Tietoturvafirma: Älkää käyttäkö salaustamme, NSA:lla saattaa olla takaovi siihen
Yksi maailman tunnetuimmista salausjärjestelmien toimittajista, yhdysvaltalainen RSA, on varoittanut asiakkaitaan mahdollisesta takaovesta yhdessä sen salaustuotteista.
RSA, joka on tunnettu nimeään kantavasta RSA-salausalgoritmista, julkisti varoituksen sen jälkeen, kun New York Times väitti yhdysvaltain tiedusteluorganisaation, NSA:n, lisänneen yhtiön tuotteeseem takaoven. Takaoven avulla NSA pystyisi purkamaan ohjelman salaamaa materiaalia ilman vastaavaa avainparia. NSA pyrki saamaan saastuttamansa salausalgoritmin myös Yhdysvaltain standardeista vastaavan organisaation hyväksymäksi salausmuodoksi.
RSA aikoo käydä läpi kaikki yhtiön tuotteet ja selvittää, mitkä niistä sisältävät mahdollisia NSA:n mukaanujuttamia takaovia. Yhtiö on nykyisin osa tallennusratkaisuihin erikoistunutta EMC:tä.
Lisäys 21:43: Algoritmi, jonka pelätään sisältävän NSA:n mukaanujuttaman takaoven kulkee nimellä Dual Elliptic Curve Deterministic Random Bit Generation.
Lisäys 23:52: Lisätietoa ja (matemaattista) analyysiä DUAL_EC_RBG:n ongelmista osoitteessa http://blog.cryptographyengineering.com/2013/09/the-many-flaws-of-dualecdrbg.html
8 KOMMENTTIA
tataka1/8
itse pidän tosi huonona sitä että ei voi luottaa suojaksiinsa ihan sama juttu jos kaupoissa myytävissä kondomeissa saattaisi olla pienenpieniä reikiä josta tartunta tulisi.
itse piruuttani laitoin yhdelle ylimääräiselle muistitikulleni truecryptillä salauksen(siis vajaan 2 gigan tiedostokotelon(huono suomennos?) mutta veikkaan että kyllä sen auki saavat(itse siis laitoin yli 20 merkin salasanan jota en enää muista) tosin mitään eivät löydä koska se on tyhjä. veikkaan että vaikka antilogger sovellus on niin eiköhän windowsista saada näppäillyn salasanan selville jos nsa kiinnostuu.
jos on jotain luotettavaa juttua niin sitä ei kannata ainakaan macilla tai windowsilla tehdä, eikä myöskään tor yms voi luottaa.
itse ainakin olisin ehkä rikkinäisten kondomien kanssa enemmän turvassa kuin ehkä tietoturvattomissa tietotekniikassa yksityisyyden kanssa.
R4ndom12/8
@1 Truecrypt käyttää aes-salausta, joka ei taida ihan nykytekniikalla aueta. Tuosta saa jotain käsitystä link.
G0lden_Kebab3/8
Tuossa linkissä on juttua brute-forcella avaamisesta. Se on totta, että ei sitä AES:ssää nyt bruteforceta auki ihmisen eliniässä jos on hyvä salausavain, mutta NSA käyttääkin mahd. backdooreja eli ihan eri juttu...
Rijndaelin (AES) sijaan ehkä käyttäisinkin Serpentiä, joka on vahvempi salaus ja on myöskin sitten hitaampi, tosin vähemmän testattu ja vähemmän käytössä oleva, joka on osaltaan hyväkin asia.
ja jos haluaa pelata varmanpäälle niin lyö muistitikulle AES-Twofish-Serpent ja yhdistelmän vaikka lisää keyfilellä, (eli ensin koittavat AES:sää auki jonka jälkeen huomaavat, että edess onkin twofish jonka jälkeen eteen tulee vielä kaikista isoin eli Serpent.) eikä järjestystä tai muita salauksia pysty näkemään ennen edellisen murtamista.
On truecryptissä muitakin salaus vaihtoehtoja.
SwMaster4/8
En tiedä onko idioottimaista edes sanoa tätä täällä, mutta eikö eri menetelmien yhdistely ole mahdollista? Ei siinä sitten enää mikään NSA:n backdoorit auta kun on yhdistelty niin montaa eri kryptausmenetelmää ja random bittisarjojen generoijia.
Itse ainakin aina käytän monia eri kryptauksia yhden asian suojaamiseen. En tiedä onko hyödyllistä/kannattavaa/järkevää. Korjatkaa jos olen väärässä, haluaisin itsekin tietää :)
G0lden_Kebab5/8
Kyllä on mahdollista, mikäli tarkoitit eri salausalgoritmeja, juuri tuossa edellisessä viestissä puhuin menetelmien yhdistelystä jotka ovat toisistaan riippumattomia ja erilaisia. esim:
AES
Serpent
Twofish
AES-Twofish
AES-Twofish-Serpent
Serpent-AES
Serpent-Twofish-AES
Twofish-Serpent
Hyödyllisyydesta/järkevyydestä, päästän siihen kuinka "nopea" menetelmän pitää olla ja kuinka hyvin sitä pystyisi soveltamaan eri käyttökohteisiin.
JamesPotkukelkka6/8
Pistääpä taas hymyilyttämään kuinka apinaa koijjataan asioilla, jotka ei liity siihen ollenkaan.
Eihän se kiva ole kuulla jonkin tietyn suojauksen sisältävän mahdollisuuden kolmannelle osapuolelle saada suojaus ohitettua näkymättömästi, mutta ottaen huomioon koko maailman datamäärän ja kohteet niin tuskin NSA:lla on mitään tarvetta päästä juurin Sinun naamakirjaprofiilia lukemaan tai herrainkerhon kuvia katsomaan ulkoiselta kiintolevyltäsi.
Että eiköhän nuo hyödynnä olemassa olevia takaovia tiedustelukäytössä ulkomailla. Tuskin tuon kokoluokan puljulla on tarvetta 10-vuotiaiden pikkutyttöjen puh-läppäreiden sisältöä seurata..
horgh7/8
Varmasti NSA käy juuri sinunkin profiilissasi (mikäli omistat sellaisen) hommahan ei mene niin, että valitaan kohde ja ruvetaan tonkimaan (toki näinkin tehdään) vaan siten, että järjestelmät automaattisesti louhivat kaikkea käytössä olevaa tietomäärää ja poimivat ohjelmointinsa mukaisia "kiinnostavia ja merkittäviä" asioita, joista sitten keräävät tietokantaa tai mitä ikinä tekevätkin. Näin meistä jokainen joutuu urkinnan kohteeksi. Totta on se, että tuskin sinun tietosi heitä loppupeleissä kiinnostavat, oli niitä herrainklubin kuvia tai muuta levyllä, silti tässä loukataan yksityisyyttä törkeällä tavalla, eikä sellaista pidä missään oloissa sietää.
Takaportit salauksissa ovat tosiasia. Julkisuuteen on nyt muutama tullut, epäilyjä useammasta. Avoin koodi antaa paremman suojan tähän. Kuka tahansa taidot omaava voi koodin lukea ja etsiä mahdolliset takaovet. Taatusti näin tehdäänkin, mikäli joku esimerkiksi omassa sovelluksessaan tahtoo hyödyntää avointa salauskeinoa.
ransomm8/8
NSA ta ei tavallisen tallukan tiedot kiinnosta. Ei varmaan. Mutta pointti on, että jos kaikkeen dataan on pääsy niin tavallisen ihmisenkin tiedot voivat muuttua NSA lle käyttökepoiseksi esim. 50 vuoden kuluttua. Käsittääkseni tietoa tallennetaan (tavan tallukoidenkin siis) massoittain ja tarvittaessa tästä datamäärästä tarvittavaa ja hyödyllistä tietoa voidaan myöhemmin hakea. Mielestäni millekään taholle ei pitäisi antaa tuollaista valtaa -siis pääsyä kaikkeen tietoon. Varmuudella tuota valtaa käytetään joskus väärin...
TÄMÄN UUTISEN KOMMENTOINTI ON PÄÄTTYNYT