Feb 29 2004

Il cifrario DES


by tonycrypt

DES sta per Data Encryption Standard ed e’ un cifratore a blocco iterativo sviluppato alla IBM e definito dal governo degli Stati Uniti come standard ufficiale nel 1977. La dimensione dei blocchi DES e’ di 64 bit, ed usa una chiave a 56 bit (16 cicli) durante la cifratura (gli altri 8 bit servono per la correzione degli errori). Questo algoritmo è stato violato soltanto grazie all’enorme potenza di calcolo dei moderni elaboratori. Il 17 luglio 1998, l’EFF (Electronic Frontier Foundation) ha realizzato una scheda multiprocessore in grado di violare un sistema DES a 64 bit in meno di tre giorni, generando tutte le 2^56 chiavi possibili. Questa scheda è basata sull’utilizzo di alcuni chip chiamati “Deep Crack”, estremamente veloci perchè presentano tutte le operazioni da eseguire già implementate sull’hardware.

Potete scaricare il codice sorgente del DES cliccando su DES.zip.


Feb 24 2004

Echelon


by tonycrypt

Echelon non è immaginazione o frutto di fantasia. Sebbene questo sistema di controllo mondiale sia rimasto segreto per molto tempo, adesso solo gli USA continuano, ovviamente, a negarne l’esistenza. Qui di seguito solo una piccola parte delle informazioni che è possibile reperire attraverso giornali, libri e fonti specializzate.


«Un sistema mondiale intercetta ogni telefonata». Il Garante indaga sugli impianti di videosorveglianza Allarme “Echelon”, giudice denuncia: «Siamo tutti spiati»

ROMA – Siamo tutti spiati da un «Grande fratello» straniero, ma il nostro governo non interviene. La denuncia viene dal capo dei Gip di Roma, Carlo Sarzana. Il magistrato romano si duole del fatto che sino a questo momento «non si ha notizia di interventi ufficiali del governo italiano» mentre a livello europarlamentare già ci sono state prese di posizioni negative ad Echelon, come ad esempio la risoluzione del Parlamento europeo del 14 settembre 1998. «In Italia, invece, sono già intervenuti molti parlamentari delle forze di maggioranza e di opposizione». In altre parole mentre da noi si polemizza se sia giusto o meno conservare per fini di giustizia i tabulati telefonici per oltre 5 anni, a livello mondiale già opera da molti anni una centrale di intercettazione: nome in codice «Echelon». Ne parlò per primo in Italia mesi fa il settimanale «Il mondo». «In Europa – spiega il giudice Sarzana – tutta la posta elettronica, le comunicazioni telefoniche e quelle via fax sono intercettate sistematicamente dalla National Security Agency. Le informazioni intercettate vengono poi trasferite via satellite a Fort Merade nel Maryland, dopo essere state raccolte in un centro inglese». Il sistema in codice si chiama Echelon e fa parte del cosiddetto sistema angloamericano ma, al contrario delle procedure di spionaggio sviluppate durante la guerra fredda, oggi ha scopi non militari». Sarzana cita un rapporto dello Stoa (Scientific and Tecnological Option Assessment, organo tecnico del Parlamento europeo) dal quale emerge che «Echelon raccoglie una enorme massa di comunicazioni e tira fuori ciò che è importante, usando sistemi di intelligenza artificiale come Memex per la ricerca delle parole chiavi. I partners degli Usa, in questo sistema che risale al 1948, sono il Regno Unito, il Canada, la Nuova Zelanda e l’Australia, molto attivi nell’espletamento dei servizi di raccolta delle informazioni». Il Garante della privacy, Stefano Rodotà, ha deprecato questa enorme raccolta di dati personali. Per Rodotà si può risolvere il problema circoscrivendo «allo stretto indispensabile la raccolta legittima delle informazioni. Le democrazie vivono anche di misura e sobrietà. Nei regimi totalitari la criminalità è meglio controllata ma il prezzo è il sacrificio della libertà di tutti». E ieri il Garante ha avviato un’indagine sulla videosorveglianza. Le telecamere a circuto chiuso sono sempre più numerose e controllano tutto dalle autostrade alle banche, dai supermecati alle corsie degli ospedali, ma non esistono regole. Che fine fanno i nastri? Chi li utilizza rispetta la privacy delle persone riprese?
(Tratto da Il Messaggero – Giovedì 21 Gennaio 1999)


Dunque, il Grande Fratello Echelon esiste. Lo ha stabilito la Bbc in una lunga inchiesta. A confermarlo sono stati alcuni uomini di governo australiani. Si tratterebbe di un’organizzazione messa in piedi da anni da Usa, Gran Bretagna, Nuova Zelanda, Canada e Australia con il compito di monitorare tutte le comunicazioni che avvengono nel mondo: telefonate, fax, e-mail. Obiettivo: tenere sotto controllo la criminalità internazionale con strumenti che captano le informazioni, le registrano, le interpretano con sofisticati strumenti di decrittazione e di interpretazione del linguaggio e della scrittura. Intorno a Echelon negli ultimi anni sono sorte leggende. La sua esistenza è stata rivelata da un giornalista che ha dedicato anni al problema ma fino a oggi non aveva mai avuto conferme anche se l’allarme era stato lanciato nel 1997 già all’interno dell’Unione Europea. La sua esistenza è stata rivelata da un giornalista che ha dedicato anni al problema ma fino a oggi non aveva mai avuto conferme anche se l’allarme era stato lanciato nel 1997 già all’interno dell’Unione Europea. Anche perché ci sono già alcuni esempi documentati di uso di segreti industriali e informazioni riservate, ottenute grazie alle operazioni di spionaggio di Echelon e passate ad aziende nazionali per favorirle rispetto alla concorrenza straniera. Naturalmente si tratta di deduzioni indirette, di esempi mai confermati ufficialmente dai paesi aderenti a Echelon, che continuano a mantenere il riserbo sulla vicenda. Ma la Bbc ha ottenuto le prime conferme e si dice certa: Echelon ci spia.
(Tratto da L’Espresso 18.11.1999)


Grazie a decine di basi di intercettazione, la Nsa è in grado di captare e decrittare la quasi totalità delle comunicazioni internazionali via satellite, radio, telefono, cellulare, fax e Internet. L’agenzia è stata denunciata l’anno scorso dal Parlamento europeo per l’operazione ipersegreta Echelon. Si tratta di un piano congiunto tra i servizi statunitensi e quelli di Inghilterra, Canada, Nuova Zelanda e Australia, che non solo spia le attività criminali, ma anche quelle di comuni cittadini, e senza nemmeno il mandato di un magistrato. Anzi, il target primario di Echelon sono le aziende, i partiti, i movimenti politici, gli individui. Il programma consente anche di fare controlli incrociati sui conti bancari e sulle transazioni con carta di credito. Voci e dati finiscono in un colossale computer-filtro programmato per individuare frasi o parole come “bomba”, “presidente”, “attentato” o nomi di persone e organizzazioni. Ma la polemica è dura soprattutto perché un rapporto Ue sostiene che la Nsa ruba segreti da aziende high-tech europee. E lo scorso aprile l'”Electronic Telegraph International News” ha scritto da Berlino che gli Usa utilizzano Echelon per compiere spionaggio industriale contro industrie della Germania. Inutile chiedere conferme al quartiere generale di Fort Meade: l’operazione è così segreta che la Nsa si rifiuta persino di riconoscere l’esistenza di Echelon.
(Tratto da L’Espresso 8.7.1999)


The ECHELON system gathers all of these transmissions indiscriminately, then distills the information that is most heavily desired through artificial intelligence programs. Some sources have claimed that ECHELON sifts through an estimated 90 percent of all traffic that flows through the Internet.
TIME DIGITAL DAILY (June 24,1999)


These countries coordinate their activities pursuant to the UKUSA agreement, which dates back to 1947. The original ECHELON dates back to 1971. However, its capabilities and priorities have expanded greatly since its formation. According to reports, it is capable of intercepting and processing many types of transmissions, throughout the globe. In fact, it has been suggested that ECHELON may intercept as many as 3 billion communications everyday, including phone calls, e-mail messages, Internet downloads, satellite transmissions, and so on.
ZDTV (June 9, 1999)

 


Feb 22 2004

RC4


by tonycrypt

RC4 è un algoritmo realizzato da RSA Data Security, Inc. Era rimasto protetto dal segreto commerciale finchè qualcuno spedì il codice sorgente di un algoritmo “equivalente” a RC4 nelle Usenet News. L’algoritmo è molto veloce e forzare la sicurezza sembra non triviale dato che può accettare chiavi di lunghezza arbitraria. RC4 è essenzialmente un generatore di numeri pseudo casuali, la cui uscita è usata per fare lo XOR con il flusso di dati ; per questo motivo è necessario che la stessa chiave non sia usata per cifrare due diversi flussi di dati. Il governo USA ha approvato l’esportazione di RC4 con chiavi di 40 bits: chiavi cosi piccole possono essere facilmente forzate da istituzioni come il governo, l’esercito etc. E’ interessante notare che SSL, versione export, che usa RC4 con chiavi di 40, bits è stato recentemente forzato da almeno due gruppi indipendenti in circa otto giorni di attività. Qualche tempo dopo lo stesso attacco è stato effettuato con successo in soli 35 minuti. Il codice usato da questo sistema ha una lunghezza dieci volte inferiore rispetto al DES (minore sicurezza), ma il vantaggio sta nella velocità di esecuzione (circa 5 volte più veloce).

Il tipo di algoritmo utilizzato dai sistemisti Microsoft era inizialmente l ‘algoritmo RC4 per la cifratura e quindi un’ottima protezione dal punto di vista crittografico. A causa di qualche problema i programmatori Microsoft implementarono una versione dell’RC4 leggermente modificata a livello di codice, ma completamente stravolta a livello di funzionalità. Con semplici operazioni di X0R e di traslazione e grazie a numerosi programmi freeware si possono decodificare tutte le password contenute nel file .PWL. Un esempio di programma atto a questo tipo di cose può essere PWL-TOOL questo tool è facile ed immediato da utilizzare grazie alla sua interfaccia grafica davvero molto friendly, scaricabile sul sito www.webdor.com.
Questo dovrebbe farci riflettere sul fatto che una software house di un così grande prestigio non abbia ritenuto opportuno dedicare sufficiente attenzione alla implementazione di un algoritmo sicuro per la protezione delle password di sistema.


Feb 4 2004

Proxy


by tonycrypt

Un proxy server è un programma (e, per estensione, il computer su cui esso viene eseguito) che svolge la funzione di “agente” per gli utenti di altri computer. Difatti, configurando i propri programmi di comunicazione perchè sfruttino un proxy – tipicamente situato su un computer diverso dal proprio – tutte le richieste di comunicazione, come ad esempio la richiesta di caricamento di un ipertesto, non saranno fatte dal proprio computer direttamente al sito remoto, ma verranno fatte al proxy server; il programma di proxy si occuperà poi di contattare il sito remoto, farsi spedire l’oggetto desiderato, e “girarlo” al computer dell’utente. Apparentemente, questa può sembrare una perdita di tempo (e talvolta lo è, se il sistema non è ben studiato); tuttavia, l’operazione può presentare molti vantaggi: ad esempio il proxy dispone solitamente di una propria “cache”, nella quale memorizza tutti gli oggetti recuperati negli ultimi tempi; se un utente richiede di caricare un oggetto, ad esempio un ipertesto, che è già stato richiesto qualche tempo prima da un altro utente, e si trova quindi memorizzato sul proxy, esso provvede a spedirglielo direttamente, senza dover ricontattare il sito remoto, e quindi molto più velocemente di quanto succederebbe se il computer dovesse attendere la lunga e lenta connessione con il sito remoto.
L’altro enorme vantaggio dovuto all’utilizzo di un proxy consiste nel fatto che, qualunque scambio di dati effettuiamo, non sarà visualizzato il nostro ip personale ma quello del server. Questo può garantire la nostra privacy ma può anche essere sfruttato da malintenzionati per compiere “lavoretti” poco leciti, con buone garanzie di non essere rintracciati. D’altra parte, se si fa in modo che i nostri dati attraversino una decina di proxy prima di giungere a noi, l’estrema lentezza di navigazione sarà compensata da un altissimo livello di anonimato. Ma, a mio parere, da un punto di vista teorico, la sicurezza assoluta di non essere rintracciati non esiste. Nella pratica, visti i tempi che la burocrazia impiega per svolgere indagini di questo tipo, si possono dormire sonno tranquilli.

Per una lista sempre aggiornata dei più noti server proxy cliccate su questo link.