Тяжело сгонять муху курсором с монитора.

Почему программисты не заливают в машину 95-ый бензин? ...

Опубликован официальный перевод лицензий Creative Commons 4.0
Fri, 20 Apr 2018 18:02:54 +0300

Проект Python представил новый каталог пакетов PyPI и пакетный менеджер Pip 10
Thu, 19 Apr 2018 09:09:58 +0300

Крис Лэм переизбран на пост лидера проекта Debian
Thu, 19 Apr 2018 08:19:28 +0300

Microsoft представил IoT-платформу Azure Sphere на базе ядра Linux
Tue, 17 Apr 2018 08:22:44 +0300

Заморозка пакетной базы Debian 10 "Buster" намечена на март следующего года
Mon, 16 Apr 2018 23:57:53 +0300

Ядро Linux достигло 6 млн git-объектов, что могло бы стать хорошим поводом для выпуска 5.0
Mon, 16 Apr 2018 12:01:38 +0300

В следующем выпуске Android появится поддержка "DNS over TLS"
Sat, 14 Apr 2018 12:39:43 +0300

Организация утечки данных через линию электропередач
Thu, 12 Apr 2018 11:29:11 +0300

Результаты тестирования AV1 в Facebook. Новый формат JPEG XS
Wed, 11 Apr 2018 21:47:59 +0300

Microsoft открыл код классического файлового менеджера Windows
Mon, 09 Apr 2018 18:43:18 +0300

В Debian добавлена поддержка 64-разрядной архитектуры RISC-V
Mon, 09 Apr 2018 13:02:36 +0300

NVIDIA упразднит поддержку архитектуры Fermi
Sun, 08 Apr 2018 00:50:11 +0300

Инициатива совместного финансирования OpenNET оказалась успешной
Sat, 07 Apr 2018 13:25:55 +0300

Опубликован метод создания скрытых каналов связи в WiFi
Thu, 05 Apr 2018 19:50:29 +0300

Пояснение про сбор средств на продолжение существования проекта OpenNET
Tue, 03 Apr 2018 15:49:14 +0300

Новости OPENNET
Новости

Группа исследователей безопасности из Рурского университета опубликовала сведения о недоработках протокола в системе групповых чатов WhatsApp, позволяющих при получении доступа к серверу организовать прослушивание закрытого чата, несмотря на применение оконечного (end-to-end) шифрования на стороне участников чата. Таким образом, поставлена под сомнение способность групповых чатов WhatsApp обеспечить тайну переписки в случае компрометации инфраструктуры, диверсии персонала или предоставления доступа спецслужбам.

Принцип работы группового чата WhatsApp и Signal сводится к тому, что каждый участник чата шифрует все отправляемые сообщения на своей стороне и рассылает всем участникам чата, используя групповой ключ. Каждый участник имеет подобный ключ, позволяющий остальным читать его сообщения (т.е. вместо создания ключей для всех связей в группе, создаются групповые ключи для каждого участника). При подключении нового участника, члены группы обмениваются новыми групповыми ключами.

Слабой стороной WhatsApp является то, что участие в чате координируется сервером и каждый новый пользователь, который получил от сервера полномочия участия в чате, обретает возможность получения и отправки сообщений каждому участнику чата. В случае контроля за сервером можно обходным путём без получения пригласительного кода от члена группы добавить в группу фиктивного участника, который сможет установить end-to-end соединения со всеми остальными участниками и получать отправляемые в чат сообщения.

В мессенджере Signal недоработка связана с отсутствием проверки факта участия в группе пользователя отправившего управляющее сообщение c включением нового участника в группу. Данная особенность позволяет любому пользователю Signal отправить служебное сообщение с включением участника в группу, но для этого участник должен определить секретный идентификатор группы (128-разрядное случайное значение), узнать который нереально, даже имея доступ к серверу (идентификатор передаётся между участниками только в зашифрованном виде).

В WhatsApp сервер принимает большее участие в организации работы группы и не использует end-to-end шифрование для служебных сообщений управления группой, что позволяет на сервере перехватить идентификатор группы. Таким образом при наличии контроля за сервером WhatsApp можно определить идентификатор группы и инициировать подключение нового участника в чат, без ведома текущих членов группы.

Moxie Marlinspike, один из авторов протокола Signal, скептически отнёсся к практической пользе от атаки на групповой чат, так как все участники группы получат уведомление о подключении нового участника и скрыть данное уведомление не получится, так как связь с каждым новым участником устанавливается на стороне клиента, а сервер лишь обслуживает метаданные и не имеет доступа непосредственно к переписке. Кроме того, атакующий сможет перехватить только новые сообщения, отправленные после его подключения к чату, все ранее отправленные в группу сообщения останутся зашифрованы ключами, недоступными атакующему.

Данный подход оценивается как разумный компромисс между безопасностью и удобством работы. Например, в Telegram в групповых чатах к сообщениям вообще не применяется end-to-end шифрование и шифруются лишь потоки трафика между клиентом и сервером. В такой ситуации при наличии доступа к серверу можно полностью контролировать всю переписку, включая возможность просмотра ранее отправленных в чат сообщений, и делать это незаметно для участников чата.

Тем временем, Facebook, который владеет сервисом WhatsApp, опубликовал на GitHub реализацию нового протокола ART (Asynchronous Ratcheting Tree) для создания защищённых групповых чатов. В протоколе используется end-to-end шифрование и гарантируется конфиденциальность передаваемых сообщений. Прототип реализации написан на языке Java и поставляется под лицензией CC-BY-NC. В отличие от систем групповых чатов, подобных Signal, WhatsApp и Facebook Messenger, в ART предоставляется защита от подслушивания в случае компрометации одного из участников. Например, если кто-то получил контроль за одним из участников чата, в Signal он cможет прослушивать все дальнейшие разговоры группы.

Для решения этой проблемы в ART предложено использовать асимметричные предварительные ключи в сочетании с асимметричным одноразовым установочным ключом, которые позволяют в любой момент выполнить обмен новыми ключами для неполного набора участников и сохранить безопасность даже если некоторые участники не находятся в online или скомпрометированы. Установочный ключ генерируется создателем чата и используется только в процессе создания сеанса, давая возможность лидеру группы создать секретные ключи для участников, находящихся в offline.

60.8583 75.4034 0.5669 9.6928

НОВОСТИ: Выпуск платформы обмена сообщениями Zulip 1.8 Wed, 18 Apr 2018 21:19:14 +0300

Состоялся релиз серверной платформы Zulip 1.8, предназначенной для развёртывания корпоративных мессенджеров для организации общения сотрудников и групп разработчиков. Проект изначально был разработан компанией Zulip и открыт после её поглощения компанией Dropbox под лицензией Apache 2.0. Код серверной части написан на языке Python с использованием фреймворка Django. Клиентское ПО доступно для Linux, Windows, macOS, Android и iOS, также предоставляется встроенный web-интерфейс.

???????@Mail.ru Opera Firefox INFOBOX - хостинг Google Chrome