Paniekknop voor encryptie-gebruikers
Om te voorkomen dat kwaadwillenden het geheugen van een versleutelde computer kunnen uitlezen om zo de encryptiesleutel te achterhalen, is er nu een programma dat als paniekknop fungeert. 'Panic_bcast, zoals de oplossing heet, moet het lastiger maken om 'cold boot-aanvallen' uit te voeren. Hierbij wordt het geheugen door middel van stikstof 'bevroren' waardoor het mogelijk is het geheugen uit te lezen.
Activist
Dit probleem is aanwezig als de computer nog draait of net is uitgeschakeld. Panic_bcast is in werkelijkheid een netwerkprotocol dat via UDP broadcasts en HTTP werkt. De ontwikkelaar schetst een scenario waarbij een ongenode gast aan de deur van een activist komt.
De activist verstuurt vervolgens het panieksignaal via Panic_bcast. De machines in het netwerk ontvangen het panieksignaal en schakelen vervolgens TrueCrypt en zichzelf uit.
"Een serieuze vrijheidsvechter zal zoiets als dit op alle nodes in het netwerk draaien", aldus de ontwikkelaar. De software is zo geschreven dat het elke variant van UNIX ondersteunt die Python kan draaien. Het zou zowel op Linux als FreeBSD zijn getest.
Wij hebben verliesstroomschakelaars, en als je een stekker maakt met een weerstand tussen een faze en de aarding, dan hoef je deze stekker maar in een stopcontact te pluggen en de verliesstroomschakelaar doet zijn werk.
Je moet er wel voor zorgen dat je PCs en de stekker door dezelfde verliesstroomschakelaar beschermd worden, en dat je geen UPS hebt voor je PCs.
ik heb het gevoel dat hier niet staat wat er bedoeld wordt.
Jammer dat de Roverheid die je toch zou moeten beschermen dit soort dingen noodzakelijk maakt.
Nee, dat doet de software nou net niet. Ik heb nl. de sourcode doorgenomen.
De auteur van de code is van plan om dit *later* toe te voegen, maar de manier waarop hij dit plant te doen vind ik niet goed.
Voor mij is de beste oplossing dat TrueCrypt zelf een feature heeft waardoor je het de opdracht kan geven om de sleutels uit het geheugen te wissen. Dan moet zijn Python programma maar TrueCrypt aanropen.
En vermits TrueCrypt open source is, zou hij zelf de aanpassing kunnen doen. Staat bij mij al een tijdje op mijn todo lijst, maar ja, geen tijd...
Je kan zien dat er geen sleutels gewist worden.
# TODO: Extend with a C lib that iterates through used physmem addresses and
# overwrites values in a prio order before triggering poweroff.
# TODO: Use mountedDrives() to iterate and eject (crypto) mounts
def treatPanic():
os.popen("killall truecrypt")
# Linux, possibly more
os.popen("shutdown -P now")
# FreeBSD, possibly more
os.popen("shutdown -p now")
[/qoute]
Bron:
http://www.security.nl/artikel/35680/%22Robert_M._gebruikte_waarschijnlijk_TrueCrypt%22.html
Maar een stukje python code? Doe het even beter en schrijf een stukje C, dat is een beter gereedschap voor dit werk. Ik heb niets tegen python, maar voor iets dat altijd moet draaien voor een gebeurtenis die bijna nooit voorkomt mag je best even een ietsje beter je best doen en portable C schrijven. Dat doet het óók op alle unix systemen.
Eigenlijk zou je encryptiesleutels alleen in de chip zelf moeten opslaan, of een encryptiefunctie in de geheugencontroller inbouwen zodat een gedeelte van het geheugen transparant wordt versleuteld (met weer een andere sleutel, zeg een willekeurige sleutel uit een random generator). Merk op dat dit een totaal andere constructie is dan wat TPM/palladium doet.
Verder wat Didier zegt @17:55. Geheugen wissen is bij uitstek een feature van het programma zelf. Ik kan me wel voorstellen dat de ontwikkelaars denken dat het de veiligheid van het programma niet ten goede komt.
Overigens lijkt Truecrypt geen open source te zijn voor Windows. Zelf hacken onder Windows gaat niet zo handig zonder broncode.
Nee, dat doet de software nou net niet. Ik heb nl. de sourcode doorgenomen.
De auteur van de code is van plan om dit *later* toe te voegen, maar de manier waarop hij dit plant te doen vind ik niet goed.
Voor mij is de beste oplossing dat TrueCrypt zelf een feature heeft waardoor je het de opdracht kan geven om de sleutels uit het geheugen te wissen. Dan moet zijn Python programma maar TrueCrypt aanropen.
En vermits TrueCrypt open source is, zou hij zelf de aanpassing kunnen doen. Staat bij mij al een tijdje op mijn todo lijst, maar ja, geen tijd...
Het zou natuurlijk kunnen dat het zijn intentie ook is om het op die wijze te doen.
Volgens mij moet zijn python code dan ook niet als veel meer dan een idee en een PoC worden gezien. Misschien kan iemand anders het op de juiste wijze verder uitwerken.
Wij hebben verliesstroomschakelaars, en als je een stekker maakt met een weerstand tussen een faze en de aarding, dan hoef je deze stekker maar in een stopcontact te pluggen en de verliesstroomschakelaar doet zijn werk.
Je moet er wel voor zorgen dat je PCs en de stekker door dezelfde verliesstroomschakelaar beschermd worden, en dat je geen UPS hebt voor je PCs.
Nee, dat doet de software nou net niet. Ik heb nl. de sourcode doorgenomen.
De auteur van de code is van plan om dit *later* toe te voegen, maar de manier waarop hij dit plant te doen vind ik niet goed.
Voor mij is de beste oplossing dat TrueCrypt zelf een feature heeft waardoor je het de opdracht kan geven om de sleutels uit het geheugen te wissen. Dan moet zijn Python programma maar TrueCrypt aanropen.
En vermits TrueCrypt open source is, zou hij zelf de aanpassing kunnen doen. Staat bij mij al een tijdje op mijn todo lijst, maar ja, geen tijd...
Achtbaan van emoties :p
Ook wordt errop geattendeerd dat een key op de harde schijf kan worden opgeslagen als de PC in de slaapstand wordt gebracht, dit is echter eenvoudigweg uit te zetten.
bron: http://www.truecrypt.org/docs/?s=unencrypted-data-in-ram
Sessie 4869 te bekijken via http://events.ccc.de/congress/2011/wiki/Documentation
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?