Привет, %username%!
13 июня 2019 года компания Yubico, производитель устройств для двухфакторной аутентификации, выпустила уведомление о безопасности, в котором говорится о критической уязвимости некоторых устройств Yubikey FIPS. Давайте посмотрим, что это за уязвимость и как её можно было предотвратить.
Читать полностью »
Рисовальная машина за работой, © axisdraw.com
Электронная подпись в России впервые появилась в январе 2002 года вместе с принятием первого закона «Об электронной цифровой подписи» (1-ФЗ). Затем, спустя 9 лет, в апреле 2011 появился новый закон «Об электронной подписи» (63-ФЗ). Спустя еще 8 лет, в начале лета 2019, в СМИ стали появляться леденящие душу публикации о том, как с помощью электронной подписи воруют квартиры, как мошенники оформляют на ничего не подозревающих граждан фиктивные фирмы, и так далее, и тому подобное.
Давайте без лишних эмоций попробуем разобраться в сложившихся проблемах и подумаем, как их можно исправить.
Казалось бы, совсем недавно мы собирались вместе, чтобы послушать доклады о самом актуальном в ИБ, попробовать своими руками сделать что-то кибербезопасное, посмотреть на cold-boot-attack и просто хорошо провести время.
Год пролетел незаметно, и уже 26 июня, как всегда — в Питере — мы ждем всех, для кого кибербезопасность — не пустой звук, на «Очной ставке» NeoQUEST-2019! Под катом — о докладах и воркшопах, welcome!Читать полностью »
Привет, %username%!
Недавно мы вернулись с конференции EuroCrypt 2019, где познакомились с чрезвычайно умными людьми и заодно узнали новые, чрезвычайно обидные факты о ГОСТовском SBox.
Так что, это второй подход к снаряду. Исправленный и дополненный.
В этот раз не будет непонятных красно-синих слайдов, зато будут оригинальные документы из комитета ISO c объяснениями авторов Кузнечика.
И даже челлендж в конце!
Поехали.
Читать полностью »
В текущем конфликте «Яндекса» и ФСБ по поводу выдачи сессионных ключей шифрования правительство РФ выступило на стороне частной компании. В ответ на просьбу прокомментировать ситуацию вице-премьер Максим Акимов заявил, что правительство сделает все, чтобы «Яндекс» не пострадал от административного давления.
«„Яндекс”; очень важен для национальной и даже глобальной экономики. Я думаю, мы сделаем всё от нас зависящее, чтобы бизнес-компании, которые обеспечивают России по ряду очень чувствительных позиций глобальное лидерство, никак не пострадали», — сказал Акимов.
Читать полностью »
Больше года назад стало известно о планах мессенджера Telegram выпустить собственную децентрализованную сеть Telegram Open Network. Тогда стал доступен объемный технический документ, который, предположительно, был написан Николаем Дуровым и описывал структуру будущей сети. Для тех, кто пропустил — рекомендую ознакомиться с моим пересказом этого документа (часть 1, часть 2; третья часть, увы, всё ещё пылится в черновиках).
С тех пор никаких значимых новостей о статусе разработки TON не было, пока пару дней назад (в одном из неофициальных каналов) не появилась ссылка на страницу https://test.ton.org/download.html, где размещены:
◦ ton-test-liteclient-full.tar.xz — исходники лёгкого клиента для тестовой сети TON;
◦ ton-lite-client-test1.config.json — конфигурационный файл для подключения к тестовой сети;
◦ README — информация о сборке и запуске клиента;
◦ HOWTO — пошаговая инструкция о создании смарт-контракта с помощью клиента;
◦ ton.pdf — обновлённый документ (от 2 марта 2019 г.) с техническим обзором сети TON;
◦ tvm.pdf — техническое описание TVM (TON Virtual Machine, виртуальной машины TON);
◦ tblkch.pdf — техническое описание блокчейна TON;
◦ fiftbase.pdf — описание нового языка Fift, предназначенного для создания смарт-контрактов в TON.
Повторюсь, официальных подтверждений страницы и всех этих документов со стороны Телеграма не было, но объем этих материалов делает их достаточно правдоподобными. Запуск опубликованного клиента совершайте на свой страх и риск.
ОС Sailfish, которая известна еще и как ОС «Аврора», получила сертификаты соответствия ФСБ России АК2/КС2. Таким образом, эта операционная система стала первой в России ОС, получившей сертификаты такого уровня. Что касается самой операционной системы, то речь идет о Sailfish Mobile OS Rus со встроенным средством криптографической защиты информации (СКЗИ) «СледопытSSL».
Получение сертификатов означает, что операционная система прошла проверку на соответствие «Требованиям к средствам защиты информации ограниченного доступа, не содержащей сведений, составляющих государственную тайну, от несанкционированного доступа» по классу защиты АК2 и «Требованиям к средствам криптографической защиты информации, предназначенным для защиты информации, не содержащей сведений, составляющих государственную тайну» класса КС2.
Читать полностью »
Тайно проникнуть в намерения и замыслы противника, выявить его сильные и слабые стороны, предугадать, а часом и предотвратить планы — вот что представляет собою феномен разведки. Начало прошлого столетия по праву заслуживает звания века расцвета искусства разведки и контрразведки. Это статья не воспевание гимна Германии времен Второй Мировой, а еще одно напоминание о том, насколько много усилий было приложено для победы в далеких 40-х годах прошлого столетия. Ведь уже к началу Второй Мировой Германия стала мировым лидером по производству специальной техники в данной области. Разнообразные магнитофоны, в том числе и малогабаритные, миниатюрные микрофоны, системы подслушивания считались лучшими в мире, ведь они были разработаны в соответствии в последними достижениями немецкой науки в области радиотехники и химии.
Всего несколько экземпляров Энигмы, самой сложной шифровальной машины гитлеровского рейха, смогли пережить войну: преданные солдаты фашистской армии, сдаваясь, уничтожали ее тысячами. Сегодня о технике шифрования, применяемой в легендарной «Загадке» мало кто может рассказать.
Читать полностью »
function getAbsolutelyRandomNumer() {
return 4; // returns absolutely random number!
}Как и в случае с концепцией абсолютно стойкого шифра из криптографии, реальные протоколы “Publicly Verifiable Random Beacon” (далее PVRB) лишь пытаются максимально приблизиться к идеальной схеме, т.к. в реальных сетях в чистом виде она неприменима: договариваться надо строго об одном бите, раундов должно быть много, а все сообщения должны быть идеально быстрыми и всегда доставляться. Разумеется, в реальных сетях это не так. Поэтому, при проектировании PVRB под конкретные задачи в современных блокчейнах, помимо невозможности контроля получаемого рандома и криптографической стойкости, возникает еще много чисто архитектурных и технических проблем.
Будучи разработчиком PyGOST библиотеки (ГОСТовые криптографические примитивы на чистом Python), я нередко получаю вопросы о том как на коленке реализовать простейший безопасный обмен сообщениями. Многие считают прикладную криптографию достаточно простой штукой, и .encrypt() вызова у блочного шифра будет достаточно для безопасной отсылки по каналу связи. Другие же считают, что прикладная криптография — удел немногих, и приемлемо, что богатые компании типа Telegram с олимпиадниками-математиками не могут реализовать безопасный протокол.
Всё это побудило меня написать данную статью, чтобы показать, что реализация криптографических протоколов и безопасного IM-а не такая сложная задача. Однако, изобретать собственные протоколы аутентификации и согласования ключей не стоит.
В статье будет написан peer-to-peer, friend-to-friend, end-to-end зашифрованный instant messenger с SIGMA-I протоколом аутентификации и согласования ключей (на базе которого реализован IPsec IKE), используя исключительно ГОСТовые криптографические алгоритмы PyGOST библиотеки и ASN.1 кодирование сообщений библиотекой PyDERASN (про которую я уже писал раньше). Необходимое условие: он должен быть настолько прост, чтобы его можно было написать с нуля за один вечер (или рабочий день), иначе это уже не простая программа. В ней наверняка есть ошибки, излишние сложности, недочёты, плюс это моя первая программа с использованием asyncio библиотеки.
Читать полностью »