Тейлор Хорнби (Taylor Hornby) продолжил исследование криптостойкости открытых систем дискового шифрования и опубликовал (https://defuse.ca/audits/ecryptfs.htm) результаты аудита подсистемы eCryptfs (http://ecryptfs.org/), входящей в состав ядра Linux. По результатам проверки сделан вывод, что процесс шифрвоания в eCryptfs организован заметно лучше, чем в ранее проанализированном (http://www.opennet.me/opennews/art.shtml?num=38869) EncFS. Тем не менее, архитектура eCryptfs не избавлена от отдельных недочётов, свидетельствующих о том, что её проектированием занимался не профессиональный криптограф и, что код проекта не подвергался серьёзному аудиту безопасности. Всего выявлено три недочёта, которые отмечены как незначительные. В итоге, eCryptfs признан безопасным для использования, но разработчикам даны рекомендации по проведению более детального аудита.
URL: https://defuse.ca/audits/ecryptfs.htm
Новость: http://www.opennet.me/opennews/art.shtml?num=38911
Судя по его резюме диплом пишет ( степень научную получает ) :). Наверняка в Канаде такие же требования что и в России по опубликованным работам.
Project & Code — PHP, PHP, PHP.
> Мать вашу, "исследование"... Пиарится чувак.Ну ок. Ждём исследование от известного, в мире криптографии, специалиста «клоуна Стаканчика».
> Если быть, то быть лучшим. Если делать, то на 110%.что ж вы так, даже чаю не попьёте?
> Если делать, то на 110%.Истинный стахановец.
> Истинный стахановец.Стакановец.
>> Истинный стахановец.
> Стакановец.Не-не-не, к труханчикам и прочей нечисти.
> Если быть, то быть лучшим. Если делать, то на 110%.вот же наверное будет облом, если узнаешь что то что ты делаешь лучше всех (как тебе кажется) -- это всего-лишь не более чем эффект Даннинга-Крюгера :-)
то есть -- окажется что всё что ты делаешь это либо ничего либо говно :)
> быть, то быть лучшим. Если делать, то на 110%.Поэтому пока вы являетесь лучшим в номинации "мозговая проститутка". Единственная проблема - не очень почетная номинация.
p.s. а в винде ваш битЛОХер вообще заведомо дырявый: админ (ну и АНБ, вестимо) может незаметно подпихнуть "backup certificate" и ненавязчиво все сбэкапать. Нивелируя наличие шифрования.
>Если быть, то быть лучшим. Если делать, то на 110%.Ну и в чём же ты лучший и выдаёшь означенный процент?
Надеюсь ответ не только "сру на оппеннете"?
Напишите, кто разбирается, что за недочеты то?
Лучше, но не фатально. В том плане что стойкость остается как минимум равна стойкости пароля. Хотя новая соль испортит лишний раз жизнь любителям радужных таблиц.
> Лучше, но не фатально. В том плане что стойкость остается как минимум
> равна стойкости пароля. Хотя новая соль испортит лишний раз жизнь любителям
> радужных таблиц.По-моему, про радужные таблицы давно пора забыть, кроме случаев, когда пространство входных значений функции крайне мало (des, lm, ... ?).
Вольный пересказ более-менее значимых пунктов:2.1. Сохранение соли при смене пароля.
Не является большой проблемой, однако лучше генерировать и новую случайную соль.2.2. Векторы инициализации - MD5 хеш от сессионного ключа (используется только для одного файла) и смещения.
Лучше использовать режим CBC ESSIV или XTS.Также, при использовании режимов вроде GCM или CTR, эта мера не спасёт от "атак", указанных ниже [п. 3.1.].
2.3. При шифровании имён файлов не используются векторы инициализации.
Точнее используются, но являются статичными для файла, так как получены как хеш от сессионного ключа.3.1. В списке рассылки были обсуждения перехода на другие режимы, типа GCM или CTR.
Это, по сути, "сломает" eCryptfs, так как ключевой поток перестанет быть зависимым от открытого текста. Т. о., XOR закрытых текстов (снапшотов, например) будет равен XOR открытых текстов.
> требующий проведения более детального аудитаWe need more minerals.
Старыч реально лучшая стратега после вархаммера.
Почему про тесты truecrypt нет новостей?
В процессе: http://www.opennet.me/opennews/art.shtml?num=38259
Можете подкинуть свои тэнге на проведение анализа: http://habrahabr.ru/post/201408/
Цель аудита пиар что ли. Я это к тому что он провел аудит сделал выводы поделился ими, мол оно работает но требует еще большего аудита. Это тоже самое что "Мы копали копали а оказывается надо было глубже"
> Цель аудита пиар что ли. Я это к тому что он провел аудит сделал выводы поделился ими, мол оно работает но требует еще большего аудита. Это тоже самое что "Мы копали копали а оказывается надо было глубже"А вы почитайте отчеты по государственным грантам на прикладные науки, особенно физику ;)
И что в них такого?