secure communication, off-topic

реших в крайна сметка да отворя тема за това.

няколко човека питаха, а и днешно време, особено сред някои от потока хора тук, е, според мен, важен момент.

значи, crypto chat.

carrier/fun-pidgin - IM client поддържащ всички chat протоколи, XMPP (gtalk), yahoo, MSN, ICQ, etc (за скайп има допълнителен plugin - skype4pidgin)

crypto plugin-ите - един или повече едновременно, в зависимост от степента на параноя:

pidgin-otr - "off-the-record", AES (настоящия алгоритъм 'стандарт').

pidgin-encryption - RSA cipher

torchat - през TOR onion anonymizing мрежата. това не е криптирано, просто те прави във всеки един момент да изглеждаш сякаш си от различни точки на света.

pidgin-paranoia - one-time pads, .deb/.tar.gz, linux only

pidgin-gpg - gpg/pgp, .tar.gz, linux only


за криптиране с RSA на всякакъв чат под windows - simpLite


стандарта за email-ove, openPGP, GPG. add-on за firefox - fireGPG.
под linux тръгва out of the box, под win иска налични winPT и GPG (виж коментара на страницата). fireGPG, освен менюто в tools, добавя бутон в gmail. на принципа на public key криптографията - създаваш ключ (алфанумерична парола - букви и символи, колкото по-дълга, толкова по-добре), от него export-ваш public key, който изпращаш на човека от другата страна, той изпраща твоя, всеки го import-ва, и използва за да криптира съобщения преднадзначени точно, единствено и само за човека от другата страна.


ако някой все пак се чуди кому е нужно това, ще paste-на само някои пройзволни анекдоти:

"Myria at pagetable.com, among others, noticed that Skype reads the machine's BIOS code on startup. This probably would've gone unnoticed if the operation didn't fail on 64-bit windows. From the post: 'It's dumping your system BIOS, which usually includes your motherboard's serial number, and pipes it to the Skype application. I have no idea what they're using it for, or whether they send anything to their servers, but I bet whatever they're doing is no good given their track record... If they hadn't been ignorant of Win64's lack of NTVDM, nobody would've noticed this happening.'"

"Users of Skype for Linux have just found out that it reads the files /etc/passwd, firefox profile, plugins, addons, etc, and many other unnecessary files in /etc. This fact was originally discovered by using AppArmor, but others have confirmed this fact using strace on versions 1.4.0.94 and 1.4.0.99. What is going on? This probably shows how important it is to use AppArmor in any closed-source application in Linux to restrict any undue access to your files."


If you use GMail, Google reads all your mail. If you use Google Desktop, Google reads every document on your computer. Just those two are enough to give me the creeps. But it gets even worse – a lot worse!

If you use Blogger, Google knows what you’re passionate about. If you’re logged in to GMail or Blogger while searching for something on Google search engine, Google knows what topics you wanna know more about; that is: connecting a search result to a specific person. Google knows what things you’re buying. With the recent purchase of Doubleclick, Google can follow you around as you surf, knowing everything you read about on the Internet.

(а ако, недай си боже, ползваш chrome...)

във връзка с google, ето един полезен линк за safe searching:

[линк]

______________________________________
exterminate all rational thought.

Хаха, Chrome ... ей сега

Гмейл и аз ползвам да си призная, и фейсбук ползвам. Гледам да не поствам нищо свързано с наркотици там. Но да си призная, страха ми е по-скоро от колеги и "приятели" - целия живот може да ти се съсипе ако ти се развали онлайн имейджа (особено ако бачкаш в ИТ).

Но в крайна сметка кой каква информация дава за себе си трябва да е личен и информиран избор. Като поствам във фейсбук, знам че не съм анонимен и знам че информацията ще стои там и след мойта смърт (дори да фалират, все някой ще я купи). Направил съм си избор и внимавам. Кофтито е че много хора дори не се замислят и постват каквото им падне - и един ден ще съжаляват.

Напоследък обаче започват да се приемат все по-опасни закони. Във Франция съвсем скоро гласуваха един закон който ще позволи на полицията да инсталира троянски кон на компютъра ти - без ти да го знаеш. Не се знае как ще го приложат на практика, но страшното е че си позволяват да гласуват подобен закон. Това е същото като да позволят претърсването в дома ти без да те информират - шпионски тактики. Да дадеш привилегия на полицията да използва подобни средства е безумно опасно.

gmail и аз ползвам, няма как.

но facebook, never. :D

за франция знам, но в англия ситуацията е толкова ужасяваща - като цяло, не само със surveillence-a - че настръхвам само при мисълта да изкарам повече от ден-два в лондон.

узакониха отдавна keylogging-a - ченгетата имат право, без съдебна заповед, да имплантират transciever до вас и да записват всеки един натиснат клавиш от клавиатурата. не е нужно да си заподозрян в каквото и да е, нужно е само те да решат, че искат да те следят. същото важи и за имплантирането на GPS-и - могат да го правят когато и с който си искат. и тамошните националисти, което е най-големия абсурд, печелят все повече гласове с това, че обещават да затягали ОЩЕ ПОВЕЧЕ нещата.

в германия държавния spyware си е практика от години вече. (още една причина човек да мине на *nix OS)

но като цяло си прав, човек преди всичко трябва да внимава (какви сайтове посещава, какъв браузър ползва, къде каква лична информация дава). аз преди да разбера накъде духа вятъра също направих доста грешки.

в тоя ред на мисли [линк] е друг полезен spot. пращаш от твоя мейл един на <каквото_там_искаш>@mailinator.com, и имаш временна поща с избраното име за junk mail/spam която да раздаваш където си искаш. можеш да я проверяваш по всяко време, ако решиш.

______________________________________
exterminate all rational thought.

Това mailinator е супер идея.

Бе проблема е че хората наистина не са достатъчно информирани и до някъде считат че всичко което е в Интернет е извън реалния живот. Пълно е myspace профили на 17 - 18 годишни които слагат какви ли не глупости, снимки и коментари. Един ден тези хора ще трябва да си търсят работа и първото нещо което работодателя им ще направи е да ги потърси в Гугъл.

Фейсбука ми е удобен да държа връзки с хора с които не съм имал комуникации от сума ти време - вързах се с много стари приятели и не съжалявам. Просто внимавам какво пускам там и толкоз.

Аргумента "нямам нищо за криене - няма от какво да се притеснявам" се развява всеки път като се прокарват закони за следене. Обяснява ни се че полицейските служби ще бъдат много по-ефикасни за да ни предпазят от самото зло (къде го това зло че чак да се налага човеци да пазят другите човеци от трети човеци ?). Че ако сме нямали нищо за криене нямало от какво да се притесняваме. Че иначе полицията не можела да си върши работата ?

Реалността е съвсем друга - всеки един човек има нещо за криене. Всеки индивид има нещо което крие дълбоко в себе си, нещо което не би искал всички околни да разберат. Но повечето човеци не си задават такива въпроси - те търсят ефикасност. Търсят си пазител. Търсят някой който да носи отговорност на тяхно място.

Ефикасността противоречи на демокрацията. Демокрацията не е ефикасно управление - хора с всякакви идеи трябва да намерят консенсус, трябва време, всичко става бавно ... Цената не е толкова висока според мен, но като гледам повечето хора биха предпочели един ясен и точен тоталитарен режим който да мисли на тяхно място.

Diamоrph, бих искал да те помоля чат-пат да ъпдейтваш тази полезна тема, тъй като очевидно се интересуваш от проблема, а сигурно постоянно излизат новости.

Ако ти се занимава, разбира се!
Пък и Хехо би могъл да се включва, тъй като със сигурност следи новостите в областта на информационните технологии.

мерси :)

Meжду другото, само да спомена за този pidgin-encryption - ключовете като гледам се обменят в началото на комуникацията. Което значи че е "vulnerable to Man in the Middle attacks". Разбира се, за тази атака трябва достъп до канала на комуникация, но не е невъзможен.

Това е най големия проблем в криптографията - обмяната на ключовете.

Иначе алгоритми които са сигурни и които дори NSA няма да могат да crack-нат в следващите 10 - 20 години има, и то много. AES, Blowfish. И избирайте достатъчно дълъг ключ - не е нужно да се влиза в параноя, но 256 bits е добро решение за следващите 20 години.

На последно - колкото по известна е една програма, толкова повече шанс има да е сигурна (GPG, openssl). Underground нещата може и да са сигурни, но няма как да го знае човек (дори и да се занимава с криптоанализа, пак не е казано че ще успее да намери добре прикрит backdoor или грешка). Колкото повече криптоаналитици са анализирали даден код - толкова по-добре. Най добре open source приложения - затворения код в криптографията се счита за несигурен по default.

С алгоритмите нещата стоят по същия начин - най добре да се избере публичен и разпространен алгоритъм. Горе-споменатите са достатъчно сигурни за да бъдат използвани от държави, армии и банки.

Разбира се, дори и най сигурния алгоритъм може да бъде грешно приложен.

Новости излизат предимно в приложенията (програмите), иначе крипто алгоритмите еволюират много бавно. Което е добре. Аз бих се въздържал да използвам най новия крипто алгоритъм който току що е написан.

Колкото по-стар, толкова повече шанс има да е добре тестван и да са известни слабостите (а такива винаги има).

Аз имам проблем със самото опериране с тия алгоритми.

Не мога да схвана как се инсталират, как се работи с тях. Обаче ще се науча, де...Просто ми трябва някой достатъчно опитен да седне до мен и да ми покаже.

Понеже естеството на тая тема е различно от това на клуба, Неразбрана едва ли ще се навие да я закачи на първа страница, но ние ще си я повдигаме сами, ако модераторката няма против.

Виж, с алгоритмите трудно ще знаеш как да работиш, освен ако не си критограф разбира се. Тук говорим за сравнително сложни математически алгоритми които дори повечето от програмистите не разбират. За това трябва да се внимава какво приложение се използва (не се знае дали този който го е писал наистина знае за какво става въпрос).

Гледай да използваш приложения (програми) които използват тези алгоритми и които са достатъчно публични (разпространени) за да се счита че достатъчно криптографи за анализирали кода.

Зависи какво искаш да правиш, разбира се. Ако искаш да пишеш код (приложение) - има достатъчно публични и сигурни имплементации на крипто алгоритми. Библиотеки - колкото искаш - openssl е най известната и е за препоръчване (ако поддържа алгоритъма който търсиш).

Ако просто търсиш приложение (програма) - гледай да е нещо публично и по възможност open source. И се информирай каква crypto библиотека използва. Повечето open source приложения използват openssl и се считат за достатъчно сигурни за да бъдат използвани от банки или правителства например.

Ще сложа линк в закачената тема.

Мерси!

да, има го момента с MiM, но мен лично не ме притеснява толкова това, че някой може да ми разбере паролата на gmail-a и да се лог-не представяйки се за мен пред някой.

в ежедневието ми е достатъчно да не е plaintext, да е end-to-end и да е що годе читаво.

otr решават проблема с MiM с т.нар. socialist millionaire's protocol (lol), shared secret - по телефон, на живо, email, pgp, или квото там.

аз лично през повечето време ползвам otr+pidgin-encryption, shared secret-a е блокове RSA.
и GPG за emails.

shallowgrave няма нищо сложно в това да инсталираш някакъв software и да го поразцъкаш. все пак за users е правено. :)

______________________________________
exterminate all rational thought.

Проверяваш MD5 / SHA1 hash-a на пратения ти pubkey по телефона.

Това е най сигурния метод. Ако си сигурен че pubkey-a който си получил е същия който ти е пратил твоя кореспондент, значи няма никой по средата.

Разбира се, говорим за assymetric encryption - RSA, DSA, Diffe-Hellman, Eigmal. За разлика от тях, на симетричните алгоритми ключа не се праща никога в самата комуникация - няма как да си сигурен че някой не го е записал. Дори по телефона (ако някой подслушва, ще знае ключа и ще успее да декриптира).

За тва се комбинират двете - RSA (assymetric) за обмяна на ключове за симетричен алгоритъм, които се използват за кодиране на самото съобщение. PGP, SMIME, SSL са все протоколи които работят на този принцип.

Ама май зациклям много надълбоко темата.

хах. не бе, cool e, и аз съм on the nerdy side, но не правим конспирации да сваляме правителства все пак:))

______________________________________
exterminate all rational thought.

otr си струва да се погледне btw, все по-популярен става.

[линк]

"OTR uses a combination of the AES symmetric-key algorithm, the Diffie-Hellman key exchange, and the SHA-1 hash function. In addition to authentication and encryption, OTR provides perfect forward secrecy and malleable encryption."

+споменатия socialist millionaire's protocol.

______________________________________
exterminate all rational thought.

Да, просто не използват подписи с secret key - тоест всеки от участващите в комуникацията може да отрече че е изпратил message.

Това което не могат да направят обаче е "deniability of communication". За това трябва някакъв анонимайзер. Но нещата могат да се комбинират, особено ако си решил да сваляш правителства.

Между другото, ако използваш PGP без подпис се получава същия ефект.

Cypherpunks

мда, комбинации от всичко гореизброено.

tor за anonymizer.

в *nix има torsocks, $ startwithtor pidgin/firefox/lynx/telnet/etc.

много handy ;)

______________________________________
exterminate all rational thought.

Да, бе, разбира се.

Просто непознатото понякога изглежда по-сложно, отколкото е в действителност.