Петер Сунде, один из основателей торрент-портала The Pirate Bay, в своем микроблоге анонсировал мобильный сервис для обмена сообщениями Hemlis. Его разрабатывают сам Сунде с двумя коллегами - Лейфом Хегбергом (Leif Högberg) и Линусом Оллсоном (Linus Olsson).
На сайте проекта говорится, что Hemlis (в переводе со шведского - 'секрет') станет 'первой по-настоящему безопасной платформой для обмена сообщениями'. Разработчики утверждают, что сообщение, переданное через мессенджер, смогут прочитать только два человека - отправитель и адресат.
Каким именно образом сообщения в Hemlis будут защищаться от 'перехвата', пока не сообщается, однако известно, что создатели мессенджера намерены использовать в нем протокол XMPP, ранее известный как Jabber, и шифрование PGP.
Мессенджер выйдет на iOS и Android и будет бесплатным. Финансировать разработку планируется за счет пожертвований от пользователей. Деньги принимаются через системы PayPal и Bitcoin. Разработчики рассчитывают собрать сто тысяч долларов США; по состоянию на момент публикации заметки им перечислили две тысячи долларов.
Объясняя свое решение прибегнуть к 'коллективному финансированию', разработчики заявили, что не хотят, чтобы их продукт был похож на другие бесплатные программы, которые 'либо показывают рекламу, либо продают данные пользователей'.
http://lenta.ru/news/2013/07/09/hemlis/
Неужели не перехватить?
KalmarА не может ли так быть, что те, кто перехватывают, и те, кто обещают сохранить конфиденциальность и анонимность - одни и те же люди?
Неужели не перехватить?
KalmarРазве шведские программисты могут что то путное разработать? Мне кажется, что они могут только ловко перепродавать чужие программные продукты....
Петер Сунде, один из основателей торрент-портала The Pirate Bay, в своем микроблоге анонсировал мобильный сервис для обмена сообщениями Hemlis. Его разрабатывают сам Сунде с двумя коллегами - Лейфом Хегбергом (Leif Högberg) и Линусом Оллсоном (Linus Olsson).
Перехватить - раз плюнуть. А вот расшифровать PGP без ключа - технически невозможно. Проще добыть ключ - терморектальным криптоанализом или трояном на системе получателя.
Собственно, какой-то суперновый спецмессенжер для этого не нужен - у меня это работало ещё в 99 году под ДОСом (или W95, никаких проблем с совместимостью) на 486 проце, нужно было только обменяться открытыми ключами с тем, кому хочешь написать, и перед отправкой письма натравить на него экзешник небольшой (прикрученный по хоткею к банальному ГолДеду). В TheBat, е-мейл клиент, PGP вообще встроено начиная с 2.хх версии. Новинка разве что в прикручивании PGP к жаббер-клиенту - но ничего сенсационного в этом тоже нет, просто кому-то было не лень написать софтину. Встроить в мессенджер кейлоггер или ещё как-то создать возможность получения информации - конечно, можно. Но это достаточно легко обнаруживается, а желающих проверить на вшивость публичную софтину найдётся в количестве.
sergey_zh
Разве шведские программисты могут что то путное разработать? Мне кажется, что они могут только ловко перепродавать чужие программные продукты....
Ну, расово близкий Торвальдс сумел же? 😊
Makc k-113
нужно было только обменяться открытыми ключами.
Читал, что при пользовании PGP главная уязвимость - пароль, сохраненный на компе.
Не силен в таких штуках, но есть какой то подвох. Всегда у легальных программ есть лазейка для шибко нуждающихся в доступе, без лазейки не будет сертификации и разрешения пользовать, ну или в крайнем случае объявять спецсредством которым простым смертным пользоваться нельзя и есть или будет предусмотрена ответственность. Либо на уровне оператора будут палить шибко секретных пользователей.
главная уязвимость - пароль, сохраненный на компе.на компьютер тоже надо ставить нормальный пароль и не пользовать под админом всяких левых программ и игр.
Почти аноним
В целях повышения личной образованности. Расшифруй с примерами то что ты написал. Спасибо!
2 коралл.
Пароль должен быть длинным, содержать буквы в обоих регистрах и спецсимволы.
Работать надо не с правами администратора, а в дополнительной учётной записии с правами, которые не позволяют совершать потенциально опасные действия - правами пользователя.
Добавлю. Должны быть установлены системы защиты. Кашпировский к примеру. Я предпочитаю бесплатный Comodo.
не успел 😊
Должны быть установлены системы защиты.причем многоярусные 😊
можно поставить два антивируса, один все время сидит в памяти, а другой время от времени сканирует диски.
Можно еще больше извратиться: поставить на систему виртуальную машину и что-то, серьезное делать из под нее, настроив так, что после перезагрузки она будет "как новая", т.е. все ваши труды будут удалены.
почти анонимУ меня обычно стоит Комодо в паре с майкрософтовским.
можно поставить два антивируса, один все время сидит в памяти, а другой время от времени сканирует диски.
почти анонимПолная чистка профиля - точно извращение.
Можно еще больше извратиться: поставить на систему виртуальную машину и что-то, серьезное делать из под нее, настроив так, что после перезагрузки она будет "как новая", т.е. все ваши труды будут удалены.
лучшая защита - отключить ПК от сети, запереть в сейф и никогда не включать.
Полная чистка профиля - точно извращение.не, в виртуальной машине есть такая фича: ставишь все программы, настраиваешь как надо и "замораживаешь". Все изменения пишутся на диск как положено, но после перезагрузки исчезают.
лучшая защита - отключить ПК от сети, запереть в сейф и никогда не включать.а есть люди, которые говорят "я никому не нужен и у меня нечего воровать". А потом, когда школота сожжет последний коврик под дверью, ходят в грязных калошах по коридору.
коралл
Не силен в таких штуках, но есть какой то подвох. Всегда у легальных программ есть лазейка для шибко нуждающихся в доступе, без лазейки не будет сертификации и разрешения пользовать, ну или в крайнем случае объявять спецсредством которым простым смертным пользоваться нельзя и есть или будет предусмотрена ответственность. Либо на уровне оператора будут палить шибко секретных пользователей.
PGP не является "легальной программой". PGP - это алгоритм, а программу можешь сам писать, можешь опенсорц взять. Да, в официальной деятельности в РФ (включая банковские операции) PGP применять нельзя - пользуйтесь "Вербой", это тоже система несимметричного шифрования, но как раз официальная. Естественно, код закрытый. Есть ли в нём задний проход для соответствующего органа безопасности - догадайтесь сами 😊
Но для частников должностные инструкции не писаны.
Не вижу никакого резона именно в этом мессенджере. Прекрасно работает та же Miranda с OTR и GnuPG. Да и Pidgin с OTR неплохо работает. Тем более в Portable версиях на флешке или MicroSD карточке, которую в случае чего можно слить в унитаз.
Makc k-113В TheBat стоял какой то свой, особый PGP, который не хотел работать ни с чем, кроме TheBat. Как сейчас обстоят дела - хз, не пользуюсь TheBat.
В TheBat, е-мейл клиент, PGP вообще встроено начиная с 2.хх версии.
Makc k-113Путаете.
PGP не является "легальной программой". PGP - это алгоритм, а программу можешь сам писать, можешь опенсорц взять. Да, в официальной деятельности в РФ (включая банковские операции) PGP применять нельзя - пользуйтесь "Вербой", это тоже система несимметричного шифрования, но как раз официальная. Естественно, код закрытый. Есть ли в нём задний проход для соответствующего органа безопасности - догадайтесь сами 😊
Но для частников должностные инструкции не писаны.
Для криптозащиты в официальном пространстве надлежит пользоваться сертифицированным ПО. В противном случае ни одна инстанция не примет ваших претензий.
Сертифицированное ПО нет нужны открывать, поскольку его изменение автоматически отменяет сертификацию.
А алгоритм криптозащиты открыт и описан в ГОСТах.
http://ru.wikipedia.org/wiki/ГОСТ_28147-89
http://ru.wikipedia.org/wiki/ГОСТ_Р_34.10-2012
и тд.
Все желающие уже поискали уязвимости.
Kalmar
Читал, что при пользовании PGP главная уязвимость - пароль, сохраненный на компе.
Угрозы бывают разные. От угрозы перехвата сообщений, когда злоумышленнику доступен только твой трафик, PGP защищает независимо от пароля на компе. А если большой брат сидит за твоим монитором - работают совсем другие расклады. Тут уже только виртуалка на разделе с двойным шифрованием, да чтоб раздел тот монтировался вручную подаваемой командой с консоли обрезанного по самые уши линукса на сервере, засунутом в коробку из-под обуви на антресолях у соседа. Ага, и чтоб при открытии коробки она самовозгоралась 😊
OCTAGON
Путаете.
Для криптозащиты в официальном пространстве надлежит пользоваться сертифицированным ПО. В противном случае ни одна инстанция не примет ваших претензий.
Сертифицированное ПО нет нужны открывать, поскольку его изменение автоматически отменяет сертификацию.А алгоритм криптозащиты открыт и описан в ГОСТах.
Все желающие уже поискали уязвимости.
Пользуясь сертифицированным ПО с закрытым кодом - автоматически доверяешься органу сертификации. А государство по определению является несекурным партнёром, даже без злобного Большого Брата, чисто из-за бардака и профессиональной ссученности чиновников. А алгоритм шифрования открыт, но кто докажет, что в коде реализован именно этот алгоритм и ТОЛЬКО этот алгоритм?
Все желающие уже поискали уязвимости.по умолчанию ни один продукт не получит сертификацию без дыры для внутренних органов.
Makc k-113Ваше право, не доверяйте. А кто доверит вашему алгоритму? Используйте вне официального простанства всё, что сочтёте нужным.
Пользуясь сертифицированным ПО с закрытым кодом - автоматически доверяешься органу сертификации. А государство по определению является несекурным партнёром, даже без злобного Большого Брата, чисто из-за бардака и профессиональной ссученности чиновников. А алгоритм шифрования открыт, но кто докажет, что в коде реализован именно этот алгоритм и ТОЛЬКО этот алгоритм?
А в официальном с вами просто не будут разговаривать на эту тему в силу её очевидной бессмысленности.
почти анонимНе надо писать куйню.
по умолчанию ни один продукт не получит сертификацию без дыры для внутренних органов.
Алгоритм опубликован, его возможные уязвимости давно обсуждались.
Или полагаете, что к правильно зашифрованному пакету добавляют тоже самое зашифрованное альтернативным способом?
Реализуйте опубликованный алгоритм и сравните результат с результатом выдаваемым сертифицированным продуктом.
Не надо писать куйню.сам алгоритм - да, его реализация - нет.
Алгоритм опубликован, его возможные уязвимости давно обсуждались.
Или полагаете, что к правильно зашифрованному пакету добавляют тоже самое зашифрованное альтернативным способом?
Реализуйте опубликованный алгоритм и сравните результат с результатом выдаваемым сертифицированным продуктом.
пример: уязвимость пароля виндовс до 8 знаков. На вскрытие максимум 20 минут, хотя он должен шифроваться также как и более длинный пароль.
пример: скайп не получал сертификацию в некоторых странах, пока не дал доступ спецслцжбам, после чего для сохранения репутации продаж его майкрософту.
Вы в курсе, что в PGP может быть более двух ключей для одного сообщения? Это когда сообщение шифруется и отправляется нескольким пользователям, и каждый расшифроввывает своим. Где гарантия, что каждое сообщение не зашифровано n+1 ключом, где +1 ключ хранится у кого надо и можно воспользоваться когда надо?
OCTAGON
Алгоритм опубликован, его возможные уязвимости давно обсуждались.
Или полагаете, что к правильно зашифрованному пакету добавляют тоже самое зашифрованное альтернативным способом?
Реализуйте опубликованный алгоритм и сравните результат с результатом выдаваемым сертифицированным продуктом.
А не обязательно передавать с тем же пакетом. И не обязательно передавать всё содержимое. Необходимо и достаточно передать кому надо закрытый ключ, а пакеты он потом сам прочитает.
почти анонимПоставьте в пароль лидирующие пробелы и сообщите результат. 20 минут на камрадов, это же не много.
сам алгоритм - да, его реализация - нет.
пример: уязвимость пароля виндовс до 8 знаков. На вскрытие максимум 20 минут, хотя он должен шифроваться также как и более длинный пароль.
У меня пароли редко бывают короче 30 символов. Стишки использую.
почти анонимСкайп был всегда дырявым и изначально предназначенным для стороннего контроля. Войдите с двух компьютеров с одной учёткой и вступите с кем-нибудь иным в диалог.
пример: скайп не получал сертификацию в некоторых странах, пока не дал доступ спецслцжбам
Давно не проверял. Расскажите, что увидите.
почти анонимДва, так понимаю, различных пакета.
Вы в курсе, что в PGP может быть более двух ключей для одного сообщения? Это когда сообщение шифруется и отправляется нескольким пользователям, и каждый расшифроввывает своим. Где гарантия, что каждое сообщение не зашифровано n+1 ключом, где +1 ключ хранится у кого надо и можно воспользоваться когда надо?
Найдите в описании алгоритма PGP множественность открытых ключей.
Makc k-113Ооо!!! Не буду вам мешать додумать самостоятельно все открывющиеся перспективы такого подхода)))))))
А не обязательно передавать с тем же пакетом. И не обязательно передавать всё содержимое. Необходимо и достаточно передать кому надо закрытый ключ, а пакеты он потом сам прочитает.
Это в помощь http://ru.wikipedia.org/wiki/Дизассемблер
Поставьте в пароль лидирующие пробелы и сообщите результат. 20 минут на камрадов, это же не много.мы же не простолюдины, тут принято верить на слово 😊
честно: у знакомого админа контроллер разрушил базу. За ночь восстановил 80% паролей.
Скайп был всегда дырявым и изначально предназначенным для стороннего контроля. Войдите с двух компьютеров с одной учёткой и вступите с кем-нибудь иным в диалог.для этого надо знать пароль. тут рассказывать нечего - все дублируется везде, где залогинен юзер. Но трафик довольно неплохо шифровался, что не нравилось нашим геббельсам.
Два, так понимаю, различных пакета.хм. когда лет пять назад читал доки, то пакет шифровался несколькими ключами, каждый из которых мог открыть.
OCTAGONТо есть, судя по вашей логике, гораздо лучше и спокойнее пользоваться закрытым софтом с неизвестными недокументированными возможностями и сертифицированным ФСБ, чем тем же GnuPG или Truecrypt с открытым кодом, по которому излазили тонны людей в поисках дырок и закладок?
Не надо писать куйню.
Научите админа правильно бекапы делать.
Трафик, это да. Но когда пароль унесли, это не очень актуально. Большинство пароли редко меняет.
Если покажите про несколько ключей, хорошо.
TrigonВы не понимаете смысла сертификации.
То есть, судя по вашей логике, гораздо лучше и спокойнее пользоваться закрытым софтом с неизвестными недокументированными возможностями и сертифицированным ФСБ, чем тем же GnuPG или Truecrypt с открытым кодом, по которому излазили тонны людей в поисках дырок?
А простым пользователям,не работникам ФСБ и ЦРУ, нужен ли сертификат?
Если покажите про несколько ключей, хорошо.Кодирование сообщения для нескольких получателей
Допустим, необходимо зашифровать и отправить письмо для нескольких получателей. В этом случае поступим так:
pgp -ea файл идентификатор1 идентификатор2 идентификатор3
Я хочу отправить зашифрованное сообщение сразу нескольким адресатам. Нужно ли мне зашифровывать его для каждого по отдельности?
Не обязательно, можно зашифровать сразу для всех, указав ключи всех получателей в диалоговом окне Key Selection Dialog, а затем отправить полученный шифртекст каждому из адресатов.
takeneoКакой?
А простым пользователям,не работникам ФСБ и ЦРУ, нужен ли сертификат?
Вы не понимаете смысла сертификации.а чего его понимать? цели две:
1. устойчивость от злоумышленника
2. лазейка "для своих"
почти аноним
Кодирование сообщения для нескольких получателей
Допустим, необходимо зашифровать и отправить письмо для нескольких получателей. В этом случае поступим так:
pgp -ea файл идентификатор1 идентификатор2 идентификатор3Я хочу отправить зашифрованное сообщение сразу нескольким адресатам. Нужно ли мне зашифровывать его для каждого по отдельности?
Не обязательно, можно зашифровать сразу для всех, указав ключи всех получателей в диалоговом окне Key Selection Dialog, а затем отправить полученный шифртекст каждому из адресатов.
А в результате размер такой же как и для одного получателя?
почти анонимНавар и при деле(с)
а чего его понимать? цели две:
1. устойчивость от злоумышленника
2. лазейка "для своих"
Лазейка для своих - потенциальная опасность лазейки для злоумышленника
SthPhoenixНе мешайте им бояться. Их с детства запугали происками КГБ.
Лазейка для своих - потенциальная опасность лазейки для злоумышленника
А в результате размер такой же как и для одного получателя?хз. может проверить. говорю, же, много лет прошло.
но можно, например, при шифровании письма добавить к нему ключь для расшифровки, все это (или первый мегабайт) сжать зипом, если размер получился меньше исходного сообщения, добавить мусора, зашифровать.
При расшифровке сделать обратное: первый мегабайт расшифровать, вытащить оттуда ключ, распаковать остальное.
причем, передаваемый ключ шифровать своим правильным ключом.
Лазейка для своих - потенциальная опасность лазейки для злоумышленникаа вы думаете с какой еще целью так часто обновляются продукты и обьявляются "несовместимыми и нерекомендуемыми"?
почти анонимПродукты?.. Сметана?
а вы думаете с какой еще целью так часто обновляются продукты и обьявляются "несовместимыми и нерекомендуемыми"?
почти анонимПроверьте. Интересно.
хз. может проверить. говорю, же, много лет прошло.
но можно, например, при шифровании письма добавить к нему ключь для расшифровки, все это (или первый мегабайт) сжать зипом, если размер получился меньше исходного сообщения, добавить мусора, зашифровать.
При расшифровке сделать обратное: первый мегабайт расшифровать, вытащить оттуда ключ, распаковать остальное.
причем, передаваемый ключ шифровать своим правильным ключом.
Но все пляски с универсальным ключём бессмысленны, понеже в этом случае один взлом компрометирует всю структуру.
Тут риски неоизмеримы выгодам.
Именно поэтому и используют сертифицированное ПО, чтобы в нём было то, что положене и не было ничего лишнего.
Все платили в интернете с банковских карт. Там вся защита сертифицирована, ибо иное прямо запрещено.
Гм... Сметана?😊
у нас банковский софт раз в две недели требует обновления.
причем обновляется не только база, но и исполняемые файлы.
один взлом компрометирует всю структурунемцы же прокололись: в свою винду изначально встраивали софт, включающий камеру без ведома пользователя и передающий куда надо картинку. И ничего - ни революций, ни БП. Всегда можно обьявить происком отдельного программера. или замять дело. Кто сможет довазать факт бак дорса? Только слух пустить.
почти анонимКакой такой банковский? Банк-клиенты или Новая Афина?
😊
у нас банковский софт раз в две недели требует обновления.
причем обновляется не только база, но и исполняемые файлы.
почти анонимНе знаю. Не слышал. По-моему фейк.
немцы же прокололись: в свою винду изначально встраивали софт, включающий камеру без ведома пользователя и передающий куда надо картинку. И ничего - ни революций, ни БП. Всегда можно обьявить происком отдельного программера. или замять дело. Кто сможет довазать факт бак дорса? Только слух пустить.
Банк-клиентыага.