Taggat med: nsa

NSA avlyssningsoperation IVY BELLS

Operation IVY BELLS var en avlyssningoperation utförd av amerikanska marinen, NSA samt CIA tillsammans. Målet var att avlyssna en undervattenskabel som gick i Ochotska sjön till marinbasen i Petropavlovsk. Detta låter kanske som någon nyligen utförd operation men denna operation påbörjades i början av 1970-talet.

Installationen genomfördes på 120 meters djup från ubåten USS Halibut och den specialutvecklade avlyssningsutrustningen var 6 meter lång och vägde 6 ton utvecklad av Bell Labs.

ivy bellsTill amerikanarnas förvåning var nästan all kommunikation okrypterad och flertalet avlyssningstappar installerades från ubåtar som modifierades för syftet.

Varje månad fick även ubåten besöka avlyssningstappen för att byta ut de band som spelade in kommunikationen. Även så konstruerades tappen på ett sådant sätt att den skulle automatiskt släppa om kabeln togs upp för reparation.

Okhotsk

Just denna tapp var borta vid ett av ubåtens besök tio år senare och det visade sig att NSA hade en läcka vid namn Ronald Pelton. Satellitbilder visade då på att ett antal ryska fartyg hade befunnit sig på platsen ovanför tappen.

Under dessa tio år som tappen var installerade gav den amerikanarna stor inblick i den ryska marina kommunikationen.

Tappen återfinnes i dagsläget på ett KGB museum i Moskva och Ronald Pelton som sålde informationen om tappen till ryssarna för 35000$ blev senare avslöjad då hans KGB-kontaktperson Vitaly Yurchenko hoppade av och flyttade till USA (temporärt?).

Att det tog så lång tid att avslöja tappen beror enligt vissa på att den nyttjades till att förse NSA med desinformation.

Faktorisera 512 bitar RSA SSL/TLS

Nyligen så uppdagades en ny attack mot SSL/TLS vid namn SMACK. Denna attack nyttjar det faktum att många webbsajter i dagsläget erbjuder gamla krypteringsalgoritmer där bl.a. RSA 512 bitar finns med samt en sårbarhet i klienter.

Att faktorisera 512 bitar RSA går relativt snabbt med hjälp av ett kluster hos exempelvis Amazon EC2. Och med hjälp av 75 st servrar hos Amazon tar det cirka 7h och kostar runt 800 SEK. Och verktyget som användes för detta är bl.a. cado-nfs (eller så kan även ggnfs + msieve användas).

Men hur utbrett är problemet eg. med dessa korta nyckellängder på serversidan? Jo, av 14 miljoner sajter som stödjer SSL/TLS så har 36.7% detta problem. Och problemet i detalj består i att om en klient såsom OpenSSL eller Apples SecureTransport får tillbaka ett svar som inkluderar export-grade RSA så kommer dessa klienter att acceptera svaret, även om de ej frågat efter export-grade RSA.

Förfarandet steg för steg:

  1. När klienten skickar sitt Hello-meddelande så frågar den efter standard RSA
  2. Angripare som sitter i mitten (MITM) ändrar detta svar till export RSA
  3. Servern svarar med sin 512-bitars export RSA-nyckel, signerad med sin nyckel för långa livslängder (long term key).
  4. Klienten sväljer detta svar på grund av OpenSSL/SecureTransport-buggen.
  5. Angriparen faktoriserar RSA för att hitta den privata nyckeln
  6. När klienter krypterar ’pre-master secret’ till servern så kan nu angriparen dekryptera TLS huvudhemlighet (master secret)
  7. Nu kan angriparen se klartext och injicera nytt innehåll

Demonstration av hur attacken kan nyttjas mot NSA (eller rättare skrivet, Akamai):

nsa-fake copy

Delar av NSA:s övervakningskod läckt

Gårdagens stora nyhetshändelse i framförallt tyska medier var att programkod från XKEYSCORE läckt. Att XKEYSCORE är kodord för den del av NSA som sköter övervakning av datatrafik är något som har visat sig från tidigare läckor från Edward Snowden.

Att just NSA skulle inrikta sig mot att försöka avlyssna delar av Tor-nätverket är ingen direkt nyhet och om nu denna läcka är från NSA så kan vi bara anta att inriktningen mot Tor bara är en bråkdel av allt som finnes.

Programkoden som har läckt är regler för vad XKEYSCORE ska titta närmare på, bl.a. så tittar man på TLS-certifikatdelen x509 subject eller DNS-namn som tillhör bridges.torproject.org. Även så söker man efter LinuxJournal, MixMinion samt Tails.

Programspråket C++ finnes inbäddat samt så används Boost och mapreduce (troligtvis  Apache Accumulo).

Frågan är dock om detta verkligen kommer från NSA då det finns en del som talar emot detta, bl.a. kommentarer från utvecklare/analytiker om personliga åsikter samt så finns regler för ”five eyes” (FVEY) vilket också är publik information som läckt tidigare.

Sen är det även ett godtagbart mål då USA troligtvis aldrig kommer att bekräfta eller förneka att dessa regler existerar.

Programmeringsmässigt så innehåller koden massvis av fel i regexpar, felstavningar samt så blandas kod med regler.

En av de IP-adresser som förekommer i regelverket tillhör grannlandet Norge: AS2119 Telenor Norge AS.

XKEYSCORE-Regler

IT-säkerhetstrender 2014

Vi ska försöka att sammanfatta det vi tror kommer att hända och utvecklas under året 2014. Vilka trender inom IT-säkerhet är det vi ser och kommer att öka?

Utan inbördes ordning:

  1. Sårbarheter i mobilapplikationer – Generellt har appar och mobiltelefoner legat lite efter när det gäller utvecklingen gällande säkerheten men börjar nu att komma ikapp desktop-sidan.
  2. Riktade attacker – Produkter och metoder för att hitta riktade attacker kommer att utvecklas och automatiseras bättre. Produkter såsom Redline och Volatility kommer att bli lättre att bygga in i nuvarande system. Men även fler större attacker där single point of failure återfinnes såsom annonsnätverk.
  3. Kryptering – Fler kommer att gå över till att använda https samt nyttja PFS. Troligtvis kommer vi även att få se fler attacker mot https. Bitcoin kommer att fortsätta sin populäritet och vara underlag för diskussioner.
  4. Internet of things – Att sårbarheter uppdagas i bilar, människor och tv-apparater kommer att bli en vardag.
  5. Big Data – Att samla in data och samköra register/data blir lättare och lättare för varje år.
  6. Adekvat skydd – Vem är det vi ska oroa oss för? Är det främmande makts underrättlesetjänst såsom NSA eller grannen som är nyfiken? Nja, vi ska nog inte uppfinna vårat eget krypto men se till att de vi använder är tillräckligt bra. För mer information kommer troligtvis att läcka gällande hur amerikanska underrättelsetjänsten jobbar.

Nog med buzzword-bingo. Vad ser du för trender inom IT-säkerhet under 2014? Lämna gärna en kommentar nedan.

Användningen av Tor har fördubblats

Nyligen så påpekade Roger Dingledine som är projektledare för anonymiseringstjänsten Tor att användningen har fördubblats på kort tid:

Tor användare

 

Och vad detta kan bero på diskuteras flitigt, några teser som lagts fram är följande:

  • The Pirate Bays webbläsare Pirate Browser som använder Tor
  • Människor är rädda för underrättelsetjänster såsom NSA i samband med läckor från Snowden
  • Google Play öppnade nyligen för användare från Syrien. Dessa kan då använda Tor-klienter i Android-telefoner
  • En av de länder som ökat mest är Vietnam (se statistik här)
  • Skadlig kod (botnet) som nyttjar Tor

Diverse kryptonytt: iPhone, WEP, Tor, PFS, OpenPGP JavaScript

Här kommer en kortare länksammanfattning om det som vi twittrat om på sistone:

McAfee släpper topp 10 säkerhetstips för iPhone. Ladda hem PDF här.

Säkerhetsföretaget Immunity med före detta NSA-anställde Dave Aitel som grundare släpper ett verktyg som underlättar angrepp via WiFi med hjälp av WEP. Video hittar du här.

Tor berättar på sin blogg hur du kan använda Amazon EC2 för att köra din egen Tor-bridge i ”molnet”. Se även Tor Cloud sidan.

Google börjar att använda elliptiska kurvor för att skydda trafik via HTTPS. Mer specifikt så använder de ECDHE och RC4 vilket också möjliggör PFS eller (perfect) forward secrecy. Google har även bidragit till att OpenSSL-biblioteket stöder detta, se här.

Bruce Schneier som talade på konferensen Internetdagarna i veckan tipsar även om en gratis kryptokurs på Stanford.

Slashdot tipsar om att OpenPGP nu finns implementerat i JavaScript vilket gör det möjligt att köra i webbläsaren på godtycklig webbsida. Ett bra exempel är att använda tillsammans med webbmail såsom Google Mail. Implementationen går under namnet GPG4Browsers. Även så har SecWorks skrivit utförligare om detta.

Kryptering för barn

Den amerikanska signalspaningsmyndigheten NSA (SIGINT) har sedan en tid tillbaka en sida riktad till barn som vill lära sig om kryptoforcering/kodknäckning. Sidan går under namnet Cryptokids och har ett antal karaktärer enligt följande bild:

America’s Future Codemakers and Codebreakers

På sidan kan barn bl.a. spela spel och lära sig substitutionskryptering, morse samt hur man säger hej på olika språk.

Uppdatering: Vi glömde länken till sajten: http://www.nsa.gov/kids/

Apple får en ny Director of Global Security

Apple har nyss anställt David Rice som Director of Global Security. David kommer senast från en anställning vid amerikanska myndigheten NSA. Det är i dagsläget oklart vad denna nya befattning innebär.

Apple har tidigare anställt ett antal IT-säkerhetsproffs såsom Window Snyder som var head of Security på Mozilla, Jon Callas  som var CTO på PGP.

Källa: H-Online

NSA bygger ny anläggning

Den amerikanska myndigheten NSA (National Security Agency) bygger en ny anläggning i Utah rapporterar flertalet amerikanska tidningar. Tydligen så har NSA redan 2006 använt den maximala elkraft som kan levereras till Fort Meade från Baltimores kraftanläggningar.

Den nya anläggningen kommer att ge ungefär 1200 nya jobb till Salt Lake City och Utah. Anläggningen kommer att dra 65 megawatt.

Vidare läsning:

NSA lär dig trafikanalys

Den amerikanska myndigheten NSA har nu deklassificerat ett antal dokument där två är intressanta:

I det första dokumentet hittas exempel på klassisk militär kryptoanalys, och innehåller den grundläggande information som behövs för att lösa Zendian Problemet. Den andra handlar om radio-operatörers beteenden: