Информационная безопасность IT

https://www.cryptopro.ru/blog/2013/08/27/gost-28147-89-ne-sp...

Как мы видим, ни одна атака не позволяет сделать время дешифровки приемлемым. А ГОСТ аж далекого 1989 года. Возможно, в будущем, ситуация изменится и мы увидим новый Российский военный алгоритм шифрования.

В подавляющем большинстве случаев - взлом зашифрованной информации сводится к перебору всех возможных ключей/паролей. Таким образом, определяющим фактором становится длина ключа и алфавит в случае паролей. Нет ни какой необходимости устанавливать длину ключа равной длине сообщения. Длина ключа/пароля должна быть такой, что бы брутфорс занял недопустимое время.

Например, 20 символьный пароль из алфавита больших и маленьких букв, цифр и спецсимволов (l`'iZb%5ggIuDe;zdjKm), являющийся 125 битным ключем шифрования, достаточно надежен. Взлом информации, зашифрованной таким паролем, с применением нормального алгоритма шифрования, является задачей невыполнимой даже для спецслужб.

https://2ip.ru/passcheck/

Тем более нет необходимости хранить гигабайты случайных ключей на арендованных серверах. Это вообще какая-то чепуха. В большинстве случаев, для генерации ключа применяется генератор псевдо-случайных чисел. Например, двигаешь мышкой некоторое время - движение курсора передается в специальную функцию - на выходе формируется ключ.

При передаче зашифрованных сообщений применяется инфраструктура открытых ключей. Основным принципом тут является наличие двух ключей - открытого и закрытого. Открытым ключем сообщение зашифровывается, а расшифровать его можно только закрытым. Имея открытый ключ, получить закрытый невозможно. Так устроены алгоритмы, работающие по этой технологии.

Например, Вася и Вова хотят передавать друг другу зашифрованные сообщения. Для этого они обмениваются открытыми ключами. Отправляя сообщение Вове - Вася зашифровывает его открытым ключем Вовы. А он, получив его, расшифровывает закрытым ключем.

Не очень-то похоже на песню, верно, да и на котиков в общем-то тоже... Ответ кроется в спектрограмме - время-частотном графике амплитуды звука.

После привлечения внимания - по традиции начну с определений - потому что иногда среди читателей ИБ возникает путаница между шифрованием и стеганографией. Сразу уточню что это мое ИМХО и оно иногда расходится с чужим мнением.

Кодирование - это процесс её преобразования из формы, удобной для непосредственного использования, в форму, удобную для передачи, хранения, автоматической переработки и сохранения от несанкционированного доступа.

В данном посте я кодирую свою речь в буквы, а компьютер тут - же буквы - в UTF-8, а сетевая карта - в манчестерское кодирование, вот так все сложно. Строго говоря шифрование и стеганография это тоже кодирование, просто довольно специфическое. Отличие между ними 1) - в результате кодирования в структурированных исходных данных после кодирования остается видимая структура. 2) - Если мы знаем алгоритм кодирования то любой человек способен получить данные до кодирования, то есть в общем случае не обеспечивается конфиденциальность информации. 3) Мы видим передачу и понимаем что это какой-то код.

Шифрование - обратимое преобразование информации в целях скрытия от неавторизованных лиц, с предоставлением, в это же время, авторизованным пользователям доступа к ней. Главным образом, шифрование служит задачей соблюдения конфиденциальности передаваемой информации. При радиопередаче его еще часто называют скрэмблированием, по крайней мере те зубры которые получали образование в СССР.

Отличия от кодирования - современное шифрование на выходе почти полностью убирает структуру исходных данных, например в результате шифрования строка 11111111111 преобразится в F1E5367DB22 и так далее, то есть на выходе мы получаем набор данных очень похожих на случайную последовательность. Для того чтобы получить исходные данные нам нужен ключ, на основании которого вы можем сделать обратное преобразование и получить исходные. Без правильного ключа мы получим пусть и другую, но тоже псевдослучайную строку. Неочевидный вывод - если сгенерировать массив случайных данных а потом прогонять их через дешифровку AES-256 разными ключами рано или поздно мы получим все секретные документы США, главное подобрать нужный ключ)

Стеганография - (от греч. στεγανός — скрытый + γράφω — пишу; буквально «тайнопись») — способ передачи или хранения информации с учётом сохранения в тайне самого факта такой передачи (хранения).

Главная строка тут - с учётом сохранения в тайне самого факта такой передачи (хранения)

То есть мы можем не шифровать данные, но при этом не нужные нам люди не догадаются что данные даже есть в передаче которая только что произошла на их глазах.

Понятно что эти три вещи так часто переходят одна в другую что разграничить их иногда нельзя. И если к шифрованию мы уже малость привыкли то само представление что можно передавать информацию так, что никто не обнаружит передачи иногда ставит в тупик.

А способ в общем-то единственный и очевидный - просто спрятать информацию в потоке других данных, так поступали в те времена когда о компьютерах и мыслей не было, скажем тайные чернила. Как с контрабандой - мало кто сейчас провозит целиком нелегально, гораздо проще взять много легитимного, правильного груза и потом добавить небольшие, но не разрешенные вещи.

Первое общее правило для стеганографии - объем передаваемых скрытых данных обычно намного меньше маскирующих данных, потому что чем больше больше дополнительных данных присутствует в структуре тем более аномальной (подозрительной) выглядит передача. Скажем если приписать в конец файла архива объемом в 100 кб образ диска объемом в пару гигабайт то передача сразу перестает быть, по крайней по моему мнению, чем-то похожим на стеганографию.

Второе - передача должна быть скрыта как можно глубже в исходные данные. Как некоторые люди предлагали записывать скрываемую информацию в сервисные поля - технически это возможно, и кое-кто считает это даже рабочей стеганографией. Мое мнение - это плохой подход, потому что во-первых про существование сервисных полей все знают, во-вторых - сервисные поля которые можно изменить без ущерба для работы исходных данных известны всем кто этим интересуется, и значит не обеспечивает тайность факта передачи, в-третьих - автоматические DLP системы прогоняют сквозь себя целиком файл, и если запрещенная информация будет записана в сервисное поле то DLP ее найдет тут же. То есть это как прятаться во время пряток в единственном в доме чулане - да, пару раз получится, но скорее всего это место будут обыскивать в первую очередь.

Третье следует из второго. Для "настоящей" стеганографии нужно писать собственный алгоритм работы и распространять как можно меньшему количеству человек, потому что "известная программа стеганографии" это оксюморон. Имхо.

Четвертое - передача скрытой информации не должна быть аномалией - то есть не должен привлекать к себе внимания - по вполне понятным причинам. То есть представим что вы придумали хороший алгоритм который прячет текст в картинку и решили - все, будем скрытно пересылать и нас никто не поймает. А из-за лени пересылаете одну картинку. И вот смотрят логи компетентные товарищи и видят, что некие люди только и делают что пересылают друг другу визуально - одну и ту же картинку, а вот хэши у картинок все отличаются... Пристальное внимание людям будет обеспечено.

А теперь суммируя - стеганография вещь хорошая, но для массового обхода глобальной цензуры не годится в принципе. Как только начинается массовое использование стеганографии тут же утрачивается ее тайность, и собственно ей будут создаваться алгоритмы противодействия. Это раз. Второе - стеганография связана с сокрытием в потоке данных чего-то, то есть возрастет общий поток данных. Что способно вызвать перегрузку сети. Это два. Ну и наконец - это жутко неудобно)

На такой торжественной ноте пожалуй я закончу, в следующем посте я пробегусь по конкретным реализациям стеганографии, да да, которые и не стеганография.

В месте куда указывают стрелочки можно разместить любой контент. В одном из прошлых постов "Лига блокираторов", включая @baradetsky и @chaynick2008, пытались доказать, что все хорошо, что ряд технологий распознавания (например, DPI) обязательно все распознает и заблокирует. Нет. Даже если будет распознавание трафика на L7.

Механизм, с помощью которого был получен скриншот, известен очень давно, еще до изобретения компьютеров (в 19 веке он уже был известен). Как минимум дважды описание механизма встречается в книгах Артура Конан Дойла. В цифровую эру его используют вирусы (по типу тех которые предлагают он-лайн казино или вывешивают банеры) и некоторые легальные программы (в т.ч. AdBlock, но он не выводит, а "режет" контент). Механизм тот же, но в данном случае он используется немного по другому. Я надеюсь смысл все поняли - есть приложение/расширение - контент на странице есть, нет - следовательно ничего не отобразится. Как минимум одно известное мне приложение использует для отображения данные размещенные на странице. Следовательно?

Следовательно через 1-2-3 цикла борьбы тех кто запрещает и тех кто ищет пути обхода мы придем к использованию указанных приложений и тогда "блокировщиков" ждет полное поражение. "Совмещенные" данные распознаются так же как и "база" и не зная алгоритмов извлечения совмещенных данных выделить их невозможно. Перехват "скрытых" данных при установке приложения на подконтрольный спецслужбам компьютер может быть возможен, а может и нет, все зависит от квалификации того, кто модифицирует алгоритм и какие механизмы защиты он вложит в свое детище. Например, приложение может использовать ключ передаваемый от пользователя к пользователю или распознавать аппаратное обеспечение компьютера, или (при высокой квалификации писателя) приложение может быть полиморфом или маскироваться под системный компонент (как драйвер ЭЦП).

Сам механизм использования прост до безобразия:

1.1. Ставится приложение, в настройках браузера указывается прокси на локалхост. Приложение по ключам извлекает совмещенные данные и отображает их на странице.

1.2. Ставится дополнение, которое проводит аналогичную работу.

2. На свои или даже публичные сайты (Вконтакте, ЖЖ, Пикабу и т.д.) постится контент с совмещенными данными.

3. Пользователи читают "базовый" контент, а те у кого стоит приложение/расширение читают еще и скрытый.

Обработка данных - исключительно на сервере и ЭВМ пользователя. Где хранятся и как передаются данные? Как я уже сказал - это либо контент обычных сайтов или служебные данные, которых сегодня около 90% от общего трафика. Модифицировав всего 10% служебных данных можно удвоить контент на странице, а некоторые сайты вообще имеют в виде контента 1-2%. Основные усилия "блокираторов" направлены на детей.

Указанный способ передачи контента может быть выявлен, но исключительно ручной работой высококвалифицированного специалиста. И их не так много, чтобы искать и найти. Для распространения совмещенных данных подходит абсолютно любой протокол, их можно вкладывать в HTTP, FTP, SMPT, Jabber, IRC (последние 2 только для небольших объемов данных)...

Работая с учениками я обратил внимание, что дети очень активно используют современную версию "флоппинета" обмениваясь файлами и приложениями, которых нет в официальных магазинах. Используя данный механизм дети смогут выйти из любых потенциальны ограничений создав свой "детский интернет" (любителям английского - "чайлднет"). Я работаю с детьми (7+ классы) уже больше 3-х лет. Те кто увлечен бывает показывают очень крутые для своего возраста результаты. Отдельные ученики, "на интерес", проходят за 3 месяца путь с абсолютного нуля до приложения - интерфейса к базе данных, за 5 месяцев - простой шифровальщик (код Цезаря)... Зажимая детей мы провоцируем и толкаем их в различные формы даркнета. Сами. Не нужно запрещать, ведь запретный плод сладок. Поэтому надо остановится пока не поздно.