Nyhetsbrevet Emailsynaren Nr 9, 2001-08-28

Nyhetsbrevet får citeras och användas helt eller delvis, under förutsättning att hänvisning sker till:

http://hem.fyristorg.com/emailsynaren
eva.marie.andersson@work.utfors.se

Avanmälan av nyhetsbrevet sker från hemsidan.

Anmälan ny prenumerant:
http://hem.fyristorg.com/emailsynaren/nyhetsbrev.html

Avanmälan av nyhetsbrevet:
http://hem.fyristorg.com/emailsynaren/avan.html

Sänd gärna kommentarer eller synpunkter, som jag kan följa upp i efterföljande nyhetsbrev.

Innehåll i detta nummer

1. Tema: Kryptering för kopieringsskydd fungerar inte
2. SC-Magazine, augustinummer tema ”E-mail SECURITY”
3. Datormagazin programmeringstävling 2001
4. Program som håller reda på vad man gör (vad andra gör?)
5. Attack mot Echelon 21 oktober
6. Baltimoore Technologies säljer sin E-mailsäkerhetsgrupp
7. Få krypterar sina e-mail
8. Elektroniska signaturer har floppat
9. Var med och knäcka krypton
10. Ny metod att hacka Hotmail för X-gången
11. Tävling att knäcka RSA-algoritmen

1. Tema: Kryptering för kopieringsskydd fungerar inte

Jag får mängder med olika frågor runt kopieringsskydd med kryptering. Krypterade böcker, filmer och musik. Inga av de här skydden fungerar speciellt bra och det kommer alltid att finnas möjlighet att gå runt.

Grundprincipen och naturliga egenskapen med kryptering, är att skydda sig mot obehöriga, inte behöriga. När någon får tag i informationen så går den inte att läsa (se eller höra) för informationen är krypterad, hur svårt för obehörig att dekryptera beror på krypteringsmetod. Idag finns det flera krypteringsmetoder som samlad expertis anser, att förutsatt säker nyckelhantering sker, är oknäckbara (t.ex. Blowfish och AES/Rijndael).

Den stora skillnaden när det gäller användande av kryptering för t.ex. musik, böcker och filmer är att mottagaren är behörig (Den som kanske kommer kopiera). Naturligtvis nöjer sig inte mottagaren med ett krypterat exemplar utan vill ha det hela med bästa kvalitet i klarformat åtminstone vid upplevelsetillfället. I och med man i slutändan levererar i klarformat är själva krypteringsproceduren helt meningslös (utom för själva distributionen).

Den teknik som används sedan är olika program eller apparater som krävs att man använder för att lyssna, läsa eller se informationen. Säkerheten blir då inte krypteringen utan apparat/programsäkerheten. Apparat/programsäkerheten kan i sin natur aldrig bli speciellt säker i detta område.

Lite krasst kan man när man lyssnar på musik (Trots allt tänkbart skydd), naturligtvis spela in det man hör med hjälp av digital inspelningsutrustning (eller analog). Den nya inspelningen som finns i ett exemplar kan man sprida till ”hela” världen. Filmen kan spelas in på videokamera, boken kan kopieras, fotograferas osv. Det är förstås en kvalitetsförsämring men en lösning. Går man på djupet i sitt program eller apparat har du i något läge ”klartext” binärt 1 och 0, som kan kopieras helt utan kvalitetsförlust.

Kryptering som kopieringsskydd tycker jag är bara att glömma, det finns bättre och smartare metoder för detta ändamål. Hela denna industrisektor måste tänka i nya banor och förstå ny tekniks möjligheter och hot. Hur man bör göra vill jag inte skriva i ett halvpublikt nyhetsbrev.

 
2. SC-Magazine, augustinummer tema ”E-mail SECURITY”

Världens ledande tidning för datasäkerhet SC-Magazine (Secure Computing Magazine) http://www.westcoast.com augustinummer är inriktat på Emailsäkerhet.

Förutom allmänna risker och problem, i huvudsak likande den information som finns på Emailsynaren testas en mängd olika säkerhetsprogram och de bästa publiceras i tidningen.

SafeIT emailkryptering som jag rekommenderar kommer också tidningen fram till och ger 5 stjärnor. SafeIT får deras speciella SC-Recommended tillsammans med ytterligare ett program. Artikeln och testen betonar användarenkelheten. SafeIT är också nominerade i bl.a. klassen bästa emailsäkerhetsprodukt för år 2001.
http://www.westcoast.com/securecomputing/2001_08/testc/prod2.html#SafeIT

En hel del andra mycket bra program testades också. De flesta andra programmen är olika emailfilter, där man tar bort inkommande email enligt inställda specifikationer. Flera bra virusskydd provades.

Några som är värda att titta mera på är:

Antigen for MS Exchange, http://www.sybari.com scanningprogram av emailbox.

DespatchBox Datadelivery Client, http://www.despatchbox.com säkerställer att man inte skickar fel information till fel mottagare. Riktigt hur det fungerar har jag inte förstått. Programmet fick också SC-recommended.

IM Message Inspector, http://www.internetmanager.com, filterprogram för att få bort oönskade email med virusskydd.

Mailrecall, http://www.harrier.com, Program som avsändaren av email kan bestämma om vilka mottagare skall kunna läsa, skriva ut, ctrl+C och/eller skicka forward. Jag har inte satt in mig i tekniken.

Mailsweeper for SMTP, http://www.baltimoore.com/mailsweeper, Program för att ställa in vilka inkommande mail som företaget vill blockera (läs spam, musik, filmer m.m.)

TFS Secure Messaging, http://www.tfstech.com, det är produktbolaget efter uppdelningen av Tenfour. Produkten kan göra ganska mycket med email, lagra scanna virusskydda m.m.

3. Datormagazin programmeringstävling 2001

Datormagazin (http://www.medstroms.se) har haft en programmeringstävling där 129 program deltog, en del riktigt intressanta både som hot och möjlighet. Samtliga program var med tidningen för nummer 7 (juli), jag vet inget annat sätt att få tag i programmen än att köpa tidningen, men flera kommer förmodligen komma ut på downloadsportaler.

Några av de bästa programmen är:

Advanced Data Recovery (1:a). Programmet är till för att återskapa raderad information. Tre olika metoder används. Programmet är användbart på två sätt, dels kontrollera om information som man tror är raderad finns kvar, dels få tillbaka ”förlorad” information.

FilelnFile. Programmet gömmer information i bilder. I vissa länder där det är olagligt att kryptera kan det givetvis vara bra att gömma t.ex. text i en bildfil.

Grahns Klienten. Välgjort fjärrstyrningsprogram. Den här typen av program är livsfarliga om de är olovligt installerade i andras datorer. Samma typ som Netbus och Back-Orfice.

IP Port Scanner. Söker efter öppna datorportar. Livsfarligt program och sannolikt olagligt att använda på andras datorer. Däremot bra att testa egna brandväggar med.

Instant Lock. Det här programmet loggar inloggningsförsök. Bra om man misstänker oreda hos nattpersonal.

Password Safe. Ett program att håla reda på alla olika passord.

Trojan Hunter 1.0 . En typ av virusprogram, men helt inriktat på att leta trojaner som finns på hårddisken.

 
4. Program som håller reda på vad man gör (vad andra gör?)

Det har senaste tiden skrivits i olika media i olika situationer om program som håller reda på vad datoranvändare gör exakt, vilka knapptryckningar som sker. En slags inspelning. Används det olovligt på annans dator avslöjas allt, lösenord, vilka sidor m.m. Oftast går det också att dölja att programmen finns.

I USA har FBI bl.a. fått fram PGP-krypterad information i mål mot en maffialedare. Man vägrar tala om vilket program men det är av denna typ i vart fall.
http://nyheter.idg.se/print.asp?ID=010808-CS12
http://www.nytimes.com/2001/07/30/technology/30TAP.html
http://www.epic.org/crypto/scarfo.html

I Expressen är det inte maffia som gäller utan svartsjuk partner eller den misstänksamma chefen, men samma kategori program. http://www.expressen.se/article.asp?id=75291

Det finns en uppsjö av den här programsorten, flera kan man hitta på http://download.com och http://zdnet.com

Här är några exempel:

SpyCapture 1.0.2 , http://www.tsm-soft.com
Spectrosoft , http://www.spectorsoft.com
PC Security CAM 4.0 http://www.stellarock.com
Keyspy http://download.cnet.com/downloads/0-10105-100-6559970.html?tag=st.dl.10105-106-1.lst-0-20.6559970

 
5. Attack mot Echelon 21 oktober

Olika IT-aktivister avser att göra en Echelon-attack 21 oktober. Principen är att skicka en massa email med Echelonkeywords. Vill du vara med så hittar du lämpliga ord att skriva på http://www.attrition.org/attrition/keywords.html. Echelon tros söka efter just olika nyckelord och vitsen är att US-spionsystemet skall bli överbelastat.

Eftersom ”alla” känner till att det är 21 oktober, lär väl även NSA känna till detta och förmodligen stänger av systemet denna dag.

 
6. Baltimoore Technologies säljer sin E-mailsäkerhetsgrupp

Ett av världens främsta IT-säkerhetsföretag skall sälja sin e-mailsäkerhetsgrupp. Anledningen är ett renodlings och ekonomiskt struktureringsprogram.
http://www.europemedia.net/shownews.asp?ArticleID=5230

 
7. Få krypterar sina e-mail

I en bra artikel konstaterar John Fontana att nästan ingen krypterar sin e-mail, och att det inte finns lämpliga program för detta.
http://www.nwfusion.com/archive/2001/123782_08-13-2001.html

SafeIT anser jag klarar användarvänligheten, men senaste uppgiften jag hörde var användarbasen ca 250.000 personer, vilket är en försvinnande liten del av totala antalet internetanvändare.

 
8. Elektroniska signaturer har floppat

Marknaden har totalt missberäknat utvecklingen på detta område. Det har gjorts extremt stora satsningar, nya lagar, men ingen kommer någon vart egentligen. Hittills är det en extrem flopp om det i framtiden kommer lyckas återstår att se.

Till PKI:s försvar kan man möjligen säga att det inte kommit igång något bra och prisvärt system för utgivning av ID-kort med elektronisk identitet och att det florerar parallella system. Rent matematiskt är utgivningen egentligen bagatellartad.

Jag anser att det finns två grundproblem 1. användarna förstår inte tekniken med PKI 2. Utgivning av certifikat har ingen tillit.

Handen på hjärtat så tror jag det är få i vårt land som hellre har en elektronisk signatur än en skriftlig på sitt avtal, om det skulle bli aktuellt att gå till domstol.

Nu hör väl inte jag till PKI-optimisterna. November år 2000 skrev jag i nyhetsbrevet varför elektroniska signaturer saknar rättsvärde. http://hem.fyristorg.com/emailsynaren/nyhetsbrev/001117.html

Posten stoppar utgivning av elektroniska ID http://nyheter.idg.se/display.asp?ID=010728-CS4

 
9. Var med och knäcka krypton

Vill du ansluta dig och låta din dator vara med och testa kryptonycklar, så kan du ansluta dig till http://www.distributed.net. Det är idag 1.000-tals datorer som samkörs och man räknar med att datakraften uppgår till 160.000 pentium II:or i genomsnitt 24 timmar per dygn.

MEN, använd inte arbetsgivarens dator. I USA hotas en f.d. anställd av 15 års fängelse efter använt den på liknande sätt http://nyheter.idg.se/display.asp?ID=010730-CS1

 
10. Ny metod att hacka Hotmail för X-gången

Jag hoppas att mina läsare förstår att webemail inte är säkert och synnerligen utsatt är Hotmail.

Instruktion om senaste metoden finns här:
http://rootcore.can-host.com/files/hackhotmail.txt

 
11. Tävling att knäcka RSA-algoritmen

RSA har utlyst en tävling där man får en belöning på 200.000 USD om man knäcker 2048 bitars nyckel.
http://www.rsa.com/rsalabs/challenges/factoring/index.html

Jag tror det är möjligt men prissumman är löjligt låg i förhållande att detta är världens mest använda algoritm, och den resurs som behövs.

Om jag erhöll minst 30 Mkr upfront, så skulle det vara intressant att starta ett projekt för detta, inte på chans för en struntsumma i sammanhanget.

Teorier för detta finns här: http://hem.fyristorg.com/emailsynaren/nyhetsbrev/010215.html

___________________SLUT___________________