Ce calitati defineste un hacker?!

[koteri3692]

52 minutes ago, Nytro said:

Ar trebui sa mai lucrezi la acel doctorat pentru ca asta e la baza criptografiei. Daca datele nu sunt criptate cu cheia publica, acestea nu se pot decripta (cu cheia privata). In practica, schimbul de chei simetrice se realizeaza prin criptare asimetrica. Diffie Hellman de exemplu. Ai conceptele de Key Exchange vs Key Agreement. 

 

 

Tu esti chiar prost. M-am convins. Cum pula mea verifica Alice de pe dispozitivul ei, cu numarul de telefon 0711111111 ca cheia primita YYYYY este intr-adevar a lui Bob stiind ca Alice stie doar numarul de telefon a lui Bob 0722222222 ?? Esti prost si nu m-ai are rost sa continui. De ce pula mea Bitcoin nu foloseste numere de telefon si foloseste cheile publice (bine adresele sunt ripemd(sha256(cheia publica) + checksum pt a oferii adrese mai mici si a asigura o protectie extra pe ECDSA ). De ce bitcoin nu ar folosii numere de telefon ?

Edited 14 hours ago by koteri3692

[Nytro]

Verificarile astea sunt o alta discutie. Bitcoin si Signal/Whatsapp sunt doua scenarii total diferite si fara legatura intre ele. Compari mere cu pere. Nici macar nu stii ce inseamna ECDSA si arunci cuvinte pe aici. 

[aelius]

6 minutes ago, Nytro said:

Verificarile astea sunt o alta discutie. Bitcoin si Signal/Whatsapp sunt doua scenarii total diferite si fara legatura intre ele. Compari mere cu pere. Nici macar nu stii ce inseamna ECDSA si arunci cuvinte pe aici. 

 

Pe mine ma intereseaza curvele eliptice din ecdsa   Frate, am o curiozitate, trecand peste it si rahat: Chiar crezi ca astia nu aduna date si americanul e de fapt sfantul pe pamant? Au interceptat inclusiv parlamentul german (bine, astia la cat sunt de prosti, probabil cred ca au facut-o din dragoste)

[Nytro]

4 minutes ago, aelius said:

Chiar crezi ca astia nu aduna date si americanul e de fapt sfantul pe pamant?

 

Sunt destul de sigur ca intercepteaza date. Dar din cate se pare, daca partea de crypto e facuta bine, nu pare sa se poata face ceva in privinta asta.

Desigur, mai degraba au niste 0day-uri in whatsapp, dar inca cred ca pe partea de crypto nu pot face mare lucru. Cel putin nu fara un quantum computer. 

[aelius]

9 minutes ago, Nytro said:

 

Sunt destul de sigur ca intercepteaza date. Dar din cate se pare, daca partea de crypto e facuta bine, nu pare sa se poata face ceva in privinta asta.

Desigur, mai degraba au niste 0day-uri in whatsapp, dar inca cred ca pe partea de crypto nu pot face mare lucru. Cel putin nu fara un quantum computer. 

 

Bro, este interesant punctul tau de vedere si stim la nivel de securitate cum sta treaba. Insa, in realitate, se intampla total diferit. Companiile au sediu si astea in SUA si practic, nu este nevoie sa se complice sa faca chestii complexe. Pur si simplu, companiile sunt obligate sa dea ce li se cere. Iti vin cu ordin si spun ca au suspiciuni ce tine de siguranta nationala, si sunt obligati cu totii sa se conformeze.

 

Si nu doar in SUA. Uite, un mic exemplu il poti vedea aici: https://thehackernews.com/2013/12/fake-google-ssl-certificates-made-in.html

 

Iti poate povesti si @Noriega despre cum s-au folosit de legislatie pentru a da gmail toate datele despre utilizator (tot in Franta). Totul fara un proces si fara a fi necesar de chestii complexe, precum mitm sau criptografie.

 

Intr-un final, ajungi ca mine, interesat doar de curvele eliptice 🤣

[aelius]

Alte trebi interesante

 

https://www.ripe.net/about-us/news/youtube-hijacking-a-ripe-ncc-ris-case-study/

https://thehackernews.com/2014/03/google-public-dns-server-traffic.html

https://www.bankinfosecurity.com/who-hijacked-googles-web-traffic-a-11699

https://blog.lacnic.net/en/a-brief-history-of-the-internets-biggest-bgp-incidents/

 

Daca nici cand ne referim la BGP si stiva tcp/ip nu ne gandim la baza comunicatiilor, atunci ar trebui sa ne apucam de vandut vibratoare roz de pe temu. Pe bune, nici nu au sens discutiile despre whatsapp si oarece amarate de keys.

[Nytro]

19 minutes ago, aelius said:

Bro, este interesant punctul tau de vedere si stim la nivel de securitate cum sta treaba. Insa, in realitate, se intampla total diferit. Companiile au sediu si astea in SUA si practic, nu este nevoie sa se complice sa faca chestii complexe. Pur si simplu, companiile sunt obligate sa dea ce li se cere. Iti vin cu ordin si spun ca au suspiciuni ce tine de siguranta nationala, si sunt obligati cu totii sa se conformeze.

 

 

Da, complet de acord, peste tot se intampla asa. Dar asta doar cu datele pe care le au firmele. Daca firmele nu au date, nu au ce sa ofere. Cam asta e baza pe care ar trebui sa mearga persoanele ca Gigel de mai sus, PhD in cryptography.

 

Sau, solutia cea mai simpla: nu face mizerii si nu ai de ce sa iti faci griji. Daca toate datele mele de pe Internet ar ajunge publice, probabil ar fi maxim 2-3 zile de mici caterinci si asta ar fi tot. 

[aelius]

1 minute ago, Nytro said:

 

Da, complet de acord, peste tot se intampla asa. Dar asta doar cu datele pe care le au firmele. Daca firmele nu au date, nu au ce sa ofere. Cam asta e baza pe care ar trebui sa mearga persoanele ca Gigel de mai sus, PhD in cryptography.

 

Sau, solutia cea mai simpla: nu face mizerii si nu ai de ce sa iti faci griji. Daca toate datele mele de pe Internet ar ajunge publice, probabil ar fi maxim 2-3 zile de mici caterinci si asta ar fi tot. 

 

Pot lua datele plimbate live, nu cele stocate. Ma rog, e alt subiect

Nici eu nu folosesc, nici macar vpn. Ce sa ia? pozele cu cafea si troleala? 

[MIKE.01]

In unele privinte ai dreptate dar in mare parte te inseli si generalizezi foare mult. Se vede de la o posta ca esti adeptul teoriei conspiratiei si tinzi spre extremism. Ceva exista dar nu pe atat de mult cat consideri tu... Eu ma retrag din discutie ca am altele mai bune de facut si imi pierd timpul sa discutam despre cai verzi. O zi buna iti doresc

[sinacor390]

3 hours ago, Nytro said:

 

Sunt destul de sigur ca intercepteaza date. Dar din cate se pare, daca partea de crypto e facuta bine, nu pare sa se poata face ceva in privinta asta.

Desigur, mai degraba au niste 0day-uri in whatsapp, dar inca cred ca pe partea de crypto nu pot face mare lucru. Cel putin nu fara un quantum computer. 

 

Ba vere tu te-ai nascut prost ? Ai cazut in cap cand erai mic?

 

Ai dat macar o cautare pe GOOGLE cum Whatsapp, Signal iti poate face Man in the middle inlocuind cheile publice? Eu nu am dat pe google ca stiam cum functioneaza protocolul dupa ce am citit documentatia de la whatsapp (ceea veche) si documentatia de la signal.

 

Nu trebuie nici un update, nici un exploit, nu trebuie nimic. Ei (Meta, respectiv Signal) pot rula doar un script de 10 linii de cod si iti fac MAN IN THE MIDDLE inlocuind cheia YYYY cu ZZZZ fara ca tu sa stii. Signal are posibilitatea sa vezi cheia publica, insa iti mai trebuie un alt canal securizat si sa o verifici manual. Pe whatsapp parca nici nu poti sa verifici. Cel putin ultima data cand am folosit whatsapp eu nu am avut acest feature. In fine.

 

Da dracului un Google si aflii cum NSA poate sa iti faca man in the middle cu 10 linii de cod pe absolut toate aplicatiile de chat populare gen: Whatsapp, Signal, Telegram, Matrix, XMPP, iMessage . Sigur NSA poate sa faca MiTM cu complicitatea firmelor de mesagerie online integrand scriptului de 10 linii pe serverul lor.

 

citeste aici explicatia pentru toti prostii care au IQ sub 70 https://security.stackexchange.com/questions/211828/man-in-the-middle-attacks-in-end-to-end-encryption

 

https://medium.com/@mesibo-real-time-communication/enhancing-signals-end-to-end-encryption-algorithm-eliminating-man-in-the-middle-and-other-7ecb5b23a3df

 

Ti-am explicat in 5 postari si tu tot comentezi ca e imposibil. Prostul din curtea scolii. Prostul pana nu comenteaza nu e fudul.

Edited 9 hours ago by sinacor390

[sinacor390]

5 hours ago, Nytro said:

Diffie Hellman de exemplu. Ai conceptele de Key Exchange vs Key Agreement. 

 

Ce am mentionat eu mai sus nu e folosit in practica. E un proces mai complicat care e necesar atat pentru security cat si pentru features (e.g. E2E group chats). Era doar o idee. Dar poti citi singur acel protocol

 

Daca mergem pe principiul tau, NSA poate sa faca MiTM si pe TLS nu?  

 

NSA garantat ca poata sa faca MITM pe TLS cetatenilor Americani.

 

Cu siguranta NSA are cel putin un contract cu un issuer de Certificate Authority. Probabil exista firme paravan care sunt whitelsitate ca CA si ele sunt defapt controlate de NSA. Firmele de sunt whitelistate ca CA sunt trecute in browsere. Astfel NSA are capacitatea de a create certificate SSL care sunt acceptate de browsere.

 

Stim deja ca NSA are solutii integrate direct la ISPs din SUA printre care Verizon, Xfinnity, Viasat Internet, AT&T. De ce ai crede ca nu ar putea targeta anumite grupuri de utilizatori de mare interes din SUA ca serverele de DN ale ISPs sa trimita certificate SSL create de NSA si care vor fi acceptate de browser / sistemul de operare.

 

https://security.stackexchange.com/questions/71171/is-there-anything-preventing-the-nsa-from-becoming-a-root-ca

 

Intrebarea mai revine, poate STS sa faca MITM pe TLS?

 

Posibil, dar cred ca nu. STS-ul ar avea nevoie de firme paravan care sa fie CA si integrate in sistemul de operare, browsere. Cum aceste liste sunt whitelistate numai ce firme americane (Microsoft, Mozilla) e posibil sa nu.

 

Poate NSA sa faca MITM pe TLS la cetateni Romani ?

 

Trebuie ca NSA sa aibe access la ISPs autohtoni: Vodafone Romania, Orange Romania, Digi SA etc. As zice ca nu au access sau cel putin STS-ul nu stie daca au si cum au access.

 

Deasemenea spoofing de certificate SSL ar putea fi verificate. Orice utilizator din Romania cand acceseaza un site web ar trebui sa primeasca acelasi certificate SSL.

 

Poate sa faca NSA MITM prin Tor ?

 

Da, pentru ca certificatele SSL sunt descarcate de la exit node-uri, dar e mai greu sa targeteze un anumit utilizator ca trebuie sa stie tot circuitu.

 

Este TOR safe sa fie accesat pe clear web? NOPE

[Nytro]

Nu ai inteles, dar incepe sa se lege treaba.

1. Partea de criptare se realizeaza prin criptare simetrica unde cheile se schimba folosind cheia asimetrica

2. Partea de trust, de verificare, se realizeaza prin certificate sau semnaturi digitale

 

Criptografie nu inseamna doar AES ci ai: criptare simetrica, asimetrica, semnaturi, hashuri, hmac-uri, certificate, authorities etc.

 

De aceea procesul, normal, nu e doar cum am mentionat eu, doar am dat un exemplu basic.

Asa cum pentru a obtine un certificat pentru "rstforums.com" a trebuit sa demonstrez ca am acces la rstforums.com (verificarile unui Root CA pentru a oferi un server certificate), asa aplicatiile precum WhatsApp sau altele au mecanismul lor de verificare prin SMS (de exemplu). Stiu ca era o aplicatie la care scanai un cod QR de la cealalta persoana pentru aceasta relatie de trust. Acest trust e un certificat - adica legatura intre o cheie publica si un utilizator, o identitate.

 

Cum se intampla in browser, desigur, ai la baza acele Root CAs si intr-adevar, unele pot sa fie controlate de catre autoritatile americane, ruse, chineze sau orice altceva. Dar sunt si mecanism in place, inclusiv in browsere. Daca se schimba un certtificat, browser-ul nu permite accesul. Ce putin temporar.

 

Revenind la WhatsApp, sau alte aplicatii desktop, modul de implementare nu e acelasi. Nu ai un Root CA care genereaza acele chei publice si private. Cheile sunt generate local, de catre telefon. Iar daca relatia de trust se face intr-un mod sigur (e.g. cum vezi cheia publica GPG a unuia pe Twitter-ul lui, sau ti-o da pe hartie), atunci totul o sa fie in regula, nimeni nu o sa poata face nimic. Se pare ca public key fingerprints sunt ceea ce foloseste Signal Protocol de exemplu.

 

Tu pierzi din vedere tot acest proces si vezi lucrile la modul simplu in care se schimba niste chei publice, faci MiTM si kaboom, ai acces. Nu esti singura persoana care s-a gandit la asa ceva. 

 

Revenind la partea de monitorizare in cazul in care NSA are acces la root CAs, exista solutii simple: own PKI. Se pot genera usor root CAs, se pot verifica certificate emise si tot asa. Daca vrei sa comunica "secure" cu un server, o poti face, trecand peste orice paranoia, folosind aceasta metoda (de exemplu). Adica tu consideri trusted doar acel root CA.

 

Criptografia ajuta mult, trebuie doar inteleasa si facuta corect.

 

Si nu te mai supara atat ca nu are sens.  

[sinacor390]

49 minutes ago, Nytro said:

Nu ai inteles, dar incepe sa se lege treaba.

1. Partea de criptare se realizeaza prin criptare simetrica unde cheile se schimba folosind cheia asimetrica

2. Partea de trust, de verificare, se realizeaza prin certificate sau semnaturi digitale

 

Criptografie nu inseamna doar AES ci ai: criptare simetrica, asimetrica, semnaturi, hashuri, hmac-uri, certificate, authorities etc.

 

 

Acum eu cred tu confuzi ceva. Exista doua tipuri de Man in the Middle si tu te gandesti ca doar unul exista.

Atacul 1. Man in the Middle prin care NSA, ISPs schimba certificatul SSL prin care compromite domeniul whatsapp.com si te redirectioneaza catre un serverul administrat de NSA. Eu nu vorbeam de acest scenariu. Plus ca e in scenariu mai complicat ca totusi si serverul whatsapp ar trebui sa aibe baza de date si sa fie actualizat cu noul cod sursa al serverul web ca sa nu existe probleme de compatibilitate.

 

Atacul 2. Man in the Middle prin care serverul whatsapp targheteaza anumiti utilizatori (gen Alice sau pe Bob) prin care inlocueste cheile publice a celor cu care comunica respectivii.

 

Cred ca tu nu iei in calcul ca exista doua tipuri de atacuri bazate pe Man in the middle. Eu cand am inceput sa vorbesc de MiTM pe whatsapp, vorbeam de atacul nr 2. Ulterior am vorbit cum NSA poate sa compromita si certificatele SSL. Dar NSA nu s-ar chinui asa de rau ca META si Zuckerberg suge pula NSA-ului in fiecare zi.

Edited 7 hours ago by sinacor390

[Noriega]

6 hours ago, aelius said:

Iti poate povesti si @Noriega despre cum s-au folosit de legislatie pentru a da gmail toate datele despre utilizator (tot in Franta). Totul fara un proces si fara a fi necesar de chestii complexe, precum mitm sau criptografie.

Pe vremea aia era inca parfum. Google isi punea armata de avocati sa blocheze cererile respective si doar daca se ingrosa treaba dadeau informatiile mai departe. Iti trimiteau din timp o notificare prin care te avertizau ca a fost facuta o cerere legala sa dea mai departe informatiile pe care le au despre tine. Acum primesti notificare doar la 6 dimineata cand iti bat mascatii la usa.

Edited 7 hours ago by Noriega

[sinacor390]

1 hour ago, Noriega said:

Pe vremea aia era inca parfum. Google isi punea armata de avocati sa blocheze cererile respective si doar daca se ingrosa treaba dadeau informatiile mai departe. Iti trimiteau din timp o notificare prin care te avertizau ca a fost facuta o cerere legala sa dea mai departe informatiile pe care le au despre tine. Acum primesti notificare doar la 6 dimineata cand iti bat mascatii la usa.

 

Probabil peste 10 ani nici notificare la 6 dimineata nu iti mai dau. Te trezesti direct in Desert pe undeva ca in Mad Max si o drona e trimisa spre tine sa te extermine ca cica esti Cyber Terorist.

Edited 6 hours ago by sinacor390