Hoe kraakte WikiLeaks versleutelde video?
Hoe kraakte WikiLeaks de encryptie van een video waarop te zien is hoe een Amerikaanse Apache helikopter verschillende Irakezen doodschiet? Dat is een vraag die verschillende beveiligingsexperts bezighoudt. De versleutelde video van het Amerikaanse leger werd op 20 februari gekraakt. Anderhalve maand na een oproep voor "super computer time". Via een Twitter-bericht bedankte de klokkenluidersite iedereen die CPU en dollars doneerde.
Toch blijft de vraag om wat voor versleuteling het ging. Volgens beveiligingsgoeroe Bruce Schneier is het duidelijk geen NSA-level encryptie. "Maar wat is het dan wel?"
Encryptie
Robert Graham, die zich gisteren al kritisch over WikiLeaks uitliet, denkt dat het om een zwakke versleuteling ging. "Er zijn twee soorten encryptie: serieus en casual. Als het bestand goed was versleuteld, dan zou WikiLeaks het niet hebben kunnen kraken, ongeacht hoeveel rekenkracht ze hadden."
Ging het om een zwak versleuteld bestand, dan had de klokkenluidersite die met een normale desktop in een uur kunnen kraken. Graham noemt als voorbeeld een met WinZip versleuteld bestand, voorzien van een zwak wachtwoord. Gaat het om een zeer lang wachtwoord, dan is de enige manier om het wachtwoord te kraken als iemand het lekt. "Het belangrijkste bij het kraken van dit soort encryptie is dat het probleem exponentieel is. Een wachtwoord van 12 karakters is niet twee keer lastiger te kraken dan een wachtwoord van 6 karakters, het is een triljoen keer lastiger."
Rekenkracht
Graham is dan ook verbaasd over de oproep van 8 januari. "Of ze hadden de rekenkracht om het toen te ontsleutelen, of geen enkele donatie had genoeg rekenkracht kunnen kopen. De grens tussen deze twee uitersten is ongekend dun." De CEO van Errata Security vraagt zich af waarom WikiLeaks niet de versleutelde video online zette. Zowel white hat als black hat hackers hadden in dit geval mee kunnen helpen met kraken. "Zelfs als ze niet het gehele bestand wilde plaatsen, waren de eerste paar kilobytes waarschijnlijk voldoende geweest."
+1 voor moeite
Ze zullen dit wel stil houden om te voorkomen dat het leger hier mogelijkerwijs iets aan gaat doen. Gezien de logheid van het legerapparaat (en dan met name de starre top) en het praktisch ingestelde personeel (werkt het boordsysteem niet snel/makkelijk? hup eraf die cryptie) zie ik dit nog niet zo snel veranderen.
Hopelooszzz
Aandacht afleiden ? Van wat? Denk je dat Wikileaks onpartijdig is in dit geval? Helemaal niet.Fact of the matter is dat dit een groep "insurgents" waren, die zich altiijd mengen met burgers. Dit is hun strategie. En waarom denk je dat die Reuters-journalisten daar aanwezig waren? Om een partijtje kaarten te filmeren?
Probeer je eens te realiseren dat jij daar stond...
Dan was je nu aan flarden geschoten geweest. :-(
Inderdaad. Die video was er open en bloot aanwezig en een whistleblower heeft die gewoon op een USB-stick gekopieerd. En wie weet : misschien heeft die whistleblower nadien de originele video gewist want ze vinden die niet meer. Het originele toont misschien een genuaceerder beeld. Als de whistleblower access had tot het bestand dan kon hij evengoed wissen. En dat laat WL toe een eigen versie te brouwen met als gevolg : WINST en DONATIES.
Het kan ook een rookgordijn zijn (het versleutelingsverhaal) om de bron (die het onversleuteld aanleverde en derhalve te traceren viel) te beschermen.
Dat dit soort situaties gebeuren in oorlogstijd weet ieder weldenkend mens, het trieste is dat erover wordt gelogen door hogerhand. Propaganda is de slang die altijd zijn meester zal bijten.
Het Orakel
Ik heb dezelfde beelden gezien en ik heb geen wapen gezien en daar bedoel ik mee, ik heb geen wapen kunnen identificeren.
Er waren ook geen gevechthandelingen.
Elke dag lopen er honderdduizenden mensen met "iets", moet je die allemaal af knallen?
Er worden gewonden geholpen, moet je ook af knallen?
Er zijn geen wapens gezien, er waren geen gevechtshandelingen met amerikaanse troepen.
En ze waren ook geen bedreiging voor de helipcopter die op grote afstand was.
+1 voor moeite
1. De helicopterbemanning veel tijd neemt tot verificatie van de situatie: er wordt lang gewacht tot het bevel tot vuren.
2. Op de beelden is te zien dat er inderdaad mannen rondlopen met iets dat op een vuurwapen, op een geweer lijkt.
3. De helicopterbemanning wacht nog steeds met vuren en vraagt eerst toestemming van hogerhand.
4. Als de toestemming wordt gegeven wordt er uiteindelijk gevuurd.
Bovendien is de verificatie van je doel in oorlogstijd wel iets anders dan in een oefensituatie. Ik neem het de bemanning niet echt kwalijk omdat soldaten in de frontlinie altijd denken "eerst schieten, dan pas vragen stellen" . Maar hier heeft men zelfs niet direct gevuurd, maar eerst geverifieerd en toestemming van hongerhand gevraagd (dat is via de radio-intercom duidelijk te horen.
Vind het inderdaad een beetje eenzijdig.
1. De bemanning moet in zo'n situatie altijd op toestemming wachten, dat is gewoon een protocol. In een grondstation zit een officier die daarvoor de autorisatie heeft en volgens mij ook aansprakelijk is. Dit is niet alleen om "slachtoffers" te voorkomen, maar vooral om er zeker zeker van te zijn dat er geen eigen soldaten in de vuurlinie zijn en het grondpersoneel weet dat een Amerikaanse helikopter gaat schieten.
2. Die RPG is duidelijk maar 30 cm lang. En ik zie maar 3 potenti?le (hand)wapens, gaan 6 AK-47's.
3. Dat busje, als er terroristen in zouden zitten. Hoe kunnen ze dan zo snel weten wat er gebeurd is, weten waar het gebeurd is, een busje met 5 mensen verzamelen en er heen rijden.
En welke terrorist gaat er naar een plek waar net door helikopters z'n vriendjes beschoten zijn, terwijl de helikopter er nog steeds is?! Het kan toch niet anders dat het toevallige voorbijgangers zijn die ineens een zwaargewonde persoon op de stoep zien liggen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
