NFI kraakt encryptiesleutel pedofiel
Het Nederlands Forensisch Instituut (NFI) heeft de encryptiesleutel waarmee een 42-jarige computerprogrammeur uit Sliedrecht zijn kinderpornoverzameling versleutelde, weten te kraken. Vorig jaar nam de politie bij Dirk-Jan P. 8000 cd’s en 19 harde schijven met plaatjes en filmpjes in beslag, waarvan het grootste gedeelte versleuteld. P. wilde de gegevens, mogelijk 50 miljoen afbeeldingen, niet ontsleutelen.
Een deel van de collectie is nu ontsleuteld en volgens justitie gaat het om tenminste 7,5 miljoen afbeeldingen, meer dan in de landelijke database van de politie is opgeslagen. Oorspronkelijk dachten experts dat het jaren zou duren om de sleutel te kraken. Het Openbaar Ministerie eiste eind mei vier jaar cel en tbs tegen de man.
Reacties (29)
Zeer goede zaak. Ben benieuwd wat voor encryptie er toegepast was. Aardig voor de politie dat hun database op deze manier aangevuld kan worden met nieuwe hashes.
Wat ik me dan vooral afvraag is, hoe was het geëncrypt? Als je namelijk 2048 bits AES gebruikt met een password van bijvoorbeeld 100 tekens (nog steeds 156 tekens minder dan de sleutellengte maar goed), dan zijn er 100^95 mogelijke sleutels om te checken. Iets wat je echt niet binnen 5 maanden gaat lukken denk ik zo :')
Dus wat is de reden geweest dat het zo snel gedecrypt is?
Dus wat is de reden geweest dat het zo snel gedecrypt is?
03-09-2009, 13:48 door
eMilt
Ik neem aan dat ze dit middels brute force hebben gedaan en deze meer P dus niet zo'n sterk wachtwoord had gekozen ??
Wow...
Eerst en vooral... 7.5 miljoen afbeeldingen? Wow.
Bovendien ben ik wel benieuwd naar de aard van het paswoord. Ik mag hopen dat het hier over een < 30 chars (a-z, A-Z, 0-9) wachtwoord gaat.
Eerst en vooral... 7.5 miljoen afbeeldingen? Wow.
Bovendien ben ik wel benieuwd naar de aard van het paswoord. Ik mag hopen dat het hier over een < 30 chars (a-z, A-Z, 0-9) wachtwoord gaat.
03-09-2009, 13:57 door
spatieman
kijk, meer afbeeldingen die ze in hun eigen datebase hebben.
de viespeuken, kunnen zu hun eigen database dus ook weer updaten.
de viespeuken, kunnen zu hun eigen database dus ook weer updaten.
Nou dan eindelijk toch bewijs voor iedereen die zegt dat de overheid dit niet kan...
Dit en nog veel meer kunnen zij, en al jaren voor wij weten dat het bestaat!
Dit en nog veel meer kunnen zij, en al jaren voor wij weten dat het bestaat!
03-09-2009, 14:30 door
SirDice
Door Anoniem: Nou dan eindelijk toch bewijs voor iedereen die zegt dat de overheid dit niet kan...
Dit en nog veel meer kunnen zij, en al jaren voor wij weten dat het bestaat!
Niemand weet op dit moment om welke encryptie het gaat. Beetje zinloos om dit te roepen als het een relatief eenvoudige encryptie was.Dit en nog veel meer kunnen zij, en al jaren voor wij weten dat het bestaat!
Bravo, heren van het NFI. Niet voor niks op die 508 van het SANS geweest afgelopen jaar ;-)
grtz van die lange voorin de klas
grtz van die lange voorin de klas
Door Anoniem: Wat ik me dan vooral afvraag is, hoe was het geëncrypt? Als je namelijk 2048 bits AES gebruikt met een password van bijvoorbeeld 100 tekens (nog steeds 156 tekens minder dan de sleutellengte maar goed), dan zijn er 100^95 mogelijke sleutels om te checken. Iets wat je echt niet binnen 5 maanden gaat lukken denk ik zo :')
Dus wat is de reden geweest dat het zo snel gedecrypt is?
Dus wat is de reden geweest dat het zo snel gedecrypt is?
Uhm.. 2048 bits AES ? Dat bestaat niet.
Dat ze zo lang over een ROT13 encryptie doen zegt wel iets over hun kennis van versleutelen.
Door Anoniem: Zeer goede zaak. Ben benieuwd wat voor encryptie er toegepast was. Aardig voor de politie dat hun database op deze manier aangevuld kan worden met nieuwe hashes.
Ik ben van mening dat de ins-and-outs ervan niet voor publicatie geschikt zijn, considering the unintended audience, die ongetwijfeld ook put uit bronnen als deze website.Door Anoniem: hopleijk was het geen 256 bit AES..
Het maakt niet uit wat voor encryptie je gebruikt. Als je wachtwoord in een rainbowtable te vinden is, ben je niet veilig. En hoewel 100^95 mogelijkheden enorm veel is, het kan gewoon de eerste zijn die wordt geprobeerd (statistisch gezien).
03-09-2009, 17:01 door
Lobker
Eigenlijk geloof ik er niet zo veel van dat er überhaupt sprake is van kraken van de sleutel. Je hebben waarschijnlijk gewoon een dictionary attack uitgevoerd. Ze kunnen alles achterhalen van deze vent, zet alle trefwoorden in een lijstje en laat de servers maar hun werk doen.
@redactie gaarne plaatsen:
Dank U allen
Met een goede viedeokaart is het prettig decrypten. Dit scheelt enorm in tijd.
Dank U allen
Met een goede viedeokaart is het prettig decrypten. Dit scheelt enorm in tijd.
Als je een 42-jarige computerprogrammeur bent dan mag je er toch vanuit gaan dat je weet hoe je gegevens moet versleutelen. Hoogst waarschijnlijk is dit dan met b.v. PGP of Truecrypt gebeurd. Daarnaast werken rainbow tables niet op Truecrypt. Dit zaakje stinkt dus aan alle kanten, er zijn denk ik namelijk maar 5 mogelijkheden:
- Het wachtwoord was dermate makkelijk dat ze het simpelweg gereconstrueerd hebben.
- Het wachtwoord was relatief simpel maar dmz bruteforce toch te kraken (ze hebben gewoon mazzel gehad).
- Onze computerprogrammeur heeft toch simpele encryptie gebruikt (kan ik me niet voorstellen).
- De overheid weet iets wat wij niet weten (Sommige mensen gaan er al vanuit dat de NSA, AES encryptie kan kraken).
- Er is helemaal niets gekraakt en met stuurt een onzin bericht de wereld in om andere mensen aan het schrikken te maken.
My two cents :)
- Het wachtwoord was dermate makkelijk dat ze het simpelweg gereconstrueerd hebben.
- Het wachtwoord was relatief simpel maar dmz bruteforce toch te kraken (ze hebben gewoon mazzel gehad).
- Onze computerprogrammeur heeft toch simpele encryptie gebruikt (kan ik me niet voorstellen).
- De overheid weet iets wat wij niet weten (Sommige mensen gaan er al vanuit dat de NSA, AES encryptie kan kraken).
- Er is helemaal niets gekraakt en met stuurt een onzin bericht de wereld in om andere mensen aan het schrikken te maken.
My two cents :)
03-09-2009, 18:37 door
WhizzMan
Door Anoniem:
Het maakt niet uit wat voor encryptie je gebruikt. Als je wachtwoord in een rainbowtable te vinden is, ben je niet veilig.
Het maakt niet uit wat voor encryptie je gebruikt. Als je wachtwoord in een rainbowtable te vinden is, ben je niet veilig.
Rainbowtables werken niet als je een encryptiemethode gebruikt die met salts opgebouwd is he? Het maakt dus wel uit....
gezien http://www.security.nl/artikel/30805/1/Mannen_slechter_met_wachtwoorden_dan_vrouwen.html kan het geen moeilijk wachtwoord geweest zijn ;)
04-09-2009, 07:21 door
TD-er
Was er eerder niet een bericht dat deze gast zijn eigen encryptie had geschreven?
Dan lijkt het mij waarschijnlijker dat zijn encryptie niet zo goed was.
Best mogelijk dat de encryptie/decryptie-tool dus gewoon leesbaar op de schijf stond en dan kun je die code onderzoeken.
(met een beetje mazzel staat de source ook nog ergens ;) )
Dan lijkt het mij waarschijnlijker dat zijn encryptie niet zo goed was.
Best mogelijk dat de encryptie/decryptie-tool dus gewoon leesbaar op de schijf stond en dan kun je die code onderzoeken.
(met een beetje mazzel staat de source ook nog ergens ;) )
Zal wel als wachtwoord 'kiddy' gehad hebben. Anyway, van een pedofiel moet je niet al te veel intelligentie verwachten...
Veel personen gebruiken zelfde wachtwoord voor verschillende systemen. Als je die via een rainbowtable te pakken kan krijgen dan zijn vervolgens alle systemen met dat wachtwoord potentieel 'gekraakt'. Zal niet de eerste zijn die op deze wijze tegen de lamp loopt.
Zelfde geldt voor gebruik van emailadressen. Ooit het verhaal gehoord dat iemand bij verspreiding van kinderp*rno een gmail adres gebruikte. Maar datzelfde mailadres werd ook op marktplaats gebruikt met aanbiedingen. tsja hoe dom kan je zijn........
Zelfde geldt voor gebruik van emailadressen. Ooit het verhaal gehoord dat iemand bij verspreiding van kinderp*rno een gmail adres gebruikte. Maar datzelfde mailadres werd ook op marktplaats gebruikt met aanbiedingen. tsja hoe dom kan je zijn........
Misschien had hij wel een truecrypt wachtwoord van 100 letters van het type !Wrp_i7 etc, maar had hij dat wachtwoord in de inbox van zijn hotmail opgelagen, die was beveiligd met pietje:puk
BigBrother Is Watching U!
(niet dat ik die persoon zijn 'verzameling' goedkeur hoor, verre van zelfs)
Wat is tegenwoordig nog een sterk wachtwoord?¿
(niet dat ik die persoon zijn 'verzameling' goedkeur hoor, verre van zelfs)
Wat is tegenwoordig nog een sterk wachtwoord?¿
Mooie actie. Ik ben verbaasd over de naieve reacties hier over de mogelijkheden om wachtwoorden te achterhalen. Bij het NFI lopen ze niet op klompen, de computers draaien niet op kaas en ze gebruiken geen windmolens om wachtwoorden te kraken.
Het komt in ieder geval wel vaker voor hoor dat er wachtwoorden worden achterhaald, bijvoorbeeld een zaak in 2006: http://www.rechtspraak.nl/ljn.asp?ljn=AY5348. In het voorbeeld van deze zaak gaat het om een AES 256 implementatie. Evenzo zijn er voorbeelden van EFS, PGP, Truecrypt, etc.
Je kan voor het huis- tuin- en keukenkraken van diverse producten zoals PGP, Adobe, etc.. tegenwoordig terecht bij producten van bijvoorbeeld Elcomsoft http://www.elcomsoft.com/edpr.html waar je regelmatig over leest in de vakliteratuur.
Het komt in ieder geval wel vaker voor hoor dat er wachtwoorden worden achterhaald, bijvoorbeeld een zaak in 2006: http://www.rechtspraak.nl/ljn.asp?ljn=AY5348. In het voorbeeld van deze zaak gaat het om een AES 256 implementatie. Evenzo zijn er voorbeelden van EFS, PGP, Truecrypt, etc.
Je kan voor het huis- tuin- en keukenkraken van diverse producten zoals PGP, Adobe, etc.. tegenwoordig terecht bij producten van bijvoorbeeld Elcomsoft http://www.elcomsoft.com/edpr.html waar je regelmatig over leest in de vakliteratuur.
Door Anoniem: Als je een 42-jarige computerprogrammeur bent dan mag je er toch vanuit gaan dat je weet hoe je gegevens moet versleutelen. Hoogst waarschijnlijk is dit dan met b.v. PGP of Truecrypt gebeurd. Daarnaast werken rainbow tables niet op Truecrypt. Dit zaakje stinkt dus aan alle kanten, er zijn denk ik namelijk maar 5 mogelijkheden:
- Het wachtwoord was dermate makkelijk dat ze het simpelweg gereconstrueerd hebben.
- Het wachtwoord was relatief simpel maar dmz bruteforce toch te kraken (ze hebben gewoon mazzel gehad).
- Onze computerprogrammeur heeft toch simpele encryptie gebruikt (kan ik me niet voorstellen).
- De overheid weet iets wat wij niet weten (Sommige mensen gaan er al vanuit dat de NSA, AES encryptie kan kraken).
- Er is helemaal niets gekraakt en met stuurt een onzin bericht de wereld in om andere mensen aan het schrikken te maken.
My two cents :)
- Het wachtwoord was dermate makkelijk dat ze het simpelweg gereconstrueerd hebben.
- Het wachtwoord was relatief simpel maar dmz bruteforce toch te kraken (ze hebben gewoon mazzel gehad).
- Onze computerprogrammeur heeft toch simpele encryptie gebruikt (kan ik me niet voorstellen).
- De overheid weet iets wat wij niet weten (Sommige mensen gaan er al vanuit dat de NSA, AES encryptie kan kraken).
- Er is helemaal niets gekraakt en met stuurt een onzin bericht de wereld in om andere mensen aan het schrikken te maken.
My two cents :)
Het is bekend dat exporteurs van encryptie-programma's vaak op expliciet verzoek van de NSA/CIA een bugje achterlaten in de (pseudo)random number generator, waardoor de effectieve key-length een stuk lager is dan mogelijk is. Wat weer de weg opent voor een brute-force attack.
15-09-2009, 09:19 door
H.King
of ze nemen je pc gewoon voor onbepaalde tijd in beslag vanwege ''onderzoek'' en hopen dat binnen nu en 3 jaar de computers snel genoeg zijn geworden om de encryptie te kraken.
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
