Disse krypteringsteknologier kan NSA ikke knække - andre er trivielle

Skype og Facebook-chat er ren rutine for NSA at spore og aflytte, mens Truecrypt, PGP og flere andre krypteringsteknologier volder efterretningstjenesten problemer.

Med et budget på mindst 34 millioner dollars til arbejdet med at bryde krypteringsteknologier, så er det ingen overraskelse, at efterretningstjenesten NSA betragter en række udbredte teknologier som ren rutine at omgå. Men der er stadig visse teknologier. Som volder problemer, skriver Der Spiegel med udgangspunkt i dokumenter lækket af Edward Snowden.

Allerede i 2011 var det således rutine for NSA at knække krypteringen i Skype, og NSA regner det heller ikke for en større opgave at aflytte chatsamtaler via Facebook. Tilsvarende regnes almindelige webmail-tjenester heller ikke for mere end en moderat udfordring for NSA.

NSA løber først ind i problemer, når lidt mere specielle krypteringsteknologier tages i brug. Det er dem, som ofte anvendes af personer, som netop ønsker at undgå, at eksempelvis NSA eller lignende institutioner kan lytte med.

Det gælder eksempelvis den krypterede mailtjeneste Zoho, ligesom Tor-netværket også er en stor udfordring for NSA's eksperter. Filkrypteringssoftwaren Truecrypt er heller ikke lige til at bryde for NSA, og hvis man vil chatte via internettet, ser OTR ud til at være det bedste bud. PGP holder trods sin alder også stand.

Der er også nogle tjenester, som gør arbejdet helt umuligt for NSA. Det indebærer typisk en kombination af flere teknologier, så både indholdet, dets vej gennem internettet og både afsender og modtager er skjult for NSA.

Det kan eksempelvis være brug af Tor sammen med chatsystemet CSpace eller ip-telefonisoftwaren ZRTP.

Til gengæld er der ingen grund til at have høj tiltro til VPN-forbindelser, da NSA ifølge de lækkede oplysninger opererer med et omfattende system til at opsnappe og dekryptere trafikken i VPN-forbindelser. Det gælder både for PPTP og Ipsec.

Også den form for kryptering, de fleste internetbrugere støder på, nemlig SSL og TLS. Her opsnapper og dekrypterer NSA millioner af daglige forbindelser og er især interesserede i at få fat i brugernavne og adgangskoder.

Generelt ser der ud til at være lidt større vanskeligheder for NSA ved de krypteringsværktøjer, der er implementeringer af open source. Det fremgår indirekte af de lækkede dokumenter, at NSA arbejder på at svække kommercielle krypteringsteknologier.

Skype blev således kort før salget til Microsoft pålagt at give NSA adgang til data, som muligvis blev brugt til at udvikle en metode til at bryde krypteringen. I andre tilfælde ser det ud til, at NSA har forsøgt at påvirke udarbejdelsen af krypteringsstandarder.

NSA har dog også en dobbeltrolle, for efterretningstjenesten skal også hjælpe med at beskytte amerikanske interesser ved blandt andet at sikre, at der findes sikre krypteringsteknologier. Således har NSA spillet en rolle i udviklingen af AES, men arbejder også løbende på at bryde krypteringen.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (17)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Jimmy Thomsen

Artiklen bringer det ikke på banen, så jeg synes det er relevant at nævne, at TrueCrypt projektet er dødt. Jeg bruger det selv fra tid til anden, men på den lange bane ville jeg nok kigge efter alternativer. NSA råber næppe op når/hvis de bryder eventuelle TrueCrypt-specikke algoritmer.

http://en.wikipedia.org/wiki/TrueCrypt

Til langt det meste bruger jeg den indbyggede kryptering i OSX.

  • 3
  • 6
Jens Jönsson

med brugernavne/passwords. Er almindelig mennesker terrorister, banditter og det der er værre ?

Også den form for kryptering, de fleste internetbrugere støder på, nemlig SSL og TLS. Her opsnapper og dekrypterer NSA millioner af daglige forbindelser og er især interesserede i at få fat i brugernavne og adgangskoder.

  • 8
  • 0
Bent Jensen

Til langt det meste bruger jeg den indbyggede kryptering i OSX.


Som er lavet af et selskab som er underlagt patriark ark, og derfor er betalt eller tvungen til at lave bagdøre i din OS ?

Den lære vi har fået af frihedshelten Edward Snowden, er at alt det software som vi har stolet på er gennemhuldet, samt overvågning er totalt uden af probation. Så sætningen, "hvad har jeg som kan rage dem" ikke kan bruges, da de indsamler alt.

Så hvis du vil gemme din data om utroskab for din kone, er det sikkert fint.
Hvis du har firma data, meget "private" billeder, personlige mail, oplysninger om andre, udvikling og tegninger fra dit firma, skatte oplysninger eller unddragelser, bankoplysninger, password, brugernavne ........

og gerne vil beholde dette for dig selv.

Så vil jeg finde og bruge noget af det software som der er omtalt i artiklen.

Den bedste måde at støtte MS i deres sag om udlevering af data fra Irland, er at boykotte tjeneste og software fra USA, så det bliver så dyrt for dyrt for NSA og der USA at indsamle alle sidse data uhæmmet, uden hensyn til lov og ret.

  • 14
  • 0
Jens Jönsson
  • 3
  • 0
Nicolai Rasmussen

Tænkte det samme... Jeg sværger til SSH da den er gammel og virker relativ simpel/stand alone, og jeg ikke kan se så mange angrebs vektorer som med alternativer. Desværre er jeg ikke kompetent nok til at kunne kigge koden igennem. Det ville være rart om man kunne få det bekræftet via Snowden. Hvis nogen ved noget, eller har indsigt i koden ville det være rart med lidt info.

  • 4
  • 0
Henrik Madsen

Det er det jeg mener. Er de da terrorister ?

De skal jo ikke beskytte os mod terrorister. De skal spionerer på os, ikke en skid andet....

>SURT OPSTØD<

Men de kan jo af gode grunde ikke vide OM du er terrorist før de har gennemlæst alle dine mails og scannet din computer for at se om du har noget på den som kunne være relateret til terrorisme.

Lidt ligesom politiet jo heller ikke kan vide om du har narko oppe i endetarmen før de har haft en finger deroppe og mærke efter.

Det store spørgsmål er så, er vi som borgere interesseret i at vores computere scannes og vores endetarme probes fordi holdningen er at alle er skyldige indtil man har fastslået deres uskyld.

Jeg siger klart nej men så længe "vi" ikke er nok og så længe det skjules for os hvad der sker, så længe vil der ikke ske andet end at de fortsætter.

  • 8
  • 0
Knud Jensen

Så vil jeg finde og bruge noget af det software som der er omtalt i artiklen.

Nu er det snart 1.5 til 2 år siden han stak af med de dokumenter, så mon ikke de mangler man havde hos NSA dengang er blevet løst nu?
Jeg har i hvert fald svært ved at tro på at NSA bare har ligget i hængekøjen, efter de mistede listerne over hvad de kan og ikke kan.

Medmindre det virkelig var gode krypteringsteknologier, men det må vi vel vente med at få svar på, indtil den næste smutter med et par dokumenter.

  • 0
  • 0
Bent Jensen

Nu er det snart 1.5 til 2 år siden han stak af med de dokumenter, så mon ikke de mangler man havde hos NSA dengang er blevet løst nu?


Jo, det har man. De har udviklet kvantecomputer som kan knække alle koder.
Og beregne hvordan dit liv bliver alt efter om du tager den røde eller Blå pille, samt på hvilken sekund om morgen du skal stå op, for at holde mindst i kø.
Nu mangler de bare flere data at lægge ind, for at kunne få svarene og det er det de er igang med nu :-)

Samtidig med denne kolossale udvikling i mattematik og teknologi har de også haft en mand på mars. Men det har de ikke fortalt, da det vil afsløre deres teknologisk evne :-)

Nej, jeg tror ikke at fundamentale spørgsmål og dele i kryptering er brudt.
Men at fejl og bagdøre i software, samt "gammel" kryptering nu kan tydes.

For hvert 1.5 år med fordobling i computer hastighed, skal du lægge en bit til din kryptering. Så at gå fra 8/16 til 128/256 har købt os minimum omkring 200 år før de kan læse med.

  • 3
  • 3
Keld Simonsen

PGP og SSL benytter samme familie af sikkerhed nemlig X.500 certifikater, med forskellige valgbare krypteringsalgoritmer.

Skikkerheden i VPN med IPSEC brydes ved at NSA går ind på routene, siger Spiegel. Men en VPN er en krypteret kanal der køre end-to-end fra VPN-klient til VPN-host. NSA skal derfor bryde ind et af disse to steder, Ellers er kommunikationen sikker nok hvis VPN bruger SSL, som IPSEC gør.

Jeg kan forstå at NSA kan monitorere antal SSL forbindelser via HTTPS, men ikke at de kan bryde krypteringen, med mindre der er tale om dårlige certifikater.

Det samme med ssh, det må også være dårlige certifikater eller dårlige passphrases eller keylogningsteknikker, eller dårlig krypteringsalgoritme. Eller hur?

  • 1
  • 0
Bent Jensen

Det samme med ssh, det må også være dårlige certifikater eller dårlige passphrases eller keylogningsteknikker, eller dårlig krypteringsalgoritme. Eller hur?


Det var også det jeg prøvet at udtrykke.
Hvis protokol og software er laver sikkert og uden andre angribhuller, som en CISCO router eller andet software fra USA, så bør det være sikkert.
Dette er der meget dygtige matematikere som har bevist, selv som der findes genveje vil der stadig være brug for særdeles meget computerkraft for at bryde selv en meget "let" implanteret kryptering.
Det er også derfor at jeg holder på at vi skal prøve at kryptere alt, også video og andet Streaming, da det vil øge den mængde der skal gemmes og behandles fra NSA. Dette vil gøre det meget dyre, måske nær den grænse hvor det ikke kan betale sig.
Hvis det sker så kan de begynde at jagte rigtige terrorister, altså dem som springer bomber, i stedet for ALLE os andre borger.

Jeg mangler stadig at få et svar på hvor mange terrorister da har fanget, eller hvor mange angreb de har stoppet. Altså bortset fra dem hvor de selv har betalt for at agenter har opfordret til at bombe.
De vil nok komme med et svar som, " vi kan ikke afsløre noget sådan, det kan ødelægger vores kilder", som jo nok er rigtigt, hvis befolkningen vågnet op og opdaget hvor meget de er overvåget, vil de nok få det stoppet.

Men svaret på hvor mange er nok også tæt på nul, når man tænker på hvordan CIA og FBI og andre 3 bokstaver ellers altid kommer ud med deres succes om fangst, da dette jo er med til at vise deres berettigelse.

Når det ikke sker for NSA og de stadig får store summer af det Amirakanske statsbudget, så må det være deres Industri spionage der betaler gildet ?
Men så må vi andre stater og borger jo forsvare os ved at fravælge tjenester og hardware så meget som muligt, så denne politik bliver så dyrt som muligt for USA.

Så retssagen i Irland er meget vigtigt, hvis MS dømmes til at udlevere data, så må konsekvensen være at MS ikke kan være at finde i offentlige tjenester i EU, og man som firma også overveje om man også tør bruge dem. Sammen med Google, Facebook, IBM, CISCO, INTEL.....

  • 2
  • 0
Finn Christensen

openSSL biblioteket sandsynligvis er kompromiteret

Grimt år for openSSL og mange patches i efteråret. Har man opdateret, så er der vist pt. lukket af igen.. her er OpenSSL vulnerabilities https://www.openssl.org/news/vulnerabilities.html

Og undersøg lige samt fjern evt. checkmærke for "SSL 3.0 handshake" i din klint. Usikkert gammelt skrammel som du ikke har brug for i dag - se evt. CVE-2014-3568 af 15. October 2014

  • 4
  • 0
Log ind eller Opret konto for at kommentere
IT Company Rank
maximize minimize