Ernstig 18 jaar oud beveiligingslek in GnuPG gedicht
Onderzoekers van het Karlsruhe Institute of Technology hebben een ernstig beveiligingslek in GnuPG en Libgcrypt ontdekt waardoor een aanvaller informatie kan achterhalen. GNU Privacy Guard (GnuPG) is software om versleuteld mee te communiceren. Libgcrypt is een cryptografische softwarebibliotheek gebaseerd op de code van GnuPG. In de mixing-functies van de random-number-generator (RNG) van Libgcrypt bevindt zich een lek.
Een aanvaller die 4640 bits van de RNG weet te verkrijgen kan vrij eenvoudig de volgende 160 bits van de uitvoer voorspellen. Het beveiligingsprobleem zou sinds 1998 in alle versies van GnuPG en Libgcrypt aanwezig zijn. Werner Koch, de ontwikkelaar van GnuPG, stel dat uit eerste onderzoek blijkt dat een aanvaller geen privésleutels via de kwetsbaarheid kan voorspellen, maar dat er meer onderzoek is vereist. Er zijn nu nieuwe versies van Libgcrypt en GnuPG verschenen. Gebruikers krijgen het advies die zo snel als mogelijk te installeren.
Het continue reviewen en testen van alles?
Ja dat valt niet mee, dat weet je zelf ook vast.
Doet jouw webcam het nog?
Nee?
Misschien is het over twee weken verholpen maar het kan ook langer duren omdat sommige fabrikanten hun particuliere klantengroep gebruiken om producten te testen en dat heelrustig aan doen.
Werkt het niet dan heb je pech en wacht je maar.
Zo doen sommige producenten dat dus en soms vinden ze dat een feestje waard.
"10 Anniversary Update 'sloopt' webcams"
http://webwereld.nl/software/94185-windows-10-anniversary-update--sloopt--webcams
Heeft helemaal niks met bashen te maken.
Helaas keiharde realiteit.
Welke alternatieven? Closed source? En dan op de blauwe ogen van het bedrijf vertrouwen? En dat moet dan beter zijn?
Ik snap echt helemaal niks van je manier van redeneren....
Om een geheime/publieke sleutel te genereren, wordt een willekeurige nummer gegenereerd, die eigenlijk heel zwak is, en dat zou de achterdeur voor de NSA zijn.
Deze methode [Dual_EC_DRBG] is pas sinds 2013/2014 door de NIST (Amerikaanse standaard organisatie) als onveilig benoemd.
Onduidelijk voor mij is of <a href="https://en.wikipedia.org/wiki/Dual_EC_DRBG">Dual_EC_DRBG</a> ook voor PGP en GPG4WIN nu nog wordt of in het verleden is gebruikt om de geheime/publieke sleutel te genereren.
Wat ik niet uit het artikel kan opmaken is, of ook de random-number-generator (RNG) van Libgcrypt een Dual_EC_DRBG
protocol is.
Hierin wordt het principe uitgelegd hoe de NSA achterdeur zou kunnen werken. Ik heb de voor leken als mijzelf het begrijpelijke deel van het artikel hieronder geplaatst, waarin de mogelijkheid van een NSA masterkey wordt uitgelegd, en het gevaar dat deze masterkey ooit door anderen wordt gekraakt, alle versleutelde internet verkeer kan worden ontsleuteld.
This is how it works: There are a bunch of constants -- fixed numbers -- in the standard used to define the algorithm's elliptic curve. These constants are listed in Appendix A of the NIST publication, but nowhere is it explained where they came from.
What Shumow and Ferguson showed is that these numbers have a relationship with a second, secret set of numbers that can act as a kind of skeleton key. If you know the secret numbers, you can predict the output of the random-number generator after collecting just 32 bytes of its output. To put that in real terms, you only need to monitor one TLS internet encryption connection in order to crack the security of that protocol. If you know the secret numbers, you can completely break any instantiation of Dual_EC_DRBG.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
