Nytt krypto fungerar bara där du förväntas vara tar upp ett iofs intressant fenomen där det går att koppla ett visst kvantfenomen till en given position. Idén är att använda detta för att skapa ett nyckelutbyte mellan två parter och att detta därmed skulle öka säkerheten. Jag tycker att det är ett intressant forskningsresultat, men har svårt att se den praktiska nyttan med tekniken.

Kommersiell kvantkrypterare knäckt handlar om hur några forskare lyckats attackera ett befintligt system för kvantbaserad kommunikation. Jag tycker att artikeln visar att kvantkryptering inte är den perfekta säkra kommunikationslösningen som kommer att stoppa alla attacker. Som vi sett tidigare (tack för tipset, Måns) har andra sedan tidigare (på C26C3) presenterat fungerande avlyssning på den här typen av system.

Och, jag är rätt allergisk mot begreppet kvantkryptering. Det må vara en metod för att kommunicera konfidentiellt genom att kvantkommunikationen störs om någon försöker avlyssna. Men det är inte en krypteringsmetod där en delad hemlighet används för att transformera meddelandet på ett sådant sätt att ingen utomstående kan förstå meddelandet. Det senare är vad iaf uppfattar som betydelsen av kryptering.

No related posts.

Related posts brought to you by Yet Another Related Posts Plugin.

Det finns flera källor för information om nyckellängder. Den som ofta förekommer är den i idag något gamla boken Applied Cryptography av Bruce Schneier som i kapitel sju har ett längre resonemang om olika nycklar och längder.

Vidare har NIST publicerat rekommendationer om nyckellängder, deras rekommendationer är dock från 2007. Även IETF har publicerat en RFC, RFC 3766 - Determining Strengths For Public Keys Used For Exchanging Symmetric Keys som innehåller ett längre resonemang om nycklars styrka, hur nyckellängder behöver skala med tiden, samt rekommendationer för assymetriska nycklar.

Det många av dessa källor tyvärr har gemensamt är att dom inte uppdateras speciellt ofta (alls). Webb-baserade källor borde därför vara av intresse att titta närmare på.

WIkipedia har förvirrande nog (minst) två sidor i ämnet, dels en sida om nyckellängder och en sida om kryptonycklar, båda med text om nycklar och längder. Borde nog slås samman och städas upp för att det skall bli användbart.

När jag letat runt efter olika referenser hittade jag att belgiska konsultfirman BlueKrypt har en fin sida som sammanställer rekommendationer om nyckellängder.

Den i mitt tycke bästa källan är dock en rapport. ECRYPT Yearly Report on Algorithms and Key Lengths, utgiven av det EU-finansierade ECRYPT II-projektet.

Som namnet antyder är det här en rapport som uppdateras en gång om året. Den senaste versionen kom ut sommaren 2009. Rapporten innehåller ett ordentligt resonemang om hur nycklars styrkor bör värderas (inklusive diskussioner om metoder som NIST, IETF och andra använder). Resonemanget leder så småningom fram till ett antal rekommendationer.

En viktig sak man gör i ECRYPT II-dokumentet är att sätta in styrkan i nycklar i hur kostsamt (rent ekonomiskt) det är att attackera en viss längd:

Jämför dom sedan olika typer av nycklar – symmetriska, assymetriska baserade på RSA, logaritmer eller ellitic curves får kommer dom med följande rekommendationer:

Slutligen sätter dom in längderna i ett tidsperspektiv – hur lång tid kan man anta att en nyckel med en viss längd ger ett skydd:

Vill du skydda något i 10 år från idag bör du alltså välja minst 96 bitars symmetrisk nyckel eller en RSA-nyckel på drygt 2400 bitar.

Allt detta förutsätter dock att algoritmerna som används inte har några svagheter. Den andra delen av ECRYPTS rapport innehåller en genomgång av de vanligaste algoritmerna inom olika kategorier – krypton, hashfunktioner, signaturer etc (DES, 3DES, AES, RSA, MD5, SHA etc). För varje kategori och specifik algoritm presenterar ECRYPT aktuell status vad gäller säkerhet och kommer med rekommendationer om vad man bör och inte bör använda. Mycket bra läsning.

En sista sak: exportreglerna för krypto i Sverige säger maximalt 56 bitar symmetrisk kryptering och maximalt 512 bitars assymetrisk kryptering (antagligen RSA) eller 112 bitar (antagligen elliptic curve).

No related posts.

Related posts brought to you by Yet Another Related Posts Plugin.

Just nu finns det inte så mycket information på webbsidan annat än beskrivning av syftet och vad som avses att komma:

Här ska du snart hitta stora delar av det stödmaterial du behöver för att arbeta med informationssäkerhet på ett systematiskt sätt. Informationsmängden på webbplatsen är i nuläget begränsad men kommer att växa efter hand.

På webbplatsen publicerar vi inte bara färdiga produkter. Det är lika viktigt att ta tillvara kunskap och erfarenhet från praktiskt informationssäkerhetsarbete. Du kan följa och delta i arbetet med att ta fram stöd genom att lämna synpunkter på dokument under framställan. Målet är att skapa praktiskt användbara och konkreta resultat med en bred förankring.

Mycket på webbsidan handlar om dokument och processer för att arbeta med Informationssäkerhet. Det finns bland annat en fin vattenfalls-figur på sidan om

Tyvärr verkar det inte gå att surfa säkert till Informationssäkerhet.se. Försöker man ta sig dit med HTTPS får man ingen kontakt.

No related posts.

Related posts brought to you by Yet Another Related Posts Plugin.

Piratkopierade väskor© DN.

På temasidorna finns ett flertal artiklar som beskriver vad avtalet handlar om, ACTA-förhandlingarna och mycket mer. Bra tjänst för den som är intresserad av att veta mer om ACTA.

No related posts.

Related posts brought to you by Yet Another Related Posts Plugin.

Notera att väskan är låst med ett hänglås som låser ihop dragkedjans två dragmekanismer. Kommentaren på slutet är väl värd att lägga på minnet: Du är ansvarig för det som finns i din resväska. Det stora bekymret är egentligen inte att det går att öppna en resväska man tror är låst, utan att det går att återförsluta den så att det inte finns något som visar att ett intrång skett.

Lärdomen från denna film borde vara att inte använda resväskor med dragkedjor.

No related posts.

Related posts brought to you by Yet Another Related Posts Plugin.

Mark Klamberg

Mark Klamberg, doktorand i folkrätt vid Stockholms universitet är som vanligt lysande och väl värd att läsa. Och hör sedan av dig till din riksdagledamot.

Uppdatering: DN hade även en chatt med Sten Tolgfors i frågan. Kan vara värd att läsa och jämföra med Mark Klambergs svar.

No related posts.

Related posts brought to you by Yet Another Related Posts Plugin.

Ivan Krstić

När Ivan är ute och håller föreläsningar om säkerhet får han tydligen ofta frågor om programspråk och säkerhet, och har därför satt samman en sammanställning som, utifrån vilken angreppspunkt man har leder till olika källor att studera närmare. Ivan skriver:

If I had to grossly overgeneralize, I’d say people looking at language security fall in roughly three schools of thought:

1. The “My name is Correctness, king of kings” people say that security problems are merely one manifestation of incorrectness, which is dissonance between what the program is supposed to do and what its implementation actually does. This tends to be the group led by mathematicians, and you can recognize them because their solutions revolve around proofs and the writing and (automatic) verification thereof. 2. The “If you don’t use a bazooka, you can’t blow things up” people say that security problems are a byproduct of exposing insufficiently intelligent or well-trained programmers to dangerous language features that don’t come with a safety interlock. You can identify these guys because they tend to make new languages that no one uses, and frequently describe them as “like popular language X but safer”. 3. The “We need to change how we fundamentally build software” people say that security problems are the result of having insufficiently fine-grained methods for delegating individual bits of authority to individual parts of a running program, which traditionally results in all parts of a program having all the authority, which means the attack surface becomes a Cartesian product of every part of the program and every bit of authority which the program uses. You can spot these guys because they tend to throw around the phrase “object-capability model”.

Now, while I’m already grossly overgeneralizing, I think the first group is almost useless, the second group is almost irrelevant, and the third group is absolutely horrible at explaining what the hell they’re talking about.

Vilken kategori tror du på, och varför?

No related posts.

Related posts brought to you by Yet Another Related Posts Plugin.

OpenSSH is the ubiquitous method of remote access for secure remote-machine login and file transfers. Many people — systems administrators, test automation engineers, web developers and others have to use and interact with it daily. Scripting SSH access and file transfers with Python can be frustrating — but the Paramiko module solves that in a powerful way.

Paramiko är en modul med en ren Pythonimplementation (dvs inget anrop till C-bibliotek, exempelvis libssl) av SSH2. Modulen är LPGL-licensierad.

No related posts.

Related posts brought to you by Yet Another Related Posts Plugin.

I rapporten Integritetsåret 2008 (pdf) beskriver inspektionen de inte mindre än 20 olika lagförslag som på olika sätt påverkade den personliga integriteten. Inspektionen skriver i sin pressrelease att:

Ipred-lagen , trafikdatalagringsdirektivet och FRA-lagen var bara tre av de lagförslag som påverkade den personliga integriteten under 2008.

I en unik sammanställning redogör Datainspektionen för över 20 sådana lagförslag. ”Integritetsåret 2008” beskriver även några av Datainspektionens mest uppmärksammade beslut under förra året och ger exempel på några av de nya teknologier som kommit att påverka den personliga integriteten.

– Det här är första gången som Datainspektionen tar fram den här typen av redogörelse, säger Datainspektionens generaldirektör Göran Gräslund.

En av tankarna med ”Integritetsåret 2008” är att väcka frågor som: Hur påverkas den personliga integriteten inte bara av ett visst lagförslag utan av alla lagar och föreslagna lagar tillsammans? Vilket blir det samlade ”trycket” mot den personliga integriteten när man väger samman alla stora myndighetsregister och hur dessa utbyter information? Hur mycket mindre blir den fredade zon vi alla har rätt till när nya tekniker som GPS och RFID används för att övervaka oss på allt fler sätt?

Datainspektionens GD Göran Gräslund.

Frågan Göran Gräslund ställer är mycket viktig, och bristen på helhetssyn blir tydlig när man läser den i många fall skrämmande rapporten. Därför är den här rapporten viktig och väl värd att läsa.

Datainspektionens rapport tar även upp de förslag som kommit under 2008 på EU-nivå, och på EU-nivå finns det redan fler förslag. Telekompaketet och IPRED2 är några exempel.

För ett drygt år sedan skrev jag om Lars Ilshammars utmärkta rapport När datorerna blev farliga som behandlar synen på datorer och databehandling förändrades under 60-70-talet och den personliga integriteten verkligen debatterades. Kontrasten i synsätt hos politikerna då och 2008 så som den beskrivs i Datainspektionens rapport är väldigt tydlig. Hemskt tydlig.

En sak inspektionen tar upp i sin rapport är hur personuppgifter skall skyddas. En vinkling på den frågan är den om rätten att vara anonym. Erik Josefsson har ställt en i mitt tycke viktig fråga om anonymiseringstjänster till kommissionen. Josefsson skriver:

Behovet av pålitliga system för anonym uppgiftslämning har uppmärksammats i samband med rättegångar som avser grova brottmål[1] och ekobrottslighet [2]. Stora värden kan gå förlorade om vanliga medborgare inte vågar ta kontakt med journalister eller polis [3]. Utvecklingen av elektroniska anonymiseringstjänster har kommit långt i Sverige. De används både av privatpersoner och företag, både på Internet och i intranät, för både privata och kommersiella ändamål.

1. Avser kommissionen lägga förslag som förbjuder sådana tjänster inom vissa områden?

2. Anser kommissionen att enskilda medlemsländer har rätt att förbjuda sådana tjänster?

3. Anser kommissionen att rätten till elektronisk anonymitet är eller bör garanteras på i EU-nivå?

[1] Polisen varnar för ny Bandidos-etablering i Västerås http://www.vlt.se/artikelmall.asp?version=530104

[2] Bank Julius Baer vs. Wikileaks http://wikileaks.org/wiki/Bank_Julius_Baer_vs._Wikileaks

[3] 1995 Supreme Court ruling in McIntyre v. Ohio Elections Commission:

Protections for anonymous speech are vital to democratic discourse. Allowing dissenters to shield their identities frees them to express critical, minority views . . . Anonymity is a shield from the tyranny of the majority. . . . It thus exemplifies the purpose behind the Bill of Rights, and of the First Amendment in particular: to protect unpopular individuals from retaliation . . . at the hand of an intolerant society.

Att kunna vara anonym är extremt viktigt för att den bevakning av makten som sker av journalister skall kunna fungera. Men även i vardagen är det viktigt att vi själva kan välja att vara anonyma, att inte behöva legitimera sig i onödan. Att ha ett privatliv.

Behöver det ex finnas spårbarhet över alla skumbananer jag köper ca 17:45 vid Svingelns hållplats?

No related posts.

Related posts brought to you by Yet Another Related Posts Plugin.