How Microsoft handed the NSA access to #encrypt-ed messages : http://t.co/bWOyOShb8V #PRISM #privacy

OVERDRIVE: je to nastavitelná bezpečnostní politika, snad i někde v té části nastavení kde je šifrování apod - dá se to nastavit např. i při připojení zařízení k exchange v rámci BYOD

mmchodem vadi, ze jsem to tady tak nejak promenil v audit o cryptu i obcene?

Crypto Fails
http://www.cryptofails.com/

mmchodem, dalo by se do zahlavi prolinkovat? [ PGP, SSL & Co. ]

Rozhovor se Snowdenem jeste pred whistleblow o security:

Just before Edward Snowden became a world famous whistleblower, he answered a - Pastebin.com
http://pastebin.com/zVC14byX

ANAXYM: hehe, vam to zapli taky? :)

OVERDRIVE: neco takovyho urcite jde udelat. Diky exchange uctu se mi takova politika nalila do telefonu (bez ni by ten mail nefungoval) a uz se mi ho asi 3x povedlo uspesne vymazat (SD kartu to nemaze)

ale jak je to presne reseny, to ti nepovim, jen vim, ze to jde udelat :)

PROFOR: Možná jsem dotaz pochopil příliš striktně - já jsem to bral tak, jestli jde udělat čistě aplikačně (tzn. např. aplikace má pod kontrolou, jak přesně to promazávání funguje), bez speciální podpory v OS.

OVERDRIVE: zkus androidlost, planb, lookout, neco z toho by to mohlo umet.

PEPAK: Nejsem android vyvojar, ale kdyz jsme resili smartphone security, tak samozrejme existuji sw od tretich stran, ktere umoznuji v pripade ukradeni telefonu na dalku smazat cely telefon. Takze to ocividne jde.

vcerejsi prednaska o cryptu, 270mb asi hodina, je to jen obecny uvod a par klicovych slov, ENG:
http://mirror.vpsfree.cz/...eohrach/video/brm/lt/lt-2013-07/2013-07-04-everyday-crypto-overdrive.mkv

OVERDRIVE: Ruku do ohně za to nedám, ale základy programování pro Android mám. Takže přinejmenším v teorii by to, co chceš, nemělo jít uživatelskou aplikací udělat. Ale samozřejmě, co já mohu vědět o jeho případných skrytých možnostech, nemluvě už o chybách...

PEPAK: to vis jiste? vyznas s v Androidich systemech? jak moc by se to dalo hacknout do jadra? funguje tam neco jako linuxovej PAM?

mmchodem nevedel jsem, ze neni obecne znama pravda, ze Androidi telefony do verze 2.* se daji debugovat po kabelu bez znalosti hesel... bacha na to...

shanim mmchodem soft pro Android, ktery umozni pri zadani spatneho hesla [tedy resp spravneho hesla s jinym cilem] smazat data v telefonu... neznate nekdo neco takoveho?

mmchodem kdyz ted ctu bezpecnostni mailinglisty a spol, tak je venku tolik zeroday a tolik malware codu for sale, ze customizovat utok i na pomerne zkuseneho uzivatele je pomerne snadne...
mmchodem jedno id, ktere sem ted pise se dost bavilo tim, ze zkouselo identifikovat uzivatele podle nastaveni browseru ve spojeni s flas cookies, otravenymi obrazky a podobne, to je neresitelne i pro HODNE advanced uzivatele, pokud nechtej mit misto pocitace brick nebo pouzivat links

PROFOR: mam i cryptovane partisny i jednotlive soubory, navic na ruznych mistech ne jen ve svem pocitaci. systemovou partisnu pravda aktualne sifrovanou nemam.


NYX: tohle je jedna z VELMI dulezitych informaci, proto jsem sem daval tu starou pravdu o TrueCryptu, ze treba word a spol umej obnovit soubory, ktery jsou zavreny v partisne, ktera je zamcena


PROFOR: muzes celou tuhle ideu rozsirit? co znamena ne-blbuvzdornost v jakem bezne uzivanem softu ji je malo, jak si hrat na blbeho [priklad]? rozhodne by mi to pomohlo pri premysleni pri implementaci i propagande


PROFOR: zkousel jsi to nekdy bypasnout tuhle antitheft ochranu? ja si s tim hral u jednoho IBM a je to docela snadne, ale musis o tom vedet, to je pravda


PROFOR: tohle je kruta pravda, ze neni dulezite samotne decryptovani dat ale pochopeni vzorcu chovani cloveka, jak jsem rikal statisticka analyza je svine. cet jsem na arstechnice treba, jak chtali anon grupu a oni necetli tor trafic, proste hledali odkud jde, kdyz to dohledali, zjistili mac adresu usera, pak cekali pred barakem a koukali se kdo je ten user. samo to byly neprime dukazy, ale kdyz se to spoji se socingeneeringem kteremu se rika policejni vyslech...

PEPAK: ano, tohle je taky dobra zminka - zkartovat data na disku, ke kteremu se nedostanes kvuliva vane elektronice nebo tak neco a zaroven nechces data hodit do kose, to je docela orisek... ja planuju vyzkouset termitovou reakci kterou jsem zahlid na youtube & hack-a-day ;]

SAMGARR: je mozne odposlechem zachytit obraz z monitoru, podle wiki to funguje predevsim u CRT, ale byly i nejake uspechy s LCD. Nevim jak moc prakticky nebo rozsireny to je... slysel jsem o tom zatim jen v cryptonomiconu.

SAMGARR: Jako kdyz jsem jeste delal pro omnipol, tak ti meli pokovena a specialne ulozena okna kvuli odposlechu zvenci. Dneska uz to delat nemusis... :) Teda ne, ze by se to nepouzivalo naprosto vubec, ale je to domena, ktera cloveka zajimat nemusi. :)

PROFOR: Prave ze spoustu spyware/keyloggeru a botnetu jsem v akci videl atohle ne. Ale tim lip, aspon nemusim balit PC do alobalu.

SAMGARR: Kolega se tim kdysi zabyval a pouzivalo se to - ale dneska uz tezko... To jsou takove vyctene veci... A je to drahe... Dneska se tyhle veci delaji jinak... socialni inzenyrstvi, malware, atd...

PEPAK: Priznam se, ze jsem linej googlit, odposlech elektromagenetickeho pole se opravdu da pouzit pro ziskani konkretnich dat? Videl jsem pracoviste kde bylo PC v case ze 3 mm plechu v odstinene mistnosti a prislo mi to trochu ... prehnane.

K predchozi diskusi: http://blog.azimuthsecurity.com/2013/06/attacking-crypto-phones-weaknesses-in.html

Talky z Brmlabu, nekdy v prubehu doby bude i ten o zakladech crypta na uzivatelske urovni ... http://nat.brmlab.cz/stream/
Pozdej linknu i nahravku, az bude... eng

PEPAK: Tak socialni inzenyrstvi je to nejlevnejsi. Ani nemusis intalovat keyloggery. Nekdy se staci dokonce jen zeptat... :)

NYX: On je tu jeste jeden problem: na jednu stranu se vyplati pouzivat malo rozsirene sw, protoze malware se pise vetsinou na sw, ktery je rozsireny, protoze je to efektivni. Na druhou stranu je dobre pouzivat rozsireny sw, protoze jsou v nem vice hledany chyby... ;)