Interceptacao GSM nao autorizada (voz e dados)

[ Update - 28/12/2011 ]


Estendendo sua pesquisa sobre vulnerabilidades em redes GSM, Karsten Nohl do SRLABS (já citado nos updates mais antigos) publicou durante sua apresentação na conferência CCC - em andamento neste final de ano em Berlin -  um mapa onde são representados os países europeus de acordo com a qualidade de implementação de segurança em suas redes GSM.


Acesse o mapa em: http://gsmmap.org/


O "GSM security metric" se preocupa com mecanismos de defesa para 3 modalidades de ataques em implementações GSM feitas pelas operadoras (mecanismos de defesa entre parênteses)


- Impersonation (Encryption, Authentication Frequency)
- Intercept (Padding randomization, SI randomization)
- Tracking (HLR Blocking, TMSI change)


Slides da apresentação "Defending Mobile Phones": http://events.ccc.de/congress/2011/Fahrplan/attachments/1994_111217.SRLabs-28C3-Defending_mobile_phones.pdf


Os países que já possuem dados representativos são: Austria, Bélgica, the República Tcheca, França, Alemanha, Hungria, Italia, Morrocos, Eslováquia, Suíça e Tailândia.


Possivelmente outros países (incluindo o Brasil) estarão presentes no mapa em breve, já que instruções foram passadas para que os clientes de operadoras GSM auxiliem coletando dados com "Osmocom capable phones". É possível também detectar que está sendo efetuada interceptação não autorizada através de ferramentas disponibilizadas pelo projeto open-source "Catcher Catcher".


Interessante notar que a imprensa brasileira deu atenção à esta notícia (fonte: Reuters) - um comentário sobre o texto "Celulares GSM, usados por 80% dos usuários dosaparelhos, podem ser o novo alvo dos hackers" (sugestão: eu removeria o "novo" da frase - como pode ser visto nos updates abaixo). 


Outras reações de diversas fontes que comentaram o assunto nos últimos dois dias:

• Reuters: http://www.reuters.com/article/2011/12/27/us-mobile-security-idUSTRE7BQ05020111227
• O Globo: http://g1.globo.com/tecnologia/noticia/2011/12/celulares-gsm-sao-vulneraveis-ataque-de-hackers-diz-pesquisador.html
• Mcafee: http://blogs.mcafee.com/mcafee-labs/fighting-mobile-phone-impersonation-and-surveillance
• IT Pro: http://www.itproportal.com/2011/12/28/gsma-confident-gsm-security-despite-recent-hijack-flaw-claims/#1
• Financial Times: http://blogs.ft.com/fttechhub/2011/12/warning-over-mobile-phone-hijacking/

[ Update - 06/11/2011 ]

Wired: "UK Cops Using Fake Mobile Phone Tower to Intercept Calls, Shut Off Phones"

[ Update - 26/07/2010 ]

Algumas novidades recentes sobre interceptação GSM:

• Pratical CellPhone Spying - DefCon - Chris Paget fará uma demonstração de interceptação GSM durante a conferência DEFCON. Advogados da EFF estão ajudando para evitar a prisão do pesquisador.

Aqui está o vídeo da apresentação:

http://www.youtube.com/watch?v=q8JuYh7Km34

It's widely accepted that the cryptoscheme in GSM can be broken, but did you know that if you're within radio range of your target you can intercept all of their cellphone calls by bypassing the cryptoscheme entirely? This talk discusses the practical aspects of operating an "IMSI catcher", a fake GSM base station designed to trick the target handset into sending you its voice traffic. Band jamming, rolling LACs, Neighbour advertisements and a wide range of radio trickery will be covered, as well as all the RF gear you'll need to start listening in on your neighbours.

• New 'Kraken' GSM-cracking software is released | [A51] The call of Kraken - Novos softwares para cracking via rainbowtables do A5/1 são liberados - mais detalhes sobre a vulnerabilidade no post original abaixo. - http://reflextor.com/trac/a51/browser/tinkering/Kraken

• Hijacking mobile data connections - the state of the art (pdf) Este material recentemente divulgado na conferência HITB de Amsterdan mostra técnicas de hijack / man-in-the-middle de navegação de SmartPhones (incluindo Android e IPhone).

[ Update - 09/04/2010 ]

A quebra do A5/1 acelerou outra quebra de criptografia utilizada largamente na telefonia - o DECT - e automaticamente quase um bilhão de telefones fixos "cordless" do mundo (incluindo o seu) se tornaram muito mais sucetíveis a interceptação.

O tempo necessário é baixo (de 10 a 30 minutos) e tecnologia CUDA (com processamento GPU) pode ser utilizada para aumentar ainda mais a velocidade da quebra.

Segue trecho do paper publicado recentemente (pdf) por Karsten Nohl , Erik Tews e Ralf-PhilippWeinmann:

The DECT Standard Cipher is an asynchronous stream cipher with low

gate complexity that takes a 64 bit secret key and a 35 bit initialization vector,

IV, to generate keystream. DSC is similar to GSM’s A5/1 and was reverseengineered

from a DECT device using a combination of firmware probing and

hardware reverse-engineering. The cipher, publicly disclosed for the first time

in this paper, is vulnerable against a clock guessing attack similar to the Ekdahl-

Johansson attack against A5/1.

O ocorrido já era previsível já que o algorítimo DECT já tem 20 anos.. Para os mais preocupados e/ou paranóicos - existem telefones cordless que usam criptografia mais moderna, como o DSC - mas infelizmente o algorítimo não é público - o que certamente coloca em dúvida a sua força / eficiência...

Mais informações:

• https://dedected.org/trac/blog/dsc-cryptanalysis-final
• http://www.theregister.co.uk/2010/02/08/dect_phone_encryption_cracked/
• http://www.schneier.com/blog/archives/2010/04/cryptanalysis_o_2.html
• http://www.dect.org/index.aspx

[ Update - 08/02/2010 ]


Ontem foi divulgado na conferência de segurança ShmooCon o txsBBSpy, uma ferramenta de espionagem de SmartPhones BlackBerry - com código java disponível para download e vídeo.



TXSBBSpy Demo from Veracode on Vimeo.


O autor da ferramenta é Tyler Shields, da Veracode e um diferencial importante é que somente foram utilizadas APIs disponíveis pelo próprio fabricante do BlackBerry (RIM) - sem nenhum exploit especial.


Vale a pena também ver a apresentação "Mobile Spyware" de Tyler listando as funcionalidades e trojans - FlexiSpy, Mobile Spy, Etisalat, 09Droid (banker) e outros - comumente usados para SmartPhones, além de
críticas à RIM sobre a maneira que é efetuada a assinatura / distribuição de pacotes para o BlackBerry.




Como pode ser verificado nos links acima, com o código instalado em um smartphone BlackBerry, é possível - através de mensagens SMS que ficam ocultas para o receptor (ou email, GET, POST, TCP, UDP):

• controlar a localização geográfica do blackberry via Google Earth,
• receber as mensagens SMS enviadas e recebidas,
• receber os emails enviados e recebidos,
• receber os contatos existentes no telefone,
• receber detalhes das ligações feitas,
• ligar o microfone do telefone e receber um arquivo de áudio (codificado com base64)

Todas estas informações podem ser enviadas para um email controlado pelo atacante.



Como formas de proteção, são sugeridos os seguintes itens:

1. Users can configure their default application permissions to be more restrictive. This way, if an application tries to use an API that accesses the user’s email or contact list, the OS will ask for permission. Avoid granting applications “trusted application” status, which grants untrusted applications additional privileges. Tyler’s slide deck shows the default and trusted permission sets in more detail.
2. Corporations using a BlackBerry Enterprise Server can configure their IT policies to restrict their users from installing third-party applications, or whitelist certain approved applications (but brace yourself for the backlash)
3. BlackBerry App World could introduce a rigorous security screening process that submitted applications must pass in order to be listed in the store.

[ Update - 30/01/2010 ]



Como se não bastasse os algorítimos utilizados na comunicação de voz e dados GSM estarem sujeitos à interceptação não autorizada - o mesmo acontece mesmo nos produtos feitos especialmente para este fim - criptografia da comunicação de telefones celulares - Vários dos softwares e hardwares que são vendidos com o objetivo de tornar a comunicação criptografada também são falhos!


Dos 15 produtos testados pelo hacker Notrax [* - veja disputa abaixo ] (usando o software comercial FlexiSpy e outros) os únicos 3 que passaram nos testes até o momento são o PhoneCrypt, SnapCell e o TopSec GSM). [ * ]

A fonte desta informação é o site MobileMag.

[ * ] alguns reports têm ligado o hacker "Notrax" a uma empresa que vende software de criptografia de voz para smartphones - tornando esta análise acima suspeita. A empresa SecurStar (fabricante do produto PhoneCrypt) respondeu mas não convenceu a todos. Deixamos à cargo do leitor visitar os links e tirar suas próprias conclusões.

É necessário ter em mente que as melhoras práticas indicam que sistemas criptográficos proprietários não devem ser usados pois não estão disponíveis para revisão pública.

[ Update - 12/01/2010 ]


Há pouco mais de duas semanas do anúncio da quebra do algorítimo A5/1 utilizado nas comunicações de voz GSM, agora é a vez do A5/3 - utilizado nas comunicações de dados GSM (3G). O A5/3 (KASUMI), apesar de ter um nome parecido, na verdade utiliza um sistema de cifragem totalmente diferente.


Desta vez o ataque foi feito no algorítimo criptográfico mesmo, e não na sua implementação (como é de costume). Os pesquisadores que divulgaram o feito são Orr Dunkelman, Nathan Keller, and Adi Shamir (este último muito conhecido pois é o S da sigla RSA).


Eles divulgaram um tipo de ataque de difícil aplicação prática chamado sandwich attack. Ele permitiu que - diferentemente do anúncio da quebra do A5/1 - pouquíssimo poder computacional fosse utilizado para derivar a chave 128bit do KASUMI (A5/3). O ataque completo pode ser executado em menos de duas horas em um PC comum.


Os pesquisadores informaram que estes fatos mostram que a GSM Association, ao mudar de algorítimos do MISTY para o KASUMI, acabou obtendo como resultado uma criptografia muito mais fraca. Bruce Schneier acrescenta que o maior erro foi tentar "adaptar" um algorítimo conhecido em vez de utilizá-lo em sua forma padrão e já testada.


Referências:

• http://www.emergentchaos.com/archives/2010/01/another_week_another_gsm.html
• http://threatpost.com/en_us/blogs/second-gsm-cipher-falls-011110
• http://threatpost.com/en_us/blogs/four-questions-bruce-schneier-gsm-cipher-crack-011210

[ Post Original - 29/12/2009 ]


Existe mais de um celular GSM para cada dois habitantes do mundo. Já são cerca de 4 bilhões de aparelhos, o que aumenta o interesse pela quebra da criptografia utilizada pelo GSM e outras falhas em sua implementação.


É bom lembrar que o grampo ilegal (incluindo celulares) é um problema real no Brasil - como pode ser observado durante as os procedimentos ocorridos na CPI do Grampo, nos últimos anos. Segundo a Revista IstoÉ, foram ilegalmente escutados (ao menos) "18 senadores, 26 deputados, do secretário geral da Presidência da República, Gilberto Carvalho, da ministra Dilma Rousseff, de ministros do STF e do STJ, advogados, lobistas e inúmeros jornalistas"


Há mais de 10 anos (EC1997, FSE2000, Crypto2003, SAC2005) vemos notícias sobre a fraqueza do algorítimo A5/1 é como ele é "academicamente" quebrável, mas a quantidade de dados que necessitavam ser interceptados e o poder computacional necessário para obter um resultado real até o momento o protegiam na realidade. Detalhe, o A5/1 tem mais de 20 anos de idade...


Em uma recente apresentação no congresso hacker 26th Chaos Communication ( PDF | MP3 | MP4 ) - ocorrido recentemente em Berlin - os pesquisadores Karsten Nohl e Chris Paget demonstraram um grande avanço no sentido de ouvir ligações de celulares GSM depois de quebrar o código secreto (algorítimo A5/1 - 64-bit) usado para previnir este tipo de interceptação na comunicação entre os aparelhos e as ERBs (estações rádio base).


Dentre os cenários mostrados recentemente por Nohl e Paget, o que mais me chamou atenção foi a utilização de hashes pré-computados através de rainbow tables processados em 40 nodes de forma otimizada e utilizando tecnologia CUDA (aproveitando o poder computacional de múltiplas placas de aceleradores gráficos Nvidia).


O anúncio já gerou efeito sobre as operadoras de celular, que chamado anunciaram que irão futuramente implementar o algorítimo A5/3 (KASUMI), que por sua vez é baseado no MISTY1 - sendo por isto mais moderno e seguro. O padrão GEA3 (KASUMI) já é usado em algumas redes 3G para dar segurança ao tráfego de dados/internet.

Recentemente recebi um email perguntando sobre a segurança da criptografia de chave pública utilizada nas comunicações do BlackBerry. A resposta é: vai depender da sua confiança na empresa RIM e obviamente seu nível de requisito de sigilo e/ou paranóia. Exemplo: em 2007 o governo francês proibiu a utilização de BlackBerry no país por temer a monitoração das comunicações pela inteligência americana.

Mais informações sobre as vulnerabilidades no algorítimo A5/1:


http://www.nytimes.com/2009/12/29/technology/29hack.html?_r=1


http://news.cnet.com/8301-1009_3-10422340-83.html


http://www.theregister.co.uk/2009/12/28/gsm_eavesdropping_breakthrough/


Apresentação Original:


http://events.ccc.de/congress/2009/Fahrplan/attachments/1479_26C3.Karsten.Nohl.GSM.pdf


GSM Projects @ CCC:
http://events.ccc.de/congress/2008/wiki/GSM

A5/1 Cracking Project:


http://reflextor.com/trac/a51

Peritos ganham aliado na identificação da pornografia infantil

TechBiz Forense Digital traz para o Brasil o Videntifier™ Forensic, tecnologia inédita que identifica automaticamente e sem necessidade da visualização humana o conteúdo ilícito de vídeos e imagens, como pornografia infantil, terrorismo, pirataria, etc.

Uma tecnologia exclusiva no Brasil promete facilitar o trabalho das forças da lei que investigam imagens e vídeos com conteúdo ilícito apreendido em computadores suspeitos de manipular e distribuir material como pornografia infantil, terrorismo, pirataria, infrações contra corporações, entre outros. A TechBiz Forense Digital acaba de firmar a parceria com a empresa islandesa Videntifier Technologies para trazer ao país a solução Videntifier™ Forensic, composta por hardware e software, capaz de automatizar a análise de vídeos e imagens, sem que os peritos tenham que visualizar cenas que não costumam ser das mais agradáveis.

Com um simples movimento de arrastar o arquivo e soltá-lo (drag and drop) no programa, é possível inspecionar cada hora de vídeo em 30 segundos. O software pode rodar continuamente, noite e dia, e processar diariamente 100 mil videoclipes. O hardware FEU (Fingerprint Exctract Unit) - montado no Brasil pela Techbiz Forense Digital, possui uma placa de vídeo com processamento poderoso, e extrai todas as “impressões digitais” do vídeo a ser analisado.

Isso mesmo, as impressões digitais ou fingerprints – um conjunto de números que identifica várias partes de cada frame do vídeo – é um dos grandes trunfos da ferramenta. O Videntifier™ Forensic utiliza um algorítimo otimizado que extrai cerca de 150 mil impressões em cada hora de vídeo. Atualmente, a solução possui mais de 6 bilhões de fingerprints de vídeos em sua base patenteada, o que representa cerca de 70 mil horas de conteúdo de vídeo.

Entenda

Ao contrário dos valores de hash que se modificam se houver alteração em qualquer bit do conteúdo, as centenas de fingerprints contidas em cada frame reconhecem um vídeo mesmo que haja alterações como inserção de legenda, espelhamento, compressão etc. “A rotação, por exemplo, é uma alteração que não seria identificada via valor de hash, o que não é o nosso caso. Identifico alterações de cor, inclusão de legendas, mesmo que sejam três segundos de alteração, escondidos em um vídeo grande”, explica Marek Talarczyk, gerente de vendas e desenvolvimento da Videntifier, que esteve no Brasil para apresentar o produto no ICCyber 2011.

Para facilitar o trabalho dos investigadores, a solução conta com uma lista Negra e outra Branca (Black e White List) que são bases de dados contendo material ilegal e legal, respectivamente. ¨Como companhia, não podemos ter acesso ao conteúdo ilícito, então a polícia faz  a inserção desse conteúdo em nossa base e a única coisa que temos acesso e trafegamos na rede são as impressões digitais¨, afirma Marek Talarczyk.

Funciona assim: a polícia confisca, por exemplo, um USB e 2 HDs suspeitos, que são encaminhado à perícia. Depois do processo de coleta forense, todos os vídeos contidos nessas mídias são transferidos para o Videntifier assim que o dispositivo é plugado no hardware FEU. Automaticamente, inicia-se o processo de identificação do conteúdo.

Uma base de dados central armazena as impressões de todo o material em vídeo. Durante o processo de identificação, cada frame de vídeo é comparado à base de dados. A solução identifica o nome dos vídeos, classificação, descrição e encaminha esses dados ao cliente. Caso a sequência não seja identificada (por exemplo, porque o Videntifier™ Forensic nunca tenha visto a imagem), o software move o vídeo para uma pasta separada onde ele possa ser analisado manualmente.

Compartilhamento

Para tornar o serviço atualizado, a Videntifier Technologies constantemente adiciona novas fingerprints à base de dados e acompanha o trabalho dos investigadores para que eles também possam adicionar vídeos não identificados à base.

“A vantagem é que várias polícias do mundo utilizam e alimentam essa tecnologia. Às vezes a análise de um caso aqui do Brasil já passou por uma análise na Inglaterra e Holanda”, afirma Sandro Süffert, CTO (Chief Technical Officer) da TechBiz Forense Digital.

A Videntifier Technologies começou a desenvolver essa tecnologia para atender à necessidade da polícia da Islândia em analisar conteúdo de vídeos envolvendo pornografia infantil e terrorismo. Atualmente, a empresa atende às forças da lei do Reino Unido, França e Holanda e está expandindo sua atuação nos Estados Unidos e Brasil – por aqui com a parceira firmada com a TechBiz Forense Digital.

Videntifer’s Forensic

• Armazena centenas de horas de conteúdo.
• Reconhece vídeos 80 vezes mais rapidamente do que análises feita sem tempo real.
• Não se engana em casos de grandes alterações, como compressões, espelhamento, cortes, etc.

Curiosidades

(Estatísticas de 2010, segundo pesquisa da Royal Pingdom)

- 2 bilhões: O número de vídeos vistos por dia no YouTube.

- 35: Horas de vídeo enviadas ao YouTube a cada minuto.

- 186: O número de vídeos on-line do usuário médio da Internet (EUA).

- 84%: Participação dos usuários de internet que assisti a vídeos on-line (EUA).

- 14%: Percentagem de utilizadores da Internet que enviou vídeos on-line (EUA).

- 2 bilhões: O número de vídeos vistos por mês no Facebook.

- 20 milhões: Os vídeos enviados ao Facebook por mês.

Mais informações:

Fonte: http://forensedigital.com.br/new/peritos-ganham-aliado-na-identificacao-de-pornografia-infantil/

Video: http://world.videntifier.com/video.html

FAQ: http://www.videntifier.com/faq.html

Paper (pdf) : Large-Scale Video Identification in Practice

Free-Trial: http://store.videntifier.com/

Brasileiro desenvolve novo algoritmo de pattern-matching super eficiente

Apesar da falta de investimento em pesquisa e desenvolvimento em tecnologias relacionadas à Segurança da Informação, existem alguns brasileiros que se destacam inovando em uma área praticamente dominada por chineses, israelenses, indianos e americanos.

Um destes brazucas é Breno Silva, que criou um algoritmo de pattern-matching que está sendo super bem recebido pela comunidade internacional.

Breno estará apresentando seu algoritimo na apresentação "Protecting smart-grid with BRENO-SILVA single pattern match algorithm for small patterns" evento IEEE Machine Learning and Cybernetics que aconterá na China em Julho.

Seguem algumas informações passadas pelo Breno sobre o assunto em uma rápida entrevista (as perguntas foram removidas para uma maior clareza e coesão do texto):

Vou estar publicando meu algoritmo single pattern match. O algoritmo foi criado pensando no projeto Suricata e ainda está no meu TODO colocá-lo funcionando dentro desse IPS.

O algoritmo tem se mostrado o mais eficiente atualmente para busca de patterns pequenas em super-alfabetos. O que é um problema ainda não muito bem resolvido para IDS/IPS e outras aplicações que fazem busca de patterns em rede IP. O algoritmo tem uma melhora na complexidade em pior e médio caso usando técnicas de skip e hashing para fazer a busca de patterns.

Basicamente o algoritmo foi projetado para ser eficiente na busca de pequenas patterns em super-alfabetos. Pattern pequenas sempre foram performance killers nesse tipo de aplicação e ainda se utilizavam algoritmos mais classicos para resolver esse problema.

Nenhum dos algoritmos comumente utilizados (Knuth-Morris-Pratt, Shift-And, Shift-Or, Boyer-Moore, Boyer-Moore-H) conseguiram ser mais rápidos. Também testei recentemente com um novo algoritmo publicado esse ano por um grupo de pesquisadores da Finlândia (SBNDMq) e um novo algoritmo que ainda será lançado pelo francês Thierry Lecroq (EBOM). Nenhum deles foi mais eficiente. O algoritmo criado foi pelo menos 50% mais eficiente nesses casos dos que os comparados.

O algoritmo se torna mais eficiente com o aumento do alfabeto. Pode ser uma boa opção para ferramentas de forense de rede e até mesmo para análise de logs.

Outro uso do algoritmo será possível em alguns anos - quando redes smart-grid forem uma realidade - e que provavelmente terão que trafegar um volume muito grande de dados, talvez haja necessidade de trabalhar com algoritmos mais eficientes daqueles que temos hoje em dia.

Um artigo científico que explica o funcionamento do algoritmo bem como testes comparativos com outros algoritmos comumente utilizados para essas tarefas será publicado em julho desse ano na International Conference on Machine Learning and Cybernetics (ICMLC) - China e depois disponível via ieeexplore.

Ainda não apresentei esse trabalho publicamente no Brasil, mas algumas pessoas do meio acadêmico estão interessadas em levar aos alunos. Particularmente eu espero bastante ter o apoio de pesquisadores para trabalhar em uma "versão" multi-pattern matching do mesmo algoritmo.

Criptografia: Ataques RSA 768 e 1024 bits & FRED-SC

[ Update - 07/03/2010 ]

Pesquisadores da Universidade de Michigan divulgaram um ataque bem sucedido (*) a criptografia RSA 1024 bits - para mais detalhes, veja o paper publicado (PDF).

"The RSA algorithm gives security under the assumption that as long as the private key is private, you can't break in unless you guess it. We've shown that that's not true," said Valeria Bertacco, an associate

professor in the Department of Electrical Engineering and Computer Science, in a statement.

Uma bom resumo: http://www.engadget.com/2010/03/09/1024-bit-rsa-encryption-cracked-by-carefully-starving-cpu-of-ele/

Since 1977, RSA public-key encryption has protected privacy and verified authenticity when using computers, gadgets and web browsers around the globe, with only the most brutish of brute force efforts (and 1,500 years of processing time) felling its 768-bit variety earlier this year. Now, three eggheads (or Wolverines, as it were) at the University of Michigan claim they can break it simply by tweaking a device's power supply. By fluctuating the voltage to the CPU such that it generated a single hardware error per clock cycle, they found that they could cause the server to flip single bits of the private key at a time, allowing them to slowly piece together the password. With a small cluster of 81 Pentium 4 chips and 104 hours of processing time, they were able to successfully hack 1024-bit encryption in OpenSSL on a SPARC-based system, without damaging the computer, leaving a single trace or ending human life as we know it. That's why they're presenting a paper at the Design, Automation and Test conference this week in Europe, and that's why -- until RSA hopefully fixes the flaw -- you should keep a close eye on your server room's power supply.

Outros detalhes: http://rdist.root.org/2010/03/08/attacking-rsa-exponentiation-with-fault-injection/

(*) For whatever reason, the OpenSSL programmers decided to retry with fixed-window exponentiation and trust that since there were no published fault attacks for it, they didn’t have to validate its result (...) This was a nice attack but nothing earth-shattering. The only thing I was floored by (yet again), was the willingness of crypto implementers to perform unsafe operations in the face of an almost certain attack. Shame on OpenSSL.

A RSA demorou, mas respondeu de forma quase realista =) :

(...) Bottom line, FBARA does not report an attack against the RSA algorithm. It describes a hardware-based attack. This essentially induces computational faults by manipulating the power supply on the target device. The resulting faulty output means that it is possible to extract a private RSA key.

The real-world applications of this are limited since it requires physical access to a device operating OpenSSL (or at least to its power supply). Since OpenSSL typically executes on a server (and not something like a smartcard or a light device or consumer device), the attacker would probably have to overcome significant physical obstacles to get to the target. (...)

Para informações em português, leia: http://www.crkportugal.net/?p=892

[ Post Original - 08/01/2010 ]

1) Fatoracao RSA 768 bits

A vasta maioria da criptografia utilizada hoje depende de números enormes (algo maior de 200 dígitos) que sejam resultado do produto de outros dois números primos. É possível criptografar e descriptografar dados a partir do conhecimento dos números. E - se você não os sabe e precisará fazer um ataque de força bruta, é bom que você tenha tempo livre, muitos computadores a disposição e muita paciência e conheça muita gente como você (espere... esta parece ser a perfeita descrição da condição de pesquisadores acadêmicos! =).

Pois então, em um paper (pdf) divulgado a apenas algumas horas atrás, um grupo de pesquisadores anunciou a fatoração de um módulo 768 bit RSA em 12 de dezembro de 2009 e aproveitaram para recomendar que se deixe de usar criptografia RSA 1024 bits dentro dos próximos 3 anos. O paper é leve e tem até link para o Youtube usando o filme Bastardos Inglórios do Tarantino para a hora do "Bingo".

Bem, na verdade é leve até um momento, quando você possivelmente vai dar alguns page-downs por não querer sobrecarregar seus neurônios tentanto compreender as descrições teóricas das fórmulas matemáticas utilizadas durante o processo =)

Mas, o que isto significa, afinal? Bem, não é fácil para um humano imaginar um número de 232 dígitos. Para ajudar, segue o número:

12301866845301177551304949583849627207728535695953347921973224521517264
00507263657518745202199786469389956474942774063845925192557326303453731
54826850791702612214291346167042921431160222124047927473779408066535141
9597459856902143413

e os fatores (multiplicadores primos) encontrados:

33478071698956898786044169848212690817704794983713768568912431388982883793878002287614711652531743087737814467999489 

X 

36746043666799590428244633799627952632279158164343087642676032283815739666511279233373417143396810270092798736308917

Este número de 232 dígitos não foi escolhido a esmo, ele estava em uma lista de desafios da RSA já desativada.

O que acontence é que a com o tempo a dificuldade de quebra é reduzida com o aumento exponencial de velocidade dos processadores. (Moore´s Law). E pode ser ainda mais rápida com as novidades da utilização dos processadores gráficos (GPU), ou computação CUDA e/ou outros multiplos aceleradores gráficos integrados (ou 200 video-grames PS3, como no caso da colisão de hashes MD5 usados em certificados SSL que comentamos aqui há exatamente um ano atrás).

Para informações old-school - vá direto ao MIT do ano de 1978, quando Rivest, Shamir e Adleman - futuros RSA- publicaram o célebre documento "A Method For Obtaining Digital Signatures And Public Key Cryptosystems" (pdf).


2) FRED-SC

Aproveitando o assunto criptografia, e sendo muito comum em análises forenses nos depararmos com documentos criptografados, vale a notícia de um fabricante de hardware especializado para forense computacional que anunciou há poucos dias que está comercializando servidores com múltipas GPUs gráficas prontos para o trabalho de quebra especializada de senhas.

Trata-se da Digital Intelligence, que já fornece o sistema Fred-SC, que vem com quatro placas de vídeo NVIDIA GTX-295 customizadas para funcionar em paralelo (cada placa tem dois GPUs em um total de 1920 processadores!)

Isto possibilita uma velocidade de processamento MONSTRUOSO obviamente para aplicações especialmente construídas para este fim. Por exemplo, este sistema já vem embarcado com a ferramenta da empresa russa Elcomsoft chamado "Distributed Password Recovery (EDPR)" - e a licença permite que este sistema pode ser utilizado em até 20 servidores FRED-SC em paralelo.

Além de possibilitar uma maior eficiência em ataques de força bruta e dicionário, este poder computacional todo conseguir calcular rainbow tables para gerar hashes pré-calculados de forma rapidíssima.

Para deixar bem claro o tamanho da evolução (e também para entender porque dizem que o processamento com múltiplos GPUs explodiu com a lei de Moore), dê uma olhada nos gráficos comparativos de quebra de senha de arquivos do Office 2007, Vista e Win7 (NTLM) e Unix (MD5) em um sistema versus o "Fred-SC" da Digital Intelligence.

Exemplos:

Senhas do Vista (NTLM): CPU Quad-Core stand-alone: 177 mil senhas por segundo.
Senhas do Vista (NTLM): FRED-SC stand-alone: 3.9 bilhões de senhas por segundo.

Senhas do Linux (MD5): CPU Quad-Core stand-alone: 219 mil senhas por segundo.
Senhas do Linux (MD5): FRED-SC stand-alone: 5.3 bilhões de senhas por segundo.

Seguem os tipos de aplicações que são os "alvos-ideais" para trabalhos de quebra de senha com o FRED-SC + EDPR (todos otimizados / acelerados para GPU):

- Microsoft Word/Excel/PowerPoint/Project 2007 (.DOCX, .XLSX, .PPTX, .MSPX)

- PGP disks with conventional encryption (.PGD), whole disk encryption.

- Windows NT/2000/XP/2003/Vista logon passwords (LM/NTLM)

- Windows DCC (Domain Cached Credentials) passwords (password recovery).

- MD5 hashes (plaintext recovery).

- WPA and WPA2 passwords (password recovery).

[ Update - 31/12/2010 ]

Na BlackHat 2010 será apresentado um server capaz de processar "280 DES decryptions per second! permitting the full 56-bit key space to be searched in 3 days" Mais informações aqui.