05.11 // RSA Security заявила о наличии АНБ-бэкдора в своих продуктах
Причем, еще 19 сентября.
А вот Microsoft, например, не заявило. Но об этом ниже.
Итак, в их продуктах RSA Data Protection и RSA Bsafe во всю использовался алгоритм Dual EC_DRBG (Dual Elliptic Curve Deterministic Random Bit Generation), сертифицированный NIST (описание). И сертифицированный, как выяснилось, с сюрпризом от агенства национальной безопасности США. То есть, это никакой не random, если вы знаете в чём суть закладки.
Ну и о том, что этот алгоритм может содержать бэкдор, исследователи говорили еще в 2007м году. Что не помешало NIST его сертифицировать. А кипиш начался после опубликованных Сноуденом документов, где явно говорилось о неком стандарте 2006 года.
Dual_EC_DRBG, между прочим, является довольно популярной штуковиной.
Реализован в Windows, начиная с Vista SP1, что делает его самым популярным в мире. Так же, реализация есть в OpenSSL и вообще он похоже пролоббирован в куче продуктов (McAfee, например, но те использовали его только для программ гос сектора). Так что, вычищать от него код придется еще долгое время.
Подробности устройства бэкдора, практически на пальцах.
Источник: http://habrahabr.ru/post/200686/
комментариев: 1079 документов: 58 редакций: 59
комментариев: 11558 документов: 1036 редакций: 4118
Огромная просьба: не надо бездумно перепощивать сюда
слоу"новости" с хабра. Мало того, что уровень некомпетентности просто зашкаливает, так ещё и писали у нас об этом без малого месяц назад.P.S. Выкинул страницу в форум.
комментариев: 9796 документов: 488 редакций: 5664
комментариев: 1079 документов: 58 редакций: 59
комментариев: 11558 документов: 1036 редакций: 4118
Да уж, надо было мне в поиске копнуть поглубже, раз на память бесполезно полагаться.
комментариев: 9796 документов: 488 редакций: 5664
Да, добавлю.
Во-первых, unknown ссылался на ту новость ещё во времена, когда я панику по поводу ECC поднимал (года два назад), потом во время последних обсуждений по поводу АНБ и бэкдоров эта ссылка на 2007-ой год снова проскакивала, так что всё на слуху в общем-то.
комментариев: 9796 документов: 488 редакций: 5664
Спасибо, я пока не рискую трогать там содержимое из-за специфического синтаксиса.
комментариев: 1079 документов: 58 редакций: 59
комментариев: 11558 документов: 1036 редакций: 4118
комментариев: 1079 документов: 58 редакций: 59
Фонд Поддержки ПредпринимателейФонд Полезных Постов.Спасибо, да. А так ты прав – я давно хочу все перечитать здесь, все никак не доберусь)
комментариев: 1079 документов: 58 редакций: 59
комментариев: 9796 документов: 488 редакций: 5664
Я надеюсь всё же резгрестись с проблемами и продолжить коммит. Проблема не в синтаксисе, а в структурировании. Надо добавлять вопрос в нужное место. Список подразделов пока мал, они не всеобъемлющи, и их надо будет грамотно дорабатывать так, чтобы потом не приходилось всё переделывать. Ну, и добавка конкретного вопроса обычно всеобъемлющая: надо прогуглить основные ключевые слова, найти все топики с их упоминанием, всё это поднять, вспомнить, пересмотреть, перечитать, выделить ключевое, рассортировать его хронологически и только потом уже добавлять. Так, конечно, не обязательно делать, но если я знаю, что какой-то вопрос заведомо ранее обсуждался, я при его добавлении стараюсь учесть и всю старую информацию по нему, чтобы не возвращаться к вопросу вновь и держать структуру в виде «по уже добавленным вопросам все ссылки приведены», а то будет так, что внешне вроде всё есть, а реально почти всё недоделано. Из-за этого добавление каждого нового вопроса отнимает время.
Правильнее было бы назвать
ВПКФПК — фонд полезных комментариев, но назвали ФПП, более англоязычно.