Je SSL/TLS navržené záměrně slabě?

[kdokoliv]

Jak hodnotite absenci podpory vicenasobnych soukromych klicu pro jeden par klient - server u TLS spojeni?
Kolik rozdilnych overenych a povolenych soukromych klicu soucasne povazujete pro ten stejny par klient - server povazujete za primerenou miru anonymity v pripade prolomeni sifrovani s vynucenim si nutnosti lamat dalsi nahodne vybrany overeny klic vs. primereneho zabezpeceni tim, ze nebude prilis mnoho povolenych klicu?

A nebavim se ted o session klicich a reinicializaci, ale prave o obdobe ~/.ssh/authorized_keys a ~/.ssh/config
Host *
IdentityFile ~/.ssh/a
IdentityFile ~/.ssh/b
IdentityFile ~/.ssh/c
...

[Reklama]

[Sten]

Použití více šifer v sobě zvyšuje bezpečnost jen omezeně, často je naopak kontraproduktivní a nakonec stejně záleží hlavně na první vrstvě. Nevím, co mají klíče společného s anonymitou, to asi spíš hledáte Perfect Forward Secrecy nebo Off-the-Record Messaging.

TLS (i SSH) používá ty dva páry klíčů jen pro vygenerování symetrického klíče, vše ostatní se již šifruje tím symetrickým klíčem, protože je to výrazně rychlejší.

[kdokoliv]

Ano je to narazka na tu matematickou lez "Perfect" Forward Secrecy, ktera je cokoliv jen ne perfect, ale spis SuperResistant Forward Secrecy a jakym zpusobem ji obejit, kdyz ani ssh nevybira z vice identity klicu nahodne. Kolik lidi si je toho vedomych.

[Sten]

Ano je to narazka na tu matematickou lez "Perfect" Forward Secrecy, ktera je cokoliv jen ne perfect, ale spis SuperResistant Forward Secrecy a jakym zpusobem ji obejit, kdyz ani ssh nevybira z vice identity klicu nahodne. Kolik lidi si je toho vedomych.

Jakým způsobem obejdete PFS, když používá jednorázové klíče?

[kdokoliv]

obejitim PFS. treba slovnikovym utokem na KEX.

citaci z te wiki stranky utokem na "where the long-term secrets are private keys"
bude to chtit kupu datacenter... mozna tolik kolik jich ma NSA...

[Reklama]

[Sten]

obejitim PFS. treba slovnikovym utokem na KEX.

citaci z te wiki stranky utokem na "where the long-term secrets are private keys"
bude to chtit kupu datacenter... mozna tolik kolik jich ma NSA...

To rovnou můžete prolomit i těch pár dalších soukromých klíčů, nárůst složitost v řádu jednotek je v kryptografii nepoužitelný.

[kdokoliv]

vychazim z toho, ze ten utok neni 100% ale jen pravdepodobnostni a ta pravdepodobnost se zvysuje s tim, jak se opakuji vzory v prenasenych datech, takze pri 365 spojenich rocne a 365 jednorazovych soukromych klicich se mi bude darit drzet pravdepodobnost uhodnuti reinicializovaneho session key nepouzitelne nizko zatim co pri znovu-pouziti to nemusi byt zdaleka tak jednoznacne.

[Sten]

vychazim z toho, ze ten utok neni 100% ale jen pravdepodobnostni a ta pravdepodobnost se zvysuje s tim, jak se opakuji vzory v prenasenych datech, takze pri 365 spojenich rocne a 365 jednorazovych soukromych klicich se mi bude darit drzet pravdepodobnost uhodnuti reinicializovaneho session key nepouzitelne nizko zatim co pri znovu-pouziti to nemusi byt zdaleka tak jednoznacne.

Ty soukromé klíče se používají jen pro D-H, ne pro přenášená data. Těch dat, ze kterých by se to dalo louskat, je velmi málo, i kdybyste měl stovky přenosů denně.

Btw. u PFK by nemělo jít uhodnout session key podle předchozích session key, jinak to není PFK

[kdokoliv]

hacek je v tom, ze tam nikde neni schovane nekonecno, takze je jistota, ze s objemem dat blizicim se k nekonecnu pujde pri absurdnich investicich dosahnout pravdepodobnosti blizke 100% sance uhodnuti... takze je potreba zborit tu moznost sesbirat neco blizkeho nekonecnu dat. a jednorazove klice asi nejsou taky uplne to spravne reseni. ale spis nahodna jednorazovost s tim, ze ostatni se muzou pouzit znovu.

[Sten]

hacek je v tom, ze tam nikde neni schovane nekonecno, takze je jistota, ze s objemem dat blizicim se k nekonecnu pujde pri absurdnich investicich dosahnout pravdepodobnosti blizke 100% sance uhodnuti... takze je potreba zborit tu moznost sesbirat neco blizkeho nekonecnu dat. a jednorazove klice asi nejsou taky uplne to spravne reseni. ale spis nahodna jednorazovost s tim, ze ostatni se muzou pouzit znovu.

PFS je tak bezpečné, jak bezpečné je RNG, které používá. Pokud se bojíte prolomení PRNG běžných operačních systémů, použijte něco pořádně náhodného. (Btw. PFS používá de facto jednorázové klíče, které se pouze vymění pomocí D-H šifrovaného asymetickou šifrou.)

Střídání klíčů navíc nezpůsobí prolamujícímu korupci vstupních dat, protože na začátku každého přenosu se přenese veřejný klíč (aby druhá strana věděla, čím má vlastně šifrovat D-H), takže je celkem triviální seskupit jednotlivé komunikace podle použitých klíčů.

Mimochodem SSL ani SSH nijak nespecifikují, odkud se mají ty klíče získat, to je věc implementace. Klidně můžete mít množinu klíčů a pro každý přenos vybrat jeden náhodně.

[win]

Ja ale neresim primarne bezpecnost RNG, ale odstraneni steganograficke nadstavby nad SSL/TLS. S prechodem od IPv4 NAT k IPv6 a to nejen mobilni roaming, ale vcetne te lzi nazvane IPv6 privacy.

[Sten]

Ja ale neresim primarne bezpecnost RNG, ale odstraneni steganograficke nadstavby nad SSL/TLS. S prechodem od IPv4 NAT k IPv6 a to nejen mobilni roaming, ale vcetne te lzi nazvane IPv6 privacy.

Jaké steganografické nadstavby? TLS se nijak nesnaží skrývat.

Co je na IPv6 Privacy Extensions lživého?

[Jenda]

Chápu správně, že ti jde o útok, který by ze znalosti velkého množství podepsaných a/nebo zašifrovaných zpráv umožnil zlomit klíč? Myslím, že bude podobně nepravděpodobný, jako útok, který by ze znalosti jedné této dvojice umožnil prolomit jeden klíč z tisíce, kdy zase tvé řešení jasně uškodí.

[Zopper]

je potreba zborit tu moznost sesbirat neco blizkeho nekonecnu dat.

No, nějak mi hlava nebere, jak chceš během jednoho roku (než starý pár klíčů zahodíš a vytvoříš nový) vygenerovat nekonečně dat.

[kdokoliv]

vychazim z toho, ze me nezajima minula komunikace, ale jde o systematicky sber pres vsechny uzivatele s cilem ziskat server key a podvrhnout falesny server s duveryhodnym server key.

z rng mi nikdy nevyleze nekonecno, protoze je oriznuty velikosti pouzitou v protokolu. takze kdyz mam jednoznacne roztridene uzivatele podle adresy, tak mam i jednoznacne roztridene kex a melo by jit snaz hadat server key kdyz posbiram co nejvic neznamych pocatecnich session key a vysledku jejich sifrovani a mam je predtrizene do skupin podle IPv6 ktera je svazana s neznamym ale stalym privatnim user key. pokud je ten utok dostatecne dlouhy a systematicky, tak tam ta sance musi rust bez ohledu na silu rng.