This article want to clarify and better explain the finding at infosecurityguard.com regaring voice encryption product evaluation.
This article want to tell you a different point of view other than infosecurityguard.com and explaining which are the rational with extensive explaination from security point of view.
Today i read news saying: “PhoneCrypt: Basic Vulnerability Found in 12 out of 15 Voice Encryption Products and went to read the website infosecurityguard .
Initially it appeared to my like a great research activity but then i started reading deeply the read about it.I found that it's not properly a security research but there is are concrete elements that's a marketing campaign well done in order to attract public media and publicize a product.
Imho they was able to cheat journalists and users because the marketing campaign was absolutely well done not to be discovered on 1st read attempt. I personally considered it like a valid one on 1st ready (they cheated me initially!).
But if you go deeply… you will understand that:
- it's a camouflage marketing initiative arranged by SecurStar GmbH and not a independent security research
- they consider a only security context where local device has been compromised (no software can be secured in that case, like saying SSL can be compromised if you have a trojan!)
- they do not consider any basic security and cryptographic security criteria
However a lot of important website reported it:
This article is quite long, if you read it you will understand better what's going on around infosecurityguard.com research and research result.
I want to to tell you why and how (imho) they are wrong.
The research missed to consider Security, Cryptography and Transparency!
Well, all this research sound much like being focused on the marketing goal to say that their PhoneCrypt product is the “super” product best of all the other ones.
Any security expert that would have as duty the “software evaluation” in order to protect the confidentiality of phone calls will evaluate other different characteristics of the product and the technology.
Yes, it's true that most of the product described by SecurStar in their anonymous marketing website called http://infosecurityguard.com have some weakness.
But the relevant weakness are others and PhoneCrypt unfortunately, like most of the described products suffer from this.
Let's review which characteristics are needed basic cryptography and security requirement (the best practice, the foundation and the basics!)
a – Security Trough Obscurity does not work
A basic rule in cryptography cames from 1883 by Auguste Kerckhoffs:
Egy jól megtervezett kriptográfiai rendszer, csak a kulcsot kell titokban, nem kell titokban az algoritmus.
Modern kriptográfusok elfogadták ezt az elvet, amelyben mást "biztonságot homály."
Olvassa el, mit Bruce Schneir, elismert szakértői és titkosítási a világ mond erről Minden biztonsági szakértő fogja mondani, hogy ez igaz. Még egy kezdő egyetemista fogja mondani, hogy ez igaz. Egyszerűen azért, mert ez az egyetlen módja a titkosítás.
Szinte minden termék leírt felülvizsgálat SecurStar GmbH, include PhoneCrypt, nem a pontos részleteket a titkosítási technológiákat.
Pontos adatok a következők:
- Részletes specifikáció kriptográfiai algoritmus (ez nem csak azt mondja "használjuk AES ")
- Részletes specifikáció kriptográfiai protokoll (ez nem csak azt mondja: "az általunk használt Diffie Hellman ")
- Részletes specifikációja mérésére kriptográfiai erőssége (ez nem csak azt mondja: "mi 10000000 bites kulcs mérete ")
Biztosítása pontos részleteket azt jelenti, hogy minden részletre kiterjedő dokumentációt elméleti és gyakorlati következményei dokumentálása egyetlen módja, hogy az algoritmus működik, hogy a protokoll működik pontos specifikáció megismételni az interoperabilitás tesztelése.
Ez azt jelenti, hogy a tudományos közösségnek képesnek kell lennie arra, hogy játsszon a technológia, audit, hack meg.
Ha nem tud semmit a kriptográfiai rendszer részletesen, hogyan lehet tudni, hogy melyik az a gyengeség és erő pontokat?
Mike Fratto, honlap szerkesztője Network Computing, tett egy nagy cikket a "mondván nem a saját kriptográfiai rendszerek" .
Cerias Purdue University elmondani ezt .
B - Nem lektorált és NON tudományosan jóváhagyott rejtjelezés nem működik
Minden esetben, és bármilyen körülmények között te titkosítást meg kell bizonyosodni arról, hogy valaki ellenőrzi, felülvizsgálja, elemzi, és distruct reconstract a semmiből a technológiai, és a tájékoztatás ingyenes a nagyközönség számára a nyílt vitára.
Ez pontosan így AES született, és mint amerikai National Institute of szabvány, hogy crypto nem (állami pályázat állami peer review, ahol csak a legjobb értékelt win).
A nyilvános vita a nyilvános pályázat, ahol a sok felülvizsgálat leghíresebb és szakértői rejtjelezőt a világban, a hackerek (a nevüket, családi és arc, nem úgy, mint Notrax) a hozzájárulásuk, mondják el, mit gondol.
Ezt hívják "peer review".
Ha a titkosítási technológia hosszabb és fontos peer review, elosztva a világ jön az egyetemek, magán biztonsági cégek, a katonai intézmények, a hackerek és az összes érkező különböző része a világ (az USA-tól Európa Oroszország Dél-Amerikába, hogy Közel-Kelet Kínában), és mindegyik egyetért abban, hogy egy adott technológia ez biztos ...
Nos, ebben az esetben mondhatjuk a technológia biztonságos, mert sok a szervezetek jó hírnevét és a hatóság érkező sok más helyen a világon nyilvánosan vizsgálni, elemezni és megerősítette, hogy a technológia, ez biztos.
How a private company can even think to invent on it's own a secure communication protocol when it's scientifically stated that it's not possible to do it in a “proprietary and closed way” ?
IBM tell you that peer review it's required for cryptography .
Bruce Schneier tell you that “Good cryptographers know that nothing substitutes for extensive peer review and years of analysis.”
Philip Zimmermann will tell you to beware of Snake Oil where the story is: “Every software engineer fancies himself a cryptographer, which has led to the proliferation of really bad crypto software.”
c – Closed source cryptography does not work
As you know any kind of “serious” and with “good reputation” cryptographic technology is implemented in opensource.
There are usually multiple implementation of the same cryptographic algorithm and cryptographic protocol to be able to review all the way it works and certify the interoperability.
Supposing to use a standard with precise and extended details on “how it works”, that has been “peer reviewed” by the scientific community BUT that has been re-implemented from scratch by a not so smart programmer and the implementation it's plenty of bugs.
Well, if the implementation is “opensource” this means that it can be reviewed, improved, tested, audited and the end user will certaintly have in it's own had a piece of technology “that works safely” .
Google release opensource crypto toolkit
Mozilla release opensource crypto toolkit
Bruce Schneier tell you that Cryptography must be opensource .
Another cryptographic point of view
I don't want to convince anyone but just provide facts related to science, related to cryptography and security in order to reduce the effect of misinformation done by security companies whose only goes is to sell you something and not to do something that make the world a better.
When you do secure products, if they are not done following the proper approach people could die.
It's absolutely something irresponsible not to use best practice to do crypto stuff.
To summarize let's review the infosecurityguard.com review from a security best pratice point of view.
| Product name | Security Trough Obscurity | Public peer review | Open Source | Compromise locally? |
| Caspertec | Obscurity | No public review | Closed | Igen |
| CellCrypt | Obscurity
| No public review
| Closed
| Igen |
| Cryptophone | Transparency | Limited public review | Public | Igen |
| Gold-Lock | Obscurity
| No public review
| Closed
| Igen |
| Illix | Obscurity
| No public review
| Closed
| Igen |
| No1.BC | Obscurity | No public review
| Closed
| Igen |
| PhoneCrypt | Obscurity
| No public review
| Closed
| Igen |
| Rode&Swarz | Obscurity
| No public review
| Closed
| Igen |
| Secure-Voice | Obscurity
| No public review
| Closed
| Igen |
| SecuSmart | Obscurity
| No public review
| Closed
| Igen |
| SecVoice | Obscurity
| No public review
| Closed
| Igen |
| SegureGSM | Obscurity
| No public review
| Closed
| Igen |
| SnapCell | Obscurity
| No public review
| Closed
| Igen |
| Tripleton | Obscurity
| No public review
| Closed
| Igen |
| Zfone | Transparency | Public review
| Open | Igen |
| ZRTP | Transparency | Public review
| Open | Igen |
*Green means that it match basic requirement for a cryptographic secure system
* Red / Broken means that it does not match basic requirement for a cryptographic secure system
That's my analysis using a evaluation method based on cryptographic and security parameters not including the local compromise context that i consider useless.
However, to be clear, those are only basic parameters to be used when considering a voice encryption product (just to avoid being in a situation that appears like i am promoting other products). So it may absolutely possible that a product with good crypto ( transparency, peer reviewed and opensource) is absolutely a not secure product because of whatever reason (badly written, not usable causing user not to use it and use cleartext calls, politically compromised, etc, etc).
I think i will prepare a broader criteria for voice crypto technologies and voice crypto products, so it would be much easier and much practical to have a full transparent set of criterias to evaluate it.
But those are really the basis of security to be matched for a good voice encryption system!
Read some useful past slides on security protocols used in voice encryption systems (2nd part).
Now read below some more practical doubt about their research.
The security concept of the review is misleading: any hacked device can be always intercepted!
I think that the guys completely missed the point: ANY KIND OF SOFTWARE RUNNING ON A COMPROMISED OPERATING SYSTEM CAN BE INTERCEPTED
Now they are pointing out that also Zfone from Philip Zimmermann is broken (a pc software), just because they install a trojan on a PC like in a mobile phone?
Any security software rely on the fact that the underlying operating system is somehow trusted and preserve the integrity of the environment where the software run.
- If you have a disk encryption system but your PC if infected by a trojan, the computer is already compromised.
- If you have a voice encryption system but your PC is infected by a trojan, the computer is already compromised.
- If you have a voice encryption system but your mobile phone is infected by a trojan, the mobile phone is already compromised.
No matter which software you are running, in such case the security of your operating environment is compromised and in one way or another way all the information integrity and confidentiality is compromised.
Like i explained above how to intercept PhoneCrypt.
The only things that can protect you from this threat is running in a closed operating system with Trust Computing capability, implementing it properly.
For sure on any “Open” operating system such us Windows, Windows Mobile, Linux, iPhone or Android there's no chance to really protect a software.
On difficult operating system such as Symbian OS or RimOS maybe the running software can be protected (at least partially)
That's the reason for which the security concept that guys are leveraging to carry on their marketing campaign has no clue.
It's just because they control the environment, they know Flexispy software and so they adjusted their software not to be interceptable when Flexispy is installed.
If you develop a trojan with the other techniques i described above you will 100% intercept PhoneCrypt.
On that subject also Dustin Tamme l, Security researcher of BreakPoint Systems , pointed on on VoIP Security Alliance mailing lists that the security analysis is based on wrong concepts .
The PhoneCrypt can be intercepted: it's just that they don't wanted to tell you!
PhoneCrypt can be intercepted with “on device spyware”.
Why?
Because Windows Mobile is an unsecure operating environment and PhoneCrypt runs on Windows Mobile.
Windows Mobile does not use Trusted Computing and so any software can do anything.
The platform choice for a secure telephony system is important.
Hogyan?
I quickly discussed with some knowledgeable windows mobile hackers about 2 different way to intercept PhoneCrypt with an on-device spyware (given the unsecure Windows Mobile Platform).
a) Inject a malicious DLL into the software and intercept from within the Phonecrypt itself.
In Windows Mobile any software can be subject to DLL code injection.
What an attacker can do is to inject into the PhoneCrypt software (or any software running on the phone), hooking the Audio related functions acting as a “function proxy” between the PhoneCrypt and the real API to record/play audio.
It's a matter of “hooking” only 2 functions, the one that record and the one that play audio.
That's simple, any programmer will tell you to do so.
They simply decided that's better not to make any notice about this.
b) Create a new audio driver that simply act as a proxy to the real one and intercept PhoneCrypt
In Windows Mobile you can create new Audio Drivers and new Audio Filters.
What an attacker can do is to load a new audio driver that does not do anything else than passing the real audio driver function TO/FROM the realone. In the meantime intercept everything recorded and everything played :-)
They simply decided that's better not to make any notice to that way of intercepting phone call on PhoneCrypt .
Those are just 2 quick ideas, more can be probably done.
Sounds much like a marketing activity – Not a security research.
Azt kell mondanom. Elemeztem a kérdést nagyon óvatosan, és a legtöbb szempontból. All this things about the voice encryption analisys sounds to me like a marketing campaign of SecurStar GmbH to sell PhoneCrypt and gain reputation. A well articulated and well prepared campaign to attract the media saying, in an indirect way cheating the media, that PhoneCrypt is the only one secure. You see the press releases of SecurStar and of the “Security researcher Notrax telling that PhoneCrypt is the only secure product” . SecurStar PhoneCrypt is the only product the anonymous hacker “Notrax” consider secure of the “software solutions”.
The only “software version” in competition with:
–
SnapCell – No one can buy it. A security company that does not even had anymore a webpage. The company does not almost exist anymore.
Does it sounds strange that only those other products are considered secure along with PhoneCrypt .
Also… let's check the kind of multimedia content in the different reviews available of Gold-Lock, Cellcrypt and Phonecrypt in order to understand how much the marketing guys pressed to make the PhoneCrypt review the most attractive:
| Alkalmazás | Screenshots of application | Video with demonstration of interception | Network demonstration |
| PhoneCrypt | 5 | 0 | 1 | |
| CellCrypt | 0 | 2 | 0 |
| GoldLock | 1 | 2 | 0 |
It's clear that PhoneCrypt is reviewed showing more features explicitly shown and major security features product description than the other.
Too much difference between them, should we suspect it's a marketing tips?
But again other strange things analyzing the way it was done…
If it was “an impartial and neutral review” we should see good and bad things on all the products right?
Ok, see the table below regarding the opinion indicated in each paragraph of the different reviews available of Gold-Lock, CellCrypt and Phonecrypt (are the only available) to see if are positive or negative.
| Alkalmazás | Number of paragraphs | Positive paragraphs | Negative paragraphs | Neutral paragraphs |
| PhoneCrypt | 9 | 9 | 0 | 0 |
| CellCrypt | 12 | 0 | 10 | 2 |
| GoldLock | 9 | 0 | 8 | 1 |
Detailed paragraphs opinion analysis of Phonecrypt | Paragraph of review | Opinion expressed |
| From their website | Pozitív visszajelzést Marketing |
| Apple iPhone | Pozitív visszajelzést Marketing |
| Disk Encryption vagy hang titkosítás | Pozitív visszajelzést Marketing |
| PBX Kompatibilitás? Tényleg | Pozitív visszajelzést Marketing |
| Csinos <10. Nem. | Pozitív visszajelzést Marketing |
| Jó ötlet! | Pozitív visszajelzést Marketing |
| Egy kis hálózat akció | Pozitív visszajelzést Marketing |
| UI | Pozitív visszajelzést Marketing |
| Jó ízlés | Pozitív visszajelzést Marketing |
| Bekezdése felülvizsgálat | Véleményalkotáshoz |
| A honlapon | Negatív visszacsatolás Marketing |
| Engedélyezett az izraeli minisztérium Denfese | Negatív visszacsatolás Marketing |
| Valódi cég vagy részmunkaidőben hobby | Negatív visszacsatolás Marketing |
| 16.000 bit hitelesítés | Negatív visszacsatolás Marketing |
| DH 256 | Negatív visszacsatolás Marketing |
| Downad és telepítés! | Semleges Marketing visszacsatolás |
| Csinos it <10 | Negatív visszacsatolás Marketing |
| Marketing BS101 | Negatív visszacsatolás Marketing |
| Cool video stuff | Negatív visszacsatolás Marketing |
Részletes bekezdések véleménye elemzése Cellcrypt | Bekezdése felülvizsgálat | Véleményalkotáshoz |
| A honlapon | Semleges Marketing visszacsatolás |
| Egy kis háttér a Cellcrypt | Negatív visszacsatolás Marketing |
| Master of Marketing | Negatív visszacsatolás Marketing |
| Biztonságos Hanghívás | Negatív visszacsatolás Marketing |
| Ki vásárol portékáját | Negatív visszacsatolás Marketing |
| Downad és telepítés! | Semleges Marketing visszacsatolás |
| My Demo környezet | Negatív visszacsatolás Marketing |
| Vajon elfelejteni egy kódot | Negatív visszacsatolás Marketing |
| Csinos it <5 | Negatív visszacsatolás Marketing |
| Szoba Monitoring w / FlexiSpy | Negatív visszacsatolás Marketing |
| Cellcrypt egyedülálló jellegét .. | Negatív visszacsatolás Marketing |
| Öreg lehallgatás | Negatív visszacsatolás Marketing |
| A Haters ott | Negatív visszacsatolás Marketing |
Most már világos, hogy a saját szempontjából a PhoneCrypt nincs egyetlen rossz pont, míg a másik mindig leírt negatív módon.
Egyetlen jó pont. Furcsa?
E megfontolások mellett a következő is nagyon hadd gondolom, hogy ez nagy valószínűséggel a marketing felülvizsgálat, és nem független felülvizsgálatát.
További hasonló marketing kísérlet a SecurStar
SecurStar GmbH ismert, hogy használt a korábbi marketing tevékenység kihasználva ez a fajta "technikai spekulációk", visszaélve a részleges információk és hamis erősített hacker dolog, hogy a marketing / média.
IMHO egy ritka keveréke tisztességtelen fellendítő a nehéz, hogy az emberek valóban megértsék az a biztonság és titkosítás.
Már használják a korábbi marketing tevékenységek, mint az egyik létrehozásáról a trójai a Windows Mobile, és azt mondja, hogy a szoftver biztonságos a trójai, hogy írtak.
Olvassa el a marketing trükkök 2007
Kifejlesztettek egy trójai (RexSpy) Windows Mobile, tartott bemutatót képessége a trójai és később azt mondták, hogy a bennük foglalt "Anti-Trojan" képes a PhoneCrypt software.They soha kiadott információk azon a trójai, sem bizonyította, hogy létezik .
A kutató Collin Mulliner mondta akkoriban, hogy úgy hangzik, mint egy marketing ötletek (azért is, mert ő nem tudja, hogy a CEO SecurStar Hafner minden olyan információt a trojan):
"Ez elgondolkodtató, ha ez csak egy marketing dolog."
Most nézzük meg, hogy néhány logikai áthelyezés.
Ez az út egy részét, hogy nem marketing, egy nagyon barátságtalan és unpolite megközelítés az ügyfelekkel, újságíró és a felhasználók próbálják biztosítani hibás biztonsági koncepciók a piaci előnyt. Mivel arról, hogy aki olvassa nem rendelkeznek a készségek csinálni mélyreható biztonsági értékelés és megtalálni az igazságot mögött a marketing utazások.
Ki a hacker notrax?
Úgy hangzik, mint egy álcázás egy hamis identitás szükség van egy "független hacker", amelyek "független felülvizsgálat", hogy több erős a hírnév épületben.
Olvassa el a bio:
¾ Ember, ¼ Android (Hát ez jó lenne legalább.) Én csak egy rajongó elég sok mindent, ami beszél bináris, és ha van egy RS232 port, még jobb. Napközben maskara, mint egy mérnök dolgozik valami nagyon jó projekt időnként, de leginkább én a szórakoztató dolgokat éjszaka. Gondolkodtam induló hivatalos blog körülbelül 4,5 évig megosztani néhány dolog, amit találkoztam, nem lehet kitalálni, vagy csak a fejemben. Miatt a napi munka, és az éjszakai beavatkozik, frissíteni fogom ezt, amikor csak tudok. Remélem, néhány hasznosnak, ha nem, hát nem.
Jelenleg nincs információ a srác a google.
Szinte minden hacker, hogy kap nyilvánosságnak cikkek online, post levelezési archívum és / vagy a fórum, vagy valami miatt tevékenységüket.
A notrax, semmi sem áll rendelkezésre.
Továbbá nézzük meg a domain ...
A tartomány infosecurityguard.com a magánélet védelme domainsbyproxy megelőzésére megértés, ki a tulajdonos.
A tartomány jött létre 2 hónappal ezelőtt 01-december 09-on godaddy.com anyakönyvvezető.
Mi is nagyon érdekes, hogy észre, hogy ez a "ismeretlen hekker és nyoma sincs a google róla, hogy megjelent a 2009 decemberében a net" nevezik a SecurStar GmbH Press Release , mint "Az IT biztonsági szakértő."
Lehet, hogy "tudja személyesen" ki ez a névtelen notrax? :)
Vagyok következő saját összeesküvés gondolkodás vagy talán van némi kétséget kizáróan, hogy mindent rendezni, hogy furcsa módon csak egy marketing tevékenység?
Társadalmi szempont
Ha a biztonsági cég feladata is a társadalmi szempontokat, akkor is dolgozik, hogy a világ egy jobb hely (biztos, hogy az üzleti, de ", hogy nem rossz"). Nem lehet becsapni a készségek a végső felhasználók értékelése biztonsági hogy hamis félrevezető információkat.
Meg kell csinálni a figyelmet a végfelhasználók, hogy azok tudatosabb a biztonsági kérdésekre, így számukra az eszközöket, hogy megértsék, és maguk döntenek.
Remélem érezted magad olvasod ezt a cikket, és tette a saját megfontolás erről.
Fabio Pietrosanti (naiv)
ps Azok az én személyes szakmai véleményem, beszéljünk a technológia és a biztonság, nem marketing.
pps én nem vagyok olyan okos web írásban, így sajnálom, hogy a szöveg formázása, és milyen az áramlás a cikk strukturálatlan!
