För en tid sedan skrev Bruce Schneier om en undersökning av vilka lösenord som verkligen används. Hans text är väl värd att läsa. Men Dilbert har en humoristisk sammanfattning – inte helt korrekt kanske, men rolig:
Archive for January, 2007
Lösenord i verkligheten
January 20th, 2007Regeringen smyger med nya regler för FRA
January 20th, 2007Sedan en tid tillbaka pågår en ganska häftig debatt om de nya lagar som reglerar FRAs verksahmet som föreslagits. Jag har inte bloggat om detta så mycket innan. Skälet är att jag faktiskt inte vet var jag står i frågan. Jag tänker bland annat så här:
- Ja, det är ännu ett intrång på den personliga integriteten, och jag saknar information om faktiskt nytta och inte minst kostnad och omfattning av lagring och analys som krävs för att avlyssningen skall vara användbar.
- Ja, det blir jättesvårt att dra gränsen för vilken trafik som får avlyssnas och inte. Hur datatrafik flödar är inte lätt att avgöra och även rent inhemsk trafik tar ibland genvägen via utlandet.
- Men helt klart är att allt mer information skickas på andra sätt än med radio. Och om information som kan vara avgörande för rikets säkerhet även den allt mer sällan skickas med radio, och finns det ett vettigt skäl att ha signalspaning måste vi tillåta att det sker även för andra kommunikationsfomer.
En fråga jag ställer mig är dock hur mycket intressant information som går att få ut. Jag utgår ifrån att alla riktiga skurkar som kan utgöra ett väsentligt hot mot rikets säkerjet sedan länge använder bra krypto. Trafikanalys kan naturligtvis ge en hel del information.
NÃ¥. Det jag dock inte tycker om med hela den här affären är hu regeringen verkar handla. Ett stort antal kritiska instanser – exempelvis SÄPO, Justitiedepartementet, Registernämnden, Justitiekanslern ser stora problem och faror – inte minst möjliga brott mot sÃ¥väl grundlagen som Europakonventionen. Dessa som jag uppfattar det tunga och i sak insatta instanser viftas bort med uttryck som revirpinkeri av regeringen. Vidare verkar regeringen försöka smyga igenom lagförslaget!
Skall vi inskränka integriteten och ta fram verktyg för att skydda vÃ¥r demokrati skall vi göra det pÃ¥ rätt sätt – genom att följa den demokratiska processen, genom saklig debatt, analys och genom att följa lagen. Allt annat är, anser jag pinsamt. TÃ¥l inte lagförslaget att utsättas för dagsljus är det antagligen inte ett speciellt lämpligt verktyg för att skydda oss – och detta verkar regeringen vara medveten om.
SASC 2007 och eSTREAM
January 20th, 2007Det börjar bli dags för årets första kryptokonferens. SASC 2007 - State of the art in Stream Ciphers går av stapel 2007-01-31. Konferensen är fokuserad på eSTREAM-projektet, och tittar man igenom programmet ser det ut att presenteras en hel del spännande saker på konferensen.
På konferensen kommer bland annat kryptanalys och attacker mot fokuskandidaterna Trivium, Salsa20 och Py presenteras. Vidare fortsätter trenden med sidoattacker mot krypton med flera olika typer av sidoattacker. Slutligen kommer det att presenteras en hel del ny information om prestanda och implementationsresultat av krypton. Då jag själv ägnat en del tid i höst med att implementera MICKEY-128 och några andra fas2-kandidater i hårdvara ser jag fram emot att läsa de här artiklarna:
- FPGA Implementations of eSTREAM Phase-2 Focus Candidates with Hardware Profile Philippe Bulens, Kassem Kalach, François-Xavier Standaert and Jean-Jacques Quisquater
- Hardware evaluation of eSTREAM Candidates: Grain, Lex, Mickey128, Salsa20 and Trivium. Marcin Rogawski
- Software Implementation of eSTREAM Profile I Ciphers on embedded 8-bit AVR Microcontrollers. Gordon Meiser, Thomas Eisenbarth, Kerstin Lemke-Rust and Christof Paar
- Studying hardware/software codesign for stream ciphers. Patrick Schaumont and Ingrid Verbauwhed
Är det någon läsare som skall till SASC 2007 skulle jag uppskatta att få en reserapport att publicera på bloggen. Själv har jag inte tid då jag skall börja jobba i Lund på måndag.
PMD – Pigs of Mass Destruction
January 20th, 2007(Detta är inte direkt normal IT-säkerhet, men det handlar om attacker som utförs över Internet sÃ¥...) Jag är fascinerad av de stora virtuella världar som skapats, och dÃ¥ speciellt hur dessa pÃ¥ olika sätt växer samman och blir en del av den fysiska världen. Personer som köper öar i Entropia för riktiga pengar – och blir rik pÃ¥ det, är ett exempel.
I världen Second Life sker det uppenbarligen en hel del märkliga saker (nej jag spelar inte själv). Bland annat har man problem med utbrott av gray goo (är grå gojja ett vettigt ord på svenska för detta?). Men den senaste tiden har det stora problemet tydligen varit Front National. Detta parti, som i den fysiska världen är motståndare till utlänningar, tyckte tydligen att ett kontor i Second Life var en bra idé. Reaktionen lät inte vänta på sig.
Spelare i Second Life har organisterat demonstrationståg, bombat kontoret med virtuell grafitti och på andra sätt protesterat mot partiets etablering.
Det har även bildats motståndsorganisationer, exempelvis Second Life Left Unity (SLLU) som byggt hus bredvis Front Nationals kontor.
En del spelare har gått längre än så, och angripit kontoret med mer eller mindre traditionella vapen.
En av de mer surrealistiska vapen som använts är de rosa grisarbomber som någon skapat. Dessa söta varelser kastas på kontoret där de exploderar och sprider bacon över nejden. Kanske tur att det inte finns ett luktgränssnitt.
(Se upp, den där grisen håller på att brisera!)
Enligt SLLUs webbplats har nu Front National lagt ner sitt kontor. Frågan är vad dom avsåg att åstadkomma med sin närvaro i spelet?
Frenologi – nej biometri
January 18th, 2007Här kommer en ny biometripryl som hämtad direkt frÃ¥n B-films SciFi-världen: Biometri baserad pÃ¥ dina hjärnvÃ¥gor. Grundtanken är att det mönster av elektrisk aktivitet som gÃ¥r att mäta upp hos din hjärna är unikt. Genom att registrera ditt mönster kan man sedan använda matchning vid efterföljande avläsningar för att identifiera dig. LÃ¥ter väl bra, eller? Kanske inte – sÃ¥ här skall avläsningen gÃ¥ till:
The authentication system requires a user to have EEG measurements taken beforehand with further measurements for each authentication test. This is done via a removable cap, which communicates wirelessly with a computer that analyses the data gathered. The cap has fewer electrodes than are normally used for EEG measurements, but can still provide enough information for authentication, according to Tzovaras.Currently users must sit quietly with their eyes shut during each test. “We ask them to close their eyes and not speak”,” Tzovaras says, which provides “a much clearer picture”.
Hmmm, sitta med en badmössa på huvudet, blunda och inte tala låter kanonsmidigt. Kanske något för SAS att satsa på, nu när flygsäkerheten skall säkras upp med biometri. Fördelen gentemot fingeravtrycksbaserad biometri är ju att man förhoppningsvis inte lämnar sitt unika hjärnmönster efter sig i vardagen. Då har det nog hänt något hemskt.
Visst, mer allvarligt sett är det intressant att man säger sig kunna identifiera individer genom att mäta hjärnmönster – den teknologin pekar pÃ¥ intressanta resultat i förmÃ¥gan att detektera och tolka hjärnmönster över huvud taget. Men den praktiska användningen för säkerhetsapplikationer är än sÃ¥ länge ganska otrolig. Jag noterar även att det faktiskt inte stÃ¥r hur unikt det mönster man kan mäta upp faktiskt är. Är det mer unikt än ett fingeravtryck eller en pinkod? GÃ¥r det att förändra, eller fejka mönstret? Det kanske räcker med att titta i kors för att byta identitet…
Mobil störsändare i ett cigarettpaket
January 18th, 2007Webbplatsen ladyada.net har publicerat en konstruktion av en mobil störsändare som går att bygga in i ett cigarettpaket:
Störsändaren, som antagligen är helt olaglig att använda, har förmåga att lyssna av sitt radioområde och ställa in sig för att störa ut radiosändningar. Tanken är att det runt störsändaren bildas en bubbla där radiotrafik inte fungerar.
En bra RFC om DoS-attacker
January 11th, 2007
Jag skrev precis om RFC 4772. En annan intressant RFC som nyligen publicerats är RFC 4732 - Internet Denial-of-Service Considerations. RFC:ns sammanfattning lyder så här:
RFC:n beskriver hur överbelastningsattacker fungerar, vad i protokoll, applikationer och system som gör dom möjliga eller förvärrar problemet, hur mer avancerade distribuerade attacker och förstärkningseffekter kan uppkomma på Internet. Utifrån dessa beskrivningar övergår sedan RFC:n till att beskriva vad man skall tänka på vid design, implementation och konfiguration av protokoll, funktioner och applikationer. Jag tycker att detta är en RFC väl värd at ge några minuter, oavsett om man arbetar aktivt, eller bara är nyfiken.<tt>This document provides an overview of possible avenues for denial- of-service (<a href="http://www.ddos-mitigation.org/"><tt class="sitelink">DoS</tt></a>) attack on Internet systems. The aim is to encourage protocol designers and network engineers towards designs that are more robust. We discuss partial solutions that reduce the effectiveness of attacks, and how some solutions might inadvertently open up alternative vulnerabilities. </tt>
Ny RFC om DES-kryptot
January 11th, 2007(Japp, jag är tillbaka efter en låång julledighet, så nu skall det bli lite bättre fart på Kryptoblog.)
I slutet av förra året publicerade IETF ett antal nya RFC:er där några berör IT-säkerhet. En av dessa är RFC 4772 - Security Implications of Using the Data Encryption Standard (DES). Men vänta nu, tänker du säkert, varör publicera en RFC om ett krypto som NIST drog tillbaka 2005. RFC:n förklarar detta så här:Den här RFC:n definierar alltså inte en ny standard, utan kommer med information och råd om säkerhetsläget för DES, hur DES attackeras och vad man bör tänka på. RFC:n ger följande råd:<tt>The Data Encryption Standard (DES) is susceptible to brute-force attacks, which are well within the reach of a modestly financed adversary. As a result, DES has been deprecated, and replaced by the Advanced Encryption Standard (AES). Nonetheless, many applications continue to rely on DES for security, and designers and implementers continue to support it in new applications. While this is not always inappropriate, it frequently is. This note discusses DES security implications in detail, so that designers and implementers have all the information they need to make judicious decisions regarding its use.</tt>
<tt>o If possible, use 3DES rather than DES (and in any case, DO NOT make DES the default algorithm!).o Replace keys before exceeding 2^32 blocks per key (to avoid
various cryptanalytic attacks).o If there is a user interface, make users aware of the fact that
the cryptography in use is not strong, and for your particular
application, make appropriate recommendations in this regard.</tt>
Om du arbetar med att utveckla, underhålla eller på annat sätt är ansvarig för system där DES ingår tycker jag att du skall ta en titt på RFC 4772.
Cisco köper Ironport
January 10th, 2007Enligt en artikel på EE Times kommer Cisco att köpa säkerhetsföretaget Ironport. Köpet av Ironport innebär att Cisco får in ett stort antal produkter för antivirus, spamskydd i sitt sortiment.
