Du må være registrert og logget inn for å kunne legge ut innlegg på freak.no
X
LOGG INN
... eller du kan registrere deg nå
Dette nettstedet er avhengig av annonseinntekter for å holde driften og videre utvikling igang. Vi liker ikke reklame heller, men alternativene er ikke mange. Vær snill å vurder å slå av annonseblokkering, eller å abonnere på en reklamefri utgave av nettstedet.
  6 2265
Morpho menelaus
AXiMe's Avatar
Mange her har sikkert fått med seg at året 2014 og Orwells 1984 har mange likhetstrekk, med en mengde avsløringer de siste årene angående storebror sine foretakende, for ikke å nevne enigheten i så å si alle de største partiene angående innføringen av DLD og liknende.

Med dette i tankene begynner flere og flere å ty til direkte midler for å unngå denne typen overvåkning, og om det ikke overvåkes i like stor grad som det man frykter, så skader det aldri å være på den sikre siden.

Dermed introduserer jeg et konsept mange sikkert har hørt om, og andre overhodet ikke har vært borti: Kryptering, mer spesifikt med PGP.

PGP er en fellesbetegnelse på en rekke programmer som kan brukes til å kryptere/dekryptere kommunikasjon. Det fungerer ved at din egen klient genererer et par av nøkler, der en nøkkel er privat og en annen er offentlig. Den offentlige nøkkelen publiseres eller sendes til de du ønsker at skal kunne sende deg krypterte meldinger, og når noen andre skal kryptere meldinger til deg gjør de det med denne. Deretter dekrypterer du meldingen med den private nøkkelen som hører til den offentlige nøkkelen meldingen er kryptert med.

Rent kryptografisk er det svakeste ledd i denne lenken RSA-problemet, et problem det fremdeles ikke finnes noen effektiv løsning på, og å knekke koden er dermed umulig per dags dato, selv for de største etterretningsbyråene i verden. På wikipediaartikkelen om PGP kan det leses mer om hvordan det virker, og et par historier fra 2003 og 2007 som tyder på at etterretningsbyråer ikke kan knekke det.

Hvis man ikke lenger snakker fra perspektivet til de kryptografiske algoritmene som blir brukt, så er sannsynligvis det personlige passordet som tilhører hver private nøkkel, som blir brukt til å dekryptere meldinger og filer med, det svakeste leddet. Hvis dette finnes ved hjelp av keyloggere eller liknende, eller er svake mot ting som ordbokangrep eller liknende metoder, så kan selvfølgelig meldingen eller filene dekrypteres på ordentlig vis. Derfor er det viktig at selve nøkkelen ikke havner i noen andres besittelse, eller at passordet som brukes for nøkkelen er sterkt nok. Sistnevnte er som regel det greieste, slik at myndigheter kan puste og pese til de blir blå i ansiktet, og minst 15 tegn med både store og små bokstaver, tall og spesialtegn er å anbefale.

Med all denne informasjonen ute av verden anbefaler jeg dere alle på det sterkeste å anskaffe en slik klient, og å nevne for eventuelle venner at det kan være lurt. På denne måten kan man sende krypterte meldinger til andre her inne som også bruker det, eller til de av vennene deres om velger å bruke det. Personlig bruker jeg Portable PGP, men det finnes mange valg der ute.

I tråd med diverse internettfora sine hovedtråder om PGP/kryptering hadde det også vært gledelig om dette ble en samletråd for offentlige nøkler, slik at man raskt kan finne ut om noen bruker dette eller ikke, i tilfelle man ønsker å sende noen en krypter melding. Jeg åpner med glede med min PGP-nøkkel tilknyttet min Freak-konto:

-----BEGIN PGP PUBLIC KEY BLOCK-----
Version: BCPG v1.47

mQGiBFLVnHQRBAD3XWbPbEerOdmjo5Z+066Pb0D5QjO6/cFvE7Aj4LK6/uap0R9G
xz7A/c3ROpWEoDib19dufGxqgRntbwqVxak3ppJPgGTEIidvNsLH3x6aH6dKoQHJ
esI8ffFc132hCHl/pyMxMTRrrwKeM3Y3PT/Xm25PS1eWg9C/TR8ZUo20ywCg6gJG
FAdG/hfO7QMByMOvLfFtZ8sEANolLCLK75uIVfktEgJKaCh1nx10vdnc4lSnDfCU
kMH6x1f8CXKY+BhIvQKmbn3/CAudnRfDhjYkZS/XyEXhc8YVH9mmmoHSVNC9FKJz
s9HJHbYjEEK5UO4v46sVeTZsk3R2tLbqV4ttJprwmhJQnFBBJIBdQH2nq709 ts2c
BXN/A/9d+yEaYqUD8HcNwRUCgndPO4v+XvkHIEWNJv+F5L346gPLrzuuAdqqiAoL
FAajInDV9BH9umdS1l2XkbsPS7fE0gn9POBvJ3OdrJFcpoR8EuDNDUOVBTpx Hdjj
Kic+Hp/VOooRoQ7GV+dPXmidj8u/DmncxdPIBHOYoGBOEKhDXbQIQVhpTWUgPD6I
RgQTEQIABgUCUtWcdAAKCRB8OiGTPanXnkk4AKCfIF/abetz2KuTXz/Oz5JnOlOs
hACeMVUXojxLkHQofsulK3DBmtMhpdW4zARS1Zx0EAIAlJT+wJXzuF7ihlQr ODb8
gaXdCgNJtMI53Th0TUiM+OMduLy30ztBq7nlozzKkUSxzvMyyUvwVzvwR6Os qYzf
OwH9FT1dYXKttDBFtoro4d4QcLYTcAVobSnT1zp3SRmWge5bISyblr/c+lsgzV4/
0gRIldYJz5tBC3oPEsocuaQozAH8Dp6XWXjO3HI6jYf+R+FNYVExTRk+EAhw 0MZ/
s5eEpCSsswm4Y/VumuOCoOYywZ8LKJxwnwm9GfZK7Prus5X3V4hGBBgRAgAGBQJS
1Zx+AAoJEHw6IZM9qdeepJwAnRxMQ6U6+puMsMjdfHtc9x5qDGr/AKCfojZHOgtT
2M8AWNM33VV6ri2WmA==
=hwsd
-----END PGP PUBLIC KEY BLOCK-----

Happy encryption!
Sist endret av AXiMe; 14. januar 2014 kl. 22:24.
Trigonoceps occipita
vidarlo's Avatar
Donor
Sitat av AXiMe Vis innlegg
Rent kryptografisk er det svakeste ledd i denne lenken RSA-problemet, et problem det fremdeles ikke finnes noen effektiv løsning på,
Vis hele sitatet...
Med det vi veit om målretta angrep frå NSA, så er svakaste ledd i denne kjeda deg. Dei ser ut til å ha kraftige mekanismer for å plante trojanere på PCer til folk om dei måtte ønske det, og om det skjer funker ikkje krypto lenger.

Er du paranoid er airgap eit fornuftig alternativ - billig multifunksjonsprinter og OCR av krypterte data i begge ender av airgappet. Men det er for spesielt interesserte.
Sitat av AXiMe Vis innlegg
Rent kryptografisk er det svakeste ledd i denne lenken RSA-problemet, et problem det fremdeles ikke finnes noen effektiv løsning på, og å knekke koden er dermed umulig per dags dato, selv for de største etterretningsbyråene i verden. På wikipediaartikkelen om PGP kan det leses mer om hvordan det virker, og et par historier fra 2003 og 2007 som tyder på at etterretningsbyråer ikke kan knekke det.
Vis hele sitatet...
Selve RSA algorithmen er veldig sikker, men som du påpeker så er svakeste leddet i krypteringen håndteringen av private key'en din, hvis denne kommer på avveie så er alle cipher tekstene kryptert med den nøkkelen dekryptbare. Så du kan jo ikkje direkte påstå at det er en svakhet i RSA bare fordi brukerne av RSA ikkje forstår hvordan man lagrer privatekeyene sine på en sikker måte, eller at vedkommende for stjålet private key fra ved å få datamaskinen infisert med ondsinnet kode.

En trygg måte å oppbavare private keyene er ved å kryptere dem med symetriske chiphere som f.eks AES, og for de riktig paranoide så kan disse i tillegg lagres på en USB brikke slik at man må fysisk koble den til hver gang man ønsker å dekryptere en melding.

Ellers var det et bra å informativt innlegg til dem som er fersk i kryptografi faget. Eneste jeg savnet fra innlegget ditt var signering av ciphertexten, slik at mottakeren kan vertifisere med public keyen din at det var faktisk du som skrev det innlegget.
Sist endret av 0xFF; 15. januar 2014 kl. 09:16.
Morpho menelaus
AXiMe's Avatar
Trådstarter
Nei, jeg påpekte jo at det sannsynligvis var det svakeste leddet totalt sett (RSA-problemet kan nesten ikke anses som et svakt ledd engang, i alle fall ikke enda), men det er utvilsomt bedre å gjøre et forsøk på å kryptere ømfintlig informasjon enn å ikke gjøre det!

Angående å legge private nøkler over på USB, så er det det Portable PGP er skreddersydd for så vidt jeg har forstått, men jeg har selv enda ikke gjort det. Hvordan krypterer jeg så videre nøklene med en av krypteringsmetodene du foreslo? Hvis man kun krypterer privatnøklene men fremdeles lar dem være på harddisken, vil de ikke da være like mottakelige for at NSA/liknende bruker metoder til å finne passordet for å dekryptere, heller enn å knekke krypteringen?
Asosial introvert
Duckie's Avatar
Advarsel: PC-noob her

Nå har ikke jeg per dags dato noen særlig grunn til å bruke dette men av nysgjerrighet lurer jeg på hvordan dette blir i praksis? Hvis man skal "sende meldinger" må man vel sende dette gjennom en klient, si FB chat, vil ikke de se all informasjonen som foregår på deres egen side?

Det trengs vel i alle tilfeller noen som hoster servere, må det være slik at begge partene må være koblet til den serveren for å sende meldingen? Og med hvilket program sender man meldingen? Hvis man sender med Trillian og er koblet til Facebook med PGP vil vel FB se meldingene?

Eller har jeg mistolket alt og det det er snakk om her er egentlig at ISP ikke skal få se trafikken? Holder det ikke da med VPN?

Som sagt, godt mulig dette er dumme spørsmål for dere med større kunnskaper innen emnet.
Morpho menelaus
AXiMe's Avatar
Trådstarter
Sitat av Duckie Vis innlegg
Advarsel: PC-noob her

Nå har ikke jeg per dags dato noen særlig grunn til å bruke dette men av nysgjerrighet lurer jeg på hvordan dette blir i praksis? Hvis man skal "sende meldinger" må man vel sende dette gjennom en klient, si FB chat, vil ikke de se all informasjonen som foregår på deres egen side?

Det trengs vel i alle tilfeller noen som hoster servere, må det være slik at begge partene må være koblet til den serveren for å sende meldingen? Og med hvilket program sender man meldingen? Hvis man sender med Trillian og er koblet til Facebook med PGP vil vel FB se meldingene?

Eller har jeg mistolket alt og det det er snakk om her er egentlig at ISP ikke skal få se trafikken? Holder det ikke da med VPN?

Som sagt, godt mulig dette er dumme spørsmål for dere med større kunnskaper innen emnet.
Vis hele sitatet...
All informasjonen andre vil se er en kryptert melding. Si du sender en kryptert melding til en kamerat. Da bruker du hans offentlige nøkkel, som han har gitt deg tidligere, til å kryptere meldingen med. Den krypterte meldingen kan du sende hvor du vil, for eksempel via e-post eller Facebook. Så dekrypterer kameraten din meldingen med sin private nøkkel, som tilhører den offentlige nøkkelen du krypterte meldingen med.

Eksempelvis ser en melding kryptert med PGP slik ut:

-----BEGIN PGP MESSAGE-----
Version: BCPG v1.47

hQQOA7nOxCXT/cBrEA/7BiBZxaP3zUOCsEOfI7I4cbB1j55uLUgClnwECvDjd4Yw
dN3AMNW/Go8xef5eIvYV6ClEP5nbSnF/P2wVbY98oAjyiDWkKKCrLU9vkAZVcloZ
anN/7rmzUnqy697AgHFP6MoC1+mp30C5A46u83cMv1fp8Wu1X/uo+pP9JSbADKTz
+FpjNPhbMCgbxwb5Z8+tJXYUJaUiHLNdjqkiuGOosnS3cQ1oVLTTHPu4z3rp elYF
C/cCJEMnTX5neFhK4n7cSfIKItrYBPDaC4Rdw71ocdy7Ft9/77rZYlDVyBpyHSG1
5Vs4Mu/4ly5KDuAAKI4jFhpSEqUKzoYqX7Wcc4GonxXuC3LvbMRnd45cVgv0h7AQ
tsL217uTlFAEaTXCgcwfV+aBR7/H4fn4zV7Ei2A++rWuUBNx77e4Gp17NXN8RYXe
JJRy19WmUYzaSNhmO+GRw4ZKGvTL2rPcV8N+GBsXRD0TwYH6RgwMN6Mq1KAN i02u
UoXQ1gRSCJmrAfYKma0KC1Zjkk3bNyjCypGTrhkYfUooy0hHo8wzuLja7++/Emy5
bDRSk6wSb6+1Hu32NX2W39b6yUMOZKmNpRRhV1ppiFgLuxu6WZpERxcKpCmy 2tZV
FhPhnJ/Ufs9hrIoZ6X7HbhEeJYch8d+b+PIrMcoHfJejBEVuwbpF8HtHcY+xCvEP
/1sJ1NlLhMHZqWbJuvlWL3fg118XC73bU+udjyvCZSh+CecbKn53F9URR083z my0
Fymv37fjXvsCRVtTUfCKMYatwpUGAZ5HbSZzGFn/wXGmrdndw+L6CanmGiulLP/u
SdSENsfZvY8I6/X7VVxc6YkpI7JPi9orGXjuvwgSvqTgF0BzNpW+c+6XwD9l0Bek
Gm1RBOy7zbJipl5b7S+Azioxjg5LV62Q41yiTkyIl1dKYnadBhkli6TutmzB WPX3
OC2rV8n8Vyw5HP0TCwhcc1ixLpILXKbVgVVzH8MNBpprnVrFjDd58WpYKpyI Fmdi
t23f/rrWS3R+HaXJjANuT8NnGSE1tYb+0RsBMP7cbkl/d3ircW90koqWwv4gPQGf
YAwwnLFRQ1yp8+RKrQOraM6Kx7SrfLYUrKFmYLSGm7CrRQcP7FRHeRCzTGnX noZs
eQYuxo9YbpXIZe2qLFjmU+Su8ebWhSOaslosLifHcbBED3NYBnf1vPDSvZCl EWT1
srNdEipTsWCAX4BUoTO6LUYvz9pyQWlY0a0yfskEDvB780lghZNCHkTY4rNT r1RD
kwEAvoQ2hLEWVanrcNrZTymI0ltOi0RyxNr1unOrUCbyFGHYljRTVQHPtx/BuxVu
NVFAk5Y2Bh3g5J/4T8ex0ITul09UycOZkbA0beUETway0nMBidTI0yWiEZlJ+XOV
XTINs2nGX/KLvEQ6fCUvpsFv+u17YH72YkUyRkawvRIuUjVNUz8zmr6sdDdkxPiS
kPGK+cjEGiGir8GVIv3Ik6L8bX1Qd+deqH9eJrPRCiPpCWL4cZaFJ8B+7E71 s4ek
7CJyTZPX
=9PZh
-----END PGP MESSAGE-----
RSA har en svakhet i det at måten primtallene blir valgt må være tilfeldig nok. Hvis f.eks. NSA har vært involvert i å gjøre randomgeneratorene i datamaskiner mindre random, så senker dette terskelen for å faktorisere betraktelig. En mindre svakhet er også at jo flere RSA-nøkkelpar som er der ute, jo større sjanse er det for at noen har valgt samme primtall som et av de to primtallene sine. Å regne ut minste felles faktor kan gjøres svært, svært enkelt selv på papir.

Uansett, mitt store problem med PGP er at det er for knotete å bruke. Jeg vet hvordan jeg kan sette det opp og holde nøklene mine sikre, men jeg kan aldri forestille meg at andre jeg kommuniserer med (særlig familie) ville ha hverken giddet eller fått til. Selv enkelte journalister som ville samarbeide med Snowden sleit med å få satt opp dette riktig, og måtte til slutt gi opp. Vi trenger derfor en løsning som "bare virker", men samtidig er både sikker og relativt enkel å verifisere at virker. Det har kommet en haug med applikasjoner til browsere og telefoner (f.eks. CryptoCat og Silent Circle), og disse føler jeg at dekker faktiske bruksmønstre bedre enn PGP - uten at brukeren trenger å gjøre noe. Dessverre har flere av disse vist seg å være svært, svært sårbare pga. uvitende utviklere eller dårlig valg av elliptiske kurver, men de er på rett vei. PGP vil trenge plugins for Facebook, Gmail og Skype før jeg ville vurdert å anbefale det til venner.

For all del - PGP har sin plass i epostkommunikasjon og for å signere meldinger, men det er ikke veldig brukervennlig. Et stort problem på dagens internett er å trygt overføre public key. Hvis man ikke stoler på internett til å begynne med, så kan man ikke stole på at nøkkelen du poster der ikke har blitt modifisert før den kom til skjermen min.
Sist endret av Dyret; 15. januar 2014 kl. 13:59.