Tag: kryptografia

cybercrypt@gov – polska policja rozpisuje przetarg na narzędzie do łamania zabezpieczeń kryptograficznych. A my mamy do niego dokumentację ;-)

20 lipca 2018, 18:32 | W biegu | komentarzy 5

Informacje o projekcie mamy tutaj, gdzie czytamy m.in.: Przewiduje się, że projektowany system powinien pozwalać na przełamywanie haseł opartych m.in. o MD4, MD5, SHA1, SHA-224, SHA-256, SHA384, SHA-512, SHA-3 (Keccak), NetNTLMv1, NetNTLMv1+ESS, NetNTLMv2, sha256crypt, sha512crypt a także próbę przełamania zabezpieczeń programów m.in, office 2007,2010,2013, PDF, KeePass, 7-zip, Rar oraz powszechnie stosowanych…

Czytaj dalej »

Kilka słów o wdrożeniu SSL i TLS – cz. II

29 marca 2017, 19:11 | Teksty | komentarzy 7
Kilka słów o wdrożeniu SSL i TLS – cz. II

W poprzedniej części poznaliśmy teoretyczne przesłanki, na które należy zwrócić uwagę podczas przygotowania się do wdrożenia mechanizmów szyfrowania SSL/TLS. W tej części postaramy się skupić na konfiguracji, która gwarantuje nam poprawne prezentowanie odwiedzającym naszą stronę stosowanych zabezpieczeń i szyfrów kryptograficznych.

Czytaj dalej »

Google pokazuje kolizję na SHA-1. Wielki zderzacz SHA-1 wykonał 9 trylionów obliczeń…

23 lutego 2017, 18:19 | Aktualności | komentarzy 12
Google pokazuje kolizję na SHA-1. Wielki zderzacz SHA-1 wykonał 9 trylionów obliczeń…

Kolizje funkcji hashującej to zazwyczaj koszmar kryptografów – a  szczególnie dotknięty jest w tym przypadku podpis cyfrowy. Podpis, jak pewnie wiecie, zazwyczaj jest dość krótki (nawet dużego, wielomegabajtowego dokumentu). Dlaczego? Bo robiony jest najczęściej nie z całego dokumentu, tylko np. tak: signature = RSA_SIG(SHA-1(dokument)). Co zatem jeśli znajdę dwa różne dokumenty o…

Czytaj dalej »

Koszmar wirtualizacji – pokazano praktyczny atak umożliwiający zmianę bitów pamięci pomiędzy VMs

01 września 2016, 15:06 | W biegu | 1 komentarz

Jakiś czas temu pisaliśmy o podatności Rowhammer, ale wiele badaczy stwierdziło że ataku się nie da przeprowadzić w kontrolowany  sposób w praktyce. Okazuje się jednak, że praktyczne ataki tego typu jak najbardziej są możliwe i wykorzystuje też opisywany przez nas swego czasu atak kryptograficzny Bit-Flipping: We introduce Flip Feng Shui (FFS), a…

Czytaj dalej »

Poczytali sekuraka i złamali AES-256 w popularnej platformie dla graczy – Steam

01 maja 2016, 07:53 | W biegu | komentarze 2

Jeśli komunikacja jest szyfrowana za pomocą algorytmu AES-256 (ze złożonym kluczem) – to nie da się jej zdeszyfrować, prawda? No niekoniecznie, jak pokazaliśmy w ostatnim tekście na sekuraku, atak Padding Oracle umożliwia deszyfrację takiego ruchu, a w artykule Breaking Steam Client Cryptografy, pokazano jak taki atak wykonać na konkretnej implementacji. –ms

Czytaj dalej »

Zdalne wykradanie kluczy crypto z Androida oraz iOS

05 marca 2016, 12:00 | W biegu | 0 komentarzy

Było już u nas o zdalnym (tj. z wykorzystaniem radia) wykradaniu kluczy z klasycznych PC-tów. Tym razem Izraelscy naukowcy przedstawili pracę opisującą eksperyment ze smartfonami: Ze wstępu cytowanego badania: We show that elliptic-curve cryptography implementations on mobile devices are vulnerable to electromagnetic and power side-channel attacks. We demonstrate full extraction of…

Czytaj dalej »

Bezpłatna książka o kryptografii dla programistów

21 września 2015, 08:10 | W biegu | komentarzy 5

Przeszło 200-stronicowe opracowanie – Crypto101 – dostępne jest zupełnie bezpłatnie oraz kierowane jest do programistów – niezależnie od poziomu zaawansowania. Całości przyświeca hasło: ucz się przez eksperymentowanie. Dalej, autor zachęca do lektury w ten sposób: Learn how to exploit common cryptographic flaws, armed with nothing but a little time and your favorite…

Czytaj dalej »

Quick Tip: Mozilla SSL Configuration Generator

02 lutego 2015, 18:22 | Narzędzia, W biegu | komentarze 4
Quick Tip: Mozilla SSL Configuration Generator

Ostatni rok przyniósł nam wiele medialnych podatności, takich jak chociażby POODLE. Powoduje to coraz większe zainteresowanie tematem hardeningu SSL, a to przekłada się na więcej próśb znajomych deweloperów o sprawdzenie konfiguracji SSL. Warto więc zapisać sobie link do narzędzia Mozilli o nazwie SSL Config Generator, aby zaoszczędzić sobie nieco czasu :-). Powyższe narzędzie pozwala przygotować…

Czytaj dalej »