[Информационная безопасность, Криптография, Open source, Софт] Какое шифрование лучше: Signal или Telegram?
Автор
Сообщение
news_bot ®
Стаж: 6 лет 9 месяцев
Сообщений: 27286
Пару дней назад Илон Маск в твиттере порекомендовал использовать мессенджер Signal, не без последствий.
Извините, данный ресурс не поддреживается. :(
Однако в декабре 2020 года по средствам массовой информации прошла новость, что известная хакерская компания Cellebrite взломала шифрование этого криптомессенджера.
А читатели Хабра для секретной переписки предпочитают вовсе не Signal, а секретные чаты Telegram (по крайней мере, из принявших участие в нашем опросе).
Во-первых, надо сказать про «взлом» шифрования Signal. На поверку выяснилось, что учёный по привычке изнасиловал журналиста. Не только Cellebrite не взломала шифрование, но она вообще этого не заявляла, а весь хайп пошёл из статьи на сайте BBC с кликбейтным заголовком, потому что журналисты неверно поняли суть статьи Cellebrite.
В Cellebrite, наверное, квалифицированные специалисты. Их оборудование и софт используются в криминалистической экспертизе, конкретно, для извлечения содержимого конфискованных смартфонов правоохранительными органами во всём мире (см. слитую базу клиентов компании).
Но в данном случае Cellebrite немного опозорилась — и к настоящему времени удалила статью, точнее, сократила до выжимки без технических деталей под другим заголовком (хотя сначала по этому адресу действительно выдавалась ошибка 404). Чтобы не провоцировать такие хайпы.
Правда, сама статья была немного пафосная и смешная. Громкий заголовок. И там встречаются такие перлы:
Взлом кода:
[...] Когда получен ключ дешифровки, нам нужно узнать, как с его помощью расшифровать базу данных. Для этого мы обратились к исходному код Signal и стали искать все обращения к базе данных. Просмотрев десятки классов кода, мы наконец нашли искомое.
[...] После связывания файлов вложений и сообщений мы обнаружили, что вложения также зашифрованы. Но это шифрование ещё сложнее взломать. Мы снова заглянули в файл общих настроек и нашли необходимое значение в разделе “pref_attachment_encrypted_secret”, в котором есть поля “data” и “iv”.
То есть специалисты с гордостью рассказали о своих достижениях, но над ними посмеялись. Преобразование в текстовый файл истории сообщений из дампа выдали под заголовком «Взлом кода», и описали простейшие вещи с таким пафосом, что это выглядит как сатира. Ну а потом историю неправильно интерпретировали в СМИ, которые вообще не разобрались, о чём там идёт речь.
На самом деле опенсорсный мессенджер Signal по прежнему считается одним из самых защищённых. Его протокол прошёл аудит безопасности. Автор программы Мокси Марлинспайк сравнивает «взлом» Cellebrite с тем, как если бы вы взяли разлоченный телефон и запустили в нём любое приложение — и тем самым якобы взломали зашифрованную систему. Или если взломщиком замков считался бы человек, имеющий в своём распоряжении ключ и замок.
В защищённости и безопасности протокола Signal никто не сомневается. Полностью открытый код всех клиентов только добавляет надёжности всей системе.
Ну а что можно сказать о протоколе MTProto 2.0 в Telegram? Вот описание той части, которая используется для сквозного шифрования, то есть для секретных чатов. Отдельные научные группы анализировали слой безопасности первой версии MTProto, и там результаты были крайне неутешительными, точнее катастрофическими. Было выявлено много серьёзных ошибок. Конечно, разработчики Telegram исправили эти недостатки во второй версии. Например, перешли с SHA-1 на SHA-256 и так далее. Схема выглядит красиво.
Но вторую версию пока не проверял никто из независимых криптографов и научных институтов, насколько нам известно.
Поэтому с точки зрения качества и надёжности шифрования выбор пока остаётся в пользу Signal. Похоже, что Илон прав.
оригинал
===========
Источник:
habr.com
===========
Похожие новости:
- [Информационная безопасность] Google's Certificate Transparency как источник данных для предотвращения атак (перевод)
- [Информационная безопасность, Сетевое оборудование, Квантовые технологии] Центр квантовых технологий МГУ запустил линию защищённой квантовой телефонии
- [Высокая производительность, Информационная безопасность, Программирование, Читальный зал] Оцените шансы хакнуть криптообменник и получить книжку с кабанчиком в подарок
- [Информационная безопасность] Маркирование данных как задача каждого сотрудника
- [Информационная безопасность, Законодательство в IT] Россертификация, Росконтроль – мошенничество в сфере оказания услуг по защите ПДн или нет?
- [Информационная безопасность] Security Week 02: взлом reCAPTCHA v3 через распознавание голоса
- [Информационная безопасность, Транспорт] В даркнете продают базу данных 1,3 млн российских владельцев Hyundai
- [Информационная безопасность, Карьера в IT-индустрии, IT-компании] Стартап Red Balloon Security высылает соискателям в качестве теста жёсткий диск с криптовалютным кошельком
- [Настройка Linux, Софт] Обход ограничений терминала
- [Информационная безопасность, Исследования и прогнозы в IT, Статистика в IT] Phishing-as-a-Service: доступный фишинг для всех желающих
Теги для поиска: #_informatsionnaja_bezopasnost (Информационная безопасность), #_kriptografija (Криптография), #_open_source, #_soft (Софт), #_cellebrite, #_signal, #_telegram, #_e2e, #_blog_kompanii_globalsign (
Блог компании GlobalSign
), #_informatsionnaja_bezopasnost (
Информационная безопасность
), #_kriptografija (
Криптография
), #_open_source, #_soft (
Софт
)
Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Текущее время: 22-Ноя 18:33
Часовой пояс: UTC + 5
| Автор | Сообщение |
|---|---|
|
news_bot ®
Стаж: 6 лет 9 месяцев |
|
|
Пару дней назад Илон Маск в твиттере порекомендовал использовать мессенджер Signal, не без последствий. Извините, данный ресурс не поддреживается. :( Однако в декабре 2020 года по средствам массовой информации прошла новость, что известная хакерская компания Cellebrite взломала шифрование этого криптомессенджера. А читатели Хабра для секретной переписки предпочитают вовсе не Signal, а секретные чаты Telegram (по крайней мере, из принявших участие в нашем опросе). Во-первых, надо сказать про «взлом» шифрования Signal. На поверку выяснилось, что учёный по привычке изнасиловал журналиста. Не только Cellebrite не взломала шифрование, но она вообще этого не заявляла, а весь хайп пошёл из статьи на сайте BBC с кликбейтным заголовком, потому что журналисты неверно поняли суть статьи Cellebrite. В Cellebrite, наверное, квалифицированные специалисты. Их оборудование и софт используются в криминалистической экспертизе, конкретно, для извлечения содержимого конфискованных смартфонов правоохранительными органами во всём мире (см. слитую базу клиентов компании). Но в данном случае Cellebrite немного опозорилась — и к настоящему времени удалила статью, точнее, сократила до выжимки без технических деталей под другим заголовком (хотя сначала по этому адресу действительно выдавалась ошибка 404). Чтобы не провоцировать такие хайпы. Правда, сама статья была немного пафосная и смешная. Громкий заголовок. И там встречаются такие перлы: Взлом кода:
[...] Когда получен ключ дешифровки, нам нужно узнать, как с его помощью расшифровать базу данных. Для этого мы обратились к исходному код Signal и стали искать все обращения к базе данных. Просмотрев десятки классов кода, мы наконец нашли искомое. [...] После связывания файлов вложений и сообщений мы обнаружили, что вложения также зашифрованы. Но это шифрование ещё сложнее взломать. Мы снова заглянули в файл общих настроек и нашли необходимое значение в разделе “pref_attachment_encrypted_secret”, в котором есть поля “data” и “iv”. То есть специалисты с гордостью рассказали о своих достижениях, но над ними посмеялись. Преобразование в текстовый файл истории сообщений из дампа выдали под заголовком «Взлом кода», и описали простейшие вещи с таким пафосом, что это выглядит как сатира. Ну а потом историю неправильно интерпретировали в СМИ, которые вообще не разобрались, о чём там идёт речь. На самом деле опенсорсный мессенджер Signal по прежнему считается одним из самых защищённых. Его протокол прошёл аудит безопасности. Автор программы Мокси Марлинспайк сравнивает «взлом» Cellebrite с тем, как если бы вы взяли разлоченный телефон и запустили в нём любое приложение — и тем самым якобы взломали зашифрованную систему. Или если взломщиком замков считался бы человек, имеющий в своём распоряжении ключ и замок. В защищённости и безопасности протокола Signal никто не сомневается. Полностью открытый код всех клиентов только добавляет надёжности всей системе. Ну а что можно сказать о протоколе MTProto 2.0 в Telegram? Вот описание той части, которая используется для сквозного шифрования, то есть для секретных чатов. Отдельные научные группы анализировали слой безопасности первой версии MTProto, и там результаты были крайне неутешительными, точнее катастрофическими. Было выявлено много серьёзных ошибок. Конечно, разработчики Telegram исправили эти недостатки во второй версии. Например, перешли с SHA-1 на SHA-256 и так далее. Схема выглядит красиво.  Но вторую версию пока не проверял никто из независимых криптографов и научных институтов, насколько нам известно. Поэтому с точки зрения качества и надёжности шифрования выбор пока остаётся в пользу Signal. Похоже, что Илон прав.  оригинал =========== Источник: habr.com =========== Похожие новости:
Блог компании GlobalSign ), #_informatsionnaja_bezopasnost ( Информационная безопасность ), #_kriptografija ( Криптография ), #_open_source, #_soft ( Софт ) |
|
Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Текущее время: 22-Ноя 18:33
Часовой пояс: UTC + 5