بایگانی ماهیانه: آذر ۱۳۹۶

اداره سایت هک شده بیت کوین توسط مدیر سابق یک بات نت

در حالی که ارزهای رمزینه، رمزینه پول ها یا Cryptocurrencies موضوع بحث های داغ این روزها هستند، ریسک های سرمایه گذاری روی آنها هم از جنبه اقتصادی و هم از جنبه فناورانه مورد توجه ویژه قرار گرفته است. یکی از سایتهایی که حدود ۵۲ میلیون دلار بیت کوین در آن ناپدید شده، NiceHash است که از کشور اسلوونی آمده و به گفته Brian Krebs، مدیر فنی سایت مذکور، هکری است که قبلا به جرم مدیریت بات نت Butterfly و فروم مجرمانه Darkode چند سالی در زندان بوده است.

اشتراک گذاری

درب پشتی در طراحی الگوریتم های رمزنگاری

یکی از ارائه های جذاب در کنفرانس بلک هت اروپا ۲۰۱۷ ، به موضوع بنیادین اعتماد به الگوریتم های رمز می پردازد.  الگوریتم های رمز، زیربنای بخش عمده ای از آنچه به عنوان امنیت داده و امنیت ارتباطات می شناسیم را تشکیل داده اند. وقتی از RSA، AES یا SHA استفاده می کنیم، مادامی که ناامن بودن آنها اثبات و رسماً تایید نشده، آنها را به عنوان اجزای کاملاً مورد اعتماد از یک راه حل امنیتی در نظر می گیریم. بخش بزرگی از این اعتماد، حاصل اثبات ریاضی خواص امنیتی آنها و تایید آن در مجامع معتبر علمی رمزنگاری، و بخشی دیگر ناشی از تایید نهادهای اعتباربخشی  و استانداردسازی مثل ایزو، FIPS ، NIST و غیره است.

رمزنگاری مبتنی بر روابط دقیق ریاضی و خواصی است که امکان می دهد برای ایجاد امنیت به آن اعتماد و اتکا شود. بنابراین انتظار می رود در یک الگوریتم رمز استاندارد، خواص و روابط خاصی از لحاظ ریاضی در تک تک اجزا و نیز بین اجزای الگوریتم برقرار باشد.  حال اگر طراح الگوریتم عمداً برخی از خواص اجزاء یا روابط بین آنها را تضعیف کند، طبیعتاً الگوریتم حاصل نمی تواند حداقل امنیت مورد انتظار را تامین کند. این نکته ای است که در این ارائه با عنوان قرار دادن درب پشتی در طراحی الگوریتم رمز به آن پرداخته شده است.  نمونه مشابه این موضوع،  توافق افشا شده بین RSA و NSA برای استفاده از یک تولید کننده اعداد شبه تصادفی ضعیف در ابزارهای رمزنگاری شرکت RSA است که جنجال زیادی ایجاد کرد، همچنین عدم تایید ایزو برای دو الگوریتم طراحی شده توسط NSA که گفته شد ناشی از سابقه این نهاد در قرار دادن درب های پشتی در سیستم های امنیتی بود.

در این ارائه، یک الگوریتم مشابه AES با نام BEA-1 پیشنهاد شده که در مرحله طراحی، s-box های مورد نظر طراح که دارای نقطه ضعف هستند  در بعضی بخش های آن قرار می گیرد. نتیجه، الگوریتمی متقارن است که با وجود پشتیبانی از کلید رمز ۱۲۰ بیتی، به نفوذگر آگاه از این درب پشتی امکان می دهد با داشتن ۳۰۰ کیلوبیت متن ورودی و ۳۰۰ کیلوبیت متن رمز شده متناظر (تعداد ۳۰ هزار جفت متن واضح رمز شده با یک کلید)، و با یک لپ تاپ Core i7،  کلید را ظرف ۱۰ ثانیه کشف کند.

اشتراک گذاری

فریب سیستم قفل مرکزی اتوموبیل با استفاده از دستگاه رله

فیلم ضبط شده در یک دوربین مداربسته از نحوه سرقت یک مرسدس بنز: سارقان از یک رله برای رساندن سیگنال کلید از داخل منزل به ماشین استفاده می کنند. در واقع سیستم قفل مرکزی ماشین با استفاده از این رله، به اشتباه تشخیص میده که کلید در کنار ماشین هست و در نتیجه درب ها رو باز میکنه. پلیس توصیه کرده که از قفل فرمان برای مقابله با این نوع سرقت استفاده بشه.

اشتراک گذاری

راهنمای امنیت Application Container

NIST سند راهنمای پیاده سازی امن مجازی سازی در سطح سیستم عامل با استفاده از  Application Container رو منتشر کرده. با توجه به محبوبیت  Container ها در محیط های توسعه امروزی، بحث چگونگی پیاده سازی و نگهداری امن اونها هم اهمیت خاصی پیدا کرده.

“Application container technologies, also known as containers, are a form of operating system virtualization combined with application software packaging. Containers provide a portable, reusable, and automatable way to package and run applications. This publication explains the potential security concerns associated with the use of containers and provides recommendations for addressing these concerns.”

از جمله نیازمندی های تاکید شده در این سند، استفاده از سیستم عامل های خاص  container ها (به جای سیستم عامل های عمومی) مثل  Core OS، Project Atomic, Snappy Core، Rancher OS و VMWare Photon و نیز نرم افزارهای خاص مدیریت آسیب پذیری برای این محیط ها است.

اشتراک گذاری