Tag Archives: biznes

Zarządzanie i organizacja produktu

Miałem lepsze zrozumienie pojęć, ról i obowiązków związanych z zarządzaniem i zarządzania produktu Product Marketing w producentów oprogramowania, dlaczego są potrzebne, które są różnice i jak one wewnątrz struktury organizacyjnej.

Większość osób i nigdy nie wiesz, zainteresowanych w tej konkretnej dziedzinie pracy, ale jeśli chcesz być firma produkt (a nie firma konsultingowa lub roztworu), po uruchomieniu różnych produktów na różnych platformach dla różnych klientów docelowych sprzedawanych koryta różnych kanałów z różnych ceny z instalacji / inny proces dostawy i że złożoność muszą być zarządzane w odpowiedni sposób.

Zdajesz sobie sprawę, że aby pozwolić firma produkt rozwijać w dobrym kierunku, trzeba zorganizować działalność zarządzania produktem formalnie, nie zamykając swój umysł w sztywnych ról organizacyjnych, takich jak marketing, sprzedaż, R & D.

Kiedy mówimy o Product Management i polecam lekturę świetlnej strategiczną rolę zarządzania produktami (Jak rynkowy nacisk prowadzi firmy do budowania produktów ludzie chcą kupić), że wyjaśnienie wielu rzeczy, nawet jeśli perspektywy separacji netto Role w zarządzaniu produktu, coś t hat jest zbyt ciężki dla małej firmy jak starcie.

Mimo to zapewnić zróżnicowanie obowiązków pomiędzy Zarządzania produktami i marketingu.

Dobre zrozumienie zarządzania produktem związane starcie i s podane w artykule Tworzenie zarządzania produktem w uruchamianiu pokazuje się różne sprawy związane z ról wizjonera produktów w firmie.

To wprowadzenie CEO względem produktu w tym sensie, że obowiązki związane z zarządzaniem produktów skakać do różnych funkcji organizacji, zapewniając ostrość i wysiłku, gdzie jest to potrzebne, niezależnie od tego, że wewnętrzna funkcja wymaga więcej wysiłku, jest rozwój, marketing, sprzedaż lub Komunikacja. To praktycznie oznacza zwiększenie wizję produktu, jak jest to potrzebne we wszystkich głównych funkcji związanych z produktem co wizja całej spójnej corporate.

Dobra reprezentacja zarządzania produktem i działań marketingowych produkt jest dobrze opisany w różnicowaniu między Strategiczne, techniczne i marketingowe w sektorze i nie jest wyraźnie oddzielona od zarządzania, marketingu (i sprzedaży) oraz badania i rozwój:

Triad.jpg

Czytałem, że tło kierownik produktu i wiedza są różne w zależności od ostrości firmy ( skąd zarządzania produktem należą do organizacji? ):

  • B2C -> doświadczenie Marketing
  • B2B -> Doświadczenie techniczne

Zróżnicowanie oświetlające (dla mnie) i bardzo ważne w zakresie obowiązków zarządzania produktem jest rozróżnienie pomiędzy:

  • Product Management
  • Product Marketing

Szczegółowe zadania należące do zarządzania produktami Marketing vs są znacznie wyjaśnia definicje ról do zarządzania produktami i marketingu , które proponuję poczytać, co pozwala na lepsze zdefiniowanie zadań i obowiązków w całej organizacji. Jest również dobrą definicję wymagań pracy, jeśli chcesz szukać tej kwoty!

Jednocześnie ważne jest, aby zrozumieć, co nie zarządzania produktem, skutecznie zarządzanie wyrobów nie tylko priorytetów funkcja jest .

Jednocześnie ważne jest, aby zrozumieć, co profesjonalny rysunek nie jest sam w sobie menedżer produktu:

  • Product manager marketing manager nie jest - podczas zarządzania produktem jest zazwyczaj postrzegane jako dyscypliny marketingu, marketingu koncentruje się na plan marketingowy i nie są zazwyczaj jazdy ogólny kierunek produktu. W tym kontekście można jednak znaleźć Product Marketing Manager, który znajduje się w ramiona do obrotu danego produktu, szczególnie w małej organizacji.
  • Product manager sales manager nie jest - kierownik sprzedaży są o znalezienie się, jak sprzedać produkt, po którą metodę sprzedaży, techniki i kanałów i mogą prowadzić firmę z rynku firmy zorientowanej (produktu) do klientów zorientowanych firmy (rozwiązanie i consulting)
  • Product manager nie deweloper - Deweloperzy koncentrują się na technologii, a nie produktem ogólnego. Niektórzy wielcy menedżerowie to byli deweloperzy, ale jest to trudne do zrobienia, zarówno na raz. Jest naturalne napięcie między programistów i kierowników produktów, które powinny być utrzymywane do stworzenia zrównoważonego produktu.
  • Product manager manager software nie jest - menedżer oprogramowania jest funkcjonalny menedżer i zwykle nie skupia się na produkcie lub klientów.
  • Product manager kierownik projektu nie jest - kierownicy projektów są o tym, jak i kiedy, a menedżer produktu jest o czym. Menedżerowie projektów ściśle współpracować z menedżerami produktów w celu zapewnienia pomyślnego ukończenia poszczególnych etapach cyklu życia produktu.

Typowe działania związane z zarządzaniem produktów mogą być w skrajnym syntezy streścić następująco:

  • Strategia: Planowanie strategii produktu
  • Techniczne: czołowi rozwoju produktów
  • Marketing: dostarczyły produktów i technicznych
  • Sprzedaż: zapewnienie wsparcia sprzedaży i wstępnej skutecznie działać w sprzedaży

Zarządzania produktem, więc nie dokładnie rozwój to nie jest właśnie marketing, to nie jest dokładnie sprzedaży, więc zazwyczaj jest to trudne do zidentyfikowania ", gdzie powinien pozostać" wewnątrz struktury organizacyjnej (to nawet trudne do zrozumienia, że ​​jest potrzebne)?

Grupa produktów Krzemowa Dolina Zapewniamy miłą wgląd w strukturę organizacyjną produktu , wskazując, które są korzyści i zagrożenia związane z kilku opcji. Still Cranky Product Manager powiedzieć, że nie ma znaczenia, gdzie menedżer produktu żyć w organizacji .

Jest istotne, aby być ostrożnym, aby nie mieć osoby, które są zbyt dużo lub zbyt dużo techniczny sprzedaż zorientowanych w celu wypełnienia luki między innej organizacji. Zbyt dużo rozdrobnienie przypisanych zadań w organizacji może prowadzić do biurokracji, zbyt wiele obowiązków na jedną osobę może prowadzić do nieefektywnej realizacji niezbędnych zadań w jakiejś dziedzinie i do postrzegania konkurencji wewnętrznej odniesieniu do tradycyjnych ról.

Sprawdź tam bardzo ładne CV specjalisty z praktycznym doświadczeniem w zarządzaniu produktu (jest to pół techie / pół faceci marketing).

Ah! Innym bardzo częstym nieporozumieniem jest mylić obrotu z komunikacji, gdzie ai znalazł tak dobrego definicji marketingu, które bardzo lubię i zrozumienie ścisłego związku z zarządzania produktami:

Marketing jest wiedzieć rynku tak dobrze, że produkt sprzedaje się

Ale to, co się stało, kiedy nie obsługiwać zarządzania produktami i marketingu proces zarządzania produktem w określony sposób?

Miła historia jest pokazana jako przykład w strategiczną rolę zarządzania produktami :

Twój założyciel, genialny technik, rozpoczął rok temu, kiedy firma rzucił pracę dzień na rynek swój pomysł na pełny etat. On stworzył produkt, który po prostu wiedział, inni ludzie potrzebne. I miał rację. Wkrótce wydał tyle produktu i zatrudnił swojego przyjaciela z college'u jako wiceprezes ds. sprzedaży. A firma rosła. Ale wkrótce, wiceprezes ds. sprzedaży narzekał: "Jesteśmy firmą inżyniersko-led. Musimy stać na konsumenta. "I to brzmiało dobrze. Z wyjątkiem ... każdy nowy kontrakt wydawało wymagają niestandardowych prac. Podpisałeś klientów kilkanaście w ciągu kilkunastu segmentach rynku i najnowszych klienta głos zawsze zdominowane plany produktów. Można stwierdzić, że "ukierunkowanego" oznaczało "napędzany najnowszym klientem" i że nie może być w porządku.

Jeśli chcesz być firma produkt jest odpowiedni do precyzyjnie śledzić strategii napędzany marketingu i zarządzania, a nie sprzedaży.

Pomieszanie obowiązków zarządzania produktami / marketingu i sprzedaży może prowadzić do niepowodzenia firmy produktów, które nie są w stanie przejść w ramach swojej strategii, po prostu dlatego, że się możliwości, które napędzają biznes poza zakres.

Firma Produkt musi inwestować w jego własnym rozwoju produktu i marketingu, aby pozwolić ich sprzedaż skupić się i gwarantuje, że organizacja jest na co dzień bardziej skuteczny na rynku.

Po tym czytania, moje zrozumienie jest, że jest to istotne dla określenia, jak stworzyć zestaw elastycznych procesów biznesowych, jak postępować w różnych obowiązków zarządzania produktem i marketingu produktów oddzielających ich od sprzedaży.

Udział

Snake-olej bezpieczeństwa twierdzi on krypto bezpieczeństwa produktu

Rynek bezpieczeństwa rośnie, coraz więcej firm przechodzi na rynek, ale jak wielu z nich są poważnie traktuje to, co robią?

Wiesz, robi technologii bezpieczeństwa oznacza, że jesteś osobiście odpowiedzialny za ochronę danych użytkownika. Musisz uświadomić im to, czego potrzebują, dokładnie to, co się robi i jaki rodzaj modelu zagrożeń produkt chronić.

Typowy problem z wyrobu zabezpieczeń jest reprezentowany przez niezdolność użytkownika w celu ich oceny bezpieczeństwa samego produktu.

Tak więc istnieje wiele firm robi się nie-tak-etycznego obrotu zabezpieczeń, na podstawie faktów, że żaden użytkownik nie będzie w stanie go ocenić.

Wyjaśniono wcześniej sytuacja przebywania w temacie bezpieczeństwa Szyfrowanie Snake Oil, ewolucji w środowisku naukowym kryptograficznej, które pozwalają nam dzisiaj wykorzystać najlepsze z technologii informacyjnych ras ochrony, nie martwiąc się zbytnio o backdoory czy niepewności.

Porozmawiajmy o Snake Oil Encryption

Kryptografia Snake Oil : w kryptografii , olej wąż jest terminem używanym do opisania metody handlowe i produktów kryptograficznych, które są uważane za fałszywe lub oszukańcze. Rozróżnienie bezpieczny kryptografii z niepewnego kryptografii może być trudne z punktu widzenia użytkownika. Wiele kryptolodzy, takich jak Bruce Schneier i Phil Zimmermann , zobowiązują się do informowania opinii publicznej w sposób bezpieczny kryptografia jest zrobione, a także podkreślając mylącej obrotu niektórych produktów kryptograficznych.

Najczęściej wywoływany kryptograficzne guru, Philip Zimmermann i Bruce Schneier, był 1 mówić o Szyfrowanie Snake Oil:

Snake Oil przez Philipa Zimmermanna

Snake Oil Bruce Schneier

Michigan Law Review Telekomunikacji i Technologii również bardzo dobrą analizę związanej z funkcji zabezpieczeń Zabezpieczeń SNAKE-OIL SECURITY roszczenia "systematycznego przeinaczenie Bezpieczeństwo produktów . Wyjaśniają o paskudnych sztuczek marketingowych wykorzystywanych do dostrojenia niezdolność do oceny użytkowników funkcje bezpieczeństwa, w tym gospodarczych i prawnych implikacji odpowiedzialności.

Very famous is the sentence of Russ Nelson : Kilka firm bezpieczeństwa wąż oleju produktu nie wyjaśnia i nie są jasne, o modelu zagrożenie dla których produkt stosuje Bardzo znane jest zdanie. Russ Nelson :

"Pamiętaj, crypto bez modelu zagrożenie jest jak ciasteczka bez mleka. ..... Kryptografia bez modelu zagrożenie jest jak macierzyństwo bez szarlotki. Nie można powiedzieć, że tyle razy. Bardziej ogólnie, bezpieczeństwa bez modelu zagrożeń jest z definicji będzie na porażkę. "

Tak więc, jak rozpoznać produkty naftowe węża zabezpieczeń?

Sprawdź przelicznik na miejscu produkty Szyfrowanie: Snake Oil Snake Oil Znaki ostrzegawcze, oprogramowanie szyfrujące, których należy unikać przez Matt Curtin .

Widać to bardzo dobre przykłady Wąż kryptograficznych oleju przez Emility Ratliff (Architect IBM na Linux Security), która próbuje zrobić wyraźny przykład, jak Snake Oil miejscu kryptograficzne.

Tutaj reprezentowane podstawową wytyczną z Mattem Curtin papieru:


Zaznaczając, że punktów jest możliwe, aby ocenić, jak poważne technologii szyfrowania lub produkt.

Ale w sumie, jak naprawić to nieetyczne podejście zabezpieczeń?

To bardzo znaczeniowy i byłoby bardzo przydatne dla każdego rodzaju kategorii produktów bezpieczeństwa, aby niektóre gorąco i niezależne wytyczne oceny (jak OSSTMM do testów penetracyjnych), aby ten proces oceny bezpieczeństwa naprawdę w rękach użytkownika.

Byłoby bardzo miło, że ktoś czyni analizę i ocenę firm produktów bezpieczeństwa, publikowanie raportów o znakach pigułkę.

Udział

Bezpieczeństwo Blackberry i szyfrowania: Devil czy Anioł?

Blackberry mają dobrą i złą reputację w zakresie jego możliwości zapewnienia bezpieczeństwa, w zależności od których kąt na to patrzysz.

Ten post to podsumować zbiór informacji pozwolić czytelnikowi Get Picture, bez podejmowania zbyt wiele pozycji, jak RIM i BlackBerry mogą być uznane, w zależności od punktu widzenia, platforma bardzo bezpiecznym lub jeden bardzo niebezpieczny.

bblock.jpg

Niech się dzieje.

Po jednej stronie Blackberry to wiele platform funkcji szyfrowania, funkcje bezpieczeństwa na całym świecie, zaszyfrowanej (z niestandardowych kryptografii), komunikacji szyfrowanej (z własnych firmowych protokołów , takich jak ZPPP), bardzo dobre zaawansowanych ustawień zabezpieczeń, ram Szyfrowanie Certicom ( obecnie własność RIM ).

Po drugiej stronie, że nie zapewnia tylko urządzenie, ale sieci dostępowej nakładki o nazwie BIS ( BlackBerry Internet Service ), która jest globalnym świecie sieci rozległej, gdzie blackberry wprowadzić podczas przeglądania lub CheckMail korzystania blackberry.net AP.

Podczas lub aplikacji, należy użyć APN blackberry.net nie jesteś po prostu łącząc się z internetem z podłączeniem do Internetu nośnej, ale wchodzimy wewnątrz sieci RIM, który będzie proxy i działa jako brama do osiągnięcia w Internecie.

W tym samym stanie, gdy masz korporacyjną wykorzystania: Oba urządzenia BB i korporacyjnych BES podłączyć do sieci RIM, które działają jako rodzaj sieci VPN koncentracyjnego .

Więc w zasadzie wszystkie komunikaty przekroczyć RIM infrastruktury koryta usługi w zaszyfrowanej z zestawem szyfrowania zastrzeżonej i protokołów komunikacyjnych.

Tak jak w ogłoszeniu, że google zapewnić Gtalk nad blackberry.net APN, zawarła umowę w celu zaoferowania usługi wewnątrz sieci BB do BB użytkowników. Po zainstalowaniu GTalk zostaniesz dodany 3 usług książki które wskazują na GTALKNA01 to nazwa bramy GTalk wewnątrz sieci RIM, aby umożliwić intra-bis komunikacji i działać jako brama GTalk do internetu.

Operatorzy telefonii komórkowej zazwyczaj nie wolno nawet do kontroli ruchu między urządzeniem BlackBerry i sieci Blackberry.

Więc RIM i BlackBerry są w jakiś sposób wyjątkowe dla ich podejścia, ponieważ zapewniają platformę, sieć oraz usługi spakowane razem i nie można po prostu "dostać urządzenia i oprogramowania", ale użytkownik i firmowe są zawsze związany i połączenia z usługą sieci.

To jest dobre i to jest złe, bo to oznacza, że RIM zapewniają bardzo dobre zabezpieczenia i zdolności do ochrony informacji, urządzenia i dostęp do informacji na różnych poziomach przed trzecią.

Ale to jest zawsze trudne do oszacowania zagrożenia i ryzyko związane z RIM sobie i kto mógłby zbić polityczny nacisk na RIM.

Proszę wziąć pod uwagę, że nie mówię "RIM ogląda danych", ale co obiektywnej analizy ryzyka: w jaki sposób platforma odbywa RIM są uprawnienia na urządzeniu, z informacji on-the-urządzenia oraz w sprawie informacji, które przekraczają sieci. (Czytaj moje telefony slajdów zabezpieczeń ).

Na przykład rozważmy bardzo sam kontekst dla telefonów Nokia.

Gdy urządzenie Nokia jest sprzedawany, Nokia nie posiada uprawnień na urządzeniu, ani w sprawie informacji on-the-urządzenia, ani na informacjach, które przekraczają sieci. Ale prawdą jest również to, że Nokia po prostu dostarczyć urządzenie i nie zapewnia usługi o wartości dodanej, takich jak integracja Przedsiębiorczości (RIM tunel VPN), sieci dostępu BIS i wszystkich lokalnych i zdalnych zabezpieczeń rezerwę funkcji, które Blackberry świadczą.

Więc jest to kwestia, biorąc pod uwagę kontekst ryzyka w odpowiedni sposób przy wyborze platformy, a przykład bardzo podobny do wyboru Microsoft Exchange Server (we własnym serwisie), czy coraz usługi SaaS jak Google Apps.

W obu przypadkach trzeba zaufać dostawcy, ale w pierwszym przypadku trzeba zaufać Microsoft, który nie szuka furtki na oprogramowaniu natomiast w 2. przykład trzeba zaufać Google, jako dostawca platform i usług, które nie ma dostępu Twoje dane.

Więc to jest inny paradygmat być oceniane w zależności od modelu zagrożeń.

Jeśli model zagrożenie pozwala rozważyć RIM jako zaufanego dostawcę usługi strony trzeciej (tak jak google), niż to jest w porządku. Jeśli masz bardzo wysoki kontekst ryzyka, jak jeden tajne, to niech uważnie rozważyć i ocenić, czy nie lepiej, aby utrzymać usługi Blackberry całkowicie odizolowane od urządzenia lub skorzystać z innego systemu, bez interakcji z serwerami firmy i usług.

Teraz wróćmy do niektórych badań i kilka faktów o jeżyna i jeżyn bezpieczeństwa się.

Przede wszystkim wielu rządów miał do czynienia z RIM w celu zmuszenia ich do zapewnienia dostępu do informacji, które przekraczają ich sieci serwisowe, podczas gdy inny postanowił bezpośrednio zakazać użytkowania Blackberry dla wysokich urzędników ze względu na serwerach znajdujących się w Wielkiej Brytanii i USA, podczas gdy inne postanowił instalować własne backdoory.

Istnieje wiele dyskusji, gdy tematy Blackberry RIM i rządy z różnych powodów.

Poniżej zestaw oficjalnych bezpieczeństwa informacji związanych z RIM BlackBerry platformy:

A tu zestaw nieoficjalnych Hacking bezpieczeństwa i informacji związanych z RIM BlackBerry platformy:

Bo to 23.32 (GMT +1), jestem zmęczony, myślę, że ten post zakończy się tutaj.

Mam nadzieję, że pod warunkiem, czytelnikowi zbiór przydatnych informacji i ustaleń, aby przejść głębiej w analizę i biorąc pod uwagę ogólne bezpieczeństwo BlackBerry (na dobre i na złe, to zawsze zależy od modelu zagrożenia!).

Na zdrowie

Fabio Pietrosanti (naif)

ps jestem zarządzania rozwojem technologii zabezpieczeń (głos szyfrowanie tech) na platformie Blackberry, i mogę powiedzieć, że z punktu widzenia rozwoju jest absolutnie lepsze niż Nokia w zakresie kompatybilności i szybkości rozwoju, ale używać tylko RIMOS 5,0 +!

Udział

Chiny Encryption Regulamin

Witam wszystkich,

Uważam, że to bardzo interesujący referat na temat Chin szyfrowania Import / Export / regulaminu domowe wykonywane przez Baker & McKenzie w USA.

To jest biznes i regulacyjnych silnie zorientowane dając bardzo dobrze zrobione pogląd na temat china przepisy działa i jak może zachowywać się w przyszłości.

Czytaj tutaj Rozszyfrowanie szyfrowanie Chin regulamin (formularz Bakernet stronie internetowej).

Udział

Dyskusja mobilna konferencji Bezpieczeństwo w ​​WHYMCA

Chcę podzielić się slajdy i używane, aby porozmawiać o telefon bezpieczeństwa na whymca telefonu konferencji w Mediolanie.

Czytaj tutaj moje slajdy na telefon bezpieczeństwa .

Szkiełka zapewnić szeroki pogłębionej przegląd Mobile Security sprawach pokrewnych, powinienem robić jakieś slidecast o to oddanie także dźwięk. Może zrobi, może nie, to zależy od czasu, który jest zawsze mało zasobów.

Udział

SecurStar GmbH odpowiedzi Phonecrypt na Infosecurityguard / Notrax przypadku: absolutnie nieuzasadnione! :-)

UPDATE 20.04.2010: http://infosecurityguard.com została wyłączona. Notrax tożsamości stały się znane kilku facetów w środowisku bezpieczeństwa głosowych (nie może powiedzieć, ale można sobie wyobrazić, i słusznie!) I tak nasi przyjaciele postanowili trow dala stronę z powodu odpowiedzialności prawnej na podstawie prawa Zjednoczonego Królestwa i USA.

UPDATE: Nice podsumowanie całej historii (wiem, to jest długi i skomplikowany, aby przeczytać na 1 raz) na SIPVicious VoIP bezpieczeństwa bloga przez Sandro Gauci .

Po moich odkryciach, panie Hafner, SecurStar szef exec, próbował ostatecznie obronić swoje działania, powołując się na całkowicie nieuzasadnionych wymówki do Rej zamiast publicznie przepraszać za to, co zrobili: tworzenie fałszywych niezależnych badań bezpieczeństwa, aby promować swój produkt PhoneCrypt .

Próbował nas przekonać, że osoba za IP 217.7.213.59, używany przez autora infosecurityguard.com i wskazując na ich biura linii DSL, był to Notrax hacker, wykorzystując ich anonimowego surfowania usługę, a nie jeden z ich pracowników w ich biurze:

"SecurStar szef exec Wilfried Hafner odmawia jakiegokolwiek kontaktu z NoTrax. Notrax, powiedział, musi być przy jego firma za usługę anonimowego przeglądania SurfSolo, produkować wyniki raportowane przez Pietrosanti "

Miejmy odzwierciedlać chwilę na tym zdaniu ... Czy naprawdę hacker szuka anonimowości wydać 64 EUR do zakupu ich anonimowość surfowania usługę o nazwie SurfSolo zamiast korzystać z wolnego i dużo bardziej bezpieczne TOR (Onion Router) ? takim razie zastanowić się nad tym drugim kawałku informacje:

  • IP 217.7.213.59 jest SecurStar GmbH biuro linii DSL
  • Na 217.7.213.59 zainstalowali oni ich VoIP / Asterisk PBX i bramy internetowej
  • Promują swoje usługi proxy do anonimowego "Anonymous wykorzystania p2p" ( http://www.securstar.com/products_ssolo.php ). Kto by pozwolić użytkownikom zrobić p2p z linii DSL biurowych, gdzie został zainstalowany firmowego VoIP PBX? Jeśli tak VoIP nie można pozwolić trzecia powódź impreza linia w / p2p traffic, Twoje rozmowy telefoniczne będą się oczywiście niewiarygodne (tak, tak, możesz zrobić, QoS, ale nie umieszczać anonimowego proxy nawigacji na swojej Siedziba firmy DSL linia ...).
  • Która firma świadcząca usługę nawigacji anonimowy nigdy użyć własnego adresu IP Office? Wystarczy pomyśleć, ile razy byś policja puka do drzwi i Twoich pracowników jako głównych podejrzanych. (W przeszłości używane do uruchomienia węzeł Tora, wiem, ryzyko ...). Także myślę, ile razy by znaleźć się na czarnej liście w google jako bota spyware.
  • Pan Hafner także mówi "Mamy dwa miliony ludzi przy użyciu tego produktu. Albo może był stary klient nasz ". 2M użytkownicy na linii DSL, naprawdę?
  • Nie korzystam z usług SurfSolo jednak ich pełnomocnicy są chyba te z nich:

surfsolo.securstar.net - 67.225.141.74

surfsolo.securstar.com - 69.16.211.133

Prawdę mówiąc, można łatwo zrozumieć, że Pan Hafner będzie robić, co tylko może, aby chronić swoją firmę przed skandalem, ale "anonymous proxy" usprawiedliwieniem jest co najmniej podejrzane.

W jaki sposób fakt, że "niezależne badania" był semantycznie recenzja produktem PhoneCrypt, wraz z odkryciem, że autor pochodzi z SecurStar biur GmbH adresów IP wraz z anonimowości tego Notrax faceta (SecurStar nazywa go "dobrze znany to bezpieczeństwo pracy "w ich komunikacie ..) dźwięk do ciebie?

Jest możliwe, że ziemia będzie atak z kosmosu, co dzieje się zniszczyć nasze życie?

Statystycznie bardzo trudne, ale tak, to możliwe. Mniej więcej tak jak "anonymous proxy" historii opowiadanej przez pana Hafner, aby ukryć fakt, że są one tymi, tył infosecurityguard.com fałszywej "przegląd niezależnej bezpieczeństwa".

Hej, ja nie potrzebuję niczego więcej, aby przekonać się czy pozwolić inteligentny człowiek ma swoje własne przemyślenia na ten temat.

Myślę, że najlepszym sposobem na SecurStar wydostać się z tego bałaganu będzie prawdopodobnie do udostępniania publicznych wymówki do społeczności hakerskiej za nadużywanie nazwę i reputację prawdziwych niezależnych badań bezpieczeństwa, ze względu na chwyt marketingu.

Pozdrawiam,

Fabio Pietrosanti

ps Jestem obecnie czeka na niektórych innych Infos, które bardziej precyzyjnie potwierdzają, że to, co mówi pan Hafner nie jest właściwie prawda. Stay tuned.

Udział

Dowody, że infosecurityguard.com / Notrax jest SecurStar GmbH Phonecrypt - fałszywe niezależne badania na głos kryptografii

Poniżej dowód, że przegląd bezpieczeństwa wykonane przez anonimowego hakera na http://infosecurityguard.com jest w faktach nieuczciwy plan marketingowy przez SecurStar GmbH w celu promowania ich głos produktu kryptograficznego.

Pisałem już o tym analizy krypto głosu , który pojawił mi się bardzo podejrzane.

Teraz to potwierdzone, to fałszywy niezależne badania bezpieczeństwo hacker przez SecurStar GmbH, to tylko chwyt marketingowy!

Skąd wiemy, że Infosecurityguard.com, fałszywy niezależnych badań bezpieczeństwa, to chwyt marketingowy z SecurStar GmbH?

1) I pisał na http://infosecurityguard.com komentarz do postu z linkiem do mojego bloga z tym artykułem na Izraelskie Ministerstwo Obrony certyfikacji

2) autor http://infosecurityguard.com poszedł zatwierdzić komentarz i przeczytać link na moim blogu http://infosecurity.ch

3) Osiągnięcie mojego bloga, że wyciekł adres IP, z którego został pochodzący 217.7.213.59 (gdzie i po prostu kliknął z interfejsu wordpress statystycznej)

4) W dniu http:// 217.7.213.59/panel istnieje interfejs IP PBX z SecurStar GmbH firmowej centrali PBX (otwarcie dojechać koryta internet!)

5) nazwiska wewnętrznego centrali potwierdzają 100%, że to SecurStar GmbH:

6) Nie ma 100% dowodów, że anonimowy haker z http://infosecurityguard.com jest od SecurStar GmbH

Poniżej danych i odniesienia, które pozwalają nam odkryć, że to wszystko, ale nieuczciwy porady marketingowe, a nie niezależnych badań bezpieczeństwa.

Uznanie Matteo Flora za jego wsparcie i za jego artykule w Obalanie tożsamości Infosecurityguard !

Sztuczki http referencyjny

Kiedy czytasz link dzieje ze strony internetowej na inny jest protokół HTTP nagłówek, "Skierowanie", że ci, z których ktoś strona ma innej strony internetowej.

Skierowanie wykazały, że autorzy http://infosecurityguard.com przeczytać mój post, ponieważ pochodził z http://infosecurityguard.com/wp-admin/edit-comments.php to strona użyć jako autora wordpress / Edytor do zatwierdzenia / odmowy komentarz. I tu był link.

To jest wpis w dzienniku:

217.7.213.59 - [30/Jan/2010: 02:56:37 -0700] "GET / 20100129/licensed-by-israel-ministry-of-defense-how-things-really-works / HTTP/1.0" 200 5795 "http://infosecurityguard.com/wp-admin/edit-comments.php" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; GTB6.3;. NET CLR 1.1.4322;. NET CLR 2.0.50727;. NET CLR 3.0.4506.2152;. NET CLR 3.5.30729; InfoPath.2) "

PBX open w internecie mówią, że jest SecurStar GmbH

SecurStar GmbH PBX jest otwarta w internecie, zawiera wszystkie nazwiska ich pracownika i potwierdzić nam, że autor http:/infosecurityguard.com jest to, że firma i jest anonimowy haker zwany Notrax.

Tu jest ich forum, gdzie po SecurStar faceci GmbH są debugowanie IPCOPfirewall & gwiazdką razem (tak, widzimy również informacje o tym, co ich używać), gdzie nie ma ip 217.7.213.59.

SecurStarproof.png

That's also really fun!

They sell secure telephony but their company telephony system is openly vulnerable on the internet . :-)

I was thinking to call the CEO, Hafner, via SIP on his internal desktop PBX to announce we discovered him tricks.. :->

They measured their marketing activity

Looking at the logs of my website i found that they was sensing the google distribution of information for the following keywords, in order to understand how effectively they was able to attack competing products. It's reasonable, if you invest money in a marketing campaign you want to see the results :-)

They reached my blog and i logged their search:

infosecurityguard+cryptophone

infosecurityguard+gold-lock

217.7.213.59 – - [30/Jan/2010:02:22:42 -0700] “GET / HTTP/1.0″ 200 31057 “http://www.google.de/search?sourceid=navclient&ie=UTF-8&rlz=1T4SKPB_enDE350DE350&q=infosecurityguard+cryptophone” “Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; GTB6.3; .NET CLR 1.1.4322; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729; InfoPath.2)”

217.7.213.59 – - [30/Jan/2010:04:15:07 -0700] “GET /20100130/about-the-voice-encryption-analysis-phonecrypt-can-be-intercepted-serious-security-evaluation-criteria/ HTTP/1.0″ 200 15774 “http://www.google.de/search?sourceid=navclient&ie=UTF-8&rlz=1T4SKPB_enDE350DE350&q=gold-lock+infosecurityguard” “Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; GTB6.3; .NET CLR 1.1.4322; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729; InfoPath.2)”


The domain registration data

The domain have been registered on 1st December 2009, just two months to start preparing the dishonest marketing campaign:

Domain Name: INFOSECURITYGUARD.COM

Registrar: GODADDY.COM, INC.

Updated Date: 01-dec-2009

Creation Date: 01-dec-2009

The domain is anonymously privacy protected trough a whois privacy service:

Administrative Contact: Private, Registration INFOSECURITYGUARD.COM@domainsbyproxy.com , Domains by Proxy, Inc. DomainsByProxy.com

Notrax hacker does not exist on google
As you know any hacker that get public usually have presence of it's activity on google, attending mailinglists, forum, homepage, past research, participation to conferences, etc, etc.
The fake hacker that they wanted us to to think was writing an independent blog does NOT have any trace on google. Only some hit about an anonymous browser called Notrax but nothing about that hacker.
Maybe when SecurStar provided the anonymity tool to their marketing agency, to help them protecting anonymity for the fake research, their provided them the anonymous browser notrax.So the marketing guy thinking about the nickname of this fake hackers used what? Notrax! :-)

The “independent review”completely oriented in publicizing PhoneCrypt

Of the various review don the phonecrypt review is only positive and amazing good feedback, while the other are only bad feedback and no single good point.

As you can imagine, in any kind of independent product evaluation, for all products there are goods and bad points. No. In this one there are only product that are good and product that are bad.

They missed to consider the security of the technology used by the products

They completely avoided to speak about cryptography and security of the products.

Nie oceniano podstawowe funkcje zabezpieczeń, które muszą znaleźć się w tego rodzaju s products.That ', aby nie pozwolić na to, zobacz, że nie następuje podstawowych zasad bezpieczeństwa w budowaniu ich PhoneCrypt.
Technologia jest zamknięte źródła, bez przezroczystości na algorytmów i protokołów, bez wzajemnej review.Read mój nowy porównanie (od podstawowego wymogu kryptograficznego punktu widzenia) O analizie szyfrowania głosu (kryteria, błędy i inne wyniki) .
Wyniki są nieco inne niż ich jeden.

UPDATE: Kto jest Wilfried Hafner (SecurStar założyciel)?

Dostałem zawiadomienie od czytelnika w sprawie Wilfred Hafner, założyciel SecurStar, eksperta CEO i bezpieczeństwa.

Został aresztowany w 1997 r. za nadużycia związane z telefonii (sprawdź 2-ga artykuł na Phrack) zdobywając z oszustwami telefonii 254,000 USD powodując uszkodzenia lokalnego koryta Grahama blueboxing do 1,15 mln USD.

On nie robi "Blueboxing" dla przyjemności phreaking i łączenia z innymi hakerami, ale do zarabiania pieniędzy.

Hacking dla zysku (a nie dla zabawy) w 1997 ... Brrr .... No hakera etyka w ogóle!

W sumie, jest to zgodne z prawem?

Badmouthing zawodnika wynosi do nieuczciwej praktyki konkurencji w większości systemów prawnych, jest więc uznać, (co najmniej), że SecurStar jest tuż przy ziemi zgodny z prawem tutaj.
Ponadto, istnieją pewne specyficzne statutu w niektórych krajach, które zapewniają prosty zakazu praktyce mówimy o. Na przykład w Wielkiej Brytanii, British Institute of praktyków reklamy - w zgodzie z ochroną konsumentów przed nieuczciwymi regulacji handlu - orzekł, że:

"Fałszywe twierdzenie lub stwarzanie wrażenia, że sprzedawca nie działa w celu związanym z jej działalnością handlową, gospodarczą, rzemieślniczą lub wolnym zawodem lub fałszywe podawanie się za konsumenta" jest przestępstwem .

Nie mamy wątpliwości, że prpr (który jest brytyjską * firma PR dla SecurStar GmbH, prowadzony przez Piotra Rennison i Allie Andrews , jak stwierdzono w SecurStar prasowa ) podała ich klientowi informacji. Heck, że * jest * w UK, po prostu nie może zignorować!

IANAL, ale nie chciałbym być zaskoczeni, jeśli ktoś złożył skargę karną lub rozpocząć postępowanie sądowe w sprawie cywilnej o nieuczciwej konkurencji przeciwko SecurStar GmbH.
Czy to będzie sprawa karnych i / lub sądy cywilne, czy nie, nie jest to takie ważne. Jest jednak jasne, że SecurStar GmbH wydaje się być co najmniej etycznie wątpliwe i naprawdę nie warto zaufania.

Niezła próba, panowie ... ale następnym razem po prostu zrobić to dobrze (czy "prawo" dla nich oznacza "w uczciwy sposób" lub "w sposób, aby nie zostać złapanym" dam im wyboru) "

Fabio Pietrosanti (naif)

Udział

Nieuczciwy bezpieczeństwa: SecurStart GmbH przypadku Phonecrypt

Chciałbym zapewnić rozważania na koncepcji etyki, że firma ochroniarska powinna mieć szacunek dla użytkowników, mediów i środowiska bezpieczeństwa.

SecurStar GmbH made very bad things making that infosecuriguard.com fake independent research.

It's unfair approach respect to hacking community.

It's unfair marketing to end user. They should not be tricking by creating fake independent review.

It's unfair competition in the security market.

Let's make some more important consideration on this.

Must be serious on cryptographic products. They are not toys

When you do cryptographic tools you should be really aware of what you are doing, you must be really serious.

If you do bad crypto people could die.

If you don't follow basic security rules for transparency and security for cryptography you are putting people life at risk.

You are taking the responsibility of this. (I want to sleep at night, don't think SecurStar CEO/CTO care about this…)

Security research need reference and transparency

Security research have to be public, well done, always subject to public discussion and cooperation.
Security research should not be instrumentally used for marketing purpose.Security research should be done for awareness and grow of the knowledge of the worldwide security environment.

Hacking environment is neutral, should not be used instrumentally

Hackers are considered neutral, nerds, doing what they do for their pleasure and passion.

If you work in the security market you work with hackers.

If you use hackers and hacking environment for your own marketing purposes you are making something very nasty.

Hackers give you the technology and knowledge and you use them for your own commercial purpose.

Consideration on the authority of the information online

That's something that pose serious consideration on the authority of information online.An anonymous hacker, with no reference online, made a product security review that appear like an independent one. I have to say that the fake review was very well prepared, it always posed good/bad things in an indirect way. It did not appeared to me at 1st time like a fake. But going deeply i found what's going on.

However Journalists, news media and blogger went to the TRAP and reviewed their fake research. TheRegister, NetworkWorld and a lot of blogs reported it. Even if the author was completely anonymous.

What they have done is already illegal in UK

SecurStar GmbH is lucky that they are not in the UK, where doing this kind of things is illegal .

Fabio Pietrosanti (naif)

Udział

About the SecurStar GmbH Phonecrypt voice encryption analysis (criteria, errors and different results)

This article want to clarify and better explain the finding at infosecurityguard.com regaring voice encryption product evaluation.
This article want to tell you a different point of view other than infosecurityguard.com and explaining which are the rational with extensive explaination from security point of view.
Today i read news saying: “PhoneCrypt: Basic Vulnerability Found in 12 out of 15 Voice Encryption Products and went to read the website infosecurityguard .

Initially it appeared to my like a great research activity but then i started reading deeply the read about it.I found that it's not properly a security research but there is are concrete elements that's a marketing campaign well done in order to attract public media and publicize a product.
Imho they was able to cheat journalists and users because the marketing campaign was absolutely well done not to be discovered on 1st read attempt. I personally considered it like a valid one on 1st ready (they cheated me initially!).

But if you go deeply… you will understand that:
- it's a camouflage marketing initiative arranged by SecurStar GmbH and not a independent security research
- they consider a only security context where local device has been compromised (no software can be secured in that case, like saying SSL can be compromised if you have a trojan!)
- they do not consider any basic security and cryptographic security criteria

However a lot of important website reported it:

This article is quite long, if you read it you will understand better what's going on around infosecurityguard.com research and research result.

I want to to tell you why and how (imho) they are wrong.

The research missed to consider Security, Cryptography and Transparency!

Well, all this research sound much like being focused on the marketing goal to say that their PhoneCrypt product is the “super” product best of all the other ones.
Any security expert that would have as duty the “software evaluation” in order to protect the confidentiality of phone calls will evaluate other different characteristics of the product and the technology.

Yes, it's true that most of the product described by SecurStar in their anonymous marketing website called http://infosecurityguard.com have some weakness.
But the relevant weakness are others and PhoneCrypt unfortunately, like most of the described products suffer from this.
Let's review which characteristics are needed basic cryptography and security requirement (the best practice, the foundation and the basics!)

a – Security Trough Obscurity does not work

A basic rule in cryptography cames from 1883 by Auguste Kerckhoffs:

In a well-designed cryptographic system, only the key needs to be secret; there should be no secrecy in the algorithm.
Modern cryptographers have embraced this principle, calling anything else “security by obscurity.”
Read what Bruce Schneir, recognized expert and cryptographer in the world say about this
Any security expert will tell you that's true. Even a novice university student will tell you that's true. Simply because that's the only way to do cryptography.
Almost all product described in the review by SecurStar GmbH, include PhoneCrypt, does not provide precise details about their cryptographic technologies.
Precise details are:
  • Detailed specification of cryptographic algorithm (that's not just saying “we use AES “)
  • Detailed specification of cryptographic protocol (that's not just saying “we use Diffie Hellman ” )
  • Detailed specification of measuring the cryptographic strenght (that's not just saying “we have 10000000 bit key size “)

Providing precise details means having extensive documentation with theoretical and practical implications documenting ANY single way of how the algorithm works, how the protocol works with precise specification to replicate it for interoperability testing.
It means that scientific community should be able to play with the technology, audit it, hack it.
If we don't know anything about the cryptographic system in details, how can we know which are the weakness and strength points?

Mike Fratto, Site editor of Network Computing, made a great article on “Saying NO to proprietary cryptographic systems” .
Cerias Purdue University tell this .

b – NON peer reviewed and NON scientifically approved Cryptography does not work

In any case and in any condition you do cryptography you need to be sure that someone else will check, review, analyze, distruct and reconstract from scratch your technology and provide those information free to the public for open discussion.
That's exactly how AES was born and like US National Institute of Standard make crypto does (with public contest with public peer review where only the best evaluated win).
A public discussion with a public contest where the a lot of review by most famous and expert cryptographer in the world, hackers (with their name,surname and face, not like Notrax) provide their contribution, tell what they thinks.
That's called “peer review”.

If a cryptographic technology has an extended and important peer review, distributed in the world coming from universities, private security companies, military institutions, hackers and all coming from different part of the world (from USA to Europe to Russia to South America to Middle east to China) and all of them agree that a specific technology it's secure…
Well, in that case we can consider the technology secure because a lot of entities with good reputation and authority coming from a lot of different place in the world have publicly reviewed, analyzed and confirmed that a technology it's secure.

How a private company can even think to invent on it's own a secure communication protocol when it's scientifically stated that it's not possible to do it in a “proprietary and closed way” ?
IBM tell you that peer review it's required for cryptography .
Bruce Schneier tell you that “Good cryptographers know that nothing substitutes for extensive peer review and years of analysis.”
Philip Zimmermann will tell you to beware of Snake Oil where the story is: “Every software engineer fancies himself a cryptographer, which has led to the proliferation of really bad crypto software.”

c – Closed source cryptography does not work

As you know any kind of “serious” and with “good reputation” cryptographic technology is implemented in opensource.
There are usually multiple implementation of the same cryptographic algorithm and cryptographic protocol to be able to review all the way it works and certify the interoperability.
Supposing to use a standard with precise and extended details on “how it works”, that has been “peer reviewed” by the scientific community BUT that has been re-implemented from scratch by a not so smart programmer and the implementation it's plenty of bugs.

Well, if the implementation is “opensource” this means that it can be reviewed, improved, tested, audited and the end user will certaintly have in it's own had a piece of technology “that works safely” .

Google release opensource crypto toolkit
Mozilla release opensource crypto toolkit
Bruce Schneier tell you that Cryptography must be opensource .

Another cryptographic point of view

I don't want to convince anyone but just provide facts related to science, related to cryptography and security in order to reduce the effect of misinformation done by security companies whose only goes is to sell you something and not to do something that make the world a better.

When you do secure products, if they are not done following the proper approach people could die.
It's absolutely something irresponsible not to use best practice to do crypto stuff.

To summarize let's review the infosecurityguard.com review from a security best pratice point of view.

Product name Security Trough Obscurity Public peer review Open Source Compromise locally?
Caspertec Obscurity No public review Closed Tak
CellCrypt Obscurity
No public review
Closed
Tak
Cryptophone Transparency Limited public review Public Tak
Gold-Lock Obscurity
No public review
Closed
Tak
Illix Obscurity
No public review
Closed
Tak
No1.BC Obscurity No public review
Closed
Tak
PhoneCrypt Obscurity
No public review
Closed
Tak
Rode&Swarz Obscurity
No public review
Closed
Tak
Secure-Voice Obscurity
No public review
Closed
Tak
SecuSmart Obscurity
No public review
Closed
Tak
SecVoice Obscurity
No public review
Closed
Tak
SegureGSM Obscurity
No public review
Closed
Tak
SnapCell Obscurity
No public review
Closed
Tak
Tripleton Obscurity
No public review
Closed
Tak
Zfone Transparency Public review
Open Tak
ZRTP Transparency Public review
Open Tak

*Green means that it match basic requirement for a cryptographic secure system

* Red / Broken means that it does not match basic requirement for a cryptographic secure system
That's my analysis using a evaluation method based on cryptographic and security parameters not including the local compromise context that i consider useless.

However, to be clear, those are only basic parameters to be used when considering a voice encryption product (just to avoid being in a situation that appears like i am promoting other products). So it may absolutely possible that a product with good crypto ( transparency, peer reviewed and opensource) is absolutely a not secure product because of whatever reason (badly written, not usable causing user not to use it and use cleartext calls, politically compromised, etc, etc).
I think i will prepare a broader criteria for voice crypto technologies and voice crypto products, so it would be much easier and much practical to have a full transparent set of criterias to evaluate it.

But those are really the basis of security to be matched for a good voice encryption system!
Read some useful past slides on security protocols used in voice encryption systems (2nd part).

Now read below some more practical doubt about their research.

The security concept of the review is misleading: any hacked device can be always intercepted!

I think that the guys completely missed the point: ANY KIND OF SOFTWARE RUNNING ON A COMPROMISED OPERATING SYSTEM CAN BE INTERCEPTED

Now they are pointing out that also Zfone from Philip Zimmermann is broken (a pc software), just because they install a trojan on a PC like in a mobile phone?
Any security software rely on the fact that the underlying operating system is somehow trusted and preserve the integrity of the environment where the software run.

  • If you have a disk encryption system but your PC if infected by a trojan, the computer is already compromised.
  • If you have a voice encryption system but your PC is infected by a trojan, the computer is already compromised.
  • If you have a voice encryption system but your mobile phone is infected by a trojan, the mobile phone is already compromised.

No matter which software you are running, in such case the security of your operating environment is compromised and in one way or another way all the information integrity and confidentiality is compromised.

Like i explained above how to intercept PhoneCrypt.

The only things that can protect you from this threat is running in a closed operating system with Trust Computing capability, implementing it properly.
For sure on any “Open” operating system such us Windows, Windows Mobile, Linux, iPhone or Android there's no chance to really protect a software.
On difficult operating system such as Symbian OS or RimOS maybe the running software can be protected (at least partially)

That's the reason for which the security concept that guys are leveraging to carry on their marketing campaign has no clue.
It's just because they control the environment, they know Flexispy software and so they adjusted their software not to be interceptable when Flexispy is installed.
If you develop a trojan with the other techniques i described above you will 100% intercept PhoneCrypt.

On that subject also Dustin Tamme l, Security researcher of BreakPoint Systems , pointed on on VoIP Security Alliance mailing lists that the security analysis is based on wrong concepts .

The PhoneCrypt can be intercepted: it's just that they don't wanted to tell you!

PhoneCrypt can be intercepted with “on device spyware”.
Dlaczego?
Because Windows Mobile is an unsecure operating environment and PhoneCrypt runs on Windows Mobile.
Windows Mobile does not use Trusted Computing and so any software can do anything.
The platform choice for a secure telephony system is important.
W jaki sposób?
I quickly discussed with some knowledgeable windows mobile hackers about 2 different way to intercept PhoneCrypt with an on-device spyware (given the unsecure Windows Mobile Platform).

a) Inject a malicious DLL into the software and intercept from within the Phonecrypt itself.
In Windows Mobile any software can be subject to DLL code injection.
What an attacker can do is to inject into the PhoneCrypt software (or any software running on the phone), hooking the Audio related functions acting as a “function proxy” between the PhoneCrypt and the real API to record/play audio.
It's a matter of “hooking” only 2 functions, the one that record and the one that play audio.
Read the official Microsoft documentation on how to do DLL injection on Windows Mobile processes. or forum discussing the technique of injecting DLL on windows mobile processes.
That's simple, any programmer will tell you to do so.
They simply decided that's better not to make any notice about this.
b) Create a new audio driver that simply act as a proxy to the real one and intercept PhoneCrypt
In Windows Mobile you can create new Audio Drivers and new Audio Filters.
What an attacker can do is to load a new audio driver that does not do anything else than passing the real audio driver function TO/FROM the realone. In the meantime intercept everything recorded and everything played :-)
Here there is an example on how to do Audio driver for Windows Mobile .
Here a software that implement what i explain here for Windows “Virtual Audio Cable” .
The very same concept apply to Windows Mobile. Check the book “Mobile Malware Attack and Defense” at that link explaining techniques to play with those techniques.
They simply decided that's better not to make any notice to that way of intercepting phone call on PhoneCrypt .
Those are just 2 quick ideas, more can be probably done.

Sounds much like a marketing activity – Not a security research.

I have to tell you. I analyzed the issue very carefully and on most aspects. All this things about the voice encryption analisys sounds to me like a marketing campaign of SecurStar GmbH to sell PhoneCrypt and gain reputation. A well articulated and well prepared campaign to attract the media saying, in an indirect way cheating the media, that PhoneCrypt is the only one secure. You see the press releases of SecurStar and of the “Security researcher Notrax telling that PhoneCrypt is the only secure product” . SecurStar PhoneCrypt is the only product the anonymous hacker “Notrax” consider secure of the “software solutions”.
The only “software version” in competition with:

SnapCell – No one can buy it. A security company that does not even had anymore a webpage. The company does not almost exist anymore.
rohde-schawarz – A company that have in his list price and old outdated hardware secure phone . No one would buy it, it's not good for genera use.

Does it sounds strange that only those other products are considered secure along with PhoneCrypt .

Also… let's check the kind of multimedia content in the different reviews available of Gold-Lock, Cellcrypt and Phonecrypt in order to understand how much the marketing guys pressed to make the PhoneCrypt review the most attractive:

Aplikacja Screenshots of application Video with demonstration of interception Network demonstration
PhoneCrypt 5 0 1
CellCrypt 0 2 0
GoldLock 1 2 0

It's clear that PhoneCrypt is reviewed showing more features explicitly shown and major security features product description than the other.

Too much difference between them, should we suspect it's a marketing tips?

But again other strange things analyzing the way it was done…
If it was “an impartial and neutral review” we should see good and bad things on all the products right?

Ok, see the table below regarding the opinion indicated in each paragraph of the different reviews available of Gold-Lock, CellCrypt and Phonecrypt (are the only available) to see if are positive or negative.

Aplikacja Number of paragraphs Positive paragraphs Negative paragraphs Neutral paragraphs
PhoneCrypt 9 9 0 0
CellCrypt 12. 0 10 2
GoldLock 9 0 8 1

Detailed paragraphs opinion analysis of Phonecrypt
Paragraph of review Opinion expressed
From their website Positive Marketing feedback
Apple iPhone Positive Marketing feedback
Disk Encryption or voice Encryption Positive Marketing feedback
PBX Compatibility? Really Positive Marketing feedback
Cracking <10. Not. Positive Marketing feedback
Dobry pomysł! Positive Marketing feedback
A little network action Positive Marketing feedback
UI Positive Marketing feedback
Good Taste Positive Marketing feedback
Detailed paragraphs opinion analysis of Gold-Lock 3G
Paragraph of review Opinion expressed
From their website Negative Marketing feedback
Licensed by The israeli Ministry of Denfese Negative Marketing feedback
Real Company or Part Time hobby Negative Marketing feedback
16.000 bit authentication Negative Marketing feedback
DH 256 Negative Marketing feedback
Downad & Installation! Neutral Marketing feedback
Cracking it <10 Negative Marketing feedback
Marketing BS101 Negative Marketing feedback
Cool video stuff Negative Marketing feedback
Detailed paragraphs opinion analysis of CellCrypt
Paragraph of review Opinion expressed
From their website Neutral Marketing feedback
A little background about cellcrypt Negative Marketing feedback
Master of Marketing Negative Marketing feedback
Secure Voice calling Negative Marketing feedback
Who's buying their wares Negative Marketing feedback
Downad & Installation! Neutral Marketing feedback
My Demo environment Negative Marketing feedback
Did they forget some code Negative Marketing feedback
Cracking it <5 Negative Marketing feedback
Room Monitoring w/ FlexiSpy Negative Marketing feedback
Cellcrypt unique features.. Negative Marketing feedback
Plain old interception Negative Marketing feedback
The Haters out there Negative Marketing feedback

Now it's clear that from their point of view on PhoneCrypt there is no single bad point while the other are always described in a negative way.
No single good point. Strange?
All those considerations along with the next ones really let me think that's very probably a marketing review and not an independent review.

Other similar marketing attempt from SecurStar

SecurStar GmbH is known to have used in past marketing activity leveraging this kind of “technical speculations”, abusing of partial information and fake unconfirmed hacking stuff to make marketing/media coverage.
Imho a rare mix of unfairness in leveraging the difficult for people to really understand the complexity of security and cryptography.

They already used in past Marketing activities like the one about creating a trojan for Windows Mobile and saying that their software is secure from the trojan that they wrote.
Read about their marketing tricks of 2007

They developed a Trojan (RexSpy) for Windows Mobile, made a demonstration capability of the trojan and later on told that they included “Anti-Trojan” capability to their PhoneCrypt software.They never released informations on that trojan, not even proved that it exists.

The researcher Collin Mulliner told at that time that it sounds like a marketing tips (also because he was not able to get from SecurStar CEO Hafner any information about that trojan):

“This makes you wonder if this is just a marketing thing.”

Now, let's try to make some logical reassignment.
It's part of the way they do marketing, an very unfriendly and unpolite approach with customers, journalist and users trying to provide wrong security concepts for a market advantage. Being sure that who read don't have all the skills to do in depth security evaluation and find the truth behind their marketing trips.

Who is the hacker notrax?

It sounds like a camouflage of a fake identity required to have an “independent hacker” that make an “independent review” that is more strong on reputation building.
Read about his bio:

¾ Human, ¼ Android (Well that would be cool at least.) I am just an enthusiast of pretty much anything that talks binary and if it has a RS232 port even better. During the day I masquerade as an engineer working on some pretty cool projects at times, but mostly I do the fun stuff at night. I have been thinking of starting an official blog for about 4.5 years to share some of the things I come across, can't figure out, or just cross my mind. Due to my day job and my nighttime meddling, I will update this when I can. I hope some find it useful, if you don't, well you don't.

There are no information about this guy on google.
Almost any hacker that get public have articles online, post in mailing archive and/or forum or some result of their activity.
For notrax, nothing is available.

Additionally let's look at the domain…
The domain infosecurityguard.com is privacy protected by domainsbyproxy to prevent understanding who is the owner.
The domain has been created 2 months ago on 01-Dec-09 on godaddy.com registrar.

What's also very interesting to notice that this “unknown hacker with no trace on google about him that appeared on December 2009 on the net” is referred on SecurStar GmbH Press Release as a “An IT security expert”.

Maybe they “know personally” who's this anonymous notrax? :)

Am i following my own conspiracy thinking or maybe there's some reasonable doubt that everything was arrange in that funny way just for a marketing activity?

Social consideration

If you are a security company you job have also a social aspects, you should also work to make the world a better place (sure to make business but “not being evil”). You cannot cheat the skills of the end users in evaluating security making fake misleading information.

You should do awareness on end users, to make them more conscious of security issues, giving them the tools to understand and decide themselves.

Hope you had fun reading this article and you made your own consideration about this.

Fabio Pietrosanti (naif)

ps Those are my personal professional opinion, let's speak about technology and security, not marketing.
pps i am not that smart in web writing, so sorry for how the text is formatted and how the flow of the article is unstructured!

Udział

Index of economic freedom

When looking at facts and figures about globalized world, the index of economic freedom is a nice tool to make proper considerations.

Udział

Military contractors going commercial

Most military contractors are suffering from the restriction of government's budgets for military expenses and are moving into commercial markets, still they have to adjust a lot of things.

Read here a nice analysis from rochtel on how military contractors should adapt their strategy.

Udział

Iphone jailbreaking crashing towers? FUD!

It's interesting to read a news about an anti-jailbreaking statement by apple that say that with jailbreaked phones it may be possible to crash mobile operator's towers:

By tinkering with this code, “a local or international hacker could potentially initiate commands (such as a denial of service attack) that could crash the tower software, rendering the tower entirely inoperable to process calls or transmit data,”

So fun, as the Baseband Processor interface of iPhone is precisely the same of Google android and all Windows Mobile powered devices:

Basically the operating system use AT commands (do you remember old hayes modem commands?) with additional parameters documented and standardized by 3GPP that let more deep (but not that much deep) interaction with the mobile networks.

Please note that those AT commands are standard and widely available on all phones and are the interface to the Baseband Processor .

On iPhone that's the list of commands that an from apple point of view could let “a international hacker to crash the tower software” :

Undocumented commands on iPhone

Damn, those European anarchist of Nokia are providing publicly also their AT command sets, and are AVAILABLE TO ANYONE:

Nokia AT Commands

Oh jesus! Also the terrorist oriented Microsoft corporation let third party to use AT commands:

Windows Mobile AT Commands

It's absolutely unacceptable that also RIM, canadian funky against USA, provide access to AT commands:

Blackberry AT commands

And it's unbelivable to see that Google Android also document how the system speak to the Baseband Processor and find on forums that it's ease to access it:

Google Android Basedband Processor

Not to speak to ALL other mobile manufactuer that use the very same approach and let any party to speak via AT commands to the baseband processor of the phone.

Is the baseband processor of iphone buggy and the AT&T tower software buggy so that it's dangerous to let the user make experiment with it?

Probably yes, and so those are only excuse because the software involved are not robust enough.

Apple, be careful, you have the trust of your users because you are apple you always have done things for the user advantages.

Users does like telephone companies that are huge lobbies that try to restrict and control users as much as possible.

If you, Apple, start behaving like a phone company users will not trust you anymore.

Be careful with FUD statements.

Udział

chinese espionage: the worst and more silent threat for western countries

Witam wszystkich,

in the past few years i saw an incredible increase in the amount of “public” news about espionage against different western countries and usually coming from far-east, typically china.

China want to be the largest economic power within 2020 and it's following a grow rate of 8% per year. Their “controlled” capitalism without the inefficiency of the democracy it's something that's beating the western countries, less efficient because democratic.

China, in order to quickly grow it's R&D capacity make an extensive use of espionage, it's estimated that Chinese government have more than 1.000.000 intelligence agents worldwide.

And they know how to do espionage, their “spy” does not cost that much like western countries' spy, less guarantee, less payments.

Also they are using cyber espionage as an important source of information and competitiveness against western countries companies and government R&D results. China is so un-cooperative that now also western countries spying each other, or even Russian, use chinese internet space as the “start base” for their internet based espionage activities.

I knew of a USA phisher that used to build it's own trojan with a chinese version of Windows Xp with a chinese version of the Microsoft Visual Studio development suite. Dlaczego? For information deception, in order to tweak the forensics effort of the FBI analyst and have them think that it's own attacks was coming from China!

Any investigators that see an attack coming from china typically think “oh shit, it comes from china, we're lost”, and now even cybercrime use China like a far-west, untouchable base for cyber attacks.

Back tracing attacks coming from china it's like trying to find out what's inside a black hole , it's a one-way trip and no information comes back.

To give better an idea of what i am speaking about just get the following list of reference:

Germany accuses China of industrial espionage

Chinese trainee goes on trial as French industry fears espionage

US Vulnerable to Chinese Cyber Espionage

Massive Chinese Espionage Network

Cyber Spy Network Also Targetting Finland

How do the western countries defend themself?

That's a nice points to speak about because there's no simple way to defend against espionage other than considering it like a serious and concrete threat.

Governments should be able to get more understanding that their approach to informations systems and information security policy must not only exists on paper but also be applied everywhere in order to be effective. Governments are complex organizations and only a few are enough smart to be able to quickly and efficiently make security policies really be implemented organization-wide. But they are trying to, especially the most competitive ones like USA, UK and Germany .

Companies instead should acquire awareness of the problem that is present, available, concrete as concrete is the chance that someone enter into the offices to steal good (not for espionage). For that reason companies place alarm systems, access control with badge, camera monitoring systems.

But espionage does not mean fighting and protecting against poor thieves but instead against more sophisticated, either technically and socially, attacker that can use old school intelligence techniques always effective. Getting employed and stealing information while working. Simulate to be customers to establish a link trust with a salesman and then find a reason to let him execute some malicious software “hey, but my modellization software demostrate that your model used to measure the performance of your product it's not the one you advertised. Check it out, see your self with the software we used!” . What do you think the salesman will do in order to catch the prospect customer?

Only awareness, knowledge about the issues can make such risk to be considered seriously.

Governments should provide financing to industrial associations, chamber of commerces and similar agencies in order to make such awareness national wide and let entrepreneurs became conscious and became prepared to recognize, identify and stop espionage activities.

The law perspective

Governments should strenghten their laws in order to be able have the required rights tools to enforce the protection from espionage.

Look at the analysis made by my smart cousin Angelo Pietrosanti on espionage “Is the European R&D Equally protected from espionage as in the US R&D?”

Kraj Civil Sanction against trade secret threat Criminal Sanction against trade secret threat Year of last modificationg
USA 5 mln $ up to 10(for domenistic) or 15 (for foreigners) Years of Jail 1996 ( Economic Espionage Act )
Niemcy YES up to 3 Years of Jail 1986
Francja 0.03 mln $ up to 2 Years of Jail 1992
UK YES NO 1984
Włochy YES up to 2 Years of Jail 1942
Szwajcaria YES up to 3 Years of Jail 1986
Finlandia YES up to 3 Years of Jail 1990
Szwecja YES up to 6 Years of Jail 1990
Holandia YES up to 4 Years of Jail 1992

What this table show?

  • Outdated law (except USA)
  • Not so serious sanctions against espionage activities. (except USA)

Maybe some european policy on this could help.

In conclusion

We are in an economic war where the winner is not the one having more forces, but the one being more technologically advanced, and economically clever.

Chinese are demonstrating to be enough aggressive and clever, will the western countries be able to react both on the defense and the attack in this war?

Udział

Criminal business model: Somali pirate case study

Witam wszystkich,

this blog post is to have a nice economical point of view on somali pirates business model, something nice as also crime is a business and need it's business evaluation:

An economic Analysis of Somali Pirates Business Model

It sounds much like a great deal, check it out the details:

The attack model and costs

The negotiation phase (Offer and Counter offer)

The resolution

And for the pleasure of home gamer, Cuttrhouat Capitalism: the game

Udział

Nokia World in Stuttgard 2-3 September

Everyone who's business is directly connected to mobile, aggregators, operators and generally speaking mobility application should really attend Nokia World where most of the world key people in the mobile business .

It's extremely interesting to see the evolution of the business models related to the Application Portals, how the mobile operators are changing their approach to the market, the increasing of value added services related to mobile industry.

And the most important things is, the mobile operators will be able to became financial operators to really provide mobile payment systems integrated into any day digital life?

And if this will happen, how the manufacturer and operating system provider will play this game?

Udział

Saas: is the end of the myth?

Saas business models growth a lot during the past few years and i personally appreciate it.

No software to be installed, configured, maintained, service available when you needed with a early adoption time and most important reduction (or apparent reduction) of the total costs of ownership.

I had few experience with SaaS business (as a customer) and i have to say that the following Gartner Group analysis on SaaS businesses imho tell you the truth only for half of statements:

  • There is always a partial integration issue (not all systems are so flexible to really integrate into your business like you would like)
  • There is often a lacks of the technical requirements needed by the specific business case
  • I DO NOT agree that there is a barrier in the costs, as SaaS usually let you start spending only a few. However it's true that while doing the deployment you should be more conservative in the usage of features and items (es: I am using for my company a hosted VoIP PBX system, we pay for each extension we add. We don't have test extension or extensions that are not strictly needed because it costs. When we had an internal VoIP PBX system, we was plenty of test extension. This slightly increase some complexity in maintenance and deployment, even if the total cost of maintenance is a lot lower than an internal system to be managed.

So we can assume that Saas it's for most but not for all, especially if the need of customizations for the very specific business needs are relevant.

An in depth analysis and testing has to be carried on, in order to discover all the limits of the solution, on functionalities and pricing, to really discover if the specific solution fit the business need.

Udział

Best advices by world leaders

Today i found a very nice set of 22 'best advices' on Fortune coming from world leaders and i would really like to link there some of the most interesting ones (at least for me).

I think that those suggestion let you work and manage your projects and goals (in any situation you play a leadership role, being business or personal stuff) in a proper, rational and effective way.

Colin Powel: Focus on performance, not power

Jim Sinegal: Show, don't tell

Mort Zuckerman: Do what you love

Meredith Whitney: Always set realistic goals

Lauren Zalaknick: Listen (others opinion)

Robin Li: Underpromise and overdelivery (while running a company)

Mika Brzezinski: Use failure to motivate yourself

Udział

The real goal of online marketing: lead generation

Often i discuss about online marketing, however it include the mysterious “marketing” magic word that's tipically subject to misunderstanding and misconception .

The end goal of online marketing is to generate qualified leads coming from international markets.

Some interesting links about it, and how things should be properly done are below:

I would really like to see an effective leverage of online techniques and tools as the main interface and providers of information, the main pre-sales agent of the company explaining almost everything required to get back a qualified lead.

Udział

Voice encryption in government sectors

I will make some in depth articles about how voice encryption really works in government environments.

The open standards and open source still have to reach the military and government environments for what's related to secure speech.

To give you an idea of the complexity and kind of particular issues that exists, look at the USA 3G Wireless Security: A Government Perspective and the A Waveform Architecture to Support Security and Interoperability in Multi-National Wireless Networks for Tactical Communication .

They are using so-custom protocols like Secure Communications Interoperability Protocol that require the use of patented MELPe ultra-narrowband codec that there's not a real market of application and equipment using this. Only a small elite of government controlled companies from few countries manage this de-facto lobby.

Should we change this bringing open standards also to government sectors?

Udział

Product Management

You know, product management it's a job for half-fish, half-meat guys, that understand both business needs and technology issues.

I found two amazing and very well done presentations about it, i suggest to read it as it clarify a lot of things of the marketing and technical activities applied to the management of products inside companies to reach the market.

The strategic Role of Product Management

Very in depth presentation. Ask yourself, do you know what's the differences between marketing and promotions, sales, advertising? How to really manage the core of the company, the product?

Product Management for BrainMates

Very smooth presentation going to the point: A product is the tiny overlap between the needs of a business, the aspirations of it's development team and the unsatisfied desires of the customer.

Udział