценность PGP к нулю. Так, WikiLeaks призывает прекратить контакты через PGP. Джон Янг в своём ответном постинге отмечает, что использование PGP равноценно накапливанию компрометирующего информационного мусора вместо того, чтобы его сжигать.


Источник: Digital sanitation engineering Blog, part 1, Digital sanitation engineering Blog, part 2, Cryptome.org.


 
— SATtva (05/07/2013 12:12)   профиль/связь   <#>
комментариев: 11558   документов: 1036   редакций: 4118
Будущим разоблачителям на заметку: http://point-at-infinity.org/seccure/
— unknown (05/07/2013 13:07)   профиль/связь   <#>
комментариев: 9796   документов: 488   редакций: 5664
Таких проектов было много, например заброшенный SKS-ECC.
— Гость (05/07/2013 15:18)   <#>
Похоже это проблема именно PGP.
Потому как GnuPG давно умеет шифровать и подписывать не включая мета-инфы об идентификаторах использованных ключей. Для такого режима есть специальная опция.
Наверняка это работает и при подписании ключей.
— SATtva (05/07/2013 15:51)   профиль/связь   <#>
комментариев: 11558   документов: 1036   редакций: 4118
Похоже это проблема именно PGP.

Есть некоторые сомнения, что Сноуден и другие использовали коммерческую программу PGP.

Наверняка это работает и при подписании ключей.

Опции hidden recipients доступны только для шифрования. Для подписания сообщений и ключей эквивалентной опции нет, т.к. ничто не мешает противнику скачать все открытые ключи с публичных серверов и последовательно их проверить. Более того, т.к. подписание ключей используется прежде всего в качестве third-party certification, то сокрытие ID ключа лишало бы всю операцию смысла. Если пользователь желает заверить ключ корреспондента только на своей связке, в его распоряжении есть неэкспортируемые подписи.
— unknown (05/07/2013 15:51)   профиль/связь   <#>
комментариев: 9796   документов: 488   редакций: 5664
Автор упоминает о такой возможности в блоге, но похоже этим никто не пользовался. Также ссылки на все сообшения и разбор пакетов у него приведены на странице, можно проверить подробности, кто чем пользовался.
— unknown (05/07/2013 15:55)   профиль/связь   <#>
комментариев: 9796   документов: 488   редакций: 5664

Прочитать подпись может только тот, кто может расшифровать сообщение, т.е. кому оно предназначено. Т.е. и сокрытие ID ключа подписи в сообщении тоже не имеет смысла. Имеет смысл скрывать только получателя, что и не было сделано и позволило установить связь между всеми корреспондентами. А отправителя (Дж. Янга) вычислили по тому, с чьего твиттера публиковалось.
— SATtva (05/07/2013 16:00)   профиль/связь   <#>
комментариев: 11558   документов: 1036   редакций: 4118
Прочитать подпись может только тот, кто может расшифровать сообщение, т.е. кому оно предназначено.

Разумеется. Я имел в виду, когда подпись используют без шифрования.
— Гость (06/07/2013 03:31)   <#>

Нет пророка в своём отечестве:

судя по аудитории нашего форума, возможно даже у технически продвинутых параноиков была интуиция, что модель openPGP им во многом не подходит.

© unknown, 2010, задолго до Сноудена.
— unknown (15/07/2013 09:45, исправлен 15/07/2013 09:50)   профиль/связь   <#>
комментариев: 9796   документов: 488   редакций: 5664

По поводу конфликта PGP и анонимности: первым развёл паранойю spinore, в т.ч. он упоминал некомфортность накопления открытых ключей на серверах, неудобство от неотрицаемости подписи. Я лишь обобщил его опасения и нашёл ссылки на проблему неотрицаемости в некоторых исследованиях, а также в разработках протокола OTR.


- Snowden has enough information to cause more damage to the U.S. government in a minute alone than anyone else has ever had in the history of the United States. But that's not his goal. His objective is to expose software that people around the world use without knowing that they are exposing themselves without consciously agreeing to surrender their privacy rights.

© Cryptome.org.
Это про какое такое ПО он будет рассказывать? Кроме известного интересующимся этой сферой. Разве что, как это всё выглядит по ту сторону, какие-то тонкости того, как разный тип ПО затрудняет перехват информации.

— Гость (15/07/2013 11:00)   <#>

Прям как в басне Крылова "Кукушка и петух" :)
— Гость (15/07/2013 11:25)   <#>

"Скотный двор"
— unknown (15/07/2013 12:47)   профиль/связь   <#>
комментариев: 9796   документов: 488   редакций: 5664
Аллегоричненько.
Ваша оценка документа [показать результаты]
-3-2-1 0+1+2+3