petters

И да не забравя бях на ето тази презентация на EOQuant 2016 , като оставим, че не впечатли пенсионерите в залата, не впечатли и мен.Нещо като Berserk навремето. Иначе рекламата, която правиш на продукта е добра .

Друже, много писане без да се казва нищо....... добра тактика за политиците, но не и за хората на науката. И аз исках да споделя някои неща тука, но не получих разрешение от колегите, от ДАНС. Така, че продължаваме с обектно-релационите недомлъвки и цифровите филтри върху информационните потоци.Понеже пиша на Паскал и на С Шарп, сега съм решил да видя дали това дето се пише на Жава за 4 дена , Делфи става за 79 минути. Хайде със здраве!

Наистина има много интересни и практични добавки за Фокса и чак пък да забавят стартирането, следните много ми харесват: 1.Click&Clean - почиства кукита, флашове, кеша в зависимост от настройките. 2.CryptoFox- набор от криптографски инструменти. 3.CryptoCat - прекрасен криптиран чат. 4.HTTPNowhere - разрешава само https ( много полезна срещу sslstrip атака) 5.Privacy Badger - възпрепятства зловредните canvas дето много се изхитриха да ги ползват разни сайтчета. Изобщо с един правилно подбран сет от добавки Фокса надминава по-сигурност Комодо Драгон.

Другия вариан е в дома си да вдигнеш един VPN сървър.За целта не е нужен дори компютър, стига и един рутер с DDWRT .Този софтуер подържа OpenVPN, който можеш да конфигурираш, да чака входяща кънекция примерно на порт 443, но ако този порт е филтриран тогава на порт 80 . Ако корпоративното IT е работливо (рядко срещана комбинация) много скоро ще те хване и IP-то на домашния ти VPN сървър ще влезе в забранителния списък.Така, че варианта с модем през 3G мрежата е по-добър. Домашния VPN сървър има други предимства - използване на интернет в потенциално опасни мрежи. За мен това всякаквите фри WiFi зони, където един малко по-запознат индивид може да вдигне sslstrip и да започне да снифи локалната мрежа за https сесии.Има много инструменти, които вършат тази работа, както и подробни туториъли в тубата.Като се почне от отколешната (но добре замислена ) sslstrip и се стигне до хакерските, линукски дистрибуции като Бектрек.На който му се занимава, може да намери много инфо и напътствия как се работи с тях, да се пробва и да види как на такива места с лекота се събират акаунти на фейс, пейпал,интернет банкирания , пощи и т.н. Като казвам интернет банкирания е редно да отбележа, че сериозните банки се постараха много и укрепиха защитите си, както и въведоха двуфакторно идентифициране на клиента примерно с токен или с код изпращам на СМС така, че при тези банкирания дори и да бъде прехванат логина без втория идентифициращ механизъм нищо зловредно не може да се направи. Да се върнем на пейката в парка или във фоаето на малкия частен хотел, където сме седнали с лаптоп и решаваме да се поровим във фейса или да прегледаме пощата си в гмаил.Накъде в района един човек е пуснал sslstrip или друг тул на компа си, пуснал е арпспуфинга и просто се радва на набъбващия лог с логини на юзери Локалната фри WiFi мрежа е прекрасно място за тази атака, а доверчивите юзери с лаптопи възползващи се от безплатния нет и възхваляващи чудесата на технологиите са жертвите на този "меден капан" Именно на такива места кънекция към домашен или офисен VPN помага да си спестите прехват на личните ви данни от хакер снифиращ тази фри WiFi мрежа.VPN ви осигурява криптиран тунел до вашия VPN сървър през, който (тунел) минава целия ви трафик и едва от IP-то на домашния ви VPN сървър заявките ви тръгват като нормални заявки към DNS, http или https .Вероятността фри зоната да я снифи хакер е много по-голяма от вероятността домашното ви ИП да го снифи хакер, а вереоятността и двете в един и същи момент да ги снифи един хакер всъщност не е случайно събитие описващо се с Теорията на Вероятностите.Защото според тази същата Теория - " ..всяка следваща случайност изключва себе си и предходната като такава.." Ако ви слушат и домашното IP и всяко към което се връзвате във фри зоните значи си имате работа с нещо друго , но за предпазване от хакерите по по фри зоните VPN върши хубава работа. Господина дето беше казал, че всичко става с GET и HOLD беше на 50% процента прав, но забрави да спомене, че никоя от гореописаните атаки не атакува криптографските алгоритми (нищо че уж били компрометирани защото били общоизвестни) атакуват се недомислици в протоколите HTTP и HTTPS и тази атака не остава незабелязана за опитния юзер.....едно катинарче стоящо пред адреса на който се логваме липсва и този, който е пропуснал това може горчиво да съжелява това е специално за атаки от типа на sslstrip. При атаки с подмяна на сертификата на сървъра (машината на атакуващия подменя оригиналния сертификат със самоподписан и генериран от нея) предупреждението е по-видимо.Появява се съобщение за недоверен сертификат, но ако юзера действа по принципа "...ми той компа ме пита нещо и аз му казах да" пак ще страда Та накрая всичко опира до човешкия фактор - ако искаш да си защитен трябва да се образоваш и пазиш, ако ползваш компютъра като телевизор с много копчета рисковете са реални. Помогни си сам, за да ти помогне и......... знаете кой П.П Кратка библиографска справка: http://www.youtube.com/watch?v=OtO92bL6pYE https://www.youtube.com/watch?v=rdTZFiStECI http://www.thoughtcrime.org/software/sslstrip/ https://www.youtube.com/watch?v=qJi-jyi6948 https://www.youtube.com/watch?v=0rrN-znx9h0 че нали си говорим едни такива неща дето не бива да се обсъждат в публичното пространство, пък те виждате ли ги има в youtube.com Всъщност ако някой наистина не иска тези неща да се коментират открито, значи иска юзерите да не се пазят .....какви ли са мотивите му, а какви ли са целите му....... Защо ли не иска юзерите да се ограмотяват?! Гадно ..., не мислите ли?! В тубата могат да се намерят презентациите на Мокси Марлинспайк пред ежегодните ДЕФКОН конференции в САЩ - много са интересни!!

В методите за заобикаляне на забраните, които смятах да предложа, варианта с 3G USB беше под номер две , определено е добър метод, но ако си в някоя компания с параноични секюритита лено ще бъде установено , че от служебния си комп си ползвал такова устройство. Когато включиш кавото и да е USB устройство то прави запис в регистрите на Виндоуса, за да се разчете този запис има фри програмки, но те не ти трябват ако знаеш къде да бръкнеш в регистрите и да прочетеш записите, които са серийни номера и вид на устройството.Разбира се ако знаеш къде да ги прочетеш спокойно можеш и да ги изтриеш и по този начин да заличиш следите Ето ти програмката с която се виждат тези неща http://www.download.bg/index.php?cls=program&mtd=default&id=433516 Ето и как се работи с регистрите http://www.forensicswiki.org/wiki/USB_History_Viewing

IT-тата могат да направят забранителен запис , който директно да посочва адреса https://facebook.com или който си искат там друг адрес. Лесния вариант е директно да забраниш порт 443 (SSL/TLS) стандартния от IANA порт, но тогава юзерите няма да могат да достъпват пощи като https://gmail.com , https://hotmail.com и други такива.Като няма да могат да достъпват интернет банкиранията си или сайтове за разплащане като epay.bg или paypal.com Този лесен за реализиране вариант ще доведе до рев от страна на юзерите и следва по-трудния вариант - прави се списък с адресите, които не трябва да са достъпни (поради някакви причини) , правят се съответните записи в защитната стена на фирмената мрежа и готово.Така може да се направи да не е достъпен facebook.com , но да е достъпен gmail.com нищо, че и двата адреса правят защитена връзка по порт 443. Записите в защитната стена на фирмата могат да обхващат различни сегменти от мрежата - сегмент шефове - достъп до всичко, сегмент счетоводство - достъп до всички касаещи ги защитени сайтове - интернет банкиране, НЗОК,НАП , но без достъп до фейсбук, сегмент обикновени юзери - пълна забрана на 443 с цел някой да не открадне и скрито да изпрати някъде "големите корпоративни тайни" . Запознатите с "анализ на поведението, на юзера" ИТ-та натегачи (натегачи пред големия корпоративен шеф) много често вдигат и едно прокси по порт 80, което събира в кеша си , всички адреси посетени от юзерите. Но накрая се оказва, че голямото корпоративно ИТ просто гледа кои порно сайтове са посещавали юзерите, прави си една нелоша колекция, която после да гледа на спокойствие или се осведомява за наклонностите на някоя палава колежка ( примерно с интереси в BDSM или strap-on ) и така си намира сродна душа за разпускащи преживявания след "тежкия корпоративен ден" защото гледането на колекцията от порно , ще се съгласите ,е " занимание самотно..." водещо до неимоверно укрепване на захвата, на дясната ръка и хипертрофия на десния бицепс Има няколко метода за заобикаляне на тези забрани и ако има интерес можем да ги разгледаме.

Чудесата нямат край....едно си баба знае , едно си бае - http://dariknews.bg/view_article.php/view_article_comments.php?article_id=1215834&order=asc# Вижете коментарите

Коледния BS не отваря следната страница https://www.ssllabs.com/index.html Защо?

Вече 24 часа продължава експеримента, на една машина работи Апач, вдигнат е елементарен https сайт, механизма за криптиране и обмен на ключовете е DHE-RSA-AES256-CBC-SHA .Една машина постоянно прави нови кънекции, друга машина с Вайършарк и снифи трафика и прави опити да клонира(условно казано) сесията към https сайта. Вайършарк-а събира данни и ги записва.Публичния сертификат на сайта, публичните ключове от Дифи-Хелман-а и криптираните данни от последващата сесия.Get-вам hold-вам и все не мога да стигна до секретния ключ получен вследствие на механизма за обмен на ключове по Дифи-Хелман. А колко ми трябва този ключ защото с него е криптиран сесийния ключ за симетричния алгоритъм AES128-CB, който криптира сесията след хандшейка(ръкостискането).....явно греша щом някой е успял да го направи с hold и get .....явно ще трябва да пиша на Уитфрид Дифи , че въпреки, че аз не се справям хората го правят и е редно да си прегледа алгоритъма Но пък може и нищо да не правя защото математиката показва, че пак са писани неща дето не са точно така както са написани Нека оставим експеримента да върви. Четем за Берсек http://g-92.com/BS_NGIT/ENU/Bersek/ революционен продукт, който е "...счупил зъбите на много именити криптографи...." , продукт, който не е "....впечатлил агенции от Изток и Запад защото не искат да се реформират, но е впечатлил една друга агенция......" (явно тази агенция е между Изтока и Запада) , продукт, който ни обещава тотална криптографска защита!! Мен лично не ме впечатляват нито агенциите от Изток, нито от Запад нито тези по средата впечатлява ме само как така тези агенции с огромен технически и научен потенциал не са оценили този гениален продукт , а го е оценила агенция , намираща се по средата и разполагаща с несравнимо по-скромен технически и научен капацитет , впечатляваме , но не много.... после ще ви кажа защо. Да погледнем тоталната криптографска защита.....звучи красиво и нелогично някак , но е истина към момента има един шифър, който осигурява тотална криптографска защита и не се поддава на математически криптоанализ, а много често не се поддава на гарантиращия успех терморектален криптоанализ Това е шифъра на Вернам или One Time Pad или Одноразовий блокнот (няма да търся онази руска буква, която ще направи изписването граматически правилно) .В компютърна реализация този шифър се прави с операцията XOR . През 40-те години на 20-ти век Клод Шенън доказва, че този шифър е неразбиваем за когото и да било, без значение каква изчислителна мощ има ,но при определени условия.Тези условия на съвремения език на криптографията се наричат политика за употребата на ключовете!! Условията: 1.Двамата кореспонденти разполагат с предварително споделени по сигурен канал за връзка секретни ключове.Ключовете са еднакви защото този алгоритъм е симетричен. 2.Съобщението криптирано с даден ключ може да е равно или по-малко по дължина от дължината на ключа. 3.Един криптиращ ключ се използва само ВЕДНЪЖ за криптиране на съобщение и след като реципиента потвърди правилното декриптиране на съобщението двете страни унищожават използвания ключ. Може да ви се струва невероятно, че в ерата на свръхкомпютрите този шифър е непробивамем, но това е е така при правилна политика на ключовете. Берсек е модифициран вариант на шифъра на Вернам, Вернам е непробиваем ако са спазени условията 1-3, сигурен съм, че и Берсек е непробиваем, защото са спазени условията 1-3 (би било безумие ако не са спазени, защото тогава става лесно разбиваем ).Та кое му е революционното като почива на стар и общоизвестен шифър, който според едно друго изказване на г-н.Герасимов след като е общоизвестен значи е компрометиран Нещо си противоречат изказванията на г-н.Герасимов, но явно не е проблем един шифър да е общоизвестен след като е вграден в негов продукт Сега да ви обясня и защо Берсек може да е впечатлил една агенция по средата между Изтока и Запада - агенциите по средата имат голям опит в използването на шифъра Вернам (шифъра с еднократен ключ) в ръчен и в машинен вид.Математиците работещи в тези агенции са умни образовани хора, но начлниците им не блестят с големи познания в математиката (меко казано) а облика обикновенно го дават началниците.Шифъра с еднократен ключ лесно можеш да го обясниш на такъв тип прости началници и лесно можеш да им докажеш, че е непробиваем (при правилната политика по отношение на ключовете). Но я се опитайте да им обясните Файстел решетката и базираните на нея модерни машинни криптографски алгоритми... кауза пердута А като им кажете, че това работи в онзи телевизор с много копчета наречен компютър недоумението им се замества с пълен ужас Казано е - Незнанието ражда чудовища, изхранването на, които е скъпо занимание Така че печели стария шифър ама и той в компютърна реализация плаши много.....ще трябва още убеждаване и още красноречие от страна на г-н.Герасимов Освен това видно от законите на тези агенции става ясно, че само алгоритми родно производство и неизвестни никому могат да бъдат сертифицирани.Ето още една пречка пред използваните от света общодостъпни криптоалгоритми Та това е картината между Изтока и Запада , аз не съм сигурен кой не иска да се реформира Изтока и Запада ли или тия по средата . Но дори и след всички разкрития на Сноудън вече съм спокоен, че АНС е просто една смешна организация щом препоръчва, компрометирани (заради тяхната общоизвестност)криптографски алгоритми, за криптиране на информация класифицирана като сикрет и топсикрет. http://www.nsa.gov/ia/programs/suiteb_cryptography/ Както казва Героя на Христо Гърбов - Пегъзи Музовски -"Къде са те къде сме ние!!!" П.П.Темата се превърна в монолог, но криптографите капацитети не искат да участват в разискванията.....те си знаят поради какви причини.Аз търпеливо ще почакам и ако не се появят ще поговорим и за 3G шифъра А5/3 дето е обявен за разбита, ама от статията дето е посочил г-н.Герасимов е спестено всичко освен увода Той се позовава на една статия, на която сякаш е прочел само въведението (за опростяването на сложноста), но не и съдържанието, па камо ли завършека (където е описано защо приложената техника не може да се приложи в реалният свят). Успех на всички!!

На едно място Аватара беше казал, че не той избира кога и къде да пише.....явно сега пак са го ограничили в правото да избира къде и кога да пише.....Колко жалко.Дано тези сили , които му налагат скоро се смилят над нашите научни интереси. Аз отивам да пробвам HOLD и GET слушайки един трафик криптиран с DHE-RSA-AES256-CBC-SHA може пък и да хвана нещо по-интересно от RSA сетификата на сървъра, който вдигнах за експеримента, и обмена на ключове по Дифи-Хелман Все съм се чудел на колегите ми физици защо толкова величаят формулата E=mc^2 ??? Аз харесвам G^x mod P .....всъщност харевах, но сега съм малко раздвоен след като ми обясниха, че асиметричните криптографски алгоритми са фейк :haha: в сравнение с OTP (шифъра на Вернам) и едноразов ключ генериран по метода на обектната релация П.П. На сайта g-92.com в превода на английски си оправете името Верман (ще видите какво сте написали ) , както и името на продукта Vilas...писано е Veles ..Все пак като математици трябва да сме екзактни .....или греша?

И аз да представя една задача за напреднали и ненапреднали курсисти Мисля, че около 60 секунди за справяне са напълно достатъчни още повече , че става дума за напълно компрометиран , публично известен криптографски алгоритъм и не е чупил зъбите на криптографите B9DGUxMTExOJrHnGI5AJ7yksy14zpENbGI+KZdnrc78JlPQbezUrvZjiPdb1WIugFlirAA6M4wYfmrPvz1gfyQGwPbtwQ/tMP+v3VlUfhVU= Криптирания текст е известна българска поговорка . Успех!! П.П. Моля за извинения, не зная как стана така, че отговорът ми се постна 4 пъти. Моля да бъдат изтрити ненужните постове.

И аз да представя една задача за напреднали и ненапреднали курсисти Мисля, че около 60 секунди за справяне са напълно достатъчни още повече , че става дума за напълно компрометиран , публично известен криптографски алгоритъм и не е чупил зъбите на криптографите B9DGUxMTExOJrHnGI5AJ7yksy14zpENbGI+KZdnrc78JlPQbezUrvZjiPdb1WIugFlirAA6M4wYfmrPvz1gfyQGwPbtwQ/tMP+v3VlUfhVU= Криптирания текст е известна българска поговорка . Успех!!

И аз да представя една задача за напреднали и ненапреднали курсисти Мисля, че около 60 секунди за справяне са напълно достатъчни още повече , че става дума за напълно компрометиран , публично известен криптографски алгоритъм и не е чупил зъбите на криптографите B9DGUxMTExOJrHnGI5AJ7yksy14zpENbGI+KZdnrc78JlPQbezUrvZjiPdb1WIugFlirAA6M4wYfmrPvz1gfyQGwPbtwQ/tMP+v3VlUfhVU= Криптирания текст е известна българска поговорка . Успех!!

И аз да представя една задача за напреднали и ненапреднали курсисти Мисля, че около 60 секунди за справяне са напълно достатъчни още повече , че става дума за напълно компрометиран , публично известен криптографски алгоритъм и не е чупил зъбите на криптографите B9DGUxMTExOJrHnGI5AJ7yksy14zpENbGI+KZdnrc78JlPQbezUrvZjiPdb1WIugFlirAA6M4wYfmrPvz1gfyQGwPbtwQ/tMP+v3VlUfhVU= Криптирания текст е известна българска поговорка . Успех!!

И аз да представя една задача за напреднали и ненапреднали курсисти Мисля, че около 60 секунди за справяне са напълно достатъчни още повече , че става дума за напълно компрометиран , публично известен криптографски алгоритъм и не е чупил зъбите на криптографите B9DGUxMTExOJrHnGI5AJ7yksy14zpENbGI+KZdnrc78JlPQbezUrvZjiPdb1WIugFlirAA6M4wYfmrPvz1gfyQGwPbtwQ/tMP+v3VlUfhVU= Криптирания текст е известна българска поговорка . Успех!!