Patrick Mylund Nielsen
Primære faneblade
Sikkerhedschef ved Evidon, Inc. i New York, der blandt andet udvikler browser-pluginet Ghostery. Han har i mange år arbejdet med softwareudvikling, optimering og sikkerhedstesting, og specialiserer sig i dag i applikations- og netværkssikkerhed, kryptologi, samt fysisk sikkerhed og social engineering. Han er en stor open source-nørd, og er blandt andet med i udviklingen af Google's programmeringssprog Go.
Beskrivelse:
Patrick er sikkerhedschef ved Evidon, Inc. i New York, har arbejdet med softwareudvikling, optimering og sikkerhedstesting, men specialiserer sig i dag i app- og netværkssikkerhed, kryptologi, fysisk sikkerhed og social engineering. Patrick blogger om programmering og it-sikkerhed
-
Alle burde vide at md5 er blevet brudt for længe siden. SHA-1 er også brudt, men kan stadig fint bruges i eksempelvis en HMAC-konstruktion, hvor kollisioner er et mindre problem. I password-konstruktioner er kollisioner ikke et stort problem fordi der er en salt, og en kollision ikke faktisk... -
Re: Ja?
Hele sikkerhedsproblematikken ligger i at lurendrejere får adgang til md5summerne, og så er spillet tabt. Problematikken ligger i, at tjenesterne ikke "gemmer" kodeordene godt nok. Artikler som denne får det til at lyde som om, at det er fuldkommen håbløst hvis nogen får fat på din... -
Re: MC og sprog
Det bedste match får man vel når man vægter sandsynlighederne efter en password dict Du får et match mod svage passwords, og meget få mod faktisk tekst/passphrases. En "falsk" nonce ... :-) Brug lidt mere tid på at læse hvad du retter, og lidt mindre på nitpick. -
Re: Krypteret?
"normalt hardware" AKA GPGPU'er. Men de kan jo også lejes på timebasis for småpenge hos Amazon. Ja, jeg vil sige at en GPU kvalificerer som "normalt hardware"--noget de fleste har adgang til, og som er billigt (sammenlignet med et rigtigt ASIC/en FPGA.) Jeg forstå... -
Re: Krypteret?
Hvis de har brugt HMAC-MD5 til at salte (f.eks. med PBKDF2), så er det ikke så galt igen: Md5+salt er vel sikkery nok. De skal blot invalidere de gamle koder med et nyt salt? Nej. Selv om der er mindre chance for kollisioner, eller du bruger en funktion der itererer en hurtig hash-algor... -
Re: Besparelsen
Ja, sådan er det altid, men jeg tror at det mest er OES, der lokker: http://en.wikipedia.org/wiki/Novell_Open_Enterprise_Server -
Besparelsen
De sparer sandsynligvis fordi de fleste universiteter i Sverige kører SUSE (SLES) og NetWare, og det koster meget mere end uddannelsessektorlicenser fra Microsoft. -
Re: Dislike.....
Hej Henrik og Peter, Det ved jeg ikke. Jeg synes også det var godt! Det er helt sikkert tankegangen jeg var efter, og ja, det var de to kategorier. Som Peter siger, så har vi endnu ikke haft et stort, vellykket projekt--så hvorfor starte med noget så stort og fundamentalt som valgforløbet, noge... -
Re: Helt enig, og dog..
Den kommentar er kategori #1, er hvad jeg mener ;) At Chrome inkluderer og automatisk opdaterer Flash når der er sikkerhedshuller, er en anden sag! -
Re: De dumme og de kloge?
Du har delt IT-folk op i 2 grupper. Gruppe 1 med de dumme, og gruppe 2 med de kloge. Ja, jeg fik det til at lyde sådan, men tanken var at dele it-kritik op i to grupper. Alle it-folk kan give begge former for kritik. Jeg har gjort det mere tydeligt. -
Re: o.O
Min pointe var ikke så meget at de ikke er relevante (jeg bruger selv stadig emacs), men at der ofte er mange it-folk der surt argumenterer mod sådanne nye ting (både Sublime Text og Chrome er nyere end de to andre) fordi det, de bruger allerede kan X, Y, Z--selv om der er mange folk, der kan lid... -
Re: Mange "kloge" IT hoveder er bange for fremskridt.
Fuldstændig enig. Vi har et vis ansvar, når vi (Norden) er "Democracy Done Right"-rollemodeller. http://www.economist.com/news/leaders/21571136-politicians-both-right-an... "Development theorists have taken to calling successful modernisation “getting to Denmark”." Det bety... -
Re: Sikkerhed og perspektiv
Men vi kunne jo sende spørgsmålet om eValg ud til en folkeafstemning og høre hvad Danmarks befolkning mener om det i stedet for teknokrater og forskere. Se, det ville vel være ægte demokrati! Man kunne jo også sende spørgsmålet om fartgrænser ud til befolkningen, og høre hvad de mener om d... -
Færge vs. bro
Analogien skal være, at vi havde færger, der virkede, og at biler, der kører over den nye bro har ukendte odds for at forsvinde fuldstændig. Jeg har ikke statistik ved hånd, men jeg vil gå ud fra, at en velbygget bro er betydeligt mere sikker end en færge, og så gavner den jo selvfølgelig voldso... -
Re: Passer jo ikke
Jeg kan godt forstå at vi skal være trendy, men det virker fuldstændig tåbeligt at gøre det med noget så kritisk og velfungerende som valg. "If it ain't broke, don't fix it" har aldrig passet bedre. Hvis en softwareudvikler ved Boeing eller NASA foreslog, at de skulle lade et... -
Re: Mange "kloge" IT hoveder er bange for fremskridt.
Hemmeligheden er netop hvorfor e-valg er så svært. -
Re: Passer jo ikke
måske der er lidt for mange eksperter henover den undersøgelse. Jeg vil håbe, at der er så mange eksperter som overhovedet muligt henover det, og at de lyttes til, når det gælder hvem der leder landet. -
Re: Mange "kloge" IT hoveder er bange for fremskridt.
Virtualisering og e-valg er to helt forskellige ting. Sikkerhedsfolk har problemer med de fleste nye ting, ja, men i dette tilfælde er det en no-brainer fordi 1. der kræves meget høj sikkerhed overalt i systemet, 2. det koster meget mere, end hvad vi har nu, og 3. vi ville ikke få noget ud af de... -
Sikker stemme
Jeg ville aldrig stole på, at et enkelt firma skulle kunne lave et voting-system der samtidig var sikkert og lukket. Det er et af de sværeste problemer i kryptografi/it-sikkerhed. Vi skal vide præcist hvad de gør, der skal være fysisk bevis, der kan inspiceres af tredjeparter og bruges hvis der k... -
Re: Så undlad dog at spore brugeren!
Med mindre du selv hoster dem, er det praktisk talt ikke muligt, nej. Det gælder dog ikke kun cookies, men alt der "læses eller skrives fra en terminal" (inklusive selve HTTP request), så hvis du bruger access logs, ETags, m.v. til at spore brugerne, og denne information ikke kvalifice...