מאמר זה רוצה להבהיר ולהסביר טוב יותר את הממצא באזור חתך infosecurityguard.com הערכת מוצר הצפנת קול.
מאמר זה רוצה להגיד לך נקודת מבט שונה אחר מאשר infosecurityguard.com ומסביר שהם רציונלים עם explaination נרחב מנקודת מבט של אבטחה.
היום אני קורא את החדשות ואמרו: "PhoneCrypt: פגיעות בסיסיות נמצאו ב12 מתוך 15 מוצרי הצפנה קולי והלכו לקרוא באתר infosecurityguard.
בתחילה זה נראה כמוני פעילות מחקר גדולה אבל אז התחלתי לקרוא קריאה עמוקה על it.I מצא כי זה לא כמו שצריך מחקר אבטחה אבל יש אלמנטים בטון זה קמפיין שיווקי יפה כדי למשוך תקשורת הציבורית ולפרסם מוצר.
IMHO שהם הצליח לרמות את העיתונאים ומשתמשים, כי קמפיין השיווק נעשה גם בהחלט לא להתגלות ב -1 בניסיון לקרוא. אני אישית ראיתי בה כמו אחד תקף ב -1 מוכן (שהם רימו אותי בהתחלה!).
אבל אם אתה הולך עמוק ... אתה תבין ש:
- זה שיווק יוזמה שאורגנה על ידי הסוואה SecurStar GmbH ולא מחקר הבטחוני עצמאי
- הם רואים הקשר אבטחה היחיד שבו נפרץ מכשיר מקומי (שום תוכנה יכולה להיות מאובטחת במקרה זה, כמו להגיד SSL יכול להיות בסכנה, אם יש לך סוס טרויאני!)
- הם לא רואים את כל אבטחה בסיסית וקריטריוני אבטחת הצפנה
עם זאת הרבה אתרים חשובים דיווח על כך:
מאמר זה הוא ארוך למדי, אם אתה קורא את זה אתה מבין טוב יותר את מה שקורה סביב מחקר infosecurityguard.com ותוצאת מחקר.
אני רוצה לספר לך למה ואיך (IMHO) הם טועים.
המחקר החמיץ לשקול אבטחה, קריפטוגרפיה ושקיפות!
ובכן, כל צליל מחקר זה כמו להיות ממוקד על מטרת השיווק לומר כי מוצר PhoneCrypt הוא הטוב ביותר של המוצר "סופר" של כל האחרים.
כל מומחה אבטחה שהיית צריך כחובה "הערכת התוכנה" על מנת להגן על סודיות שיחות טלפון יהיה להעריך מאפיינים שונים אחרים של הטכנולוגיה של המוצר ו.
Yes, it's true that most of the product described by SecurStar in their anonymous marketing website called http://infosecurityguard.com have some weakness.
אבל החולשה הן רלוונטית ואחרים PhoneCrypt למרבה הצער, כמו רוב המוצרים המתוארים סובלים מזה.
בואו לבדוק אילו מאפיינים יש צורך הצפנה בסיסית ודרישת אבטחה (התרגול הטוב ביותר, את הבסיס ואת היסודות!)
a – Security Trough Obscurity does not work
A basic rule in cryptography cames from 1883 by Auguste Kerckhoffs:
במערכת הצפנה מעוצבת היטב, רק את המפתח צריך להיות בסוד, ולא צריכה להיות שום סודיות באלגוריתם.
Modern cryptographers have embraced this principle, calling anything else “security by obscurity.”
לקרוא את מה שברוס Schneir, מומחה ומפענח צפנים מוכרים בעולם אומרים על זה Any security expert will tell you that's true. Even a novice university student will tell you that's true. Simply because that's the only way to do cryptography.
Almost all product described in the review by SecurStar GmbH, include PhoneCrypt, does not provide precise details about their cryptographic technologies.
Precise details are:
- Detailed specification of cryptographic algorithm (that's not just saying “we use AES “)
- Detailed specification of cryptographic protocol (that's not just saying “we use Diffie Hellman ” )
- מפרט מפורט של מדידת עוצמתה ההצפנה (שלא סתם אומר "יש לנו 10000000 קצת גודל מפתח")
Providing precise details means having extensive documentation with theoretical and practical implications documenting ANY single way of how the algorithm works, how the protocol works with precise specification to replicate it for interoperability testing.
It means that scientific community should be able to play with the technology, audit it, hack it.
אם אנחנו לא יודעים שום דבר על מערכת הצפנה בפרטים, איך אנחנו יכולים לדעת שהם חולשה ונקודות חוזק?
Mike Fratto, Site editor of Network Computing, made a great article on “Saying NO to proprietary cryptographic systems” .
Cerias Purdue University tell this .
b – NON peer reviewed and NON scientifically approved Cryptography does not work
In any case and in any condition you do cryptography you need to be sure that someone else will check, review, analyze, distruct and reconstract from scratch your technology and provide those information free to the public for open discussion.
That's exactly how AES was born and like US National Institute of Standard make crypto does (with public contest with public peer review where only the best evaluated win).
A public discussion with a public contest where the a lot of review by most famous and expert cryptographer in the world, hackers (with their name,surname and face, not like Notrax) provide their contribution, tell what they thinks.
זה נקרא "סקר עמיתים".
If a cryptographic technology has an extended and important peer review, distributed in the world coming from universities, private security companies, military institutions, hackers and all coming from different part of the world (from USA to Europe to Russia to South America to Middle east to China) and all of them agree that a specific technology it's secure…
Well, in that case we can consider the technology secure because a lot of entities with good reputation and authority coming from a lot of different place in the world have publicly reviewed, analyzed and confirmed that a technology it's secure.
איך חברה פרטית יכולה אפילו לחשוב להמציא על זה פרוטוקול תקשורת מאובטחת משל כאשר הוא קבע כי מבחינה מדעית זה לא אפשרי לעשות את זה ב" דרך קניינית וסגורה "?
יבמ להגיד לך שביקורת עמיתים זה נדרש לקריפטוגרפיה.
ברוס שנייר להגיד לך ש" cryptographers טוב יודע ששום דבר תחליפים לביקורת העמיתים נרחב ושנים של ניתוח. "
פיליפ צימרמן יגיד לך להיזהר משמן נחשים שבו הסיפור הוא: "מהנדס תוכנה בכל רואה את עצמו מפענח צפנים, שהוביל לשגשוג של תוכנת הצפנה ממש רעה."
ג - קריפטוגרפיה קוד סגורה לא עובדת
כידוע לך כל סוג של "רציני" ועם טכנולוגיית הצפנה "טובה מוניטין" מיושמת בopensource.
בדרך כלל יש יישום מרובה של אותו אלגוריתם ההצפנה ופרוטוקול הצפנה לתוכל לסקור את כל הדרך זה עובד ולאשר את יכולת הפעולה ההדדית.
נניח לשימוש סטנדרטי עם פרטים מדויקים וממושכים על "איך זה עובד", כי כבר "סקר עמיתים" על ידי הקהילה המדעית, אבל זה כבר מחדש מיושם מאפס על ידי מתכנת לא כל כך חכם ויישום זה הרבה באגים .
ובכן, אם היישום הוא "opensource" זה אומר שניתן לסקור אותו, השתפר, נבדק, מבוקר והמשתמש הקצה certaintly יש בזה לבד היה פיסת הטכנולוגיה "שעובדת בצורה בטוחה".
גוגל שחרור opensource אנוסי ערכת כלים
opensource שחרור מוזילה אנוסי ערכת כלים
ברוס שנייר להגיד לך שחייבת להיות opensource קריפטוגרפיה.
עוד נקודת מבט של הצפנה
אני לא רוצה לשכנע אף אחד, אלא רק לספק עובדות הקשורות למדע, הקשורים להצפנה ואבטחה על מנת לצמצם את ההשפעה של מידע שגוי נעשה על ידי חברות אבטחה שהיא רק הולך למכור לך משהו ולא לעשות משהו שיהפוך את העולם טוב יותר.
כאשר אתה עושה את המוצרים בטוחים, אם הם לא נעשו לאנשי הגישה הנכונים יכול למות.
זה בהחלט משהו חסר אחריות לא להשתמש בפרקטיקה הטובה ביותר לעשות דברים בסתר.
לסיכום בואו לבדוק את ביקורת infosecurityguard.com מנקודת pratice אבטחה הטובה ביותר של תצוגה.
| שם מוצר | אלמוניות שוקת אבטחה | ביקורת עמיתים ציבור | קוד פתוח | להתפשר באופן מקומי? |
| Caspertec | אלמוניות | ביקורת ציבורית לא | סגור | כן |
| CellCrypt | אלמוניות
| ביקורת ציבורית לא
| סגור
| כן |
| Cryptophone | שקיפות | ביקורת ציבורית מוגבלת | ציבורי | כן |
| נעילת זהב | אלמוניות
| ביקורת ציבורית לא
| סגור
| כן |
| Illix | אלמוניות
| ביקורת ציבורית לא
| סגור
| כן |
| No1.BC | אלמוניות | ביקורת ציבורית לא
| סגור
| כן |
| PhoneCrypt | אלמוניות
| ביקורת ציבורית לא
| סגור
| כן |
| רכב & Swarz | אלמוניות
| ביקורת ציבורית לא
| סגור
| כן |
| Secure-Voice | אלמוניות
| ביקורת ציבורית לא
| סגור
| כן |
| SecuSmart | אלמוניות
| ביקורת ציבורית לא
| סגור
| כן |
| SecVoice | אלמוניות
| ביקורת ציבורית לא
| סגור
| כן |
| SegureGSM | אלמוניות
| ביקורת ציבורית לא
| סגור
| כן |
| SnapCell | אלמוניות
| ביקורת ציבורית לא
| סגור
| כן |
| Tripleton | אלמוניות
|
ביקורת ציבורית לא
| Closed
| כן |
| Zfone | Transparency | Public review
| Open | כן |
| ZRTP | Transparency | Public review
| Open | כן |
*Green means that it match basic requirement for a cryptographic secure system
* Red / Broken means that it does not match basic requirement for a cryptographic secure system
That's my analysis using a evaluation method based on cryptographic and security parameters not including the local compromise context that i consider useless.
However, to be clear, those are only basic parameters to be used when considering a voice encryption product (just to avoid being in a situation that appears like i am promoting other products). כך שהוא עשוי בהחלט אפשרי שמוצר עם הצפנה טובה (שקיפות, עמיתיו נבדק וopensource) הוא בהחלט מוצר אינו מאובטח בגלל כל סיבה שהיא (כתובה רעה, לא שמישה גורמת למשתמש לא להשתמש בו ולהשתמש בשיחות cleartext, נפגע מבחינה פוליטית, וכו ' , וכו ').
אני חושב שאני יכין קריטריונים רחבים יותר למוצרי הצפנת קול קול טכנולוגיות והצפנה, כך שזה יהיה הרבה יותר קל והרבה יותר מעשי יש סט שקוף מלא criterias להעריך את זה.
But those are really the basis of security to be matched for a good voice encryption system!
קרא כמה שקופיות האחרונות שימושיות בפרוטוקולי אבטחה המשמשים במערכות הצפנה קוליות (2 חלק).
Now read below some more practical doubt about their research.
The security concept of the review is misleading: any hacked device can be always intercepted!
I think that the guys completely missed the point: ANY KIND OF SOFTWARE RUNNING ON A COMPROMISED OPERATING SYSTEM CAN BE INTERCEPTED
Now they are pointing out that also Zfone from Philip Zimmermann is broken (a pc software), just because they install a trojan on a PC like in a mobile phone?
Any security software rely on the fact that the underlying operating system is somehow trusted and preserve the integrity of the environment where the software run.
- אם יש לך מערכת הצפנת דיסק, אבל אם מחשב שלך נגוע בסוס טרויאני, המחשב כבר נפרץ.
- If you have a voice encryption system but your PC is infected by a trojan, the computer is already compromised.
- If you have a voice encryption system but your mobile phone is infected by a trojan, the mobile phone is already compromised.
No matter which software you are running, in such case the security of your operating environment is compromised and in one way or another way all the information integrity and confidentiality is compromised.
Like i explained above how to intercept PhoneCrypt.
The only things that can protect you from this threat is running in a closed operating system with Trust Computing capability, implementing it properly.
מה שבטוח על כל מערכת "פתוחה" הפעלה Windows, כגון, Windows Mobile, לינוקס, אייפון או אנדרואיד אין סיכוי באמת כדי להגן על תוכנה.
On difficult operating system such as Symbian OS or RimOS maybe the running software can be protected (at least partially)
That's the reason for which the security concept that guys are leveraging to carry on their marketing campaign has no clue.
זה רק בגלל שהם שולטים בסביבה, הם יודעים Flexispy תוכנה ולכן הם מותאמים התוכנה שלהם לא להיות interceptable כאשר Flexispy מותקן.
If you develop a trojan with the other techniques i described above you will 100% intercept PhoneCrypt.
על הנושא שגם דסטין Tamme L, חוקר אבטחת נקודת עצירה מערכות, הצביע על על רשימות דיוור ברית ביטחון VoIP שהניתוח הבטחוני מתבסס על מושגים הלא נכונים.
The PhoneCrypt can be intercepted: it's just that they don't wanted to tell you!
ניתן ליירט PhoneCrypt עם "תוכנות ריגול על מכשיר".
למה?
Because Windows Mobile is an unsecure operating environment and PhoneCrypt runs on Windows Mobile.
Windows Mobile does not use Trusted Computing and so any software can do anything.
The platform choice for a secure telephony system is important.
איך?
I quickly discussed with some knowledgeable windows mobile hackers about 2 different way to intercept PhoneCrypt with an on-device spyware (given the unsecure Windows Mobile Platform).
א) להזריק DLL זדוני לתוך התוכנה וליירט מתוך Phonecrypt עצמו.
In Windows Mobile any software can be subject to DLL code injection.
What an attacker can do is to inject into the PhoneCrypt software (or any software running on the phone), hooking the Audio related functions acting as a “function proxy” between the PhoneCrypt and the real API to record/play audio.
It's a matter of “hooking” only 2 functions, the one that record and the one that play audio.
That's simple, any programmer will tell you to do so.
They simply decided that's better not to make any notice about this.
b) Create a new audio driver that simply act as a proxy to the real one and intercept PhoneCrypt
In Windows Mobile you can create new Audio Drivers and new Audio Filters.
מה תוקף יכול לעשות הוא לטעון את מנהל התקן שמע חדש שלא לעשות שום דבר אחר מאשר להעביר את פונקצית שמע הנהג האמיתית מ / אל RealOne. בינתיים כל מה שרשם וליירט כל מה ששחק :-)
They simply decided that's better not to make any notice to that way of intercepting phone call on PhoneCrypt .
Those are just 2 quick ideas, more can be probably done.
Sounds much like a marketing activity – Not a security research.
I have to tell you. I analyzed the issue very carefully and on most aspects. All this things about the voice encryption analisys sounds to me like a marketing campaign of SecurStar GmbH to sell PhoneCrypt and gain reputation. A well articulated and well prepared campaign to attract the media saying, in an indirect way cheating the media, that PhoneCrypt is the only one secure. You see the press releases of SecurStar and of the “Security researcher Notrax telling that PhoneCrypt is the only secure product” . SecurStar PhoneCrypt is the only product the anonymous hacker “Notrax” consider secure of the “software solutions”.
"גרסת התוכנה" רק בתחרות עם:
–
SnapCell – No one can buy it. A security company that does not even had anymore a webpage. The company does not almost exist anymore.
Does it sounds strange that only those other products are considered secure along with PhoneCrypt .
Also… let's check the kind of multimedia content in the different reviews available of Gold-Lock, Cellcrypt and Phonecrypt in order to understand how much the marketing guys pressed to make the PhoneCrypt review the most attractive:
| Application | צילומי מסך של יישום | Video with demonstration of interception | Network demonstration |
| PhoneCrypt | 5 | 0 | 1 | |
| CellCrypt | 0 | 2 | 0 |
| GoldLock | 1 | 2 | 0 |
It's clear that PhoneCrypt is reviewed showing more features explicitly shown and major security features product description than the other.
Too much difference between them, should we suspect it's a marketing tips?
But again other strange things analyzing the way it was done…
אם זה היה "ביקורת חסרת פניות וניטראליות" אנחנו צריכים לראות את דברים טובים ורעים בכל המוצרים הנכונים?
Ok, see the table below regarding the opinion indicated in each paragraph of the different reviews available of Gold-Lock, CellCrypt and Phonecrypt (are the only available) to see if are positive or negative.
| Application |
Number of paragraphs | Positive paragraphs | Negative paragraphs | Neutral paragraphs |
| PhoneCrypt | 9 | 9 |
0 | 0 |
| CellCrypt | 12 | 0 | 10 | 2 |
| GoldLock | 9 | 0 | 8 | 1 |
| סעיף של ביקורת | דעה שהביעה |
| מאתר האינטרנט שלהם | משוב חיובי שיווק |
| iPhone של אפל | משוב חיובי שיווק |
| Disk Encryption or voice Encryption | משוב חיובי שיווק |
| תאימות מרכזייה? Really | משוב חיובי שיווק |
| Cracking <10. Not. | משוב חיובי שיווק |
| Good thinking! | משוב חיובי שיווק |
| A little network action | משוב חיובי שיווק |
| UI | משוב חיובי שיווק |
| טוב טעם | משוב חיובי שיווק |
| Paragraph of review | Opinion expressed |
| From their website | Negative Marketing feedback |
| Licensed by The israeli Ministry of Denfese | Negative Marketing feedback |
| Real Company or Part Time hobby | Negative Marketing feedback |
| 16.000 bit authentication | Negative Marketing feedback |
| DH 256 | Negative Marketing feedback |
| Downad & Installation! | משוב שיווק ניטראלי |
| Cracking it <10 |
| Paragraph of review | Opinion expressed |
| From their website | משוב שיווק ניטראלי |
| קצת רקע על cellcrypt | Negative Marketing feedback |
| Master of Marketing | Negative Marketing feedback |
| Secure Voice calling | Negative Marketing feedback |
| Who's buying their wares |
Negative Marketing feedback |
| Downad & Installation! | משוב שיווק ניטראלי |
| סביבת ההדגמה שלי | Negative Marketing feedback |
| Did they forget some code | Negative Marketing feedback |
| פיצוח זה <5 | Negative Marketing feedback |
| Room Monitoring w/ FlexiSpy | Negative Marketing feedback |
| Cellcrypt unique features.. | Negative Marketing feedback |
| Plain old interception | Negative Marketing feedback |
| The Haters out there | Negative Marketing feedback |
עכשיו זה ברור כי מנקודת המבט שלהם על PhoneCrypt אין טעם רע אחת ואילו השני תמיד מתואר באופן שלילי.
No single good point. Strange?
All those considerations along with the next ones really let me think that's very probably a marketing review and not an independent review.
Other similar marketing attempt from SecurStar
SecurStar GmbH is known to have used in past marketing activity leveraging this kind of “technical speculations”, abusing of partial information and fake unconfirmed hacking stuff to make marketing/media coverage.
IMHO שילוב נדיר של חוסר הגינות במינוף הקשה לאנשים באמת להבין את המורכבות של אבטחה והצפנה.
They already used in past Marketing activities like the one about creating a trojan for Windows Mobile and saying that their software is secure from the trojan that they wrote.
קרא על תעלולי השיווק שלהם של 2007
They developed a Trojan (RexSpy) for Windows Mobile, made a demonstration capability of the trojan and later on told that they included “Anti-Trojan” capability to their PhoneCrypt software.They never released informations on that trojan, not even proved that it exists.
The researcher Collin Mulliner told at that time that it sounds like a marketing tips (also because he was not able to get from SecurStar CEO Hafner any information about that trojan):
“This makes you wonder if this is just a marketing thing.”
Now, let's try to make some logical reassignment.
It's part of the way they do marketing, an very unfriendly and unpolite approach with customers, journalist and users trying to provide wrong security concepts for a market advantage. Being sure that who read don't have all the skills to do in depth security evaluation and find the truth behind their marketing trips.
Who is the hacker notrax?
It sounds like a camouflage of a fake identity required to have an “independent hacker” that make an “independent review” that is more strong on reputation building.
Read about his bio:
¾ Human, ¼ Android (Well that would be cool at least.) I am just an enthusiast of pretty much anything that talks binary and if it has a RS232 port even better. During the day I masquerade as an engineer working on some pretty cool projects at times, but mostly I do the fun stuff at night. אני כבר מתחיל לחשוב על בלוג רשמי לכ -4.5 שנים לשתף כמה מהדברים שאני נתקלתי, לא יכול להבין, או פשוט לחצות את דעתי. Due to my day job and my nighttime meddling, I will update this when I can. I hope some find it useful, if you don't, well you don't.
אין פרטים על הבחור הזה ב-Google.
Almost any hacker that get public have articles online, post in mailing archive and/or forum or some result of their activity.
For notrax, nothing is available.
בנוסף בואו נסתכל על תחום ...
Infosecurityguard.com תחום מוגן פרטיות על ידי domainsbyproxy כדי למנוע הבנה מי היא הבעלים.
תחום נוצר לפני 2 חודשים ב 01 בדצמ '09 על godaddy.com רשם.
מה גם מאוד מעניין לשים לב כי "האקר ידוע ללא שמץ ב-Google עליו שהופיע בחודש דצמבר 2009 ברשת" זה נקרא על שחרור SecurStar GmbH עיתונות בתור "מומחה לאבטחת ה-IT".
Maybe they “know personally” who's this anonymous notrax? :)
Am i following my own conspiracy thinking or maybe there's some reasonable doubt that everything was arrange in that funny way just for a marketing activity?
Social consideration
If you are a security company you job have also a social aspects, you should also work to make the world a better place (sure to make business but “not being evil”). You cannot cheat the skills of the end users in evaluating security making fake misleading information.
אתה צריך לעשות את מודעות על משתמשי קצה, כדי להפוך אותם מודעים יותר לבעיות אבטחה, לתת להם את הכלים כדי להבין ולהחליט בעצמם.
Hope you had fun reading this article and you made your own consideration about this.
פאביו Pietrosanti (נאיף)
ps Those are my personal professional opinion, let's speak about technology and security, not marketing.
pps i am not that smart in web writing, so sorry for how the text is formatted and how the flow of the article is unstructured!
