Sakrivanje IP

[bachi]

Ljudi, pre nego što kiptujete nešto morate da odredite koja je svrha te enkripcije.

Da li je potrebno kriptovati ceo hard disk sa sve sistemom ili je potrebno nesistemski disk ili fajl kontenjer.

Da li je neophodno obezbediti mogućnost poricanja koju TrueCrypt nudi sa svojim hidden volume-s. Pa tako imate jednu šifru na spoljnom delu kontenjera gde stavite neke eksplicitne materijale koji nisu sasvim normalni, ali nedevoljni da završite u tvorzi, a u sakrivenom delu kontenjera držite ono što zaista želite da sačuvate.

Koliko znam to Bitlocker ne nudi. Pa tako ako živite u zemljama gde je obavezno da predate šifru (ili dešifrujete sami) nadležnima i gde idete na 5+ godina zatvora ako ne predate šifru iako pod šifrom čuvate pr0n sa devojkom/ženom.

Ovako sa sakrivenim delom vi ispunite svoju zakonsku obavezu i date šifru od spoljnog dela diska a oni ne mogu da dokažu da postoji i unutrašnji deo.

Naravno, ovo sve nije imuno na metode zarivanja eksera ispod noktiju, batinjanja i ostalim metodama.

Ono što morate da znate da ako koristite TrueCrpyt i ostale enkripcije da nisu imuni na memory dump, a i ključ se može sačuvati i u pagefile.sys a i u hibernate.sys pa postoje alati koji na osnovu toga mogu izvući privatni ključ, te je preporuka da se pagefile prazni prilikom svakog shutdowna (ili da ga jednostavno nema) i da se hibernacija onemogući.

No i pokraj svega toga, ako ste dovoljno interesantni nadležnima, pronaći će načina da vam uvale softverski ili hardverski keylogger (one mukice što imaju Windows 10 već imaju ugrađen keyloger) neki video nadzor i snimiće trenutak kada kucate šifru.

Cilj kriptovanja fajlova je taj da kada vam neko ukrade fleš/cd/laptop sa osetljivim informacijama (u mom slučaju na primer sertifikati za OpenVPN za pristup mrežama koje održavam) da sa tim mogu tur da obrišu.

TrueCrypt je i dalje siguran u smislu da ako koristiš komplikovanu lozinku dovoljnu dugačku u kombinaciji sa dodatnim keyfile-om i koristiš na primer dvostruki algoritam ili čak i trostruki da nema te sile koja će ti dekriptivati takav kontenjer.

I to je zabolelo NSA i zato sada kada odete na TC sajt tamo preporučuju fraking Bitlocker.

[Dark Magician]

Ne znam zašto bi zabolelo NSA, oni su i dali AES svima. A i da nisu ne pripada njima, nije Rijndael ni napravljen u USA. Niti TrueCrypt ima samo njega. A i ostala dva algoritma imaju druge implementacije, i bili su kandidati za AES.

Meni treba da je sigurno u slučaju krađe, obijanja stana itd.
S toga koristim BitLocker, jer mi dozvoljava da koristim hardversku enkripciju Samsung SSD-a, koji opet nisam siguran koliko je sigurna. Ne znam kako SSD čuva ključ. Bez TPM jer ga ni nemam (a i da imam), sa dovoljno jakom šifrom da ni superkompjuter ne može da je probije lako.
Iz istog razloga je i moj telefon.

Enkripcija je korisna i kad prodaješ hard disk, jer osim što si ga obrisao sigurno, znaš i da uspe nekim čudom nešto da se povrati, i dalje je neupotrebljivo.

[Starface]

Stvarno obozavam znalce (ekipu koja ispisuje stranice ove teme) od kojih ucim po nesto novo i ako sam programerski duduk ali me zanima kako nesto funkcionise, sta sve moze sa tim da se uradi itd .
Samo tako nastavite.

[Starface]

Jedno pitanje za bitcrypt. Npr ako se fleska koristi na drugim uredjajima poput plejerima CDJ za djing, jel se blokira pristup plejeru ili ne ?
Znaci tu nema windows-a vec Rekordbox kao takozvani OS mada vise je podrska za taj program na plejerima.

[Neutrino]

bachi kaže:

Koliko znam to Bitlocker ne nudi. Pa tako ako živite u zemljama gde je obavezno da predate šifru (ili dešifrujete sami) nadležnima i gde idete na 5+ godina zatvora ako ne predate šifru iako pod šifrom čuvate pr0n sa devojkom/ženom.

BitLocker je dizajniran da radi jednu i samo jednu stvar - enkripciju kompletnog diska. Tu funkciju je do sada obavljao bez ikakvih većih pritužbi ako se ne računa konstantan FUD nepotkrepljen dokazima. Sve što TrueCrypt može dodatno da uradi mogu i bezbroj aplikacija koje takođe koriste AES. A u zatvor se ide i za čist pokušaj korišćenja kriptografije u nekim zemljama.

Interaktivna mapa kriptografskih zakona širom sveta

Spoiler za Grafički prikaz kriptografskih zakona:

(izvor slika: cryptolaw.org)

bachi kaže:

Koliko znam to Bitlocker ne nudi. Pa tako ako živite u zemljama gde je obavezno da predate šifru (ili dešifrujete sami) nadležnima i gde idete na 5+ godina zatvora ako ne predate šifru iako pod šifrom čuvate pr0n sa devojkom/ženom.

Ovako sa sakrivenim delom vi ispunite svoju zakonsku obavezu i date šifru od spoljnog dela diska a oni ne mogu da dokažu da postoji i unutrašnji deo.

TCHunt nepogrešivo pronalazi sakrivene TrueCrypt kontejnere a da ironija bude veća Defraggler, običan alat za defragmentisanje diskova, ih isto jasno prikazuje na mapi rezultata defragmentacije. "Security through obscurity" je dakle besmislen u slučaju nevidljivih TrueCrypt kontejnera.

bachi kaže:

Ovako sa sakrivenim delom vi ispunite svoju zakonsku obavezu i date šifru od spoljnog dela diska a oni ne mogu da dokažu da postoji i unutrašnji deo.

Onog trenutka kada se spoljašnji kontejner otključa ne postoji nikakva prepreka da se pronađu svi sakriveni TrueCrypt kontejneri unutar njega.

bachi kaže:

one mukice što imaju Windows 10 već imaju ugrađen keyloger

"Keyloger" je bio deo Technical Preview-a. U Windows-u 10 najpribližnije keylogeru je Cortana čije "prisluškivanje" tastature može da se isključi (a i onako ne radi na našem području jednostavno zato što Cortana ovde nije podržana).

bachi kaže:

u mom slučaju na primer sertifikati za OpenVPN za pristup mrežama koje održavam)

Enkripcija privatnog ključa nema smisla jer onog trenutka kada se ukrade on se automatski smatra kompromitovanim i mora da se generiše novi. Ono što ima smisla a administratori uporno izbegavaju zbog komfora je korišćenje lozinke (passphrase) prilikom generisanja privatnog ključa. To je sve što je neophodno da admin dobije dovoljno vremena da uradi deployment novih ključeva.

bachi kaže:

I to je zabolelo NSA i zato sada kada odete na TC sajt tamo preporučuju fraking Bitlocker.

Već je rečeno u ovoj temi da Windows verzija TrueCrypt-a ima dva velika sigurnosna propusta koja zbog gašenja projekta neće biti ispravljena.

Dark Magician kaže:

S toga koristim BitLocker, jer mi dozvoljava da koristim hardversku enkripciju Samsung SSD-a, koji opet nisam siguran koliko je sigurna. Ne znam kako SSD čuva ključ. Bez TPM jer ga ni nemam (a i da imam), sa dovoljno jakom šifrom da ni superkompjuter ne može da je probije lako.
Iz istog razloga je i moj telefon.

Niko ne zna baš tačno gde se skladišti ključ ali s obzirom da aktiviranje hardverske enkripcije zahteva autentifikaciju na nivou BIOS-a (preko ATA/HDD lozinke) i da su svi Sasmung EVO/Pro SSD diskovi u samom startu AES enkriptovani (kontroler uvek enkriptuje podatke) ne bi me čudilo da je ključ zapravo smešten na samom disku. Inače kada aktiviraš hardverski enkoding na Samsunzima BitLocker će ti ponuditi eksport ključa na eksterni medij (recimo USB) tako da i njega možeš da koristiš kao ključ za otključavanje diska.

Starface kaže:

Jedno pitanje za bitcrypt. Npr ako se fleska koristi na drugim uredjajima poput plejerima CDJ za djing, jel se blokira pristup plejeru ili ne ?
Znaci tu nema windows-a vec Rekordbox kao takozvani OS mada vise je podrska za taj program na plejerima.

Playeri obično koriste softver koji može da se menja isključivo promenom firmware-a (flešovanjem) i imaju jako ograničen set operacija koje mogu da rade tako da je mogućnost zaraze običnih playera praktično nepostojeća. Za ransomware zarazu je u skoro svim slučajevima potreban Windows mada se u poslednje vreme pojavljuju verzije koje koriste Javu (moguće izvršenje na svim operativnim sistemima koji imaju podršku za nju). Postoji i par varijanti za Linux ali one ciljaju na servere itd.

[Dark Magician]

Nije BitLocker enkripcija celog diska, nego logičkog (particije).

Samsung znam da ima autentifikaciju i preko BIOS-a, ali sam ja aktivirao eDrive, tako da ga Windows prepoznaje kao već enrkitpovan, samo mu dodelim šifru u BitLocker-u.
Znam da drži ključ sam SSD, ali gde i kako? Hash?

[Neutrino]

Dark Magician kaže:

Nije BitLocker enkripcija celog diska, nego logičkog (particije).

Pa nećeš valjda da enkriptuješ neparticionisani prostor? Particije se podrazumevaju. Nemoj da menjam post samo zbog igre reči

Dark Magician kaže:

Znam da drži ključ sam SSD, ali gde i kako? Hash?

To možda zna tek par ljudi i u samom Samsung-u. Ali ako si raspoložen za diskusiju na tu temu naći ćeš dosta ljudi na freenode.org (##security, ##crypto).

[Dark Magician]

To nije dobro da par ljudi zna jer je opet security through obscurity.
A to ne postoji.
WD enkriptujući diskovi su nedavno imali fijasko gde je ugrađeni PRNG koristio vreme na računaru.
Što sve sem random i dovoljno entropije.

[Neutrino]

Dark Magician kaže:

To nije dobro da par ljudi zna jer je opet security through obscurity.

Ma nije to zato što praktikuju STO nego zato što realno osim par inženjera koji rade na projektovanju proizvoda ostali uopšte ne moraju da znaju detalje jer su deo proizvodnje

[Dark Magician]

Trebalo bi da stoji u spec sheet, koji sam tražio, prevrnuo pola interneta i ništa konkretno nisam našao. Osim onog njihovog generičkog featuring AES-256 CBC.
A i ono što mene zanima, SSD je jednako podložan kao i hard disk manipulaciji?
Pošto CBC ne nudi nikakvu zaštitu od toga. XTS umereno.

[Starface]

Neutrino:Playeri obično koriste softver koji može da se menja isključivo promenom firmware-a (flešovanjem) i imaju jako ograničen set operacija koje mogu da rade tako da je mogućnost zaraze običnih playera praktično nepostojeća. Za ransomware zarazu je u skoro svim slučajevima potreban Windows mada se u poslednje vreme pojavljuju verzije koje koriste Javu (moguće izvršenje na svim operativnim sistemima koji imaju podršku za nju). Postoji i par varijanti za Linux ali one ciljaju na servere itd.

Ne ne, mislio sam da nabacim muziku i da stavim enkripciju u slucaju da izgubim negde flash da neko ne moze da pristupi ili da neko namerno skida muziku krisom ( da, desava se i to nazalost) i zbog toga pitam jel ce moci plejer da ocita flash ako ima enkripciju ?

[bachi]

Za TC hunt: Please note, the developer says that TCHunt can produce false positives.

Dovoljno za obaranje bilo čega na sudu.

Ali opet, od eksera ispod noktiju te ništa neće zaštititi.

E da, ima još jedna metoda ispitivanja hidden volume-a... Specijalnim hardverom se pregledava hard disk i gleda "potrošnja" sektora tog hard diska/particije i ako su ti delovi harda/particije više izmučeni, postoji sumnja da postoji i hidden volume.

Inače je teže otkriti ih ako se koristi FAT32 za file sistem.

[bachi]

E da, sad sam pogledao taj program. Pronalazi hidden volume kada je u pitanju kriptovani fajl, kada kriptuje ceo disk ili particiju, neće da može.

[Dark Magician]

[sale_8]

Ja imam jedno pitanje, jel moze i dalje da se skriva ip tako sto ukucas u browser proxy adresu ?

[Neutrino]

sale_8 kaže:

Ja imam jedno pitanje, jel moze i dalje da se skriva ip tako sto ukucas u browser proxy adresu ?

Kao prvo, ne ukucavaš u browser proxy adresu već podešavaš browser da koristi proxy. Kao drugo, da li će tvoja adresa biti sakrivena preko proxy-ja zavisi od samog proxy-ja jer neki imaju običaj da uz posredničke zahteve u headerima šalju originalnu adresu.

[sale_8]

Skoro svi salju, retko koji ima da sljaka. Znaci samo VPN resava stvar,.

[player1]

Narode, previse je dobra diskusija da bude zaboravljena kao off topic u temi za skrivanje IP adrese.

Ja predlazem moderatorima da premeste sve poruke vezane za enkripciju podataka u novu temu sa odgovarajucim imenom.

[water wizard]

ili da pobriše sve što nije vezano za temu
što se tiče proxija postoje razne vrste proksija anonimni i još neki ne pratim baš nešto jednom sam se informisao ovi anonimni ne šalju headere sa ip adresom dok ovi drugi šalju, međutim možda su namerno postavljeni da skupljaju informacije i šifre kako god okreneš uvek postoji mogućnost da ti neko gleda preko ramena, samo je pitanje da li više imate poverenja u biu ili u ciu
Evo na wikipediji je malo detaljnije objašnjeno koga interesuje https://en.wikipedia.org/wiki/Proxy_server

[Neutrino]

sale_8 kaže:

Skoro svi salju, retko koji ima da sljaka. Znaci samo VPN resava stvar,.

Najbitnija razlika između proksija i VPN-a je što VPN garantuje da između VPN klijenta i VPN servera neće biti preusmeravanja sadržaja i da saobraćaj između te dve tačke praktično ne može da se prisluškuje zato što je enkriptovan. Za enkriptovanje podataka se obično koristi AES-128 i AES-256 (Rijndael) dok se za handshake, dogovor o načinu komunikacije između VPN klijenta i VPN servera, najčešće koriste tzv. efemeralni (privremeni) ključevi generisani putem Diffie-Hellman (DH) ili Eliptic Curve Diffie-Hellman (ECDH) algoritma (ECDH se inače koristi za Bitcoin transakcije). Nakon što se efemeralni ključ uspešno upotrebi ili istekne određeni kratak period tokom kojeg se ne iskoristi ključ se automatski uništava i generiše se novi.

Za sam transport podataka između VPN klijenta i VPN servera se koriste tzv. tunneling protokoli. Najlakše ih je zamisliti kao crevo (tunneling protokol) kroz koji prolazi voda (enkriptovani podaci). Najčešće korišćeni VPN tunneling protokoli su: PPTP (ubedljivo najveća podrška među klijentima/serverima, najlakši za podešavanje, najnesigurniji), L2TP/IPSec (jako slaba podrška, užasan za podešavanje, veoma siguran, najgore perfromase) i OpenVPN (relativno mlad protokol, ne postoji nativna podrška na Windows-u i većini mobilnih uređaja, zahteva poseban softver tamo gde podrška ne postoji, ume da bude problematičan za podešavanje jer koristi AES/sertifikate).

Proksi serveri sa druge strane su ništa drugo nego obični posrednici za koje klijent ne može ni na koji način da garantuje da njegovi zahtevi neće biti preusmereni na neki drugi, potencijalno maliciozni proksi. Da stvar bude komplikovanija sami protokoli koji realizuju proksi funkciju (HTTP, SOCKS) ne nude nikakvu vrstu zaštite sadržaja pa je zadatak same aplikacije koja koristi proksi da realizuje zaštitu. Najveći problem je u tome što je za efektivnu zaštitu podataka tokom transporta potrebno da svi usputni proski serveri podržavaju bar neki vid zaštite (recimo SSL) što ne može praktično nikada biti garantovano osim ako su svi proksi serveri u vlasništvu jedne osobe/organizacije.