RSA waarschuwt voor verdacht encryptiealgoritme
Beveiligingsbedrijf RSA heeft een waarschuwing naar klanten gestuurd waarin het waarschuwt voor een encryptiealgoritme dat mogelijk een backdoor van de Amerikaanse inlichtingendienst NSA bevat. Het gaat om het Dual Elliptic Curve Deterministic Random Bit Generation (Dual EC DRBG) algoritme.
De NSA zou mogelijk opzettelijk zwakheden in het algoritme hebben aangebracht, zo werd onlangs door de Guardian en New York Times onthuld. Het algoritme is in verschillende producten van RSA aanwezig, die klanten voor de ontwikkeling van hun eigen software gebruiken. Door de vermeende zwakheden zou het mogelijk zijn om de inhoud van versleutelde data te achterhalen.
Controle
De RSA voert verder een interne controle van alle producten uit om te zien of het algoritme ook niet binnen het bedrijf zelf wordt gebruikt. Deze controle zou volgende week moeten zijn afgerond, aldus een woordvoerster tegenover Wired. Het Dual EC DRBG algoritme zou in 2004 en 2005 door RSA aan de software voor klanten zijn toegevoegd, in de veronderstelling dat het de beste bescherming zou bieden.
DSA is ook afkomstig van NSA.
Nu is RSA ook niet meer veilig.
Wat wel nog dat enigszins redelijk sterk is?
Als een algoritme een soort shortcut - reverse engineer oplossing had moet dat in peer review toch wel naar boven komen....
Het gaat hier om het bedrijf RSA, niet om het algoritme. Met het RSA algoritme is, zover we kunnen beoordelen, niets mis.
Jazeker kan een algoritme wel een backdoor hebben. Het gaat dan b.v. om een zwakte die ervoor zorgt dat de complexiteit om versleutelde data te ontsleutelen lager is dan wat je zou mogen verwachten. In theorie zou dat b.v. in kunnen houden dat een symmetrisch algoritme een effectieve sleutellengte heeft van 120 bits in plaats van 128 bits. Niet praktisch, maar wel een eerste stap naar meer. Je moet een onderscheid maken tussen de wiskunde achter het algoritme en de implementatie van het algoritme. Beide kunnen zwakheden bevatten.
Als ik het artikel van Wired lees (http://www.wired.com/threatlevel/2013/09/rsa-advisory-nsa-algorithm/), waarin staat dat dit algoritme in 2004 en 2005 in de libraries van de RSA producten is opgenomen, en ik kijk ook terug naar de inmiddels jarenlang bekende rapporten van cryptoanalisten waarin duidelijk staat dat het algoritme echt zwakten vertoont, dan vind ik het onbegrijpelijk dat een bedrijf als RSA nu pas gaat bekijken of ze het probleem van een zwak algoritme moeten adresseren. Dat is slecht QA werk. Voor de geinteresseerden:
(1) Cryptanalysis of the Dual Elliptic Curve Pseudorandom Generator: http://eprint.iacr.org/2006/190
(2) A Security Analysis of the NIST SP 800-90 Elliptic Curve Random Number Generator: http://eprint.iacr.org/2007/048
(3) On the Possibility of a Back Door in the NIST SP800-90 Dual Ec Prng: http://rump2007.cr.yp.to/15-shumow.pdf
Mocht je geïnteresseerd zijn in crypto en een redelijke wiskunde achtergrond hebben, dan is het misschien leuk om je te wagen aan de cryptoanalyse gids van Bruce Schneier: https://www.schneier.com/paper-self-study.html. Er wordt in die gids nog verwezen naar het Handbook of Applied Cryptography, dat gratis is te downloaden van http://cacr.uwaterloo.ca/hac/. Let er wel op: het is taaie kost en het kost heel veel uren om je hier doorheen te worstelen, maar ja, dan heb je ook wel wat geschikt materiaal in je hoofd om indruk te maken in de kroeg.
Mup
Ik vind het toch wel komisch, dat mensen zich zorgen maken over hun privacy als ze weten dat hun berichten gedecrypt kunnen worden, en ondertussen toch heel hun hebben en houden via smoelboek en fluitjespost de wereld in schieten.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime
Ben jij er klaar voor om de leiding te nemen in het bevorderen van de regionale samen-werking in de strijd tegen gedigitaliseerde criminaliteit en cybercrime? Samen met collega's, politie en regionale en landelijke partners? Dan is de dynamische rol van Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime bij het Regionaal Samenwerkingsverband Integrale Veiligheid (RSIV) jouw op het lijf geschreven!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.