Bài viết này muốn làm rõ và giải thích tốt hơn phát hiện tại infosecurityguard.com regaring đánh giá sản phẩm mã hóa giọng nói.
Bài viết này muốn nói với bạn một điểm khác nhau xem khác với infosecurityguard.com và giải thích đó là hợp lý với Giải thích sâu rộng từ quan điểm bảo mật của xem.
Hôm nay tôi đọc tin tức nói rằng: "PhoneCrypt: dễ bị tổn thương cơ bản tìm thấy ở 12 trong số 15 âm mã hóa sản phẩm và đã đi để đọc trang web infosecurityguard .
Ban đầu nó xuất hiện với tôi như một hoạt động nghiên cứu tuyệt vời, nhưng sau đó tôi bắt đầu đọc sâu sắc về đọc nó.Tôi thấy rằng nó không đúng cách một nghiên cứu bảo mật nhưng có những yếu tố cụ thể đó là một chiến dịch tiếp thị cũng được thực hiện để thu hút các phương tiện truyền thông công cộng và công bố công khai một sản phẩm.
IMHO họ đã có thể lừa dối các nhà báo và người sử dụng vì các chiến dịch tiếp thị được thực hiện hoàn toàn cũng không được phát hiện vào ngày 1 nỗ lực đọc. Cá nhân tôi coi nó như một giá trị vào ngày 1 sẵn sàng (họ lừa tôi ban đầu).
Nhưng nếu bạn đi sâu ... bạn sẽ hiểu rằng:
- Đó là một sáng kiến tiếp thị ngụy trang được sắp xếp bởi SecurStar GmbH và không phải là một nghiên cứu bảo mật độc lập
- Họ xem xét một bối cảnh an ninh duy nhất mà thiết bị địa phương đã bị xâm nhập (không có phần mềm có thể được bảo đảm trong trường hợp đó, như nói rằng SSL có thể bị tổn hại nếu bạn có một Trojan!)
- Họ không xem xét bất kỳ bảo mật cơ bản và tiêu chuẩn an ninh mật mã
Tuy nhiên rất nhiều trang web quan trọng báo cáo nó:
Bài viết này là khá dài, nếu bạn đọc nó, bạn sẽ hiểu rõ hơn về những gì đang xảy ra xung quanh nghiên cứu infosecurityguard.com và kết quả nghiên cứu.
Tôi muốn để cho bạn biết lý do tại sao và làm thế nào (IMHO) họ sai.
Nghiên cứu này đã bỏ lỡ để xem xét an ninh, mật mã và minh bạch!
Vâng, tất cả âm thanh nghiên cứu này giống như đang tập trung vào mục tiêu tiếp thị nói rằng sản phẩm PhoneCrypt của họ là "siêu" sản phẩm tốt nhất của tất cả những người khác.
Bất kỳ chuyên gia bảo mật mà có thể có như là nhiệm vụ của "phần mềm đánh giá" để bảo vệ tính bảo mật của các cuộc gọi điện thoại sẽ đánh giá các đặc điểm khác nhau khác của sản phẩm và công nghệ.
Vâng, đó là sự thật rằng hầu hết các sản phẩm được mô tả bởi SecurStar trong trang web tiếp thị vô danh của họ được gọi là http://infosecurityguard.com có một số điểm yếu.
Nhưng sự yếu kém có liên quan khác và PhoneCrypt không may, giống như hầu hết các sản phẩm được mô tả bị này.
Chúng ta hãy xem lại những đặc điểm cần mật mã cơ bản và yêu cầu bảo mật (thực hành tốt nhất, nền tảng và những điều cơ bản!)
a - an ninh Trough tối tăm không hoạt động
Một nguyên tắc cơ bản trong mật mã cames từ năm 1883 bởi Auguste Kerckhoffs:
Trong một hệ thống mật mã được thiết kế tốt, chỉ có nhu cầu chính là bí mật; không nên có bí mật trong thuật toán.
Mật mã hiện đại đã chấp nhận nguyên tắc này, gọi bất cứ điều gì khác "bảo mật bằng cách tối tăm."
Đọc những gì mà Bruce Schneir, công nhận chuyên gia mật mã và trên thế giới nói về điều này Bất kỳ chuyên gia bảo mật sẽ cho bạn biết đó là sự thật. Ngay cả một sinh viên đại học mới làm quen sẽ cho bạn biết đó là sự thật. Đơn giản vì đó là cách duy nhất để làm mật mã.
Hầu hết các sản phẩm được mô tả trong tổng quan của SecurStar GmbH, bao gồm PhoneCrypt, không cung cấp chi tiết chính xác về các công nghệ mã hóa của họ.
Chi tiết cụ thể là:
- Đặc điểm kỹ thuật chi tiết của thuật toán mã hóa (đó là không chỉ nói "chúng tôi sử dụng AES ")
- Đặc điểm kỹ thuật chi tiết của giao thức mã hóa (đó là không chỉ nói "chúng tôi sử dụng Diffie Hellman ")
- Đặc điểm kỹ thuật chi tiết về đo lường sức mạnh mã hóa (đó là không chỉ nói rằng "chúng tôi có 10000000 bit kích thước khóa ")
Cung cấp chi tiết chính xác có nghĩa là có tài liệu phong phú với ý nghĩa lý luận và thực tiễn tài liệu bất kỳ cách duy nhất làm thế nào các thuật toán làm việc, làm thế nào giao thức làm việc với các đặc điểm kỹ thuật chính xác để tái tạo nó để thử nghiệm khả năng tương tác.
Nó có nghĩa là cộng đồng khoa học sẽ có thể chơi với công nghệ, kiểm toán nó, hack nó.
Nếu chúng ta không biết gì về hệ thống mã hóa chi tiết, làm thế nào chúng ta có thể biết đó là những điểm yếu và sức mạnh điểm?
Mike Fratto, biên tập viên trang web của mạng máy tính, thực hiện một bài viết tuyệt vời về "Nói KHÔNG với các hệ thống mã hóa độc quyền" .
Đại học Cerias Purdue cho biết điều này .
b - KHÔNG ngang hàng xem xét và KHÔNG Cryptography khoa học chấp nhận không hoạt động
Trong mọi trường hợp và trong bất kỳ điều kiện bạn mật mã, bạn cần phải chắc chắn rằng người khác sẽ kiểm tra, xem xét, phân tích, distruct và reconstract từ đầu công nghệ của bạn và cung cấp những thông tin miễn phí cho công chúng để thảo luận công khai.
Đó chính xác là như thế nào AES được sinh ra và như Viện tiêu chuẩn Hoa Kỳ làm cho mật không (với thi công với đánh giá ngang hàng công, nơi chỉ có chiến thắng được đánh giá tốt nhất).
Một cuộc thảo luận công cộng với một cuộc thi nào mà rất nhiều đánh giá của hầu hết các mật mã nổi tiếng và chuyên gia trên thế giới, tin tặc (với họ, tên và khuôn mặt của họ, không giống như Notrax) cung cấp đóng góp của họ, nói những gì họ nghĩ.
Đó gọi là "đánh giá ngang hàng".
Nếu một công nghệ mã hóa có một đánh giá ngang hàng mở rộng và quan trọng, phân phối trên thế giới đến từ các trường đại học, các công ty an ninh tư nhân, các tổ chức quân sự, tin tặc và tất cả đều đến từ các phần khác nhau của thế giới (từ Mỹ đến châu Âu vào Nga đến Nam Mỹ đến Trung Đông Trung Quốc) và tất cả đều đồng ý rằng một công nghệ cụ thể đó là an toàn ...
Vâng, trong trường hợp đó chúng ta có thể xem xét các công nghệ an toàn bởi vì rất nhiều của các đơn vị có uy tín và quyền lực đến từ rất nhiều nơi khác nhau trên thế giới đã công khai xem xét, phân tích và khẳng định rằng công nghệ đó là an toàn.
Làm thế nào một công ty tư nhân thậm chí có thể nghĩ rằng phát minh vào đó là sở hữu một giao thức truyền thông an toàn khi nó được khoa học nói rằng nó không thể làm điều đó trong một "con đường độc quyền và đóng cửa"?
IBM cho bạn biết rằng đánh giá ngang hàng nó yêu cầu cho mật mã .
Bruce Schneier cho bạn biết rằng "mật mã tốt biết rằng không có gì thay thế cho đánh giá ngang hàng sâu rộng và nhiều năm phân tích."
Philip Zimmermann sẽ nói với bạn hãy cẩn thận của dầu rắn mà câu chuyện là: ". Mỗi kỹ sư phần mềm tưởng tượng mình là một mật mã, điều này đã dẫn đến sự gia tăng của phần mềm mật mã thực sự xấu"
c - mật mã nguồn đóng không hoạt động
Như bạn đã biết bất kỳ loại "nghiêm trọng" và có "danh tiếng tốt" công nghệ mã hóa được thực hiện trong mã nguồn mở.
Thường có nhiều triển khai thực hiện các thuật toán mã hóa tương tự và giao thức mã hóa để có thể xem xét tất cả các cách thức hoạt động và xác nhận khả năng tương tác.
Giả sử dụng một tiêu chuẩn với các chi tiết chính xác và mở rộng về "làm thế nào nó hoạt động", đã được "phản biện chuyên gia" của cộng đồng khoa học NHƯNG đó đã được tái triển khai thực hiện từ đầu bởi một lập trình viên không quá thông minh và thực hiện nó rất nhiều lỗi .
Vâng, nếu việc thực hiện là "mã nguồn mở" này có nghĩa là nó có thể được xem xét, cải tiến, kiểm tra, kiểm toán và người sử dụng cuối cùng sẽ có trong certaintly riêng của nó có một phần của công nghệ "làm việc một cách an toàn".
Phát hành mã nguồn mở mật bộ công cụ Google
Mozilla phát hành mã nguồn mở công cụ mật
Bruce Schneier cho bạn biết rằng mật mã phải có mã nguồn mở .
Một điểm mật mã của xem
Tôi không muốn để thuyết phục bất cứ ai, nhưng chỉ cung cấp những sự kiện liên quan đến khoa học, liên quan đến mật mã và an ninh nhằm giảm thiểu tác động của thông tin sai lệch được thực hiện bởi các công ty an ninh mà chỉ đi là để bán cho bạn một cái gì đó và không làm điều gì đó làm cho thế giới một tốt hơn.
Khi bạn thực hiện an toàn sản phẩm, nếu không được thực hiện sau khi người tiếp cận thích hợp có thể chết.
Đó là một cái gì đó hoàn toàn vô trách nhiệm không sử dụng thực hành tốt nhất để làm công cụ mật.
Tóm lại chúng ta hãy xem xét infosecurityguard.com từ một điểm bảo mật tu tập tốt nhất của xem.
| Tên sản phẩm | An ninh Trough tối tăm | Đánh giá đồng hồ | Mã nguồn mở | Thỏa hiệp tại địa phương? |
| Caspertec | Tối tăm | Không có đánh giá nào | Đóng | Có |
| Cellcrypt | Tối tăm
| Không có đánh giá nào
| Đóng
| Có |
| Cryptophone | Minh bạch | Công chúng xem xét hạn chế | Công cộng | Có |
| Vàng-Lock | Tối tăm
| Không có đánh giá nào
| Đóng
| Có |
| Illix | Tối tăm
| Không có đánh giá nào
| Đóng
| Có |
| No1.BC | Tối tăm | Không có đánh giá nào
| Đóng
| Có |
| PhoneCrypt | Tối tăm
| Không có đánh giá nào
| Đóng
| Có |
| Rode & Swarz | Tối tăm
| Không có đánh giá nào
| Đóng
| Có |
| An toàn-Voice | Tối tăm
| Không có đánh giá nào
| Đóng
| Có |
| SecuSmart | Tối tăm
| Không có đánh giá nào
| Đóng
| Có |
| SecVoice | Tối tăm
| Không có đánh giá nào
| Đóng
| Có |
| SegureGSM | Tối tăm
| Không có đánh giá nào
| Đóng
| Có |
| SnapCell | Tối tăm
| Không có đánh giá nào
| Đóng
| Có |
| Tripleton | Tối tăm
| Không có đánh giá nào
| Đóng
| Có |
| Zfone | Minh bạch | Công chúng xem xét
| Mở | Có |
| ZRTP | Minh bạch | Công chúng xem xét
| Mở | Có |
* Màu xanh lá cây có nghĩa là nó phù hợp với yêu cầu cơ bản cho một hệ thống an toàn mật mã
* Red / bị hỏng có nghĩa là nó không phù hợp với yêu cầu cơ bản cho một hệ thống an toàn mật mã
Đó là phân tích của tôi bằng cách sử dụng một phương pháp đánh giá dựa trên các thông số mật mã và an ninh không bao gồm bối cảnh địa phương thỏa hiệp mà tôi xem xét vô dụng.
Tuy nhiên, để được rõ ràng, đó là những chỉ số cơ bản được sử dụng khi xem xét một sản phẩm mã hóa giọng nói (để tránh là trong một tình huống xuất hiện như tôi đang thúc đẩy các sản phẩm khác). Vì vậy, nó có thể hoàn toàn có thể là một sản phẩm với mật tốt (minh bạch, phản biện chuyên gia và mã nguồn mở) là một sản phẩm hoàn toàn không an toàn vì lý do nào đó (nặng bằng văn bản, không thể sử dụng làm người dùng không sử dụng nó và sử dụng các cuộc gọi dạng cleartext, bị tổn hại về mặt chính trị, vv , vv).
Tôi nghĩ rằng tôi sẽ chuẩn bị một tiêu chí rộng hơn cho công nghệ mật bằng giọng nói và các sản phẩm mật bằng giọng nói, vì vậy nó sẽ dễ dàng hơn nhiều và nhiều hơn thực tế để có một bộ minh bạch đầy đủ các tiêu chí để đánh giá nó.
Nhưng những người này thật sự là cơ sở an ninh để được xuất hiện trong một hệ thống mã hóa giọng nói tốt!
Đọc một số slide quá khứ hữu ích về giao thức bảo mật được sử dụng trong các hệ thống mã hóa giọng nói (phần 2).
Bây giờ đọc dưới đây một số nghi ngờ thực tế hơn về nghiên cứu của họ.
Khái niệm an ninh của tổng quan là sai lầm: bất kỳ thiết bị tấn công có thể được chặn luôn!
Tôi nghĩ rằng những kẻ hoàn toàn bị mất điểm: bất kỳ loại phần mềm chạy trên Hệ điều hành bị tổn thương có thể bị chặn
Bây giờ họ đang chỉ ra rằng cũng Zfone từ Philip Zimmermann được chia (một phần mềm máy tính), chỉ vì họ cài đặt một Trojan trên máy tính giống như trong điện thoại di động?
Bất kỳ phần mềm bảo mật dựa trên thực tế là hệ thống điều hành cơ bản là bằng cách nào đó đáng tin cậy và bảo vệ sự toàn vẹn của môi trường nơi mà các phần mềm chạy.
- Nếu bạn có một hệ thống mã hóa đĩa, nhưng nếu máy tính của bạn bị nhiễm bởi một Trojan, máy tính đã bị xâm nhập.
- Nếu bạn có một hệ thống mã hóa giọng nói, nhưng máy tính của bạn bị nhiễm bởi một Trojan, máy tính đã bị xâm nhập.
- Nếu bạn có một hệ thống mã hóa giọng nói, nhưng điện thoại di động của bạn bị nhiễm bởi một Trojan, điện thoại di động đã được thỏa hiệp.
Không có vấn đề mà phần mềm bạn đang chạy, trong trường hợp này sự an toàn của môi trường hoạt động của bạn bị tổn thương và bằng cách này hay cách khác tất cả các tính toàn vẹn thông tin và bảo mật bị tổn thương.
Giống như tôi đã giải thích ở trên làm thế nào để ngăn chặn PhoneCrypt.
Những điều duy nhất có thể bảo vệ bạn khỏi mối đe dọa này đang chạy trong một hệ điều hành khép kín với khả năng tin tưởng máy tính, thực hiện nó đúng cách.
Để chắc chắn về bất kỳ "mở cửa" hệ điều hành như vậy chúng tôi Windows, Windows Mobile, Linux, iPhone hoặc Android không có cơ hội để thực sự bảo vệ một phần mềm.
Trên hệ điều hành khó khăn như hệ điều hành Symbian hoặc RimOS có thể chạy các phần mềm có thể được bảo vệ (ít nhất là một phần)
Đó là lý do mà các khái niệm bảo mật mà kẻ đang lợi dụng để thực hiện chiến dịch tiếp thị của họ không có đầu mối.
Đó là chỉ vì họ kiểm soát môi trường, họ biết Flexispy phần mềm và để họ điều chỉnh phần mềm của họ không phải là interceptable khi Flexispy được cài đặt.
If you develop a trojan with the other techniques i described above you will 100% intercept PhoneCrypt.
On that subject also Dustin Tamme l, Security researcher of BreakPoint Systems , pointed on on VoIP Security Alliance mailing lists that the security analysis is based on wrong concepts .
The PhoneCrypt can be intercepted: it's just that they don't wanted to tell you!
PhoneCrypt can be intercepted with “on device spyware”.
Why?
Because Windows Mobile is an unsecure operating environment and PhoneCrypt runs on Windows Mobile.
Windows Mobile does not use Trusted Computing and so any software can do anything.
The platform choice for a secure telephony system is important.
How?
I quickly discussed with some knowledgeable windows mobile hackers about 2 different way to intercept PhoneCrypt with an on-device spyware (given the unsecure Windows Mobile Platform).
a) Inject a malicious DLL into the software and intercept from within the Phonecrypt itself.
In Windows Mobile any software can be subject to DLL code injection.
What an attacker can do is to inject into the PhoneCrypt software (or any software running on the phone), hooking the Audio related functions acting as a “function proxy” between the PhoneCrypt and the real API to record/play audio.
It's a matter of “hooking” only 2 functions, the one that record and the one that play audio.
That's simple, any programmer will tell you to do so.
They simply decided that's better not to make any notice about this.
b) Create a new audio driver that simply act as a proxy to the real one and intercept PhoneCrypt
In Windows Mobile you can create new Audio Drivers and new Audio Filters.
What an attacker can do is to load a new audio driver that does not do anything else than passing the real audio driver function TO/FROM the realone. In the meantime intercept everything recorded and everything played :-)
They simply decided that's better not to make any notice to that way of intercepting phone call on PhoneCrypt .
Those are just 2 quick ideas, more can be probably done.
Sounds much like a marketing activity – Not a security research.
I have to tell you. I analyzed the issue very carefully and on most aspects. All this things about the voice encryption analisys sounds to me like a marketing campaign of SecurStar GmbH to sell PhoneCrypt and gain reputation. A well articulated and well prepared campaign to attract the media saying, in an indirect way cheating the media, that PhoneCrypt is the only one secure. You see the press releases of SecurStar and of the “Security researcher Notrax telling that PhoneCrypt is the only secure product” . SecurStar PhoneCrypt is the only product the anonymous hacker “Notrax” consider secure of the “software solutions”.
The only “software version” in competition with:
–
SnapCell – No one can buy it. A security company that does not even had anymore a webpage. The company does not almost exist anymore.
Does it sounds strange that only those other products are considered secure along with PhoneCrypt .
Also… let's check the kind of multimedia content in the different reviews available of Gold-Lock, Cellcrypt and Phonecrypt in order to understand how much the marketing guys pressed to make the PhoneCrypt review the most attractive:
| Application | Screenshots of application | Video with demonstration of interception | Network demonstration |
| PhoneCrypt | 5 | 0 | 1 | |
| CellCrypt | 0 | 2 | 0 |
| GoldLock | 1 | 2 | 0 |
It's clear that PhoneCrypt is reviewed showing more features explicitly shown and major security features product description than the other.
Too much difference between them, should we suspect it's a marketing tips?
But again other strange things analyzing the way it was done…
If it was “an impartial and neutral review” we should see good and bad things on all the products right?
Ok, see the table below regarding the opinion indicated in each paragraph of the different reviews available of Gold-Lock, CellCrypt and Phonecrypt (are the only available) to see if are positive or negative.
| Application | Number of paragraphs | Positive paragraphs | Negative paragraphs | Neutral paragraphs |
| PhoneCrypt | 9 | 9 | 0 | 0 |
| CellCrypt | 12 | 0 | 10 | 2 |
| GoldLock | 9 | 0 | 8 | 1 |
Detailed paragraphs opinion analysis of Phonecrypt | Paragraph of review | Opinion expressed |
| From their website | Positive Marketing feedback |
| Apple iPhone | Positive Marketing feedback |
| Disk Encryption or voice Encryption | Positive Marketing feedback |
| PBX Compatibility? Really | Positive Marketing feedback |
| Cracking <10. Not. | Positive Marketing feedback |
| Good thinking! | Positive Marketing feedback |
| A little network action | Positive Marketing feedback |
| UI | Positive Marketing feedback |
| Good Taste | Positive Marketing feedback |
| Paragraph of review | Opinion expressed |
| From their website | Negative Marketing feedback |
| Licensed by The israeli Ministry of Denfese | Negative Marketing feedback |
| Real Company or Part Time hobby | Negative Marketing feedback |
| 16.000 bit authentication | Negative Marketing feedback |
| DH 256 | Negative Marketing feedback |
| Downad & Installation! | Neutral Marketing feedback |
| Cracking it <10 | Negative Marketing feedback |
| Marketing BS101 | Negative Marketing feedback |
| Cool video stuff | Negative Marketing feedback |
Detailed paragraphs opinion analysis of
CellCrypt | Paragraph of review | Opinion expressed |
| From their website | Neutral Marketing feedback |
| A little background about cellcrypt | Negative Marketing feedback |
| Master of Marketing | Negative Marketing feedback |
| Secure Voice calling | Negative Marketing feedback |
| Who's buying their wares | Negative Marketing feedback |
| Downad & Installation! | Neutral Marketing feedback |
| My Demo environment | Negative Marketing feedback |
| Did they forget some code | Negative Marketing feedback |
| Cracking it <5 | Negative Marketing feedback |
| Room Monitoring w/ FlexiSpy | Negative Marketing feedback |
| Cellcrypt unique features.. | Negative Marketing feedback |
| Plain old interception | Negative Marketing feedback |
| The Haters out there | Negative Marketing feedback |
Now it's clear that from their point of view on PhoneCrypt there is no single bad point while the other are always described in a negative way.
No single good point. Strange?
All those considerations along with the next ones really let me think that's very probably a marketing review and not an independent review.
Other similar marketing attempt from SecurStar
SecurStar GmbH is known to have used in past marketing activity leveraging this kind of “technical speculations”, abusing of partial information and fake unconfirmed hacking stuff to make marketing/media coverage.
Imho a rare mix of unfairness in leveraging the difficult for people to really understand the complexity of security and cryptography.
They already used in past Marketing activities like the one about creating a trojan for Windows Mobile and saying that their software is secure from the trojan that they wrote.
Read about their marketing tricks of 2007
They developed a Trojan (RexSpy) for Windows Mobile, made a demonstration capability of the trojan and later on told that they included “Anti-Trojan” capability to their PhoneCrypt software.They never released informations on that trojan, not even proved that it exists.
The researcher Collin Mulliner told at that time that it sounds like a marketing tips (also because he was not able to get from SecurStar CEO Hafner any information about that trojan):
“This makes you wonder if this is just a marketing thing.”
Now, let's try to make some logical reassignment.
It's part of the way they do marketing, an very unfriendly and unpolite approach with customers, journalist and users trying to provide wrong security concepts for a market advantage. Being sure that who read don't have all the skills to do in depth security evaluation and find the truth behind their marketing trips.
Who is the hacker notrax?
It sounds like a camouflage of a fake identity required to have an “independent hacker” that make an “independent review” that is more strong on reputation building.
Read about his bio:
¾ Human, ¼ Android (Well that would be cool at least.) I am just an enthusiast of pretty much anything that talks binary and if it has a RS232 port even better. During the day I masquerade as an engineer working on some pretty cool projects at times, but mostly I do the fun stuff at night. I have been thinking of starting an official blog for about 4.5 years to share some of the things I come across, can't figure out, or just cross my mind. Due to my day job and my nighttime meddling, I will update this when I can. I hope some find it useful, if you don't, well you don't.
There are no information about this guy on google.
Almost any hacker that get public have articles online, post in mailing archive and/or forum or some result of their activity.
For notrax, nothing is available.
Additionally let's look at the domain…
The domain infosecurityguard.com is privacy protected by domainsbyproxy to prevent understanding who is the owner.
The domain has been created 2 months ago on 01-Dec-09 on godaddy.com registrar.
What's also very interesting to notice that this “unknown hacker with no trace on google about him that appeared on December 2009 on the net” is referred on SecurStar GmbH Press Release as a “An IT security expert”.
Maybe they “know personally” who's this anonymous notrax? :)
Am i following my own conspiracy thinking or maybe there's some reasonable doubt that everything was arrange in that funny way just for a marketing activity?
Social consideration
If you are a security company you job have also a social aspects, you should also work to make the world a better place (sure to make business but “not being evil”). You cannot cheat the skills of the end users in evaluating security making fake misleading information.
You should do awareness on end users, to make them more conscious of security issues, giving them the tools to understand and decide themselves.
Hope you had fun reading this article and you made your own consideration about this.
Fabio Pietrosanti (naif)
ps Those are my personal professional opinion, let's speak about technology and security, not marketing.
pps i am not that smart in web writing, so sorry for how the text is formatted and how the flow of the article is unstructured!
