Подделаны SSL сертификаты

Еще с десяток лет назад, если не ошибаюсь - в Австралии, был запущен проект направленный на собирание MD5-хэшей в реляционные базы порядка сотен терабайт. Во всяком случае словарная атака на MD5 там занимала несколько миллисекунд. Соответственно - вместо того чтобы в авральном порядке подбирать хэш - можно завести кластерюгу который последовательно генерит хэши для всего подряд и складывает в базу. А потом по готовому MD5 можно выбирать из этой базы всё подходящее :)

>А потом по готовому MD5 можно выбирать из этой базы всё подходящее :)

Если добавить к хешу salt то этот метод не страшен.

> При помощи кластера из 200 PlayStation 3

интересно, сколько бы GeForce'ов понадобилось (GTX 280 и лучше)

> проект направленный на собирание MD5-хэшей в реляционные базы

ты про Rainbow tables? да не, там не реляционные базы, обычные файлы по паре гигов. (правда, это может для сайта, вебоболочки реляционные БД прикрутили). Долго генерится, но зато потом быстро коллизии находятся. С salt правда чуть сложнее, но тоже можно: угадать salt, который используется в пароле, и по рассчитанным для него таблицам найти коллизии.

Во-первых, ломалка для GPU проверяет с несколькими видами salt'а и быстро, тупым подбором. Во-вторых, можно нагенерить rainbow tables.

>RapidSSL’s serial numbers were all sequential

гыгыгы. Что мешало их засолить?

аааа... это же охренеть как здорово! можно мне одолжить у них кластер ненадолго, чтобы сгенерить сертификаты для подписи приложений для S60 и PSP? я так долго этого ждал..

у меня есть несколько Денди восьмибитных. А соберу-ка я из них кластер...

Что-то они долго, я уже давно на кластере из 300 моих ZX Spectrum получил поддельные сертификаты с подписями как MD5 так и SHA1 512 бит. фе, ламье :(

> А по-моему, позор VeriSign за то, что они до сих пор использовали сто лет назад поломанный MD5.

Сынок, VeriSign занимается серьёзным бизнесом по серьёзным расценкам и вполне себе оперативно реагирует даже на proof-of-concept взлома используемых алгоритмов. Там нет красноглазиков, что выпучив очи горе бегут патчить ядра при сдвиге сервира на 1 см. в сторону.

> у Т-платформ есть решения на Cell BE

Скока стоит?

4096 не мешьше, 512 ломается любым кластером из 100 робот-игрушек для детей, за пару месяцев, у нас в 2018году. anonymous (*) (01.01.2009 19:46:38)

Толстый анонимный трольь? Почитай хоть пару книжек по теме...

он же сказал, у них, в 2018 году ;)

> ты про Rainbow tables? да не, там не реляционные базы, обычные файлы по паре гигов.

Гхм, в том о чем я говорю - на тот момент около 120 терабайт было...

Линухокапец?

Слушайте, даю идею сжатия данных:

Берется md5-хеш и передается по инету. На другом конце подбираются варианты данных под этот хеш. В результате имеем супер степень сжатия, правда за счет огромного времени распаковки.

Ну остаются разные там мелочи типа нескольких вариантов исходного файла... но это фигня :))

> Сынок, VeriSign занимается серьёзным бизнесом по серьёзным расценкам и вполне себе оперативно реагирует даже на proof-of-concept взлома используемых алгоритмов.

Отлично. Но MD5-то почему используют? :)

> Слушайте, даю идею сжатия данных:

Не получится. Коллизии != инвертирование.

> Отлично. Но MD5-то почему используют? :)

Да, PGP-шники вон в 2004 году отказались, а их в несерьёзности заподозрить труднее, чем кого-либо.

> Не получится. Коллизии != инвертирование.

Та знаю, пофантазировать уже нельзя :))

> Отлично. Но MD5-то почему используют? :)

Пока работало - не трогали.

> Да, PGP-шники вон в 2004 году отказались, а их в несерьёзности заподозрить труднее, чем кого-либо.

В вендовом PGP сто лет назад нашли пачку бэкдоров, а потом нашли ещё и ещё.

На что только не идут, лишь бы не покупать паяльник.

> Никакие это не хакреы, а серьезные ученые > Ph.D J.Johnson из принстона имеет погонялу @nn1h1l@t0r, а остальные ресерчерс - это его сосед и старый руммейт университетский.

PhD из Принтстона -- это уже серьёзный учёный обычно, вне зависимости от.

>> Это хорошо, теперь есть хороший повод пользоваться ГОСТовским алгоритмом.

> В котором наверняка есть backdoor, оставленный старшим братом для того, чтобы было всё под контролем

Анонимный брат, они есть и в AES, и в DES, и в SHA*.

пока не доказано. и самый вероятный вариант тут именно ГОСТ, вторым идет ДЕС.
ЗЫ. предпочитаю Blowfish.

http://www.lorquotes.ru/view-quote.php?id=679

ты опоздал на 4 года с идеей, сынок :)

>> В котором наверняка есть backdoor, оставленный старшим братом для того, чтобы было всё под контролем

> Анонимный брат, они есть и в AES, и в DES, и в SHA*.

Брат, tailgunner. Запихать бекдор в открытый алгоритм - это только инопланетный разум может. А вот пихать бекдоры в закрытые реализации систем шифрования - это чуть ли не по закону положено.

> В вендовом PGP сто лет назад нашли пачку бэкдоров, а потом нашли ещё и ещё.

У вас реальность какая-то параллельная? Баги были, бэкдоров не было. Но баги PGP авторитет Верисайна как бы не поднимают.

> Пока работало - не трогали.

К слову сказать, Циммерман предложил отказаться от MD5 ещё в 1996 году после работ Доббертина. И с того времени поддержка MD5 была уже названа legacy, а в 2004 убрана совсем, когда уже доломали.

> 1) оперативно реагирует даже на proof-of-concept взлома

> 2) Пока работало - не трогали.

Грандиозно, да? :)

> Брат, tailgunner. Запихать бекдор в открытый алгоритм - это только инопланетный разум может. А вот пихать бекдоры в закрытые реализации систем шифрования - это чуть ли не по закону положено.

Про законы - наглая ложь (точнее, либеразм), если Вы, конечно, живете в России, а не где-нибудь в США. Учите матчасть и консультируйтесь с юристами, а также общайтесь с людьми "в теме". Это раз.

Во-вторых, бекдорят системы целиком (криптосистема + окружение), а не алгоритмы / реализации алгоритмов, это позволяет избежать зоркого взгляда красноглазиков, проверяющих каждую строчку кода только в "AES.pas". Взять, например, OpenSSL в Дебиан (хотя это не совсем тот класс бекдоров, о которых тут говорят) - уязвимость была лишь в одном компоненте системы, зато куча зависящих от этой компоненты продуктов была незащищена (браузеры, Tor и т.д.). Или, например, целый класс уязвимостей в Висте, которые могут быть использованы для разглашения информации на зашифрованных разделах / контейнерах (включая этот Ваш любимый PGP), но которые не могут быть использованы для взлома EFS и BitLocker. Уязвима ли реализация AES256 в PGP? Нет. Есть ли бекдор в PGP Desktop для разглашения данных? Нет. Зато вот в Висте есть. Скажите, какой красноглазик сумеет своим скудным умишком разглядеть всю картину целиком, а не просто один файл с исходниками?

ЗЫ. Сделайте поиск по слову "PGP" в http://nhtcu.ru/news.html %)

слава не мальчика, респект и уважуха, принципы на которых базируются подобные системы шифрования годятся только для коммерческого (читай - там где нет гос. секретов) использования во все остальное обязательно шьют, шили и будут шить дверки, двери и прочие средства доступа к тому, что принято называть частной жизнью граждан того или иного государства

>в генте давно уже sha1 sha256 rmd160 используются для верификации пакетов

И как, хватает стойкости, чтобы верить в скачанный пакет? Гентушники первыми перейдут на sha4096, не дай Бог скачать поддельный gentoo-sources:)

>> Брат, tailgunner. Запихать бекдор в открытый алгоритм - это только инопланетный разум может. А вот пихать бекдоры в закрытые реализации систем шифрования - это чуть ли не по закону положено.

> Про законы - наглая ложь (точнее, либеразм), если Вы, конечно, живете в России, а не где-нибудь в США. Учите матчасть и консультируйтесь с юристами, а также общайтесь с людьми "в теме". Это раз.

А где у нас делается большая часть закрытых программных продуктов? По каким законам работает MS? По законам РФ?

> А где у нас делается большая часть закрытых программных продуктов? По каким законам работает MS? По законам РФ?

Т.е. про GSP вы еще не слышали?

>> Брат, tailgunner. Запихать бекдор в открытый алгоритм - это только инопланетный разум может. А вот пихать бекдоры в закрытые реализации систем шифрования - это чуть ли не по закону положено.

> Во-вторых, бекдорят системы целиком (криптосистема + окружение), а не алгоритмы / реализации алгоритмов

Попробуй найти хотя бы одно отличие.

В случае бекдора в конкретном алгоритме - уязвим весь софт, что использует данный алгоритм;

В случае бекдора в конкретной реализации - уязвима только конкретная реализация какого-либо алгоритма;

В случае бекдора системы целиком - уязвима вся система, вне зависимости от отдельных продуктов и алгоритмов.

> В случае бекдора в конкретном алгоритме

В открытом алгоритме бекдор - это практически невозможно. В открытой программе - это почти наверное ошибка, а не бекдор.

> В открытом алгоритме бекдор - это практически невозможно. В открытой программе - это почти наверное ошибка, а не бекдор.

А если об ошибке узнает кто-то раньше, чем разработчик?

>> В открытом алгоритме бекдор - это практически невозможно. В открытой программе - это почти наверное ошибка, а не бекдор.

> А если об ошибке узнает кто-то раньше, чем разработчик?

А если большой метеорит из космоса уничтожит жизнь на Земле?

> А если большой метеорит из космоса уничтожит жизнь на Земле?

Ну-ну. Такое происходило только один раз за всю историю Земли. А вот с ошибочками чуть побольше :D

>> А если большой метеорит из космоса уничтожит жизнь на Земле?

> Ну-ну. Такое происходило только один раз за всю историю Земли.

Если бы не Доктор - каждое рождество бы случалось ;-)

>> Анонимный брат, они есть и в AES, и в DES, и в SHA*.

> Брат, tailgunner. Запихать бекдор в открытый алгоритм - это только инопланетный разум может.

Есть популярная теория, что в DES есть уязвимость by design, внесенная NSA. Продолжая ее, разумно предположить, что в SHA* и AES есть запроектированные слабости, для нахождения которых нужна вся мощь NSA.

Такая же теория есть насчет SELinux, кстати.

P.S. "Are you paranoid? Good."

>Есть популярная теория, что в DES есть уязвимость by design, внесенная NSA.

Да ну? Шнайера читали? Как раз есть популярная теория, что в DES именно силами NSA была внесена защита от дифференциального криптоанализа - техники, которая на тот момент была неизвестна НИКОМУ. Кроме NSA, конечно.

Ошибаетесь, в этой теории фигурирует еще и IBM.

Ну, точнее так (сорри за нерусский):

The S-boxes of DES were much more resistant to the attack than if they had been chosen at random, strongly suggesting that IBM knew about the technique back in the 1970s. This was indeed the case — in 1994, Don Coppersmith published the original design criteria for the S-boxes. According to Steven Levy, IBM Watson researchers discovered differential cryptanalytic attacks in 1974 and were asked by the NSA to keep the technique secret.

>> Есть популярная теория, что в DES есть уязвимость by design, внесенная NSA.

< Да ну? Шнайера читали?

Учебник - нет, а вообще - да.

> Как раз есть популярная теория, что в DES именно силами NSA была внесена защита от дифференциального криптоанализа

Есть и такая теория, да. Предыдущей - не противоречит :)

Ничего, заменят подписи на sha1 и всё будет путём.

> Да ну? Шнайера читали? Как раз есть популярная теория, что в DES именно силами NSA была внесена защита от дифференциального криптоанализа - техники, которая на тот момент была неизвестна НИКОМУ. Кроме NSA, конечно.

А зачем NSA было защищать кого-то от себя?

P.S. Это вопрос без подковырки.