Onderzoekers 'kraken' Mega-encryptie
De versleuteling die de nieuwe bestandsopslagdienst van Megaupload-oprichter Kim Dotcom gebruikt, is niet honderd procent veilig, aldus verschillende onderzoekers. Mega, zoals de dienst heet, is de opvolger van Megaupload, dat vorig jaar door de autoriteiten offline werd gehaald. Vervolgens werd Dotcom gearresteerd, maar de flamboyante Duitser is nog altijd niet aan de Verenigde State uitgeleverd.
Inmiddels heeft hij een nieuwe dienst gelanceerd, die al het geüploade materiaal versleutelt, waarbij de uploader alleen over de sleutel beschikt. Mega kan daardoor de inhoud van de versleutelde bestanden op de eigen servers niet bekijken.
"Het is een mooie website, maar als het op cryptografie aankomt, hebben ze geen ervaring", zegt Nadim Kobeissi tegenover Forbes. Kobeissi is een 22-jarige cryptograaf en oprichter van de veilige chatsoftware Cryptocat. Hij hekelt vooral de belofte van Mega dat het end-to-end encryptie aanbiedt, zonder dat de gebruiker enige software hoeft te downloaden.
Alle encryptie vindt automatisch plaats in de browser van de gebruiker zodra die de website bezoekt. Mega noemt dit "User-Controlled Encryption". Dit lijkt misschien gebruiksvriendelijk, maar Mega of iemand die controle over de Mega-server heeft die de cryptografische algoritmes verstuurd, kan de encryptie uitschakelen of de privésleutel van de gebruikers stelen, om vervolgens alle huidige en toekomstige uploads te ontsleutelen, laat de Cryptocat-ontwikkelaar weten.
Kobeissi zegt dat een aantal van de Mega-servers in de Verenigde Staten staat. Daardoor zouden Amerikaanse opsporingsdiensten toegang tot de servers kunnen krijgen.
Vertrouwen
Ondanks de belofte van Mega moeten gebruikers de dienst van Kim Dotcom nog steeds vertrouwen. Iets wat het bedrijf ook op de eigen pagina aangeeft. "Als je ons niet vertrouwt, kun je niet onze code uitvoeren, dus het openen van onze site in je browser en het invoeren van je wachtwoorden is dan ook niet toegestaan."
Ook beveiligingsonderzoekers Moxie Marlinspike heeft zijn bedenkingen over de veiligheid. "De veiligheid van de Javascript-gebaseerde cryptografie is te verlagen naar de veiligheid van het kanaal dat de JavaScript verstuurt. Als je SSL kunt breken, kun je Mega breken."
De ontwikkelaars van Mega stellen dat Mega meer dan alleen JavaScript's nummergenerator gebruikt voor het generen van encryptiesleutels. Daarnaast zouden er ook andere beveiligingsmaatregelen zijn getroffen. Toch werd er zondag een Cross Site Scripting-probleem gevonden, waardoor aanvallers authenticatie-cookies zouden kunnen stelen. Dit probleem is inmiddels verholpen.
Toch stellen critici dat het vooral op een rookgordijn lijkt. Mega kan namelijk altijd ontkennen dat het de inhoud van gebruikers niet kan bekijken, en zou daardoor ook niet aansprakelijk gehouden kunnen worden.
Mega is en blijft een leuke tool die net ietsjes verder gaat dan standaard cloud opslag door de versleuteling aan de opslag toe te voegen. Voor mij een reden om het wel te gebruiken.
Ik zou liever zien dat ik de key kan verwijderen, en zo mijn content kan laten vernietigen.
TheYOSH
Dotcom heeft er in elk geval goed over nagedacht. Het valt niet te ontkennen dat hij succesvol een juridische loophole heeft opgezet, en daar ging het natuurlijk (voornamelijk) om.
Dat is natuurlijk ernstig, Dotcom zei dat dat absoluut niet het geval zou zijn. Of is hij ook belazerd door een hostingbedrijf dat wel banden met de USA heeft en dat ontkende toen Mega er een contract mee afsloot? Ik wacht af.
Dat het niet 100% veilig is is inderdaad niet vreemd. Het probleem hier is echter dat het te betwisten valt of het überhaupt veiliger is dan een normale SSL-verbinding zonder alle "Mega-encryptie-poeha". Met andere woorden het voegt niets aan de veiligheid toe terwijl gebruikers zoals jij het gevoel misschien hebben dat het toch wel degelijk veiliger is.
Hetzelfde als dat je op je achterdeur een extra zwaar slot zet terwijl je de voordeur niet op slot doet. Van de ene kant kun je beargumenteren dat je huis echt beter beveiligd is, van de andere kant komt men nog net zo gemakkelijk binnen.
Gokje: binnen twee jaar offline.
8. Our service may automatically delete a piece of data you upload or give someone else access to where it determines that that data is an exact duplicate of original data already on our service. In that case, you will access that original data.
Oftewel, Mega kan dus controleren of duplicaten van bestanden aanwezig zijn en dan de 25.000 kopietjes van bijv. Django Unchained 2012 DVDSCR X264 AAC-P2P, of welke 'film/CD/game du jour' dan ook, reduceren tot enkele honderden/tientallen.
De meeste uploads worden dan simpelweg verwijdered en uploaders krijgen een link naar het bestand.
Anonetc.
Zo ben je mits je goede encryptie gebruikt verzekerd van dat niemand bij je bv familie foto's kan.
Zie ook de rest van de reactie op hun weblog: https://mega.co.nz/#blog_3
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.