Portada
mis comunidades
otras secciones
#1:
O la guardia civil no sabe lo que dice
O elconfidencialdigital no sabe de que habla
O ETA no sabe lo que hace
Me inclino por la segunda:
Los servicios de Información sospechan que era el máximo responsable del TrueCrypt, el sistema ‘operativo’ que emplea los terroristas para comunicarse entre ellos
http://www.truecrypt.org/
Me inclino a pensar, con esto y la 'semiclandestinidad' esa que significa que se semiescondia y la semipolicia lo semibuscaba y lo semiencontraba semisiempre que aplicar la presuncion de inocencia en casos como ESTE es bastante importante...
O elconfidencialdigital no sabe de que habla
O ETA no sabe lo que hace
Me inclino por la segunda:
Los servicios de Información sospechan que era el máximo responsable del TrueCrypt, el sistema ‘operativo’ que emplea los terroristas para comunicarse entre ellos
http://www.truecrypt.org/
Me inclino a pensar, con esto y la 'semiclandestinidad' esa que significa que se semiescondia y la semipolicia lo semibuscaba y lo semiencontraba semisiempre que aplicar la presuncion de inocencia en casos como ESTE es bastante importante...
Comentarios
O la guardia civil no sabe lo que dice
O elconfidencialdigital no sabe de que habla
O ETA no sabe lo que hace
Me inclino por la segunda:
Los servicios de Información sospechan que era el máximo responsable del TrueCrypt, el sistema ‘operativo’ que emplea los terroristas para comunicarse entre ellos
http://www.truecrypt.org/
Me inclino a pensar, con esto y la 'semiclandestinidad' esa que significa que se semiescondia y la semipolicia lo semibuscaba y lo semiencontraba semisiempre que aplicar la presuncion de inocencia en casos como ESTE es bastante importante...
#1 Tienes razón... los del confidencial no tienen idea de lo que hablan... de hecho son como la mayoria de periodistas que escriben sobre informática...
ah! y me ha encantado lo del "semiescondia"
#0 No entiendo muy bien para qué mandas el artículo, cuando tú mismo en #1 comentas que es un artículo lleno de incorrecciones, mal redactado y sin ningún tipo de precisión.
#4 Pues a mi me da miedo pensar que en estas manos estamos, sobre todo si es la primera opción...
Vamos, que la criptografía es todo un mundo aparte, pero soltar burradas como esas... no sé, a mí me suenan bárbaras y tampoco es que sepa demasiado del tema.
#5 Por favor .. un poco de seriedad. El problema no es el hecho, es la fuente de la noticia. Han cogido la nota de EFE y la han aliñado con su particular estilo. Tanto en el GDT y como en el CNI (CNI-CCN) hay personal cualificado para encargarse de proceso en los que intervenga de material cifrado.
Otra fuente, mucho menos sensacionalista: http://www.abc.es/agencias/noticia.asp?noticia=649452
#6 Es que realmente con cosas como estas me pregunto pq demonios han detenido al tio este...
Por decirle a un abogado (le han detenido por conversaciones grabadas a un abogado con uno de ETA) que existe 'truecrypt' y, tal vez, enseñarle a usarlo?
Yo tengo una amiga abogada y le hable de PGP cuando puso el despacho... por ley tienen que tener toda su informacion cifrada...
#2 No, seguro que tu sabes desencriptarlo.
#7 No. Y ello no impide que opine que la policia española no es tan eficaz como debería. Puedo no tener ni idea de fontanería y saber que un fontanero no es tan bueno por el trabajo que realiza.
#6 Tanto en el GDT y como en el CNI (CNI-CCN) hay personal cualificado para encargarse de proceso en los que intervenga de material cifrado.
truecrypt? por ahora no creo... imagino que atacaran la capa 8 OSI, como mucho (a.k.a. dar de ostias al que tiene la clave hasta que te la de).
#9 TrueCrypt no es perfecto y sobre todos las personas no somos perfectas.
Sobre TrueCrypt han aparecido exploits más o menos útiles tanto para la v5, como para la v6. En la v5 hubo problemas con la gestión de ficheros temporales a partir de un fichero que se abría de un volumen cifrado, así como con el uso de herramientas tipo Google Desktop. En la v6, se detectó problemas con la hibernación del equipo.
Paralelamente, si no se usa whole disk encryption, algo probable, porque aparece en la v6 y no a todo el mundo le gustó, de un sistema operativo funcional al que se tiene acceso, se puede recuperar mucha información que luego puede ser útil para atacar el .tc correspondiente.
Invertir un SHA1, un MD5, o el cifrado de un fichero con AES, en el 99.99% de los casos no depende en absoluto ni de que SHA1 sea un mal hash, ni de que lo sea MD5 ( y mira que lo es ), ni de que AES esté roto, sino de casualidades y aumentar las casualidades es el trabajo de la gente que trabaja en esto.
#15 Hasta donde yo entiendo, lo que este señor hacía era "desarrollar la planificación" de los sistemas de cifrado usados por ETA. Tanto en el uso de TrueCrypt, como en el uso de PGP/GPG, etc.
#12 Como ya he tratado de explicar en #10 el problema no son los algoritmos, son las implementaciones de los mismos sobre el software y el uso que de ellos se hace en el mundo real. Ni AES128, ni AES256 ( incluso con los defectos detectados ), ni Blowfish, ni Twofish, van a caer por "fuerza bruta", siempre que haya una clave aceptable.
Si tienes una clave robusta de tipo: Soy,.usuario,.de,.meneame,.desde,.2007 no hay ataque por diccionario que valga y no hay capacidad de cálculo para romperlo ( al menos de forma general ).
Pero es que el trabajo del CNI o del GDT no es romper "AES", es intentar extraer información. Y ataques sobre TrueCrypt han existido unos cuantos:
- Existió un problema sobre sistemas Windows y el hibernate.sys (http://pgp.wiredpig.us/2010/bitlocker-truecrypt-vulnerability/)
- Así mismo hubo problemas con gestión de archivos temporales, con información almacenada en el registro y con uso de Google Desktop ( http://pdos.csail.mit.edu/6.858/2010/readings/truecrypt.pdf )
- También han habido ataques a sistemas whole-disk mediante acceso a las áreas de memoria usadas en la introducción de la password durante el arranque ( http://www.ivizsecurity.com/research/preboot/preboot_whitepaper.pdf )
- Y por último también existe un ataque un tanto peliculero, el denominado "cold boot attack" ( http://en.wikipedia.org/wiki/Cold_boot_attack ) para casos de whole-disk encription.
Además de estos ataques, algunos son más aprovechables y otros menos, dependiendo del escenario en el que te encuentres, si el sistema de ficheros no está completamente cifrado, un disco contiene mucha más información de la que pensamos. Un análisis forense sobre un sistema de ficheros, puede revelar una cantidad de información significativa: ficheros temporales, documentos descargados de internet, documentos borrados, contraseñas almacenadas localmente para servicios de red (webs, email, ...), certificados digitales incorrectamente protegidos, ...
Insisto: el trabajo en (in)seguridad de la información no es atacar AES (eso es trabajo de matemáticos, que ya lo hacen y lo hacen bien) es atacar el sistema de información en todas sus dimensiones: hardware, software, comunicaciones, personas, ...
#6 Sobre esa noticia que aportas:
El presunto etarra Iraitz Guesalaga, detenido hoy por la Policía francesa en una operación conjunta con la Guardia Civil, era el responsable de informática de ETA y el encargado de desarrollar los programas de encriptación que utiliza la banda para proteger sus archivos y su documentación interna.
¿En qué quedamos? ¿Se encarga de programar las propias aplicaciones de encriptación o simplemente usa TrueCrypt con buenas claves? La noticia no lo aclara, y la duda que me queda a mí es si realmente tenían sus propios sistemas de encriptación de manos de esta persona, o si simplemente se encargaba de aportar esa solución y mantenerla a un nivel aceptable con unos buenos conocimientos de criptografía, porque no será lo mismo que estemos hablando de alguien capaz de dominar temas criptográficos hasta el punto de mejorar TrueCrypt que el que sea un usuario avanzado del mismo.
El problema en general es que los que escriben estas noticias no tienen ni puta idea de lo que dicen, y lo que es peor, no se molestan en preguntarle a algún experto de la materia o al menos a alguien que les oriente para no soltar burradas.
El truecrypt es free-open-source, lo que significa que cualquiera con un poco de nociones de informática y criptología puede modificar el código, adecuándolo a sus propias necesidades.
De esta manera se puede construir un sistema de cifrado basado en truecrypt pero con importantes diferencias, dificultando todavía más si cabe la labor de la GDT - CNI
De todas formas, cualquier algoritmo de cifrado simétrico que se haya usado, será infranqueable si se han escogido bien las keys a usar. Usar AES con keys de 256 bits es infranqueable hoy en dia, ni por exploits, ni por fuerza bruta ( bueno miento, por fuerza bruta se podría sacar, dando de hostias al conocedor de la key hasta que la cante ) )
#12 El problema de los sistemas de cifrado simétrico es precisamente la fuerza de las claves. Si usan claves fuertes, probablemente las tendrán guardadas o anotadas en alguna parte. Si usan claves débiles, pueden caer mediante un ataque basado en diccionario.
De todos modos, supongo que más allá de la potencia de cálculo de que pueda disponer la policía española, siempre queda pedirles a los amigos americanos que echen un cable. Nadie sabe lo que tiene la NSA, ni de qué medios dispone.
Por cierto, no es demasiado buena idea meterte a "mejorar" el software criptográfico, a no ser que seas un experto (y muy experto) en la materia. Lo más probable es que tus "mejoras" abran algún que otro agujero...
#12 ¿modificar un software de encriptación basado en algoritmos de eficacia probada para mejorarlo? Eso no es algo que esté al alcance de precisamente cualquiera...
Respecto a lo de la seguridad de un AES-256, no diría yo tanto:
http://www.kriptopolis.org/wikileaks-insurance-aes-256
Hay ataques que lo simplifican más de lo que puede parecer al principio, y en cualquier caso ningún sistema criptográfico es infranqueable, de hecho llevado al límite, TODOS se puede romper por fuerza bruta, lo puedes considerar seguro si tienes la certeza de que no existe potencia de cálculo suficiente en el momento del cifrado para romperlo en un tiempo razonable, de nada me sirve romper un cifrado en 300 años si la utilidad de la información tiene una caducidad de 10 (bueno, aparte de que no tengo tanto tiempo) y como dice #13, no se sabe qué medios tiene la NSA a su alcance.
En cualquier caso no digo que no sea complejo, sólo que en esto de la criptografía está todo bastante oculto por las dos partes.
"con suficiente potencia de cálculo para ‘atacar’ cualquier ordenador que se le ponga delante"
No será tan complejo entonces