Новости
Актуальные
03.12 // Поддержка российской криптографии в gnupg-2
С появлением библиотеки GCrypt-1.7.0 с поддержкой российской криптографии (ГОСТ 28147-89, ГОСТ Р 34.11-94/2012 и ГОСТ Р 34.10-2001/2012), стало возможным говорить о поддержке российского PKI в таких проектах как Kleopatra и KMail.
KMail – это почтовый клиент, который для обеспечения безопасности переписки позволяет подписывать и шифровать сообщения по протоколу S/MIME. И то и другое базируется на архитектуре PKI, сертификатах X509 и протоколах CMS/PKCS#7. Kleopatpa – это графическая утилита, которая не только позволяет подписывать и шифровать файлы, но и обеспечивает хранение и управление сертификатами и закрытыми ключами.
Были внесены минимальные изменеий в библиотеку libgpgme (файл gpgme.h.in):
Основная доработка пришлась на GnuPg (прежде всего модуль gpg-protect-tool), который отвечает, в частности, за импорт личных сертификатов X509 из защищенного контейнера PKCS#12, модуль gpgsm, который в частности, отвечает за формирование и разбор сертификатов, подписанных и зашифрованных сообщений (CMS, PKCS#7) и его подмастерье библиотеку libksba.
Для использования токенов/смарткарт PKCS11[link1] с поддержкой российской криптографи был доработан а модуль gnu-pkcs11-scd.
После внесенных изменеий стало возможным использование российской криптографию в S/MIME для подписания и шифрования не только в Kleopatra и почтовом клиенте KMail, но и в других почтовых клиентах (например, Claws, Evolution), которые используют для этого мехамизмы GnuPg/SMIME.
Источник: https://habrahabr.ru/post/316736/
Добавил: saipr | Комментариев: 1 | Обсудить новость...13.09 // Анонсирован i2lua - I2P роутер с "умными" конфигами
С i2lua можно добавлять собственную логику в работу I2P роутера, используя язык скриптов Lua.
Так, как Lua полноценный язык программирования, с ним можно решать задачи любой сложности.
Некоторые базовые примеры, что можно сделать с i2lua:
- назначить список доверенных узлов для использования в качестве первого хопа у тоннелей (аналог торовских Guard node)
- использовать только самые быстрые ноды для построения туннелей
- создавать тоннели с первым хопом в определенных странах (например, делать соединения только с серверами из Германии)
- сделать собственный механизм профилирования I2P узлов
и так далее.
Пример скрипта для i2lua: https://github.com/majestrate/.....examples/example.lua[link2]
Исходники: https://github.com/majestrate/i2lua
18.08 // Найдена и исправлена уязвимость в Libgcrypt, существовавшая с 1998 года
В библиотеке Libgcrypt обнаружена и уже исправлена уязвимость генератора случайных чисел, существовавшая с 1998 года. Атакующий, получивший 4640 бит выхода генератора, мог предсказать следующие 160 бит.
- Пользователям GnuPG 2.0 и 2.1 необходимо обновить Libgcrypt до одной из исправленных версий: 1.7.3, 1.6.6, или 1.5.6
- Пользователям GnuPG 1.4.x необходимо обновить сам GnuPG до версии 1.4.21
Уязвимость потенциально ставит под угрозу сгенерированные ранее ключи, но разработчики GnuPG считают, что проблема не столь серьёзна, и не рекомендуют сразу выводить из эксплуатации свои ключи.
Обычно OpenPGP-ключ содержит в себе два ключа: главный для подписи и сертификации и подключ для шифрования. Для генерации одного 4096-битного RSA ключа необходимо 512 случайных байт, т.е. 20 байт, используемых для генерации второго ключа, могут быть предсказаны. При использовании 2048-битных ключей не может быть предсказано ничего.
Для DSA/Elgamal ключей всё несколько сложнее. Для 2048 битных ключей сначала создаётся пул из 30 несекретных кандидатов в простые числа размером около 300 бит каждое. Это требует как минимум 1140 байтов из пула и поэтому некоторые числа могут быть частично предсказаны. Далее требуется 256 секретных бит из пула, в худшем случае они также могут быть частично предсказаны.
Источник: https://lists.gnupg.org/pipermail/gnupg-announce/2016q3/000395.html
Добавил: sentaus | Комментариев: 1 | Обсудить новость...
21.07 // Релиз EC-Crypt версии 2.1.0
Состоялся[link3] релиз EC-Crypt, инструмента для шифрования и подписи сообщений.
Программа основана на криптографии эллиптических кривых[link4] Главным преимуществом программы являются очень короткие ключи, длиной всего 52 символа. Распространяется вместе с графическим и командным интерфейсом.
Помимо открытого исходного кода доступны бинарные сборки для Windows[link5] и Linux[link6]
Добавил: daijobu | Комментариев: 3 | Обсудить новость...12.02 // Запрет использования ников и аватарок в сети Интернет - обсуждение в МГЮА
25 февраля с 17 до 19 часов в зале Ученого совета Университета им. О.Е.Кутафина (МГЮА) IP CLUB совместно с Координационным центром национального домена сети Интернет состоится круглый стол по теме «Запрет использования ников и аватарок в сети Интернет (преодоление принципа анонимности в сети Интернет) – доводы «за» и «против».
Среди участников дискуссии – Михаил Якушев (ICANN), Дмитрий Мариничев (Интернет-омбудсмен), представители Государственной Думы и иных органов государственной власти, представители компаний Рамблер, Яндекс, Ростелеком и другие.
Модераторы: Андрей Воробьев (директор Координационного центра национального домена сети Интернет) и Дмитрий Афанасьев (руководитель – координатор Экспертного совета Комитета Государственной Думы по информационной политике, информационным технологиям и связи)
Мероприятие пройдет по адресу ул. Садовая Кудринская, 9. Приглашаются все желающие.
Для участия необходимо зарегистрироваться до 24 февраля 2016 г.
Более подробная информация и порядок регистрации указаны здесь: http://ipclub.in
Добавил: IPCLUB | Комментариев: 3 | Обсудить новость...19.01 // Релиз i2pd, реализации анонимной сети I2P на языке C++
Состоялся релиз[link7] i2pd – полноценного клиента для анонимной сети I2P[link8] на языке C++.
Сеть I2P позволяет пользователям строить безопасные сетевые коммуникации, обмениваться информацией без цензуры и слежки со стороны властей.
В этом релизе отмечается значительное улучшение стабильности работы роутера, в том числе, в режиме Floodfill.
Исходный код[link9] доступен под лицензией BSD, так же подготовлены бинарные сборки[link10].
Добавил: supervillain | Комментариев: 4 | Обсудить новость...04.12 // Let's Encrypt открывается
Не прошло и года... а впрочем нет, прошло[link11], как стала доступна публичная бета Let's Encrypt – проекта, обещающего, во-первых, бесплатное получение, во-вторых, упрощенную установку и обновление TLS-сертификатов, позволяя владельцам сайтов добавить поддержку https в несколько простых шагов. Ключевой момент – установка специального клиента, автоматизирующего работу с сертификатами.
Первые сертификаты были подписаны в сентябре, закрытое тестирование началось в ноябре, публичное – только что. Подписанные сертификаты поддерживаются всеми основными браузерами, автоматизированная установка поддерживает apache и nginx (последний – экспериментально). Поддерживаются unix'ы c установленным Python 2.6 либо 2.7. Готовые пакеты доступны для FreeBSD, Arch Linux, Debian (опять же экспериментальный вариант).
Источник: http://bugtraq.ru/rsn/archive/2015/12/01.html
Добавил: SATtva | Комментариев: 2 | Обсудить новость...08.11 // Популярный менеджер паролей KeePass взломан?
3 ноября интернет ресурс The Hacker News опубликовал[link12] статью о том, что популярный опенсорсный менеджер паролей KeePass был взломан.
Автор статьи сообщает, что на GitHub выложен[link13] инструмент под названием KeeFarce (автор Denis Andzakovic), осуществляющий атаку.
Данное приложение устанавливается на компьютер жертвы и как только пользователь открывает базу данных любимого менеджера паролей, KeeFarce начинает незаметно копировать все данные (в том числе имена пользователей и пароли) в открытом виде в CSV файл, который затем может быть скопирован удаленно.
Из информации размещенной разработчиками на GitHub-страничке приложения следует, что данный инструмент протестироват и работает с версиями KeePass 2.28, 2.29 и 2.30 – на ОС Windows 8.1 – 32 и 64 bit. Отмечается, что в качестве основного вектора атаки KeeFarce использует "DLL injection".
Судя по всему KeeFarce является "proof of concept". Остается только догадываться и разбираться, на сколько интенсивно использованный его авторами подход эксплуатируется "в полевых условиях". Требуется ли для исполнения атаки физический доступ к компьютеру жертвы? Уязвимы ли другие менеджеры поролей? Уязвим ли KeePass 1.x? Уязвимы ли версии KeePass для не-win платформ?
Источник: https://thehackernews.com/2015.....-manager-hacked.html[link14]
Добавил: _owl | Комментариев: 6 | Обсудить новость...16.07 // АП заказала исследования способов манипулирования общественным мнением и борьбы с анонимностью
Управление делами президента опубликовало несколько заказов на исследования для администрации президента, часть из которых потенциально могут повлиять на госрегулирование интернета в России. Об этом сообщает газета «Коммерсантъ»[link15].
Семь лотов конкурса от администрации президента, о которых стало известно 16 июля, были согласованы первым заместителем АП Вячеславом Володиным.
Чиновникам потребовался комплекс мер по «развитию контента и повышению доверия в интернете». Под этим понимается доработка механизма блокировок сайтов и ограничению доступа пользователей к определённым типам контента.
АП запросила исследование того, как предотвращать анонимную деятельность пользователей в интернете и как контролировать распространение ими информации. Кроме того, по заказу чиновников изучат шифрование, мониторинг и фильтрацию трафика в рунете.
Государство интересуется и тем, как формировать общественное мнение в сети, как следует контролировать интернет-компании в использовании персональных данных, а также как следует развивать доверенные информационные ресурсы (что под этим понимается, «Коммерсантъ» не уточняет).
АП также заказала анализ пользовательских соглашений крупнейших IT-компаний и закона о «праве на забвение» на предмет необходимости его доработки с учетом международных обязательств РФ. Владимир Путин подписал[link16] закон о «праве на забвение» 14 июля.
Администрация предлагает рассмотреть сложности и риски при реализации описанных мер на основе опыта США, КНР, Германии и Франции. На выполнение всех лотов подала заявку единственная организация — ОАО «Гипросвязь», в 2014 году занимавшееся[link17] анализом сложившейся «международной правовой, организационной и технической модели регулирования правоотношений и управления» интернетом и разработкой собственной модели, «альтернативной существующей».
О первой части лотов «Коммерсантъ» сообщал[link18] 9 июля: в них входили заказы на исследования «защиты национальных интересов России с учетом новых вызовов и угроз безопасности», развития культурных связей с зарубежными странами и темы «крымскотатарской проблемы на современном этапе». В конкурсе участвуют компании и университеты (например, МГИМО, РАНХ и ВШЭ), а его победители определятся 27 июля: после этого начнётся работа над исследованиями.
Источник: https://tjournal.ru/p/ap-internet-research
Добавил: SATtva | Комментариев: 2 | Обсудить новость...23.06 // В Linux 4.1 реализована поддержка файлового шифрования в Ext4
После двух месяцев разработки Линус Торвальдс анонсировал релиз ядра Linux 4.1. Среди наиболее заметных улучшений: поддержка шифрования в ФС Ext4, новая виртуальная файловая система tracefs, экспериментальная реализация распределённого RAID 1, поддержка MPLS, однопользовательский режим для встраиваемых систем, блочное устройство PMEM для энергонезависимой памяти, интеграция наработок Intel по виртуализации GPU.
Файловая система Ext4 получила поддержку шифрования отдельных частей ФС, например, отдельных директорий. Шифруется только содержимое и имена файлов, а метаданные о файлах, такие как размер и права доступа, остаются видимыми. Ключ шифрования определяется во время монтирования ФС. Настройки шифрования выполняются посредством xattr. Новые файлы или директории могут быть зашифрованы отдельно или автоматически, в случае если они создаются в уже зашифрованной директории.
Зашифрованные данные размещаются с использованием метода AES-256-XTS, для имён файлов применяется AES-256-CBC. Для каждого inode генерируется свой уникальный 512-битовый ключ шифрования, что позволяет блокировать атаки в ситуациях, когда злоумышленнику известна часть зашифрованного содержимого. По сравнению с применением надстроек, таких как dm-crypt и eCryptFS, интеграция поддержки шифрования непосредственно в драйвер ФС, позволяет добиться более высокой производительности, использовать текущий код для обработки прав доступа и обеспечить возможность работы с незашифрованной частью файлов на устаревших системах.
Источник: http://www.opennet.ru/opennews/art.shtml?num=42472
Добавил: SATtva | Комментариев: 11 | Обсудить новость...Добавить новость
Здесь вы можете поделиться собственной новостью, которая после проверки модератором попадет на главную страницу сайта. Чтобы пройти проверку сообщение должно быть полным, грамотно составленным, соответствующим тематике сайта, а также должно содержать ссылку на источник информации. Перепечатывать полноформатные статьи с других ресурсов не рекомендуется, а при перепубликации новостных сообщений убедитесь, что исходный сайт это допускает. Публикации на иностранных языках запрещены!
Архивы новостей
- 2001[link19]
- 2002[link20]
- 2003[link21]
- 2004[link22]
- 2005[link23]
- 2006[link24]
- 2007[link25]
- 2008[link26]
- 2009[link27]
- 2010[link28]
- 2011[link29]
- 2012[link30]
- 2013[link31]
- 2014[link32]
- 2015[link33]
- 2016[link34]
- 2017[link35]
- 2018[link36]
Экспорт RSS
- Последние новости[link37]
- Обновления форума[link38]
- Изменения страниц[link39]
[link2] https://github.com/majestrate/i2lua/blob/master/contrib/examples/example.lua
[link3] https://github.com/rand-func/ec-crypt/releases/tag/v2.1.0-rc2
[link4] https://ru.wikipedia.org/wiki/Эллиптическая_криптография
[link5] https://github.com/rand-func/ec-crypt/releases/download/v2.1.0-rc2/ECcrypt_win.zip
[link6] https://github.com/rand-func/ec-crypt/releases/download/v2.1.0-rc2/ECcrypt_linux.zip
[link7] https://github.com/PurpleI2P/i2pd/releases/tag/2.3.0
[link8] https://geti2p.net/ru/about/intro
[link9] https://github.com/PurpleI2P/i2pd
[link10] http://i2pd.website/releases/
[link11] https://bugtraq.ru/rsn/archive/2014/11/05.html
[link12] https://www.thekackernews.com/2015/11/password-manager-hacked.html
[link13] https://github.com/denandz/KeeFarce
[link14] https://thehackernews.com/2015/11/password-manager-hacked.html
[link15] http://www.kommersant.ru/doc/2768851
[link16] http://siliconrus.com/2015/07/zabvenie-putin/
[link17] http://top.rbc.ru/society/18/07/2014/937560.shtml
[link18] http://www.kommersant.ru/doc/2764123
[link19] https://www.pgpru.com/novosti/2001
[link20] https://www.pgpru.com/novosti/2002
[link21] https://www.pgpru.com/novosti/2003
[link22] https://www.pgpru.com/novosti/2004
[link23] https://www.pgpru.com/novosti/2005
[link24] https://www.pgpru.com/novosti/2006
[link25] https://www.pgpru.com/novosti/2007
[link26] https://www.pgpru.com/novosti/2008
[link27] https://www.pgpru.com/novosti/2009
[link28] https://www.pgpru.com/novosti/2010
[link29] https://www.pgpru.com/novosti/2011
[link30] https://www.pgpru.com/novosti/2012
[link31] https://www.pgpru.com/novosti/2013
[link32] https://www.pgpru.com/novosti/2014
[link33] https://www.pgpru.com/novosti/2015
[link34] https://www.pgpru.com/novosti/2016
[link35] https://www.pgpru.com/novosti/2017
[link36] https://www.pgpru.com/novosti/2018
[link37] http://www.pgpru.com/news.xml
[link38] http://www.pgpru.com/forum.xml
[link39] http://www.pgpru.com/project.xml