بایگانی برچسب: s

پنل رمزنگاران رویداد RSA 2018

پنل رمزنگاران (Cryptographers’ Panel) رویداد RSA 2018 مثل سال های گذشته با حضور اسطوره هایی مثل ریوست، شامیر و دیفی برگزار شد. بحث در مورد اشتباه رایج در استفاده از کلمه کریپتو (Crypto) در حوزه رمز ارزها، واقعیت ها و افسانه ها در مورد بلاکچین، رمزنگاری کوانتومی و … از جمله موضوعات مطرح شده در این پنل است. همچنین لحظه ای که پروفسور دیفی از درگذشت همسرش در سال گذشته و نقش او در زندگی علمی خودش یاد کرده در فیلم کامل پنل.

اشتراک گذاری

یک ارائه درباره توسعه امن برنامه های کاربردی وب

یکی از ارائه های کنفرانس SecAppDev 2018 در خصوص بعضی مکانیزم های امنیتی برنامه های کاربردی وب هست که می تواند برای توسعه دهندگان این برنامه ها مفید باشد. آسیب پذیری هایی مثل Clickjacking، URL Redressing، XSS و نحوه مقابله با آنها بحث شده است. قابلیت هایی که در مرورگرهای مختلف برای پیشگیری از آسیب پذیری هایی از این دست قرار داده شده، در این ارائه توضیح داده شده است. راه حلهایی از جمله استفاده از option های مختلفی که در مرورگرها پیش بینی شده، محدود کردن محتوای فریم ها، محدود کردن ارتباط بین context های مختلف در یک صفحه و غیره پیشنهاد شده که نمونه هایی از Same Origin Policy و Content Security Policy هستند.

فایل ارائه

اشتراک گذاری

درب پشتی در طراحی الگوریتم های رمزنگاری

یکی از ارائه های جذاب در کنفرانس بلک هت اروپا ۲۰۱۷ ، به موضوع بنیادین اعتماد به الگوریتم های رمز می پردازد.  الگوریتم های رمز، زیربنای بخش عمده ای از آنچه به عنوان امنیت داده و امنیت ارتباطات می شناسیم را تشکیل داده اند. وقتی از RSA، AES یا SHA استفاده می کنیم، مادامی که ناامن بودن آنها اثبات و رسماً تایید نشده، آنها را به عنوان اجزای کاملاً مورد اعتماد از یک راه حل امنیتی در نظر می گیریم. بخش بزرگی از این اعتماد، حاصل اثبات ریاضی خواص امنیتی آنها و تایید آن در مجامع معتبر علمی رمزنگاری، و بخشی دیگر ناشی از تایید نهادهای اعتباربخشی  و استانداردسازی مثل ایزو، FIPS ، NIST و غیره است.

رمزنگاری مبتنی بر روابط دقیق ریاضی و خواصی است که امکان می دهد برای ایجاد امنیت به آن اعتماد و اتکا شود. بنابراین انتظار می رود در یک الگوریتم رمز استاندارد، خواص و روابط خاصی از لحاظ ریاضی در تک تک اجزا و نیز بین اجزای الگوریتم برقرار باشد.  حال اگر طراح الگوریتم عمداً برخی از خواص اجزاء یا روابط بین آنها را تضعیف کند، طبیعتاً الگوریتم حاصل نمی تواند حداقل امنیت مورد انتظار را تامین کند. این نکته ای است که در این ارائه با عنوان قرار دادن درب پشتی در طراحی الگوریتم رمز به آن پرداخته شده است.  نمونه مشابه این موضوع،  توافق افشا شده بین RSA و NSA برای استفاده از یک تولید کننده اعداد شبه تصادفی ضعیف در ابزارهای رمزنگاری شرکت RSA است که جنجال زیادی ایجاد کرد، همچنین عدم تایید ایزو برای دو الگوریتم طراحی شده توسط NSA که گفته شد ناشی از سابقه این نهاد در قرار دادن درب های پشتی در سیستم های امنیتی بود.

در این ارائه، یک الگوریتم مشابه AES با نام BEA-1 پیشنهاد شده که در مرحله طراحی، s-box های مورد نظر طراح که دارای نقطه ضعف هستند  در بعضی بخش های آن قرار می گیرد. نتیجه، الگوریتمی متقارن است که با وجود پشتیبانی از کلید رمز ۱۲۰ بیتی، به نفوذگر آگاه از این درب پشتی امکان می دهد با داشتن ۳۰۰ کیلوبیت متن ورودی و ۳۰۰ کیلوبیت متن رمز شده متناظر (تعداد ۳۰ هزار جفت متن واضح رمز شده با یک کلید)، و با یک لپ تاپ Core i7،  کلید را ظرف ۱۰ ثانیه کشف کند.

اشتراک گذاری

انتشار جزئیات آسیب پذیری WPA2 تا ساعاتی دیگر

جزئیات یک آسیب پذیری در سطح طراحی مهم ترین پروتکل امنیتی شبکه های بی سیم محلی یعنی WPA2 که  یکی از ارائه های کنفرانس Blackhat اروپا خواهد بود، امروز منتشر خواهد شد. حمله مورد نظر، Key Reinstallation Attack نام دارد.

اشتراک گذاری

ابزار تشخیص نفوذ به شبکه مبتنی بر ویندوز

ابزار معرفی شده توسط مایکروسافت به نام (Advanced Threat Analytics (ATA قابلیت های متنوعی برای شناسایی فعالیت های مشکوک در شبکه ای مبتنی بر ویندوز ارائه می کنه. فرض بر اینه که کاربری در داخل شبکه با استفاده از قابلیت های Domain ویندوز، یا با استفاده از ابزارهای جانبی، سعی در جمع آوری اطلاعات ،شناسایی کاربران و سیستم های جذاب، و نفوذ به اون سیستم ها می کنه. این کاربر یا یک نفوذگر بیرونی بوده که در مرحله اول از نفوذ، جای پایی در داخل شبکه به دست آورده، یا کاربری در داخل شبکه با انگیزه نفوذ و سوء استفاده است. این راهنما، راه اندازی یک آزمایشگاه برای بررسی قابلیت های ATA رو به صورت قدم به قدم معرفی کرده. با توجه به اینکه ATA برای تشخیص نفوذ، به طور عمده از روش های مبتنی بر امضاء استفاده میکنه، و فرض کرده که در تمام انواع حملات، نفوذگر حتماً با Domain Controller تعامل خواهد کرد، راه هایی برای دور زدنش وجود داره. این ارائه در کنفرانس Brucon این راه ها رو بررسی کرده.

اشتراک گذاری

ابزارهای معرفی شده در کنفرانس Blackhat 2017

کنفرانس Blackhat 2017 شروع شده و مثل هر سال باید منتظر اتفاقات جالبی باشیم. HackwithGithub@ در توئیتر ابزارهای معرفی شده در ارائه های مختلف رو توئیت می کنه.

 

اشتراک گذاری

گزارش سمینار امنیت در تراکنش های بین المللی (رویداد ITE 2016)

همانطور که قبلاً در یادداشتهایی اشاره کرده بودم(۱و۲)، سمینار امنیت به عنوان یکی از سمینارهای رویداد تراکنش (ITE 2016) در آبان ۹۵ برگزار شد. فایل های مربوط به این سمینار که در ماهنامه بانکداری الکترونیک چاپ شده، شامل گفتگو با من و مهندس بخشایش (دبیران سمینار)، گزارش سخنرانی های انجام شده، گزارش میزگرد تخصصی و مروری بر رویدادهای مهم امنیت سایبری در دنیا رو برای دانلود قرار می دم.

گفتگو با دبیران سمینار امنیت

مروری بر برخی رویدادهای مهم امنیت سایبری

گزارش سخنرانی ها و میزگرد تخصصی سمینار امنیت

اشتراک گذاری

مطرح شدن ایران در Cryptographers’ Panel رویداد RSA2017

این روزها رویداد RSA2017 در حال برگزاری است. یکی از برنامه های ثابت این رویداد، پنل رمزنگاران یا Cryptographers’ Panel هست که هر سال برگزار می شود و معمولاً صاحبنظران رمزنگاری در آن حضور دارند.

فیلم برنامه امسال با شرکت بزرگانی چون Adi Shamir، Ronald Rivest، Whitfield Diffie در اینجا قابل مشاهده است. یکی از نکات جذاب این پنل، بحثی است که Adi Shamir درباره یک پروژه تحلیل رمز مربوط به استاد دانشگاه صنعتی شریف (احتمالاً دکتر عارف*) مطرح می کند. صرفنظر از صحت و سقم موضوع، مطرح شدن این موضوع در پنل مربوطه جالب توجه است. این بحث رو در دقیقه ۲۷ مشاهده کنید.

* مقاله دکتر عارف و بهنام بهرک (A Novel Impossible Differential Cryptanalysis of AES):

https://www.emsec.rub.de/media/crypto/veroeffentlichungen/2011/01/29/PreliminaryConferenceRecord.pdf

و دومی مقاله ای که روش حمله مقاله اول بهبود داده شده، و اسم حمله مقاله اول رو  Bahrak-Aref Attack گذاشتن:

https://eprint.iacr.org/2008/540.pdf

اشتراک گذاری

ابزاری جدید برای بازیابی حساب کاربری

رویداد Enigma 2017، از سری کنفرانس های انجمن Usenix، در حال برگزاریست و نگاهی به برنامه و سخنران ها نشان از جذابیت این کنفرانس دارد. فیسبوک در این رویداد از یک پروتکل جدید به نام Delegated Recovery برای حساب های کاربری رونمایی کرد. هدف این پروتکل، ارائه روشی امن و ساده برای بازیابی حساب کاربری به جای روش سنتی استفاده از ایمیل یا تلفن همراه است. به بیان ساده، با داشتن یک حساب فیسبوک و یک حساب گیت هاب (Github)، می توانیم از یک حساب به عنوان ابزار بازیابی حساب دیگر استفاده کنیم. روش کار به این شکل هست که یک توکن با حساب گیت هاب می سازیم که بعداً در حساب فیسبوک ما ذخیره می شود. وقتی پسورد گیت هاب رو فراموش کردیم، با ورود به حساب فیسبوک و استفاده از این توکن، گیت هاب صاحب حساب از دست رفته رو شناسایی می کنه. البته فیسبوک توضیح داده که هویت صاحب واقعی حساب در سایت مبدأ، برای سایت مقصد پنهان باقی خواهد ماند. این ابزار به صورت متن باز ارائه شده و جزئی از برنامه باگ باونتی فیسبوک هم هست.

اشتراک گذاری