CCC 26c3 konferens i Tyskland

CCC är en tysk hackergrupp som varje år anordnar en konferens mellan  jul och nyår, detta år så finns några intressanta krypto-relaterade föredrag på listan:

Others that may be interesting but haven’t posted slides or papers yet:

Listan kom via Nate Lawson.

Google Lösenordsdekryptering

GooglePasswordDecryptor är ett nytt verktyg från SecurityXploded som dekrypterar de lösenord som Google använder i sina skrivbordsprodukter. Följande produkter klarar verktyget av att dekryptera från:

  • Google Talk
  • Google Picassa
  • Google Desktop Seach
  • Gmail Notifier
  • Internet Explorer (all versions from 4 to 8)
  • Google Chrome

Skärmdump:

Här kan du läsa mer och ladda hem verktyget:

securityxploded.com/googlepassworddecryptor.php

Lösenordsknäckning i molnet

David Campbell skriver ett intressant blogginlägg om hur han gick till väga för att knäcka PGP-kryptering med hjälp av Elcomsofts EDPR-mjukvara samt ett antal servrar från CloudComputing-tjänsten Amazon EC2 (även kallat molnet-tjänst).

news.electricalchemy.net/2009/10/cracking-passwords-in-cloud.html

Se även den FAQ som han skapat:

news.electricalchemy.net/2009/11/cracking-passwords-in-cloud-q.html

Krypteringsprogram får EAL4 certifiering

Det är programmet Endpoint Security Full Disk Encryption (Pointsec® PC 6.3.1) från Check Point Software Technologies som får Common Criteria certifieringen EAL4:

EAL4-certifiering är den högsta standardnivån som befintliga krypteringsprodukter kan få, och är ett bevis på att produkten har genomgått en lång och utförlig utvärderingsprocess. EAL4 är även antagen av International Standard Organisation (ISO) som använder EAL-nivåer som en global standard

Läs mer på Newsdesk.

Ny allvarlig brist i SSL/TLS-protokollet

SSL/TLS står för mycket stor del av den krypterade trafiken på Internet i dagsläget och används av exempelvis banker över hela världen.

Nu har två personer vid namn Marsh Ray samt Steve Dispensa på företaget PhoneFactor hittat en sårbarhet som gör det möjligt att injicera godtyckligt innehåll i början av en SSL/TLS-överföring.

Se dokumentet som beskriver attacken här:

Renegotiating TLS.pdf

Bloggare som skriver om detta: Extended subset, Ben Laurie (har även skapat en fix).

Google Wave Kryptering #2

I en kommentar av en av våra läsare med alias EDBM fick vi följande förklarande gällande den kryptering som Google Wave använder:

TLS/SSL har två funktioner: Autentisering (i första hand av servern) och kryptering, där serverautentisering är obligatoriskt men kryptering är valbart genom val av ”TLS cipher”, där man kan välja bort kryptering om man vill, vilket skulle kunna vara vad man gör om man väljer ”Optional”.

Formuleringen har ingenting alls att göra med om certifikatet är ”självsignerat”. Termen ”självsignerat certifikat” är för övrigt missvisande, det man menar är egentligen att servercertifikatet inte är certifierat en välkänd CA utan bara ett ad hoc-certifikat som man själv har utfärdat.

Se orginalinlägget: kryptera.se/google-wave-kryptering

Google Wave kryptering

Google har idag släppt på 100 000 nya användare att testa den nya realtidstjänsten som går under namnet Wave. Google Wave baseras på XMPP (Jabber) protokollet som har ungefär 10 år på nacken.

Enligt specifikationen för Google Wave så ska trafiken skyddas med hjälp av TLS:

The connection MUST be secured using the TLS feature of XMPP. It is RECOMMENDED that communication is encrypted (namely by using a non-identity TLS cipher).

Detta är lite luddigt formulerat och det menas troligtvis att ett självsignerat certifikat är ok. Dock så säger Google emot sig själv när de visar hur en Google Wave-server konfigureras med hjälp av OpenFire och där man väljer kryptering som ”Optional”.

Läs hela Google Wave-specifikationen här: waveprotocol.org/draft-protocol-specs/draft-protocol-spec