Tweets by @buherablog
profile for buherator at IT Security Stack Exchange, Q&A for IT security professionals

A BitBetyár Blog

Túljártál a nagyokosok eszén? Küldd be a mutatványodat! (e-mail a buherator gmailkomra jöhet)

Full-Disclosure / Névjegy / Coming out


Promó

H.A.C.K.

Címkék

0day (110) adobe (87) adobe reader (21) anonymous (26) apple (60) az olvasó ír (49) blackhat (20) botnet (22) bug (200) buherablog (44) buhera sörözés (39) bukta (49) deface (38) dns (22) dos (29) esemény (82) facebook (26) firefox (64) flash (33) gondolat (31) google (59) google chrome (36) hacktivity (37) hírek (117) incidens (224) internet explorer (88) iphone (35) java (50) jog (22) kína (21) kriptográfia (68) kultúra (21) linux (24) malware (43) microsoft (142) móka (48) mozilla (23) office (26) oracle (40) os x (43) patch (197) php (20) politika (31) privacy (58) programozás (22) safari (34) sql injection (62) windows (85) xss (77) Címkefelhő

Licensz

Creative Commons Licenc

PRISM? Socmint? Titkosítsd a telefonbeszélgetéseid!

2013.06.27. 23:25 | buherator | 1 komment

A fél világ ki van akadva a PRISM sztorin, Snowden a poszt születésének pillanatában éppen a szomszédos Ausztriától próbál politikai menedéket kérni [szerk: valójában nem], az új ECHELON lelepleződése idején logikus gondolatnak tűnhet, ha okostelefonainkat különböző titkosító appokkal vértezzük fel. Azonban azon túl, hogy a jelenleg népszerű algoritmusok bizonyos idő elteltével megfejthetővé válhatnak, az okos titkosszolgák felismerik, hogy az igen bonyolult matematikai elméletek helyett érdemes a kevésbé bonyolult, alkalmazott területek felé fordulni.

És hibákat keresni a titkosító alkalmazásokban.

A neves biztonsági szakértő, Mark Dowd észrevette, hogy sok hasonló célra szánt app ugyanazt a nyílt forrású ZRTP könyvtárat használja, a ZRTPCPP-t. A ZRTP-t a SilentCircle alapító, nem mellessleg PGP atya Phil Zimmerman azért találta ki, hogy titkosított és hitelesített hálózati csatornákat építhessünk ki kizárólag RTP felett. Egyebek mellett a következő alkalmazásokban találhatjuk meg a ZRTPCPP könyvtárat:

  • SilentCircle (SilentPhone)
  • CSipSimple
  • LinPhone
  • TiVi

Ezen kívül minden termék érintett lehet, ami a GNU ccRTP könyvtárakat használja.

Rövid kutakodás után Mark távolról kihasználható heap és stack overflow sérülékenységeket talált, melyek kihasználását jónéhány információszivárgás probléma segíti. Így kis tulzással a kémek dolga csak annyi, hogy ránk csörögnek.

Bár a ZRTPCPP ugyancsak SilentCircle-nél dolgozó fejlesztője hamar javította a problémákat, több nagy gyártó még le van maradva, így Mark eltávolította az eredeti blogposztot, de a javítások a ZRTP könyvtár forrásában nagyszerűen böngészhetők GitHubon...

Címkék: bug tivi mark dowd zrtp zrtpcpp ccrtp csipsimple silentcircle linphone

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben és az adatvédelmi tájékoztatóban.

Meister · https://www.facebook.com/Meister1977 2013.07.08. 09:51:16

A CSipSimple androidos verziójában ma javították, legalábbis a changelist ezt állítja.