This article want to clarify and better explain the finding at infosecurityguard.com regaring voice encryption product evaluation.
本文要告訴你一個不同的角度來看以外infosecurityguard.com，並解釋這是從安全的角度來看，理性與廣泛的交代。
Today i read news saying: “PhoneCrypt: Basic Vulnerability Found in 12 out of 15 Voice Encryption Products and went to read the website infosecurityguard .
Initially it appeared to my like a great research activity but then i started reading deeply the read about it.I found that it's not properly a security research but there is are concrete elements that's a marketing campaign well done in order to attract public media and publicize a product.
Imho they was able to cheat journalists and users because the marketing campaign was absolutely well done not to be discovered on 1st read attempt. I personally considered it like a valid one on 1st ready (they cheated me initially!).
但是，如果你去深入...你就會明白：
-這是一個偽裝Securstar公司聯繫安排營銷活動，而不是一個獨立的安全研究
- they consider a only security context where local device has been compromised (no software can be secured in that case, like saying SSL can be compromised if you have a trojan!)
- they do not consider any basic security and cryptographic security criteria
然而，很多重要網站報導：
這篇文章是相當長的，如果你讀它，你會更好地理解周圍發生了什麼事情的infosecurityguard.com研究和研究結果。
I want to to tell you why and how (imho) they are wrong.
研究錯過考慮安全性，加密和透明度！
那麼，這一切聲音很像說，其有PhoneCrypt產品是所有其他的“超級”的產品最好的營銷目標專注於研究。
Any security expert that would have as duty the “software evaluation” in order to protect the confidentiality of phone calls will evaluate other different characteristics of the product and the technology.
Yes, it's true that most of the product described by SecurStar in their anonymous marketing website called http://infosecurityguard.com have some weakness.
但相關的弱點是他人和有PhoneCrypt的不幸的是，大部分所描述的產品一樣患上這種。
讓我們回顧一下哪些特點是需要基本的加密技術和安全要求（最佳實踐的基礎和基本！）
- 安全海槽朦朧不起作用
加密卡梅斯從1883年由奧古斯特Kerckhoffs的一個基本原則：
In a well-designed cryptographic system, only the key needs to be secret; there should be no secrecy in the algorithm.
現代密碼學家已經接受了這一原則，要求任何東西“含糊的安全性。”
Read what Bruce Schneir, recognized expert and cryptographer in the world say
about this Any security expert will tell you that's true. 即使是新手的大學生會告訴你，這是事實。 很簡單，因為這是唯一的方式做加密。
幾乎所有的產品描述在審查Securstar公司聯繫，包括有PhoneCrypt，不提供準確詳細了解他們的加密技術。
Precise details are:
- （這不只是說：“我們使用AES “加密算法）的詳細規範
- Detailed specification of cryptographic protocol (that's not just saying “we use Diffie Hellman ” )
- 測量加密實力（這不只是說：“我們有10000000位密鑰大小 “）的詳細規範
提供精確的細節，意味著有大量的文檔記錄的算法是如何工作的，任何單一的方式協議如何工作的精確規格複製它的互操作性測試的理論和實際意義。
It means that scientific community should be able to play with the technology, audit it, hack it.
If we don't know anything about the cryptographic system in details, how can we know which are the weakness and strength points?
邁克·弗拉托，網站編輯，網絡計算，做出了很大的文章“說不專有加密系統” 。
CERIAS普渡大學講這個 。
b – NON peer reviewed and NON scientifically approved Cryptography does not work
In any case and in any condition you do cryptography you need to be sure that someone else will check, review, analyze, distruct and reconstract from scratch your technology and provide those information free to the public for open discussion.
這究竟是如何AES出生，像美國國家標準學會做加密 （公共同行評審，只有最好的評估雙贏公益大賽）。
公共討論與公共的比賽，其中有很多在世界上最有名的密碼學家和專家審查，黑客（他們的名字，姓氏和臉，不喜歡Notrax）提供他們的貢獻，告訴他們認為。
這就是所謂的“同行評審”。
如果加密技術的擴展和重要的同行評審，分佈在世界上來自大學，私營保安公司，軍事機構，黑客和所有來自不同世界的一部分（從美國到歐洲的俄羅斯，南美，中東中國）和所有的人都同意，這是一種具體的技術安全...
Well, in that case we can consider the technology secure because a lot of entities with good reputation and authority coming from a lot of different place in the world have publicly reviewed, analyzed and confirmed that a technology it's secure.
How a private company can even think to invent on it's own a secure communication protocol when it's scientifically stated that it's not possible to do it in a “proprietary and closed way” ?
IBM tell you that peer review it's required for cryptography .
布魯斯告訴你說：“好密碼學家廣泛的同行評審和多年的分析知道，沒有什麼替代品。”
Philip Zimmermann will tell you to beware of Snake Oil where the story is: “Every software engineer fancies himself a cryptographer, which has led to the proliferation of really bad crypto software.”
C - 閉源加密不起作用
正如你所知道的任何一種“嚴重”和“良好的信譽”的加密技術來實現開源。
There are usually multiple implementation of the same cryptographic algorithm and cryptographic protocol to be able to review all the way it works and certify the interoperability.
Supposing to use a standard with precise and extended details on “how it works”, that has been “peer reviewed” by the scientific community BUT that has been re-implemented from scratch by a not so smart programmer and the implementation it's plenty of bugs.
嗯，如果實現是“開源”，這意味著它可以檢討，改進，測試，審核和最終用戶將certaintly有它自己的一項技術，“安全工作”。
谷歌發布的開源加密工具包
Mozilla發行的開源加密工具包
Bruce Schneier tell you that Cryptography must be opensource .
另一種加密的角度來看
我不想說服任何人，但只是提供有關科學的事實，為了減少誤傳的影響，通過保安公司，其唯一走的是向你推銷東西，而不是做一些事情，讓未來世界相關的加密和安全一個更好的。
當你這樣做安全的產品，如果他們不這樣做正確的做法，人們可能會死。
這絕對是不負責任的東西，不要用最好的做法是做加密的東西。
To summarize let's review the infosecurityguard.com review from a security best pratice point of view.
| 產品名稱 | Security Trough Obscurity | 公共同行評審 | 開源 | Compromise locally? |
| Caspertec | Obscurity | No public review | Closed | 是 |
| CellCrypt | Obscurity
| No public review
| Closed
| 是 |
| Cryptophone | 透明度 | Limited public review | 公眾 | 是 |
| Gold-Lock | Obscurity
| No public review
| Closed
| 是 |
| Illix | Obscurity
| No public review
| Closed
| 是 |
| No1.BC | Obscurity | No public review
| Closed
| 是 |
| PhoneCrypt | Obscurity
| No public review
| Closed
| 是 |
| 騎著Swarz的 | Obscurity
| No public review
| Closed
| 是 |
| 安全語音 | Obscurity
| No public review
| Closed
| 是 |
| SecuSmart | Obscurity
| No public review
| Closed
| 是 |
| SecVoice | Obscurity
| No public review
| Closed
| 是 |
| SegureGSM | Obscurity
| No public review
| Closed
| 是 |
| SnapCell | Obscurity
| No public review
| Closed
| 是 |
| Tripleton | Obscurity
| No public review
| Closed
| 是 |
| Zfone軟件 | 透明度 | 公開評審
| Open | 是 |
| ZRTP | 透明度 | 公開評審
| Open | 是 |
*綠色意味著它匹配的加密安全系統的基本要求
* Red / Broken means that it does not match basic requirement for a cryptographic secure system
這是我的分析評價方法的基礎上加密和安全參數不包括本地妥協的情況下，我認為沒用使用。
However, to be clear, those are only basic parameters to be used when considering a voice encryption product (just to avoid being in a situation that appears like i am promoting other products). 因此，它可能完全有可能的產品具有良好的加密（ 透明度，同行評審和開源的）絕對是一個安全的產品，因為無論出於何種原因（寫的不好，無法使用，造成用戶不使用它，並使用明文通話，政治妥協等等）。
I think i will prepare a broader criteria for voice crypto technologies and voice crypto products, so it would be much easier and much practical to have a full transparent set of criterias to evaluate it.
但這些都是真的要匹配一個良好的語音加密系統安全的基礎！
Read some useful past slides on security protocols used in voice encryption systems (2nd part).
現在，閱讀下面的一些疑問，他們的研究更實用。
The security concept of the review is misleading: any hacked device can be always intercepted!
I think that the guys completely missed the point: ANY KIND OF SOFTWARE RUNNING ON A COMPROMISED OPERATING SYSTEM CAN BE INTERCEPTED
Now they are pointing out that also Zfone from Philip Zimmermann is broken (a pc software), just because they install a trojan on a PC like in a mobile phone?
Any security software rely on the fact that the underlying operating system is somehow trusted and preserve the integrity of the environment where the software run.
- 如果你有一個磁盤加密系統，但如果你的電腦感染了木馬，電腦已經受到損害。
- 如果你有一個語音加密系統，但你的電腦感染了木馬，電腦已經受到損害。
- 如果你有一個語音加密系統，但您的手機感染了木馬，手機已經大打折扣。
不管你正在運行的軟件，在這種情況下，您的操作環境的安全性被破壞，並以某種方式或其他方式的所有信息完整性和機密被洩露。
像我上面解釋如何截取有PhoneCrypt。
The only things that can protect you from this threat is running in a closed operating system with Trust Computing capability, implementing it properly.
為確保對任何“開放”的操作系統如我們的Windows的Windows Mobile，Linux，iPhone或Android的，有沒有機會真正保護軟件。
在困難的經營系統，如Symbian操作系統或RIMOS的可能正在運行的軟件可以保護（至少部分地）
這傢伙正在利用他們的營銷活動進行安全概念的理由，沒有任何線索。
It's just because they control the environment, they know Flexispy software and so they adjusted their software not to be interceptable when Flexispy is installed.
如果你開發了木馬與其他技術上面我描述你將100％攔截有PhoneCrypt。
在這個問題上也達斯汀潭美卡升， 斷點系統的安全研究人員指出，VoIP安全聯盟的郵件列表上的安全分析是基於錯誤的概念 。
The PhoneCrypt can be intercepted: it's just that they don't wanted to tell you!
有PhoneCrypt可以截獲“間諜設備”。
為什麼呢？
因為Windows Mobile的是一個不安全的工作環境和有PhoneCrypt運行在Windows Mobile。
不使用Windows Mobile的可信計算的，所以任何軟件可以做任何事情。
一個安全的電話系統平台的選擇是很重要的。
How?
我趕緊討論windows mobile的一些知識淵博的黑客約2個不同的方式攔截有PhoneCrypt的不安全的Windows Mobile平台的設備上的間諜軟件（）。
一）惡意DLL注入到軟件，攔截從內有PhoneCrypt本身。
In Windows Mobile any software can be subject to DLL code injection.
攻擊者可以做的是，注入的的有PhoneCrypt軟件（或在手機上運行的任何軟件），音頻相關功能有PhoneCrypt和真正的API錄製/播放音頻“功能之間的代理”作為掛鉤。
It's a matter of “hooking” only 2 functions, the one that record and the one that play audio.
這很簡單，任何程序員會告訴你這樣做。
他們只是決定，最好不要做任何關於這個通知。
b）建立一個新的音頻驅動程序，簡單地充當代理的真實和攔截有PhoneCrypt
在Windows Mobile中，您可以創建新的音頻驅動程序和新的音頻過濾器。
What an attacker can do is to load a new audio driver that does not do anything else than passing the real audio driver function TO/FROM the realone. In the meantime intercept everything recorded and everything played :-)
The very same concept apply to Windows Mobile.
檢查書“移動惡意軟件攻擊和防禦”鏈接解釋技術發揮這些技術。 他們乾脆決定，最好不要作出任何通知，有PhoneCrypt電話攔截方式。
Those are just 2 quick ideas, more can be probably done.
聽起來很像一個營銷活動 - 不是一個安全的研究。
我要告訴你。 我非常仔細地分析問題，在大多數方面。 這一切的東西話音加密analisys的聲音對我來說像一個營銷競選的Securstar公司聯繫到出售有PhoneCrypt的贏得口碑。 來吸引媒體說，以間接的方式，欺騙媒體，有PhoneCrypt是唯一一個安全良好的闡述和充分的準備運動。 看到新聞稿Securstar公司的“安全研究員告訴，有PhoneCrypt是唯一的安全產品”的Notrax 。 SecurStar PhoneCrypt is the only product the anonymous hacker “Notrax” consider secure of the “software solutions”.
The only “software version” in competition with:
- SnapCell -沒有人可以買它。 保安公司甚至沒有過了一個網頁。 該公司幾乎不存在了。 這聽起來很奇怪，只有那些其他的產品被認為是安全的以及有PhoneCrypt。
Also… let's check the kind of multimedia content in the different reviews available of Gold-Lock, Cellcrypt and Phonecrypt in order to understand how much the marketing guys pressed to make the PhoneCrypt review the most attractive:
| 應用 | 應用截圖 | 與示範截取視頻 | 網絡演示 |
| PhoneCrypt | 5 | 0 | 1 | |
| CellCrypt | 0 | 2 | 0 |
| GoldLock | 1 | 2 | 0 |
It's clear that PhoneCrypt is reviewed showing more features explicitly shown and major security features product description than the other.
Too much difference between them, should we suspect it's a marketing tips?
但其他奇怪的事情再次有人做過分析的方式...
If it was “an impartial and neutral review” we should see good and bad things on all the products right?
好吧，請參閱下面的表格在每個段落黃金鎖，CellCrypt和有PhoneCrypt的的不同的評論表示認為（是唯一可用的），看是否是正面或負面的。
| 應用 | 段數 | 正段落 | 負段落 | 中性段落 |
| PhoneCrypt | 9 | 9 | 0 | 0 |
| CellCrypt | 12 | 0 | 10 | 2 |
| GoldLock | 9 | 0 | 8 | 1 |
| 段審查 | Opinion expressed |
| From their website | 積極的市場反饋 |
| 蘋果iPhone | 積極的市場反饋 |
| 磁盤加密或語音加密 | 積極的市場反饋 |
| PBX的兼容性？ 真 | 積極的市場反饋 |
| 裂解<10。 Not. | 積極的市場反饋 |
| 良好的思維！ | 積極的市場反饋 |
| 一個小的網絡行動 | 積極的市場反饋 |
| UI | 積極的市場反饋 |
| 好味道 | 積極的市場反饋 |
| 段審查 | Opinion expressed |
| From their website | Negative Marketing feedback |
| 由以色列外交部Denfese許可 | Negative Marketing feedback |
| Real Company or Part Time hobby | Negative Marketing feedback |
| 16.000位認證 | Negative Marketing feedback |
| DH 256 | Negative Marketing feedback |
| DOWNAD與安裝！ | Neutral Marketing feedback |
| Cracking it <10 | Negative Marketing feedback |
| 營銷BS101 | Negative Marketing feedback |
| Cool video stuff | Negative Marketing feedback |
Detailed paragraphs opinion analysis of
CellCrypt | 段審查 | Opinion expressed |
| From their website | Neutral Marketing feedback |
| 一點背景有關cellcrypt | Negative Marketing feedback |
| 市場營銷碩士 | Negative Marketing feedback |
| 安全的語音通話 | Negative Marketing feedback |
| 誰買他們的商品 | Negative Marketing feedback |
| DOWNAD與安裝！ | Neutral Marketing feedback |
| My Demo environment | Negative Marketing feedback |
| 難道他們忘記了一些代碼 | Negative Marketing feedback |
| 開裂<5 | Negative Marketing feedback |
| 機房監控/ FlexiSpy為 | Negative Marketing feedback |
| Cellcrypt unique features.. | Negative Marketing feedback |
| 平原老攔截 | Negative Marketing feedback |
| The Haters out there | Negative Marketing feedback |
現在很明顯，從他們的角度來看上有PhoneCrypt的沒有一個單一的點不好而其他總是以消極的方式描述。
沒有一個單一的好點。 奇怪嗎？
所有這些考慮，隨著未來的，真的讓我覺得這是非常可能的營銷檢討，而不是一個獨立的審查。
其他類似的營銷嘗試從Securstar公司
Securstar公司公司被稱為在過去的營銷活動，利用這種“技術炒買炒賣”的部分信息和未經證實的假的東西，使黑客營銷/媒體報導，濫用。
恕我直言，一個罕見的混合利用人們很難真正理解的複雜性，安全性和加密中的不公平。
他們已經在過去的營銷活動像一個有關創建Windows Mobile和說，他們的軟件是安全的，他們寫的木馬木馬。
了解他們的營銷技巧2007
他們開發了一個針對Windows Mobile的的木馬（RexSpy），作出了示範能力的木馬，後來就包括“反木馬”能力他們有PhoneCrypt software.They的告訴記者，他們從來沒有公佈的信息，木馬，甚至沒有證明它的存在。
Mulliner的研究員科林告訴在這個時候， 它聽起來像一個營銷技巧 （也因為他無法從Securstar公司CEO哈夫納，木馬的任何信息）：
“這使得你不知道，如果這僅僅是一個營銷的事情。”
現在，讓我們試著做一些邏輯的重新分配。
這是他們做營銷，一個非常不友好unpolite的方式與客戶，記者試圖提供錯誤的安全概念，為市場優勢和用戶的方式的一部分。 Being sure that who read don't have all the skills to do in depth security evaluation and find the truth behind their marketing trips.
Who is the hacker notrax?
這聽起來像一個偽裝的假身份，需要有一個“獨立的黑客”，使“獨立評論”上建立聲譽越強。
讀他的生物：
¾人力，¼的Android（當然，這將是至少涼爽。）我只是一個愛好者會談二進制相當多的東西，如果它有一個RS232端口，甚至更好。 白天我偽裝成一名工程師的工作，有時一些很酷的項目，但主要是我做的有趣的東西，晚上。 I have been thinking of starting an official blog for about 4.5 years to share some of the things I come across, can't figure out, or just cross my mind. Due to my day job and my nighttime meddling, I will update this when I can. I hope some find it useful, if you don't, well you don't.
有沒有關於這傢伙在谷歌。
幾乎得到公眾的任何黑客文章在線，後在郵件歸檔和/或論壇或一些他們的活動的結果。
For notrax, nothing is available.
Additionally let's look at the domain…
域infosecurityguard.com隱私保護domainsbyproxy的防止理解的所有者是誰。
域已創建2個月前的12月01日09 godaddy.com過戶登記。
What's also very interesting to notice that this “unknown hacker with no trace on google about him that appeared on December 2009 on the net” is referred on SecurStar GmbH Press Release as a “An IT security expert”.
也許他們“認識的人”誰是這個匿名notrax的嗎？ :)
我按照我自己的陰謀思維或者有一些合理的懷疑，一切都只是一個營銷活動，有趣的方式安排？
Social consideration
如果你是一個安全公司，你工作也有社會方面的，你也應該努力使世界變得更美好的地方（務必使業務，但“不被邪惡”）。 你不能欺騙最終用戶的技能，在評估安全制假誤導性的信息。
你應該這樣做對最終用戶的意識，使他們更加意識到安全問題，給他們的工具來了解，並自行決定。
希望你有樂趣，看完這篇文章，你做你自己的思考。
：法比奧Pietrosanti（納伊夫）
ps Those are my personal professional opinion, let's speak about technology and security, not marketing.
PPS我不是智能網絡寫作，太對不起如何格式化文本以及如何流動的文章是非結構化的！
