id: Гость   вход   регистрация
текущее время 01:32 30/10/2020
Владелец: SATtva (создано 13/10/2010 18:08), редакция от 13/10/2010 18:08 (автор: SATtva) Печать
Категории: криптография, инфобезопасность, политика, защита телефонной связи, следственные мероприятия, атаки, спецслужбы, жучки/кейлоггеры
http://www.pgpru.com/Новости/2010/ЧёрныйНалЗаЗакладкуВКриптосистеме
создать
просмотр
редакции
ссылки

13.10 // Чёрный нал за закладку в криптосистеме


Служба контрразведки Чехии (BIS) обратилась к руководству частной фирмы, чтобы та встроила закладку в производимое ею шифровальное ПО. Особый шик истории придаёт то, что BIS предложила "чёрный нал" в обмен на столь неординарную услугу.


Фирма CircleTech выпускает ПО для мобильных телефонов для шифрования текстовых сообщений и звонков. Офицеры BIS обратились к одному из совладельцев компании и провели с ним несколько неофициальных бесед в пражских ресторанах, где попросили встроить в программу "дефект", который бы упростил задачу службы при попытках восстановления открытого текста.


Сатанек (Jiri Satanek) ответил отказом и к тому же записал содержание этих "переговоров" на диктофон. "Об этом не могло быть и речи. Это всё равно, как если бы мы продавали пуленепробиваемые жилеты, которые на самом деле не были пуленепробиваемыми", — заявил он газете Mlada fronta Dnes.


Получив первый отказ, BIS не сдалась и предложила сделку: CircleTech разработает средство дешифровки (по сути, закладку с универсальным ключом), за что получит "гонорар" наличными по неофициальным каналам. "У вас появится возможность получить доход, с которого не надо платить налоги", — говорит один из сотрудников BIS на представленной записи. Но и подобным образом они не нашли взаимопонимания с руководством компании.


BIS сдалась, однако два месяца спустя связалась с Сатанеком снова. "Они сообщили, что мы якобы встречались с лицами, представляющими угрозу для государства. И по этой причине можем не пройти проверку в Бюро национальной безопасности (NBU)." Сатанек ответил, что не позволит никому шантажировать его, и предал записи гласности.


В BIS подтвердили, что занимаются расследованием этого дела, и если обвинения со стороны CircleTech будут найдены обоснованными, соответствующие сотрудники BIS будут привлечены к ответственности.


Источник: http://www.praguemonitor.com/2.....ey-encryption-system


 
— фыва (13/10/2010 18:50)   <#>
а неплохое имечко у "совладельца" ;)
... и ведь это уже не первая такая контора ...
— BrainSlug (13/10/2010 19:39)   профиль/связь   <#>
комментариев: 60   документов: 1   редакций: 1
А если будут дожимать, плюнуть и пригрозить выложить сорцы программы.
Тогда уж точно все чекисты захлебнутся.
— Tim32 (17/10/2010 06:22)   профиль/связь   <#>
комментариев: 5   документов: 2   редакций: 0
Молодец мужик. Хорошо среагировал.
— Гость (17/10/2010 14:59)   <#>
Даа, совсем, видать, захирела контрразведка Чехии... Впроем, это и понятно – она принадлежала блоку Варшавского договора, проигравшего "холодную" (идеологическую) войну.
— Гость (17/10/2010 15:27)   <#>
на самом деле это означает то что есть такие прецеденты которые не были оглашены.

следовательно

1. в любом проприетарном (закрытом на уровне исходных кодов) софте наличие закладок ОЧЕНЬ вероятно

2. использовать можно только открытый код СОБРАННЫЙ из исходников самостоятельно ПОСЛЕ аудита доверенным квалифицированным специалистом
— unknown (17/10/2010 18:45)   профиль/связь   <#>
комментариев: 9796   документов: 488   редакций: 5664
2. использовать можно только открытый код СОБРАННЫЙ из исходников самостоятельно ПОСЛЕ аудита доверенным квалифицированным специалистом2. использовать можно только открытый код СОБРАННЫЙ из исходников самостоятельно ПОСЛЕ аудита доверенным квалифицированным специалистом

Это идеализация. Где-то так и делают, но не имеют ресурсов своевременно проверять каждое обновление, поэтому систему сертифицируют один раз и изолируют от сети. Обычному пользователю остаётся надеятся, что достаточно подписи создателя программы с репутацией (с каким-либо образом установленным доверием к подлинности его ключа) на исходниках и свободное распространение программы, что всегда позволит доказать наличие сомнительных мест.
— Гость (17/10/2010 21:15)   <#>
не совсем. к примеру мне надо развернуть средства криптозащиты в пределах некоторой группы людей. тогда определившись программным обеспечением я фиксирую версии софта. например, truecrypt 7.0a, gpg4win 2.0.4. при выборе версий я предпологаю что относительно безопасно из можно будет использовать скажем 1..2 года (предпологаемый срок службы).

получаю исходники и провожу аудит и сборку программ.

теперь я 'уверен' (на сколько я доверяю аудитору) что выбранный софт не содержит закладок.

теперь в ближайщие 1..2 года я буду требовать что бы каждый член моей группы использовал только мои сборки криптографических программ. это будет обязательным требоваием для членства в моей группе. это требование очень легко выполнить, например нанимая на работу сотрудника, мой админ ставит ему ось и мои сборки криптографических программ.

при таком подходе мне нет необходимости проводить аудит каждой новой версии выбранных мной пакетов криптографических программ.

следующий (плановый) аудит мне нужно будет проводить по истечению планового срока службы моих сборок.
— SATtva (17/10/2010 21:22)   профиль/связь   <#>
комментариев: 11552   документов: 1036   редакций: 4094
Иногда (часто... постоянно) в текущих версиях ПО обнаруживаются уязвимости, в том числе нетривиальные (которые Ваш аудит скорее всего пропустил), которые патчатся апстримом, и выпускаются новые версии. В связи с этим Вы, по меньшей мере, должны будете анализировать и все последующие патчи в данной ветке либо продолжать сидеть на дырявом ПО с гуляющими по миру эксплойтами.
— Гость (18/10/2010 01:52)   <#>
SATtva, в общем то вы правы, а в деталях...
например
truecrypt – небыло серьезных изменений почти год (6.3a – November 23, 2009 и 7.0а – September 6, 2010)
gpg4win – Version 2.0.1 released 2009-09-28 и больше серьезных изменений небыло.

конечно что то в этих продуктах менялось, но ничего из этих изменений похоже не тянет на закрытие критических дыр.

обоих случаях в пределах 1 года вполне можно использовать зафиксированные версии.

на самом деле история развития продукта – это очень важный фактор для определения какое программное обеспечение использовать для защиты. например точно не стоит использовать бета версии :-) особенно новых продуктов :-D

конечно всегда есть риск обнаружения критической уязвимости – тогда очевидно придеться проводить аудит по новой после выхода обновлений. и опять в этом случае история изменений софта играет очень важную роль при оценке такого риска.

как пример проведя аудит трукрипт и жпжфорвин сейчас я могу сказать что в них врядли найдут что то серьезное в течении года или более. кроме того оба этих продукта могут предоставить возможности для обеспечения безопасности даже при серьезных дефектах, тае если например найдут дыру в реализации AES то можно будет использовать напрмиер Twofish, проблемы с хибернейтом в трукрип решались отказом от хибернейта... (а так ли этот хипернейт вааще нужен?)
— Гость (18/10/2010 02:06)   <#>
PS
я в общемто что хотел сказать

– авторитет разработчика неспасает (stuxnet c сертификатами... мы никогда не узнаем каким образром на само деле были получены сертификаты, поэтому нельзя исключать то что их создала сама верисигн)
– аудит открытого ПО тоже не панацея потому что аудитор может пропустить дыры или потому что продукт патчиться постоянно

короче, какой подход выбрать надо решать в каждом отдельно взятом случае
— unknown (18/10/2010 09:54)   профиль/связь   <#>
комментариев: 9796   документов: 488   редакций: 5664
Во многих проектах смысл вносимых изменений неочевиден сходу даже самим участникам проекта. Влияние некоторых опций на анонимность/безопасность, например в проекте Tor, неочевиден даже самим разработчикам. За окончательным решением о включении изменений стоят попытки моделирования или теоретических проработок. Сторонний наблюдатель может заметить только какой-то один интересный ему аспект. Другие куски кода ему ничего не скажут, он просто будет понимать формально, что они делают, но не о том, на что они влияют в целом. А отслеживать массу проектов одновременно, следить за всеми рассылками, предложениями (proposals), черновиками, почему что-то отвергли, а что-то включили — нереально. Truecrypt и gpg4win — не показатели, а вот Tor, GnuPG, OpenSSL — как раз из этой серии.
— Гость (18/10/2010 14:42)   <#>
опять же вобщем, а в деталях

OpenSSL – тут не попреш проект очень далек от стабильного кода и меет много дыр.

GnuPG (как раз один из компонентов gpg4win) – серьезных дефектов да и изменений за последний год небыло. да добавили новые фичи но минор баг фиксы были только в 2.0.13 и в последней 2.0.16 – опять же 10 месяцев между мелкими баг фиксами

tor – последний серьезный багфикс версия 2.1.23 – 2010-02-13. последняй релиз 2.1.26 – 2010-05-02. нужно заметить что если бы мы смотрели чанжелог тора год назад то вряди решил бы его использовать первая более мение стабильная версия – 2.1.23. Сейчас уже можно было бы провести аудит и зафиксировать версию.


как я уже говорил для кождой софтины к каждом конкретном случае и для конкретных условий использования... и бесспорно авториет группы разработчиков (оноже чанжелог) играет огромную роль при оценке рисков использования софтины.
— Гость (18/10/2010 19:05)   <#>
PS
я тут только что посмотрел на исходники тор 2.1.26 было весьма поучитеьно. тор сам по себе имеет очень много вариантов сборки в прпеделах одной версии. Теперь убежден, что перед тем что бы хоть что то использовать аудит надо делать обязательно, хоть на вскидку, для тора например, убедится что он не использует опенссл.
— Гость (18/10/2010 21:55)   <#>
убедится что он не использует опенссл.
Вы действительно думаете, что в GnuTLS на самом деле меньше дыр с учётом того, что его популярность в n раз ниже OpenSSL'евской?
Ваша оценка документа [показать результаты]
-3-2-1 0+1+2+3