This article want to clarify and better explain the finding at infosecurityguard.com regaring voice encryption product evaluation.
Bài viết này muốn nói với bạn một điểm nhìn khác hơn infosecurityguard.com khác nhau và giải thích là hợp lý với Giải thích rộng rãi từ quan điểm bảo mật.
Hôm nay tôi đọc tin tức nói rằng: "PhoneCrypt: dễ bị tổn thương cơ bản tìm thấy ở 12 trong số 15 sản phẩm mã hóa giọng nói và đã đi để đọc các trang web infosecurityguard .
Ban đầu nó xuất hiện của tôi giống như một hoạt động nghiên cứu tuyệt vời, nhưng sau đó tôi bắt đầu đọc sâu sắc đọc về it.I thấy rằng nó không đúng cách một nghiên cứu bảo mật, nhưng có được là những yếu tố cụ thể đó là một chiến dịch tiếp thị cũng được thực hiện để thu hút các phương tiện truyền thông công cộng và công bố công khai một sản phẩm.
IMHO họ có thể để lừa các nhà báo và người sử dụng bởi vì các chiến dịch tiếp thị được thực hiện hoàn toàn cũng không được phát hiện vào ngày 1 đọc nỗ lực. Cá nhân tôi coi nó như một hợp lệ vào ngày 1 đã sẵn sàng (họ lừa dối tôi ban đầu).
But if you go deeply… you will understand that:
- Đó là một sáng kiến tiếp thị ngụy trang được sắp xếp bởi SecurStar GmbH và không một nghiên cứu bảo mật độc lập
- they consider a only security context where local device has been compromised (no software can be secured in that case, like saying SSL can be compromised if you have a trojan!)
- they do not consider any basic security and cryptographic security criteria
However a lot of important website reported it:
This article is quite long, if you read it you will understand better what's going on around infosecurityguard.com research and research result.
Tôi muốn để cho bạn biết tại sao và làm thế nào (IMHO) là sai.
Các nghiên cứu đã bỏ lỡ để xem xét an ninh, mật mã và minh bạch!
Vâng, tất cả các âm thanh này, nhiều nghiên cứu được tập trung vào mục tiêu tiếp thị để nói rằng sản phẩm PhoneCrypt của họ là "siêu" sản phẩm tốt nhất của tất cả những người khác.
Bất kỳ chuyên gia bảo mật mà có thể có như là nhiệm vụ "đánh giá phần mềm" để bảo vệ bí mật các cuộc gọi điện thoại sẽ đánh giá các đặc điểm khác của sản phẩm và công nghệ khác nhau.
Yes, it's true that most of the product described by SecurStar in their anonymous marketing website called http://infosecurityguard.com have some weakness.
Nhưng điểm yếu liên quan những người khác và PhoneCrypt không may, giống như hầu hết các sản phẩm mô tả bị này.
Hãy xem lại những đặc điểm cần mật mã cơ bản và yêu cầu bảo mật (thực hành tốt nhất, nền tảng và những điều cơ bản!)
- tối tăm an Trough không làm việc
Một nguyên tắc cơ bản trong mật mã học cames từ năm 1883 bởi Auguste Kerckhoffs:
In a well-designed cryptographic system, only the key needs to be secret; there should be no secrecy in the algorithm.
Mật mã hiện đại đã chấp nhận nguyên tắc này, gọi bất cứ điều gì khác "bảo mật bằng cách tối tăm."
Đọc những gì Bruce Schneir, công nhận chuyên gia và mật mã trên thế giới nói về điều này Bất kỳ chuyên gia bảo mật sẽ cho bạn biết đó là sự thật. Even a novice university student will tell you that's true. Đơn giản vì đó là cách duy nhất để làm mật mã.
Hầu như tất cả các sản phẩm được mô tả trong luận SecurStar GmbH, bao gồm PhoneCrypt, không cung cấp chi tiết chính xác về các công nghệ mật mã của họ.
Các chi tiết chính xác là:
- Chi tiết đặc điểm kỹ thuật của thuật toán mật mã (đó không phải chỉ nói "chúng tôi sử dụng AES ")
- Chi tiết đặc điểm kỹ thuật của giao thức mã hóa (đó không phải chỉ nói "chúng tôi sử dụng Diffie Hellman )
- Detailed specification of measuring the cryptographic strenght (that's not just saying “we have 10000000 bit key size “)
Providing precise details means having extensive documentation with theoretical and practical implications documenting ANY single way of how the algorithm works, how the protocol works with precise specification to replicate it for interoperability testing.
It means that scientific community should be able to play with the technology, audit it, hack it.
Nếu chúng ta không biết bất cứ điều gì về hệ thống mật mã chi tiết, làm thế nào chúng ta có thể biết đó là những điểm yếu và điểm mạnh?
Mike Fratto, biên tập viên trang web của Network Computing, đã thực hiện một bài viết tuyệt vời về "Nói KHÔNG với các hệ thống mật mã độc quyền" .
Đại học Cerias Purdue cho biết điều này .
b - KHÔNG ngang hàng xem xét và KHÔNG khoa học đã được phê duyệt Mật mã học không làm việc
In any case and in any condition you do cryptography you need to be sure that someone else will check, review, analyze, distruct and reconstract from scratch your technology and provide those information free to the public for open discussion.
Đó là chính xác làm thế nào AES được sinh ra và như Viện Tiêu chuẩn Quốc gia Hoa Kỳ làm cho mật mã không (với cuộc thi công cộng với đánh giá ngang hàng công cộng, nơi chỉ có chiến thắng đánh giá tốt nhất).
Một cuộc thảo luận công khai với một cuộc thi nào mà rất nhiều xem xét lại mật mã và chuyên gia nổi tiếng nhất trên thế giới, tin tặc (với họ, tên và khuôn mặt, không giống như Notrax) cung cấp đóng góp của họ, cho biết những gì họ nghĩ.
That's called “peer review”.
Nếu một công nghệ mã hóa có một đánh giá ngang hàng mở rộng và quan trọng, phân phối trên thế giới đến từ các trường đại học, các công ty an ninh tư nhân, các tổ chức quân sự, tin tặc và tất cả đến từ một phần khác nhau của thế giới (từ Mỹ sang châu Âu, Nga đến Nam Mỹ đến Trung Đông Trung Quốc) và tất cả trong số họ đồng ý rằng một công nghệ cụ thể là an toàn ...
Vâng, trong trường hợp đó chúng ta có thể xem xét các công nghệ an toàn bởi vì rất nhiều của các thực thể với danh tiếng và quyền lực đến từ rất nhiều vị trí khác nhau trên thế giới đã công khai xem xét, phân tích và xác nhận rằng công nghệ đó là an toàn.
How a private company can even think to invent on it's own a secure communication protocol when it's scientifically stated that it's not possible to do it in a “proprietary and closed way” ?
IBM cho bạn biết rằng bạn bè xem xét nó yêu cầu cho mật mã .
Bruce Schneier nói với bạn rằng "mật mã tốt biết rằng không có gì thay thế cho bạn bè xem xét mở rộng và nhiều năm phân tích."
Philip Zimmermann will tell you to beware of Snake Oil where the story is: “Every software engineer fancies himself a cryptographer, which has led to the proliferation of really bad crypto software.”
c – Closed source cryptography does not work
Như bạn đã biết bất kỳ loại "nghiêm trọng" và "danh tiếng tốt" công nghệ mã hóa được thực hiện trong mã nguồn mở.
Thường có nhiều thực hiện cùng một thuật toán mật mã và giao thức mã hóa để có thể xem xét tất cả các cách thức mà nó hoạt động và xác nhận khả năng tương tác.
Giả sử để sử dụng một tiêu chuẩn với các chi tiết chính xác và mở rộng "nó hoạt động như thế nào", đã được "ngang hàng xem xét" bởi cộng đồng khoa học NHƯNG đã được tái-triển khai thực hiện từ đầu 1 lập trình viên không nên thông minh và thực hiện nó rất nhiều lỗi .
Well, if the implementation is “opensource” this means that it can be reviewed, improved, tested, audited and the end user will certaintly have in it's own had a piece of technology “that works safely” .
Google phát hành mã nguồn mở mật mã bộ công cụ
Mozilla phát hành bộ công cụ mã nguồn mở mật mã
Bruce Schneier nói với bạn rằng Cryptography phải là mã nguồn mở .
Một điểm mật mã của
Tôi không muốn thuyết phục bất kỳ ai, nhưng chỉ cung cấp sự thật liên quan đến khoa học, liên quan đến mật mã và an ninh để giảm bớt ảnh hưởng của thông tin sai lệch được thực hiện bởi các công ty an ninh mà chỉ đi là để bán cho bạn một cái gì đó và không làm điều gì đó làm cho thế giới một tốt hơn
Khi bạn làm sản phẩm an toàn, nếu họ không được thực hiện theo những người cách tiếp cận thích hợp có thể chết.
It's absolutely something irresponsible not to use best practice to do crypto stuff.
To summarize let's review the infosecurityguard.com review from a security best pratice point of view.
| Product name | Security Trough Obscurity | Công phản biện chuyên gia | Mã nguồn mở | Thỏa hiệp tại địa phương? |
| Caspertec | Tối tăm | Không có đánh giá nào | Đóng cửa | Vâng |
| CellCrypt | Tối tăm
| Không có đánh giá nào
| Đóng cửa
| Vâng |
| Cryptophone | Minh bạch | Limited public review | Công khai | Vâng |
| -Lock vàng | Tối tăm
| Không có đánh giá nào
| Đóng cửa
| Vâng |
| Illix | Tối tăm
| Không có đánh giá nào
| Đóng cửa
| Vâng |
| No1.BC | Tối tăm | Không có đánh giá nào
| Đóng cửa
| Vâng |
| PhoneCrypt | Tối tăm
| Không có đánh giá nào
| Đóng cửa
| Vâng |
| Rode&Swarz | Tối tăm
| Không có đánh giá nào
| Đóng cửa
| Vâng |
| An toàn-Voice | Tối tăm
| Không có đánh giá nào
| Đóng cửa
| Vâng |
| SecuSmart | Tối tăm
| Không có đánh giá nào
| Đóng cửa
| Vâng |
| SecVoice | Tối tăm
| Không có đánh giá nào
| Đóng cửa
| Vâng |
| SegureGSM | Tối tăm
| Không có đánh giá nào
| Đóng cửa
| Vâng |
| SnapCell | Tối tăm
| Không có đánh giá nào
| Đóng cửa
| Vâng |
| Tripleton | Tối tăm
| Không có đánh giá nào
| Đóng cửa
| Vâng |
| Zfone | Minh bạch | Công chúng đánh giá
| Mở | Vâng |
| ZRTP | Minh bạch | Công chúng đánh giá
| Mở | Vâng |
* Màu xanh lá cây có nghĩa là nó phù hợp với yêu cầu cơ bản cho một hệ thống an toàn mật mã
* Red / phương tiện bị hỏng rằng nó không phù hợp với yêu cầu cơ bản cho một hệ thống an toàn mật mã
Đó là phân tích của tôi bằng cách sử dụng một phương pháp đánh giá dựa trên mật mã và các thông số bảo mật không bao gồm các bối cảnh thỏa hiệp địa phương mà tôi cho là vô dụng.
Tuy nhiên, để được rõ ràng, những thông số cơ bản được sử dụng khi xem xét một sản phẩm mã hóa giọng nói (chỉ để tránh bị trong một tình huống xuất hiện như tôi đang quảng bá các sản phẩm khác). So it may absolutely possible that a product with good crypto ( transparency, peer reviewed and opensource) is absolutely a not secure product because of whatever reason (badly written, not usable causing user not to use it and use cleartext calls, politically compromised, etc, etc).
I think i will prepare a broader criteria for voice crypto technologies and voice crypto products, so it would be much easier and much practical to have a full transparent set of criterias to evaluate it.
But those are really the basis of security to be matched for a good voice encryption system!
Read some useful past slides on security protocols used in voice encryption systems (2nd part).
Bây giờ đọc dưới đây một số nghi ngờ thực tế hơn về nghiên cứu của họ.
The security concept of the review is misleading: any hacked device can be always intercepted!
Tôi nghĩ rằng những kẻ hoàn toàn bị mất điểm: BẤT KỲ HÌNH THỨC NÀO CỦA PHẦN MỀM CHẠY TRÊN HỆ THỐNG HOẠT ĐỘNG bị tổn hại có thể bị chặn
Now they are pointing out that also Zfone from Philip Zimmermann is broken (a pc software), just because they install a trojan on a PC like in a mobile phone?
Bất kỳ phần mềm bảo mật dựa trên thực tế là hệ thống điều hành cơ bản là bằng cách nào đó đáng tin cậy và bảo tồn tính toàn vẹn của môi trường nơi mà các phần mềm chạy.
- If you have a disk encryption system but your PC if infected by a trojan, the computer is already compromised.
- If you have a voice encryption system but your PC is infected by a trojan, the computer is already compromised.
- Nếu bạn có một hệ thống mã hóa giọng nói, nhưng điện thoại di động của bạn bị nhiễm bởi một Trojan, điện thoại di động đã được thỏa hiệp.
No matter which software you are running, in such case the security of your operating environment is compromised and in one way or another way all the information integrity and confidentiality is compromised.
Giống như tôi đã giải thích ở trên làm thế nào để đánh chặn PhoneCrypt.
The only things that can protect you from this threat is running in a closed operating system with Trust Computing capability, implementing it properly.
Để chắc chắn trên bất kỳ hệ thống "Open" điều hành như chúng tôi của Windows, Windows Mobile, Linux, iPhone hay Android không có cơ hội để thực sự bảo vệ một phần mềm.
On difficult operating system such as Symbian OS or RimOS maybe the running software can be protected (at least partially)
That's the reason for which the security concept that guys are leveraging to carry on their marketing campaign has no clue.
It's just because they control the environment, they know Flexispy software and so they adjusted their software not to be interceptable when Flexispy is installed.
Nếu bạn phát triển một trojan với các kỹ thuật khác, tôi mô tả ở trên, bạn sẽ 100% đánh chặn PhoneCrypt.
Về chủ đề đó cũng Theo Dustin Tamme l, nhà nghiên cứu bảo mật của hệ thống điểm dừng , chỉ trên danh sách gửi thư của Liên minh an ninh trên VoIP rằng phân tích an ninh được dựa trên khái niệm sai lầm .
The PhoneCrypt can be intercepted: it's just that they don't wanted to tell you!
PhoneCrypt can be intercepted with “on device spyware”.
Tại sao?
Because Windows Mobile is an unsecure operating environment and PhoneCrypt runs on Windows Mobile.
Windows Mobile does not use Trusted Computing and so any software can do anything.
The platform choice for a secure telephony system is important.
Làm thế nào?
I quickly discussed with some knowledgeable windows mobile hackers about 2 different way to intercept PhoneCrypt with an on-device spyware (given the unsecure Windows Mobile Platform).
a) Tiêm một DLL độc hại vào phần mềm và đánh chặn từ trong Phonecrypt chính nó.
Trong Windows Điện thoại di động bất kỳ phần mềm có thể bị tiêm mã DLL.
Những gì một kẻ tấn công có thể làm là tiêm vào phần mềm PhoneCrypt (hoặc bất kỳ phần mềm chạy trên điện thoại), móc nối các chức năng liên quan đến âm thanh hành động như là một "proxy chức năng" giữa PhoneCrypt và các API thực sự để ghi / phát âm thanh.
Đó là một vấn đề "móc nối" chỉ có 2 chức năng, một trong những kỷ lục và một trong những mà chơi âm thanh.
Đó là đơn giản, bất kỳ lập trình sẽ cho bạn biết để làm như vậy.
They simply decided that's better not to make any notice about this.
b) Create a new audio driver that simply act as a proxy to the real one and intercept PhoneCrypt
In Windows Mobile you can create new Audio Drivers and new Audio Filters.
Những gì một kẻ tấn công có thể làm là để tải một trình điều khiển âm thanh mà không làm bất cứ điều gì khác hơn là đi qua các chức năng điều khiển âm thanh thực sự TO / TỪ RealOne. In the meantime intercept everything recorded and everything played :-)
They simply decided that's better not to make any notice to that way of intercepting phone call on PhoneCrypt .
Đó là chỉ có 2 ý tưởng nhanh chóng, có thể được có thể thực hiện.
Sounds much like a marketing activity – Not a security research.
I have to tell you. Tôi phân tích vấn đề rất cẩn thận và trên hầu hết các khía cạnh. All this things about the voice encryption analisys sounds to me like a marketing campaign of SecurStar GmbH to sell PhoneCrypt and gain reputation. A well articulated and well prepared campaign to attract the media saying, in an indirect way cheating the media, that PhoneCrypt is the only one secure. Bạn nhìn thấy các thông cáo báo chí của SecurStar và "Notrax nhà nghiên cứu an ninh nói rằng PhoneCrypt là chỉ an toàn sản phẩm" . SecurStar PhoneCrypt is the only product the anonymous hacker “Notrax” consider secure of the “software solutions”.
The only “software version” in competition with:
–
SnapCell – No one can buy it. A security company that does not even had anymore a webpage. The company does not almost exist anymore.
Does it sounds strange that only those other products are considered secure along with PhoneCrypt .
Also… let's check the kind of multimedia content in the different reviews available of Gold-Lock, Cellcrypt and Phonecrypt in order to understand how much the marketing guys pressed to make the PhoneCrypt review the most attractive:
| Application | Screenshots of application | Video with demonstration of interception | Mạng biểu diễn |
| PhoneCrypt | 5 | 0 | 1 | |
| CellCrypt | 0 | 2 | 0 |
| GoldLock | 1 | 2 | 0 |
It's clear that PhoneCrypt is reviewed showing more features explicitly shown and major security features product description than the other.
Too much difference between them, should we suspect it's a marketing tips?
Nhưng một lần nữa những điều kỳ lạ khác phân tích cách thức mà nó đã được thực hiện ...
Nếu nó là "một đánh giá khách quan và trung lập", chúng ta sẽ thấy những điều tốt và xấu trên tất cả các sản phẩm phù hợp?
Ok, xem bảng dưới đây về ý kiến cho thấy trong mỗi đoạn văn của các ý kiến khác nhau có sẵn của Gold-Lock, CellCrypt và Phonecrypt (chỉ có sẵn) để xem nếu là tích cực hay tiêu cực.
| Application | Số của các khoản | Tích cực đoạn | Tiêu cực đoạn | Neutral paragraphs |
| PhoneCrypt | 9 | 9 | 0 | 0 |
| CellCrypt | 12 | 0 | 10 | 2 |
| GoldLock | 9 | 0 | 8 | 1 |
| Paragraph of review | Ý kiến bày tỏ |
| From their website | Tích cực tiếp thị thông tin phản hồi |
| Apple iPhone | Tích cực tiếp thị thông tin phản hồi |
| Đĩa mã hóa hoặc mã hóa giọng nói | Tích cực tiếp thị thông tin phản hồi |
| PBX tương thích? Really | Tích cực tiếp thị thông tin phản hồi |
| Cracking <10. Không. | Tích cực tiếp thị thông tin phản hồi |
| Suy nghĩ! | Tích cực tiếp thị thông tin phản hồi |
| Một chút hành động mạng | Tích cực tiếp thị thông tin phản hồi |
| Giao diện người dùng | Tích cực tiếp thị thông tin phản hồi |
| Đồ ăn ngon | Tích cực tiếp thị thông tin phản hồi |
| Paragraph of review | Ý kiến bày tỏ |
| From their website | Negative Marketing feedback |
| Cấp phép bởi Bộ Israel Denfese | Negative Marketing feedback |
| Real Company or Part Time hobby | Negative Marketing feedback |
| 16,000 bit xác thực | Negative Marketing feedback |
| DH 256 | Negative Marketing feedback |
| Downad & Installation! | (Bình thường) Tiếp thị thông tin phản hồi |
| Cracking nó <10 | Negative Marketing feedback |
| Tiếp thị BS101 | Negative Marketing feedback |
| Cool phim thứ | Negative Marketing feedback |
Detailed paragraphs opinion analysis of
CellCrypt | Paragraph of review | Ý kiến bày tỏ |
| From their website | (Bình thường) Tiếp thị thông tin phản hồi |
| Một nền chút về cellcrypt | Negative Marketing feedback |
| Thạc sĩ Marketing | Negative Marketing feedback |
| Secure Cuộc gọi thoại | Negative Marketing feedback |
| Ai mua hàng hóa của họ | Negative Marketing feedback |
| Downad & Installation! | Neutral Marketing feedback |
| Môi trường của tôi Demo | Negative Marketing feedback |
| Họ quên một số mã | Negative Marketing feedback |
| Cracking nó <5 | Negative Marketing feedback |
| Giám sát phòng w / Flexispy | Negative Marketing feedback |
| Cellcrypt unique features.. | Negative Marketing feedback |
| Plain cũ đánh chặn | Negative Marketing feedback |
| The Haters out there | Negative Marketing feedback |
Now it's clear that from their point of view on PhoneCrypt there is no single bad point while the other are always described in a negative way.
No single good point. Lạ?
All those considerations along with the next ones really let me think that's very probably a marketing review and not an independent review.
Other similar marketing attempt from SecurStar
SecurStar GmbH is known to have used in past marketing activity leveraging this kind of “technical speculations”, abusing of partial information and fake unconfirmed hacking stuff to make marketing/media coverage.
Imho a rare mix of unfairness in leveraging the difficult for people to really understand the complexity of security and cryptography.
They already used in past Marketing activities like the one about creating a trojan for Windows Mobile and saying that their software is secure from the trojan that they wrote.
Read about their marketing tricks of 2007
They developed a Trojan (RexSpy) for Windows Mobile, made a demonstration capability of the trojan and later on told that they included “Anti-Trojan” capability to their PhoneCrypt software.They never released informations on that trojan, not even proved that it exists.
The researcher Collin Mulliner told at that time that it sounds like a marketing tips (also because he was not able to get from SecurStar CEO Hafner any information about that trojan):
“This makes you wonder if this is just a marketing thing.”
Now, let's try to make some logical reassignment.
It's part of the way they do marketing, an very unfriendly and unpolite approach with customers, journalist and users trying to provide wrong security concepts for a market advantage. Being sure that who read don't have all the skills to do in depth security evaluation and find the truth behind their marketing trips.
Who is the hacker notrax?
It sounds like a camouflage of a fake identity required to have an “independent hacker” that make an “independent review” that is more strong on reputation building.
Read about his bio:
¾ Human, ¼ Android (Well that would be cool at least.) I am just an enthusiast of pretty much anything that talks binary and if it has a RS232 port even better. During the day I masquerade as an engineer working on some pretty cool projects at times, but mostly I do the fun stuff at night. I have been thinking of starting an official blog for about 4.5 years to share some of the things I come across, can't figure out, or just cross my mind. Due to my day job and my nighttime meddling, I will update this when I can. I hope some find it useful, if you don't, well you don't.
There are no information about this guy on google.
Almost any hacker that get public have articles online, post in mailing archive and/or forum or some result of their activity.
For notrax, nothing is available.
Additionally let's look at the domain…
The domain infosecurityguard.com is privacy protected by domainsbyproxy to prevent understanding who is the owner.
The domain has been created 2 months ago on 01-Dec-09 on godaddy.com registrar.
What's also very interesting to notice that this “unknown hacker with no trace on google about him that appeared on December 2009 on the net” is referred on SecurStar GmbH Press Release as a “An IT security expert”.
Maybe they “know personally” who's this anonymous notrax? :)
Am i following my own conspiracy thinking or maybe there's some reasonable doubt that everything was arrange in that funny way just for a marketing activity?
Xã hội xem xét
If you are a security company you job have also a social aspects, you should also work to make the world a better place (sure to make business but “not being evil”). Bạn không có thể ăn gian các kỹ năng của người sử dụng trong việc đánh giá an ninh thông tin sai lệch làm giả.
Bạn nên làm cao nhận thức về người sử dụng cuối cùng, để làm cho họ tỉnh táo hơn về vấn đề an ninh, tạo cho họ những công cụ để hiểu và tự quyết định.
Hy vọng bạn đã có niềm vui đọc bài viết này và bạn đã thực hiện xem xét riêng của bạn về điều này.
Fabio Pietrosanti (naif)
ps Đó là ý kiến cá nhân chuyên nghiệp của tôi, chúng ta hãy nói về công nghệ và bảo mật, không tiếp thị.
pps i am not that smart in web writing, so sorry for how the text is formatted and how the flow of the article is unstructured!
