Mensajes

Si Dios es amor perfecto, y el demonio es lo contrario, en realidad y dado que esa deidad lo sabe todo (es uno de sus atributos), entonces el sabía perfectamente que Lucifer se rebeñaría. Con lo que al final el demonio solo está cumpliendo al pie de la letra el papel que le han dado y cumpliendo las ordenes.

Es decir, que el mal, el diablo y el infierno serían igualmente creaciones divinas. 

Buena anotación

El amor y el odio forman parte de la lista de dualidades, como el bien o el mal, la paz o la guerra, la vida o la muerte. Es raro, pero el ser humano a lo largo de su transcurso, siempre participa en ambos bandos.

P.D = Al que ha dicho lo de que el amor es fruto de inpulsos eléctricos, es cierto, pero no serás tu uno de esos que rechaza la líbido humana y que si pudieran cortarse el ... lo harían (xD), existe un colectivo que demanda este tipo de cosas, tienen web pero ya no me acuerdo de su nombre.

Saludos!

Buenas,

el Framework de .NET no dispone de un método nativo para listar las entradas de la tabla ARP (creo). En C++ siempre he empleado la función https://msdn.microsoft.com/es-es/library/windows/desktop/aa365956.aspx . Tendrás que hacerle un Pinvoke administrado.

Saludos!

Al parecer es un error en el código suministrado por Intel a las manufacturadoras, siendo el mercado de los pórtatiles el más afectado.

Lo más interesante es que según Intel esta vulnerabilidad ya fue parcheada, pero los manufacturadores no disponían de dicho parche. Tocará actualizar el firmware a las placas base afectadas. Basta con instalar un HIPS para detectar el lanzamiento del exploit, si nos quisieran infectar claro.

Saludos!

Sin duda un golpe mas para la seguirdad de millones de usuarios, mediante fuerza bruta y algunos otros vectores de ataques! logran conseguir llaves privadas para el cifrado de los teléfonos Android con procesador Qualcomm

Desde la version 5 de android, Google implemento el cifrado completo del "disco" en sus terminales usando el password del usuario para crear una clave RSA de 2048 bits la cual ea guardada en la trustzone para cifrar el disco.

Pues bien mediente varias vulnerabilidades el atacante  es capas de extraer esta llave privada y mediante un proceso de fuerza bruta obtener asi el password del usuario.

Mas info: http://thehackernews.com/2016/07/hacking-android-encryption.html?m=1

Si en Ingles!!

Saludos!

Que verguenza lo del crackeo de las RSA keys. No estoy muy puesto con el FDE (Full Disk Enc.) pero Apple les lleva ventaja, puesto que han hecho un buen Whiteboxing. El tema es que las claves tendrían que ser accesibles sólo mediante módulos criptográficos seguros, limitando el alcance del ataque, haciéndolo más lento, costoso y objetivo.

Por ejemplo, haciendo ing. inversa, el investigador se dio cuenta que aquí se descifraba la private key RSA del terminal:



La private key es necesaria para asegurar la integridad del cifrado (cifrando el hash de la password), por lo tanto, el ataque sería inútil si tuvieramos la clave de cifrado pero no la private key, y viceversa.

El post completo lo encontrareís aquí -> http://bits-please.blogspot.com.es/2016/06/extracting-qualcomms-keymaster-keys.html

Saludos!

Buena PoC. El tema es que ECB nunca debería ser utilizado ya que cada bloque es tratado de forma independiente al resto, dándo poder a un atacante de clasificar los bloques (ej: bloque 1) usuario bloque2) contraseña bloque3) saldo de la cuenta etc). Como veís ECB no ofrece confidencialidad en la sesión, ya que, a parte de lo previamente expuesto, dos plaintexts iguales generan el mismo ciphertext.

La gracia está en que los bloques se encadenen como en CBC, CFB o CTR.

Saludos!

Hola Hason,

ya sabía de tu historia hace un año, aunque veo que al publicarla se ha viralizado. Como el resto de usuarios, me gustaría ayudarte. Yo también fumo normalmente para calmarme, me concentra y soy capaz de estar horas y horas resolviendo problemas matemáticos, programando, reflexionando, estudiando... simplemente me fusiona con el entorno, pero como bien dicen nuestros compañeros, abusar es malo, y 4-5 diarios BIEN REPARTIDOS no es problema El deporte es la mejor via de exteriorizar nuestros impulsos, rabia, ira, estrés etc y no el fumar, te recomiendo que hagas deporte o lo intentes.

Volviendo al tema de la tecnología, si quieres compartir algun privado conmigo exponiendo pruebas, información, lo que sea podré revisarla y opinar desde el respeto y la seriedad, no me voy a burlar, si vivieramos cerca podría realizar un peritaje de tus equipos a bajo nivel, pero lo veo imposible a distancia.

Mis soluciones son las siguientes (soluciones algo paranoícas pero óptimas) :

- El firmware del hardware de tus equipos puede estar comprometido. Por lo tanto recomiendo hardware libre, como la RaspBerry o similares. Si necesitas el PC desconéctalo de internet antes de encenderlo y utilizálo, jamás lo vuelvas a conectar porque tu información corre riesgo.

- El firmware de tu router puede estar comprometido. Ojo, la NSA ya lo hizo (project Bullrun/XKeyScore). Asegúrate de adquirir un router libre con OpenWRT o LibreWRT como firmware, ya que son de código libre y puedes monitorizar con certeza tus conexiones, además de tener control absoluto sobre su funcionalidad, disposición y actualización. Sé lo fácil que es hacerse con el control de miles de router y puede que seas víctima.

- No usar WI-FI. Desáctivalo del router junto al WPS. No necesito entrar a red ajena para descifrar los paquetes, como muchos creen. Basta con ponernos en modo monitor y sniffar la radiofrecuencia pasándole la clave WPA/WPA-2/WEP. Siempre usar cable ethernet.

- Utilizar un Sistema Operativo GNU/Linux que tenga Secure Boot, es decir, que en cada arranque del SO se verifique la integridad del bootloader, de esta forma nos ahorramos los rootkits a bajo nivel.

- Puede que tengas un "vampiro" instalado en tu instalación eléctrica el cual monitoriza el flujo eléctrico entrante y saliente. Estos dispositivos son empleados en espionaje industrial o espionaje gubernamental. Aunque cualquiera con los conocimientos y el acceso a los mismos los puede utilizar.

- Utiliza herramientas de cifrado para cifrar tu disco duro al completo, en Linux es posible al instalar el OS. Cifra tu correo, si es importante, mediante PGP, para ello necesitas entregar tu clave pública al destinatario.

- Sigue utilizando los medios convencionales de comunicación para cosas cotidianas. Por mucho que te espíen, a nadie le interesara si hablas de que tienes que comprar 3 litros de leche.

Saludos!

A ver una aclaración, la fuente comprende los apellidos que se convirtierón al judaísmo.

Gracias a que los echamos (españa). Desprecio el sionismo.

Saludos!

[Si soy la NSA, puedo hacer que una entidad de confianza como VeriSign, Comodo, Diginotar.. me firme un certificado a nombre de Google, por lo tanto puedo descifrar y suplantar cualquier comunicación si hago un Man-In-The-Middle sustituyendo el certificado original de Google por el que me han firmado a nombre de Google]

@Hason:

Por favor, no desvíes el tema hacia tus probemas personales.

Si necesitas expresar los mismos, haz un post aparte (como ya te he dicho por privado).

Te pido tengas respeto por quien ha abierto el hilo (y por quienes hemos participado en el mismo) y trata de no seguir desviando el hilo de la conversación.

Saludos!

Estoy de acuerdo. Lo que le ocurre a nuestro compañero podría ser discutido en otro hilo, y seguro que te ayudamos encantados.

Haciendo un inciso, como ya dije, si tienes malware la crypto no te salvará, a no ser que tengas un buen sistema WhiteBox, pero ni somos Obama ni tenemos tanto $$.

Los buscadores ,en las claúsulas de sus términos de uso, indican que se hará con la información que provees, si se guardarán registros temporales etc Bueno estos buscadores cooperaron con la NSA gracias a la revelación del programa PRISM. Simplemente por mucha crypto que se utilice si Google/Microsoft/Yahoo entregan sus claves privadas, pues no hay más que hacer.

Bueno, y aquí como entendido del tema os dejo mis "Two Cents":

Sin tecnicismos, para que todo el mundo lo entienda. Si soy la NSA, puedo hacer que una entidad de confianza como VeriSign, Comodo, Diginotar.. me firme un certificado a nombre de Google, por lo tanto puedo descifrar y suplantar cualquier comunicación si hago un Man-In-The-Middle sustituyendo el certificado original de Google por el que me han firmado a nombre de Google. Y esto amigos se llama PKI y es de lo que dependemos, de unas entidades certificadoras (CA) controladas por el $$$ y seguramente por los gobiernos (crypto is broken for sure).

Saludos!

Buen paper. Hago un resumen del mismo:

Todos sabemos que DH utiliza módulos primos generados por safe-primes. Los autores del paper explican los distintos métodos de cálculo de logaritmo discreto y los aplican a una posible backdoor en DH, ya sea entregando un módulo almost prime p>=2 (semiprimo o mayor) cuyo orden es obtenible mediante su factorización. Por lo tanto sólo los creadores del backdoor accederían a los valores privados.

La conclusión del paper no se centra tanto en probar el backdoor, si no en checkear los TLS Handshake de varias webs para ver que módulos DH emplean en la negociación. Sorpendentemente varios servidores emplean módulos semiprimos o módulos demasiado débiles.

El punto más remarcable y que debería ser implementado es que las librerías que implementan TLS con DH no comprueban la constitución del módulo, cuando sabemos que comprobar un safe prime 2q + 1 es trivial.

Saludos!

¿Que pueden ser capaces de hacerlo?

Claro, y supongo que también serían capaces de instalar micrófonos en todos los despachos del planeta. Sería simplemente una cuestión de tiempo, dinero, tecnología y ganas de hacerlo. Pero la pregunta a hacernos es ¿Porque iba un organismo a dedicar un tiempo y dinero precioso a mirar si intercambiamos porno con hamsters o si hablamos de la estructura tripolar del signo?

Seamos un poco serios. Las herramientas de espionaje existen desde antes de la invención del transistor

Obviamente son capaces en términos concretos. Su scope o alcance es global pero como bien dices se centran en ciertos objetivos que ellos han denotado. El tema es que necesitan romper el cifrado para cualquier cosa, es sorprendente que utilicen al FBI como organización para presentar sus quejas de que si el cifrado oculta a los terroristas, las malas acciones etc. En Utah se han hecho un super ordenador para crackear algunas claves que descifrarían mensajes de muchísimo interés.

Esto quiere decir que no existe ningún método mágico para resolver el problema matemático subyaciente del algoritmo criptográfico, por lo tanto se centran en las librerías criptográficas, hardware y en centros de computo para crackeo.

Como amante matemático y criptógrafo he de decir que los medios actuales teóricamente son SEGUROS, otra cosa es que las librerías que lo implementan tengan fallos que conducen a una violación de nuestra privacidad. Una vez te instalan malware la crypto no vale de nada.

Orubatosu, cuando evolucione la tecnología, y tu que seguro que estás puesto en logaritmos discretos, factorización, redución de bases, curvas elípticas etc la mayoría de esos problemas podrán resolverse en un tiempo cuasi-polinomial pudiendo descifrar todas aquellas comunicaciones estancadas. No sería el fin del mundo, pues en ciertos criptosistemas cuando llegue el cuántico bastaría con doblar el tamaño de la key, pero los mensajes captados anteriormente podrían ser descifrados. Por ahora no les queda más que invertir $ en targetear ciertos mensajes cifrados para crackear la key (FREAK, LogJam, BEAST, CRIME, POODLE) o hacer una campaña de malware en TOR o en la clearNET (PRISM, BullRun...) .

Personalmente trabajo día a día en la creación de nuevos cifrados, así como en el estudio matemático de los mismos y su criptoanálisis. La gracia de la seguridad en internet es que sea imposible espiar el contenido de una comunicación, interceptar siempre se podrá. Creo que este siglo nosotros marcaremos la diferencia.

Saludos!