id: Гость   вход   регистрация
текущее время 23:29 28/03/2024
Автор темы: dazran, тема открыта 22/04/2012 14:46 Печать
Категории: криптография, софт, анонимность, инфобезопасность, протоколы, свободный софт, защита im
https://www.pgpru.com/Форум/ОбщиеВопросы/ZRTPВJitsiАМожетИНеТолькоВНём
создать
просмотр
ссылки

ZRTP в Jitsi а может и не только в нём


Вопрос по ZRTP в частности реализации в Jitsi – в настройках есть 2 пункта "Доверенный MitM" и обработка SAS подписи, за что они отвечают?


impl.media.security.zrtp.TRUSTED=Доверенный MitM
impl.media.security.zrtp.SASSIGNATURE=обработка SAS подписи


MitM как я подозреваю "man in the middle" но для чего это в jitsi не представляю.



 
На страницу: 1, 2 След.
Комментарии
— Гость (22/04/2012 20:48)   <#>
Чтобы при перекидывании файлов расшифровывать их и проверять антивирусом?
— dazran (23/04/2012 07:11)   профиль/связь   <#>
комментариев: 1   документов: 1   редакций: 0
Чтобы при перекидывании файлов расшифровывать их и проверять антивирусом?

Каких файлов? Это же не пиринговая сеть.
— Гость (23/04/2012 08:03)   <#>
Ну вдруг там есть функционал отсылки файлов от одного абонента другому подобно тому, как это сделано в Skype.
— Гость (17/11/2012 00:53)   <#>
наткнулся тут на вот это:
The JonDo Live-CD / DVD contains the VoIP client Jitsi with full support of the OSTN protocol.

The configuration of your "secured" VoIP client is very simple. You have to create an account on the website of an OSTN provider and enter the login credentials you got like a SIP account. Secure SRTP/ZRTP encryption of incoming and outgoing phone calls is activated without any action required by you or your communication partner. You have to verify only a 4-digit combination of letters and numbers displayed by your VoIP client with your partner. If both of you will see the same combination of letters and numbers no man-in-middle is sniffing you call.


кто нибудь пользовался сабжем как voip-клиентом?
какие впечатления?
— Гость (17/11/2012 00:58)   <#>
You have to verify only a 4-digit combination
Опять юзерофилия в ущерб безопасности. При сверке PGP-ключей надо сверять весь отпечаток, а не только keyid — ведь не зря же об этом твердят. А тут — так вообще...
— Гость (17/11/2012 01:19)   <#>
если опустить данный факт, а посмотреть на voip шифрование и на саму работу сабжа. удобство, функциональность и т.д.
— Гость (17/11/2012 02:31)   <#>
Зачем смотреть на VoIP-шифрование, если есть подозрение, что его можно отMITMить?
— Гость (17/11/2012 11:33)   <#>
насколько я понимаю, MiTM избежать никому не удастся, если противник задастся целью (врезаться в канал разве трудно?). НО что он (противник) получит в результате? для контроля шифрованного канала нужно маркитанить с сертификатами, а в случае с шифрованием сообщений pgp (gpg), так вообще смысл MiTMить (ну кроме инфы о получателе и ключах)?
— Гость (17/11/2012 14:15)   <#>
вот что выдает Википедия:
ZRTP предлагается как способ шифрования используя метод обмена ключами Диффи — Хеллмана через медиа поток, устанавливаемый Real-time Transport Protocol RTP, который, в свою очередь образовывывается во время инициализации звонка, используя любой тип сигнализации, например — Session Initiation Protocol (SIP

Сам по себе алгоритм обмена ключами Диффи — Хелмана не может обеспечить полноценную защиту от присутствия Человека_посередине (man in the middle). Для аутентификации ZRTP использует Short Authentication String (SAS), который, обычно, является криптографическим хэшем двух значений Диффи — Хелмана


получается очень ненадежно ((
— Гость (18/11/2012 03:26)   <#>
насколько я понимаю, MiTM избежать никому не удастся, если противник задастся целью
Абсолютно неверно. Затем сверка отпечатков ключей и делается, чтобы не было MITM. В частности, сверка отпечатков — штатная процедура для ssh, PGP и OTR.

а в случае с шифрованием сообщений pgp (gpg), так вообще смысл MiTMить
Если на первом этапе сделать имперсонацию, т.е. подсунуть одному из собеседников ключ атакующего, то стороны не смогут ничего заподозрить, если только не будут сверять ключи друг друга. Атакующий же, произведя атаку, может невозбранно прослушивать канал и даже вставлять в него свои собственные сообщения — сплошной PROFIT.

Вы всё-таки почитайте о том, как делается MITM, там не очень сложно.
— Гость (18/11/2012 13:36)   <#>
т.е. подсунуть одному из собеседников ключ атакующего
а размещение ключа на keyserver может защитить от подмены?
— Гость (18/11/2012 13:49)   <#>
можно и наверно разместить ключ под пароль на обменник в непубличном режиме. как такой вариант? на rghost хэш автоматом вывешивается и можно верифицировать самому владельцу. пароль отправить по СМС ))
— SATtva (18/11/2012 13:56)   профиль/связь   <#>
комментариев: 11558   документов: 1036   редакций: 4118
а размещение ключа на keyserver может защитить от подмены?

Нет.

можно и наверно разместить ключ под пароль на обменник в непубличном режиме. как такой вариант?

Никак, бесполезно.

Матчасть:
/Библиотека/Основы/ВведениеВКрипто/Глава1/ЦифровыеСертификаты
/Библиотека/Основы/СетьДоверия
— Гость (18/11/2012 16:06)   <#>
Матчасть:
там нет как безопасно передать открытый ключ.
— sentaus (18/11/2012 16:13)   профиль/связь   <#>
комментариев: 1060   документов: 16   редакций: 32
там нет как безопасно передать открытый ключ.


На самом деле есть. Варианта принципиально всего два: лично или через доверенного посредника(удостоверяющий центр или сеть доверия).
На страницу: 1, 2 След.
Ваша оценка документа [показать результаты]
-3-2-1 0+1+2+3