• úvod
  • témata
  • události
  • tržiště
  • diskuze
  • nástěnka
  • přihlásit
    registrace
    ztracené heslo?
    LITTLEBOYAnonymita na internetu :: TOR - FREENET - FREEPROXY - ...



    Temata


  • novinky ze sveta #security #privacy obecne, nejen #tor #pgp ale taky app pro telefony, sifrovani disku [#truecrypt, #luks/#dm], bezpecne #backupy
  • ocenovany jsou navody a howto pro ruzne novacky, pokud mate, dejte vedet, dame i na home
  • aktualni admin: Overdrive, takze pokud neco, klidne piste do posty
  • PROSBA: pokud linkujete, vzdy napiste co to vlastne linkujete, ne, ze by jeden neveril neznamemu linku, ale je to tak prehlednejsi

  • Spratelene kluby: [ PGP, SSL & Co. ] -- [ Technoparanoia (Facebook, Google latitude a další) + NSA + účinné postupy při obraně soukromí ] -- [ Cyber.Punk: cyberpunk is not dead! cyberpunk is NOW! : SubHuman, PostHuman, TransHuman, InHuman ]
    Know & Howto: [ Pretty Good Privacy - Wikipedia ]
    rozbalit záhlaví
    PEPAK
    PEPAK --- ---
    LIBORO: Řekněme, že jsi obyčejný uživatel, který si nesestavuje po nocích atomovou bombu ani neplánuje únos prezidenta Obamy. Přesto bych řekl, že šifrování celého disku pro tebe může mít přinejmenším dva jasné přínosy: 1) Když ti někdo ukradne počítač, nedostane se k datům (např. k přístupům do mailu nebo do banky, ať se nebavíme jen o tvých supertajných plánech na ovládnutí světa). 2) Když ti odejde disk, nemusíš řešit, jak ho bezpečně zlikvidovat, aby se z něj ta data nedala dostat, to budeš mít "zadarmo" v tom, že je všechno zašifrované.
    PROFOR
    PROFOR --- ---
    LIBORO: Jak uz se reklo nize: ma, ale nestaci to...
    LIBORO
    LIBORO --- ---
    Můžete prosím blbcovi (me) říct, jestli má nějaký smysl sifrovat celý disk TrueCryptem?
    PROFOR
    PROFOR --- ---
    PROFOR: Proste zaver pro uzivatele: premyslejte nad tim, co (byt to vypada na prvni pohled nevinne) je mozne zneuzit - z toho, co o sobe rikate na netu, z toho, co o vas eviduje stat verejne na netu, z toho, co mate na disku, atd atd. _Potom_ se zamyslejte nad tim, jak eliminovat bud prozrazeni citlivych dat a nebo nasledky takoveho prozrazeni.
    Vim, je to prilis obecne. Ale pokud nad tim clovek nebude premyslet, tak mu nepomuze sebelepsi sw.
    Kdyz oponujeme nektere projekty, tak se sice udelaji nejake checky podle metodologii, ale stejne je nejlepsi se vzit do kuze darebaka a premyslet jako on a hledat diry tam, kde je zadna metodologie nenajde. A stejne bude clovek vzdycky az ten druhy.
    PROFOR
    PROFOR --- ---
    NYX: Vsak ja jsem netvrdil, ze je sifrovani celeho disku uplne k nicemu (viz ta ochrana pri ukradeni - tedy kdyz je komp vypnuty). Jen je potreba si uvedomit, k cemu slouzi a nemit falesny pocit bezpeci. To je cele. Mas pravdu - kombinace obeho je rozumna.

    A presne to, co rikas o tom uvedomeni si toho, s cim pracujes - to je dulezity - a tam vidim prostor pro propagandu. Ne lidem strkat technologie, ale ucit je a ucit je a ucit je... (bohuzel ne vzdycky to dopada na urodnou pudu)...

    BTW - dneska je docela bezne to, ze notebooky maji antitheft ochranu. Zaroven je ale bezne si kupovat notebooky z druhe ruky. Kdo z uzivatelu se zamysli nad tim, ze kdyz je puvodni majitel darebak, ze se muze bavit tim, co delaji u kompu?
    NYX
    NYX --- ---
    PROFOR: no dobre, ale tady se resi co doporucit lidem, kteri to nevi.

    a lidi jsou lini...neumim si predstavit, jak se bezny uzivatel bude patlat s sifrovanim jednotlivych souboru, natozpak aby osetroval ten milion ruznych zpusobu, jak ta data mohou nekde zustat viset. u FDE si to jeste predstavit umim...holt zadaji heslo pred bootem misto po nem (pak klidne mohou mit auto-login)

    a nic nebrani tomu obe reseni zkombinovat, tj. FDE + treba truecryptovy kontejner na citlive veci uvnitr.

    a to ani nema smysl zminovat situace, kdy clovek ani nevi o tom, ze ma na disku nejaka citliva data hodna ochrany, viz nedavny clanek, ze nejake snad bankovni instituce ukladaly citliva data do localStorage :) nebo jiny clanek, kdy nektere weby resi "remember me" ulozenim jmena a hesla do cookie...bud v plaintextu nebo v hardcore sifrovane base64 podobe :-)

    jasne, FDE neresi malware...ale imho to je situace, kde ti nepomuze nic. holt si ten soft pocka nez soubory otevres, pripadne bude logovat vsechna hesla a zkouset je na jine soubory apod.
    PROFOR
    PROFOR --- ---
    PEPAK: S tim uzivatelem souhlasim. :)) To je pravda :) Ale s tim, ze implementace je az daleko vzadu uz ne... Spravna implementace totiz muze v dost velke mire eliminovat i chyby uzivatele (i kdyz ne absolutne). Ostatne na mff byl (mozna jeste je) jeden clovek, ktery - kdyz mu studenti prinesou nejaky svuj program - si zahraje na totalne tupeho uzivatele a dost se nestaci divit (ti studenti), co se vsechno deje... Ostatne - popovidej si s Pavlem Vondruskou o tom, jak kvalitni jsou samotne sifrovaci algoritmy a jak kvalitni jsou programy, ktere je implementuji...
    Kdysi se dobre napsanym programum rikalo idiotenfest a ani ty nebyly dokonale. Dnes je to o hodne horsi. Souvisi to se stylem prace pri navrhu a vyvoji sw.
    PEPAK
    PEPAK --- ---
    PROFOR: Největší slabina obecně čehokoliv je oprávněný uživatel. Implementace je až daleko vzadu.
    PROFOR
    PROFOR --- ---
    NYX: Ale no tak - ma - jen clovek musi vedet, co dela. A to je prave ten problem, o kterem jsem mluvil... Mas vsak pravdu, ze jak se clovek pohybuje zejmena v linuxu, tak nejak zapomina na jine OS, kde to tak snadne ukocirovat neni...
    NYX
    NYX --- ---
    PROFOR: sifrovat jen konkretni soubory imho nedava smysl - ta data se ti mohou objevit ve swapu, ruzne docasne auto save soubory, indexace pro fulltext search a plno dalsich mist, ktere normalni clovek nema sanci vsechny podchytit.
    PROFOR
    PROFOR --- ---
    OVERDRIVE: Ja ti nevim - jako bezpecak (a pracuju v oboru od r. 93 od te doby co delams linuxem) vidim jednu vec: lidi vidi slovo sifrovani a maji za to, ze je poreseno. Poreseno neni nic. Zalezi na implementaci - to je nejvetsi slabina ostatne cehokoliv. Takze ty lidem natlacis do hlavy to, ze maji sifrovat (nic proti tomu - v nekterych pripadech maji) a oni se na to spolehnou a nepremysleji nad tim a citi se bezpecne. Pravem? Nikoliv. Stejne jako mas sam pocit, ze je tvoje komunikace bezpecnejsi. Muze byt. Ale take nemusi. K cemu je ti sifrovani (ted nemyslim zrovna nutne tebe, ale klidne i tak), kdyz mas nekoho na svem pocitaci a vidi data v otevrene podobe?
    Nad vecmi je potreba premyslet a misto online sifrovani celeho disku, ktere je ti dobre ve chvili, kdy ti ukradnou pocitac, by se lidi meli zamyslet nad sifrovanim jednotlivych souboru, ktere jsou opravdu citlive. K nim nepristupujes vzdy a nemas je tudiz vzdycky k dispozici systemu, kdyz je nabootovany a disk je pro tebe a sw citelny. Tudiz i pro malware, ktery nemusi byt aktivni stale...

    Jinak souhlasim - mas pravdu - propaganda je potreba - ale spousta lidi je vuci ni imunni a potom je lepsi ji delat opatrne a s rozmyslem...
    OVERDRIVE
    OVERDRIVE --- ---
    PROFOR: jak rikam nejsem militantni a bezpecnost pro me neznamena nasadi cryoto vsude kde to jde, to je overkill... ale se zvysujici se user-freindlyness uz je to rozumne nasazovat jakoze transparentne pro lidi... treba Pidgin by primarne mel uz chodi s pluginem OTR a byt nakonfigurovany do modu VYZADUJ CRYPTO, stejne jako nechapu, proc neni uz primo ve firefoxu HTTPS Everywhere ale musim jej BFU doporucovat [vypinatelny default SSL by podle meho nicemu neskodil] atp.


    PROFOR: problem je, ze na tom zalezi na urovni ala prism, tedy plosne odposlouvhavani jen proto, ze to jde... je chladna rozvaha nenosit u sebe chytry telefon? neni. ale chladna rozvaha je treba revers engineering a vyzadovat otevrena reseni, aby bylo jasne, kdy jsem zbytecne sledovani...
    Jinak rainbow tabulky samo nejsou nic noveho, myslim, ze na to tema bude i nova kniha Coryho Doctorowa... je to pop mezi geeky, ale kdyz sleduju uroven tady, tak je to klicove slovo, ktere by si lide meli najit na nejakem vyhledavaci

    Vis co? Vis proc vedu tuhle debatu, ackoliv uz defacto nevyjadruju na nyxu nazory? Jde mi o to, ze ted je svet plny paranoidniho balastu ohledne prism a je ted nejlepsi doba VZDELAVAT Lamy a BFU, potazmo sebe sama.
    Pokud budu psat aspon trosku smysluplne, naucim lidi, ktery aplikace maji pouzivat, jaky klicovy slova si vyhledat a tak a to je pro me dulezite. Je to propaganda ve smyslu: VOLE KOMUNIKUJ NA FACEBOOKU PRES OTR PIDGIN NE NADRZO POSTOU. atd. To je cil. Zaroven je cil posunout se, protoze ja jsem ta na urovni... ehm, no proste si o tom ctu a vlasne jsem se diky cryptu naucil zachazet s linuxem a tak... takze jako nekde je ten prvni krok kdy Te to zacne bavit, zacnes se ucit... a nekde se taky zastavis a ches aby ti ostatni dali vic. K obojimu bych jako smeroval sve aktivity ohlende crypta: propaganda propaganda propaganda. naucit lidi, aby nemuseli uplne moc premejslet nad resenim, ale nad dusledky, napriklad. delat veci transparentne atd.

    Dneska vecer asi bude k dispozici nejaka ma prednaska z BRMLABU na tema Prakticka cryptografie. Prosukal a prochlastal jsem noc, takze nemam slidy a tak, tak uvidime, jestli to budu vubec linkovat, ale kazdopadne je porad co resit. Napriklad transparentni sifrovani disku je ted tema, co me zajima a snazim se vynmamit nejakej smysluplnej uvod do problematiky z Nyxe... atd.

    Nic musim bezet. Pastnu link casem
    PROFOR
    PROFOR --- ---
    OVERDRIVE: Jinak to, co pises o GSM je vec (a to se stale bavime na urovni studentiku, kteri si s tim po Praze hraji) stara asi dva roky. Myslim, ze nikdo znaly nebere GSM jako komunikaci, ktera slouzi pro duverne hovory. Na to je v tuto chvili mozne pouzit UMTS (obecne 3G, pokud si jej umis locknout a zajistit, ze nebudes mit handover do nizsi technologie). Ale opet je to o tom, ze nema cenu panikarit v pripadech, kdy na tom nezalezi.
    PROFOR
    PROFOR --- ---
    OVERDRIVE: No - ono to je o tom, ze se nekdo hodne zajima a studuje a studuje a navic k tomu pouziva i zdravy selsky rozum a nebo je jen paranoidni a potom to dopada takhle... A ver mi, ze bezpecnost neni o tom _vsude_, kde to jde, nasadit sifrovani. Bezpecnost je o tom, ze si udelas chladnou rozvahu proti cemu a za jakych okolnosti se chces branit a k tomu nasadis spravny prostredky...
    ANT_39
    ANT_39 --- ---
    SAMGARR: Ted jsem to zkusil, a site:.cz normalne funguje.
    OVERDRIVE
    OVERDRIVE --- ---
    Dalsi vec co jsem ted dostal a tu sem spis odkladam, protoze nevim jak moc nekoho zajima statisticka analyza, ktera je co se crytpa tyce HROZNA svine [asi jako lockpicking pro vetsinu zamku]: http://repository.tamu.edu/bitstream/handle/1969.1/86009/4-thesis.pdf?sequence=1
    Mel by to byt rozbor, jak odposlechnout skype [VOIP] sifrovany tok na zaklade casu a statisticke analyzy, ale jeste jsem to necet.... [dik dobrodinci za postu, klidne pokracuj]
    OVERDRIVE
    OVERDRIVE --- ---
    Jinak ja jsem crypto nikdy nijak nestiuudoval, je to spis konicek, ale jedna z veci, krom relevance ulozenych dat v case je taky degradace sifry v case. ted jsem dostal postou decryptocat: http://tobtu.com/decryptocat.php defacto to rika,ze nejake zpravy z urcite doby jsou nachylne k rozbiti.
    Takze krom toho, ze CC byl asi nejdulezitejsi kanala pro sfirovaci lamy je dobre si uvedomit, ze kdyz neco sdelujes pres net/telefon nemusi sifrovani vydrzet vecne. to jen tak na okraj.

    Jinak treba intercept GSM komunikace pomoci rainbow tabulek uz je dnes dostupny na urovni hackeru z Petrzalky, aby bylo jasno. Parkrat jsem to videl. Takze pokud jeste verite svemu telefonu tak si to odpustte.
    OVERDRIVE
    OVERDRIVE --- ---
    AQUARIUS: je to zrejme komunikace z venku, muzes videt treba obdobne, kdyz mas na telefonu pusteny origo google talk a zaroven gibberbota, ktery je v modu OTR, tak vidis, jak pres talk tecou data v podobe hromady nesmyslnych znaku...
    facebook jako web samozrejme nikdy nebude mit klice... za a] klic nikdy nesveruj treti strane, za b] klic nikdy nesveruj treti strane... proto nemuze fungovat treba sifrovani z nejakeho webgui u freemailu nebo tak... proste je to neduveryhodne.


    THEBYS: mmchodem nevidel jsem, ze uz maji filtr, ktery pozna, ze tim tece OTR, kdyz jsem na to koukal primo na jejich webu naposled, byla tam videt komunikace

    At otazka proc zverejnovat neco a nechtit zverejnit neco jineho:

    Presne jak tu zaznelo: Kdyz zverejnim svuj telefon, muzes mi zavolat - jasne, muzes byt kreten a volat mi ve 4 rano... nastesti se to moc nestava, spis je to treba dobry, kdyz neco nekam napisu a pak novinari [pripadne fizlove] hledaj me cislo [mmchodem to se mi stalo, kdyz jsem napsalo o kradezi osobnich udaju na idnes blog od zamestnankyne El.Zdrav.Knizky od IZIP, tak mi nejdriv volali z tydnu a respektu s zadosti o rozhovor a pak mi volali policajti at se dostavim k vyslechu, ze se Izip soudi s onou dotycnou... samozrejme vsichni meli me tel cislo z netu... tedy i fizl uz umi googlit, ze ;]
    Takze moje cislo na webu je uzitecne, protoze me sezenes, kdyz se neco deje. Ale nevidim duvod, proc by kdokoliv z vas tady mel vedet, co do toho telefonu rikam, kdyz se bavim se svou zenou a jsem nadrzenej jak rudej pes. A to nemluve o tom, ze si nemuzes byt jisty, jestli Te jednou ta zenska neuda, ze jsi ji mlatil a chytrej fizl si dohleda komunikaci na facebooko, kde si o tom s ni pises a ma dukaz. Je dulezite chapat, ze informace ma jinou dulezitost v jinem svetle. Tedy dokud jsi s ni a mlatis ji az u toho ona jeci a je cela mokra, tak je to doby, ale kdyz se s tebou che soudit o barak a bavoraka pri rozvodu, muze spravne pouzity kus posty zpusobit Tvuj bankrot.

    Proto primarne VZDY sifruju vse senzitivni jinak se o tom nebavim [coz je nejlepsi ochrana, proste nebavit se o nicem co mas dojem, ze je sporne elektronicky] a zaroven NIKDY neschovavam logy. A to ani na serverech. Mozna nejakej parse abych vedel ruzny bezpecnostni problemy, ale ne zadnej senzitivni obsah.

    Dava to smysl?
    FURYAN
    FURYAN --- ---
    SAMGARR: Taky by me zajimalo, bez lepsich filtru je to usili obdivuhodne, ale uplne k prdu
    SAMGARR
    SAMGARR --- ---
    Duckduckgo ma pro me jednu nevyhodu - neumi zobrazit vysledky vyhledavani jenom pro "cesky" internet, mate nekdo nejake reseni?
    AQUARIUS
    AQUARIUS --- ---
    THEBYS: to je komunikace za pomoci externiho klienta? Tj. ze Facebook nema k dispozici soukromy klice?
    LIBORO
    LIBORO --- ---
    MATHEW_ER: Nechci si nic představovat. Mě zajímá, proč zveřejňovat číslo účtu, když na druhý straně řeším šifrování FB chatu.
    Kliknutím sem můžete změnit nastavení reklam