EUUU y las agencias británicas emprenden esfuerzos para romper todas las comunicaciones cifradas en la red [ENG]

En cuanto a SSL, viendo esto:

http://www.spiegel.de/media/media-35511.pdf

solo se menciona que atacan una vulnerabilidad específica en el generador de números aleatorios de Debian (que está solucionada en versiones recientes y parece que era pública en el momento en que fue hecha la presentación). El resto de los archivos secretos sobre SSL parecen describir procedimientos de análisis de tráfico, pero no que lo desencriptan masivamente. El artículo dice:

The NSA and its allies routinely intercept such connections -- by the millions. According to an NSA document, the agency intended to crack 10 million intercepted https connections a day by late 2012.

¿Alguien sabe cuál es ese documento y cómo pensaban hacer eso?

Yo siempre me montaba mi túnel IPSec (que ya era sospechoso de manos de NSA) hasta que me dio por OpenVPN (SSL, que según este artículo y Mitnick también)... Por entretenimiento mas que otra cosa.

Pero me da a mi que si sale algo nuevo, va a ir mas despacio que lo que se tarde en implementar.

Tor parece ser lo mejorcito para la privacidad, pero claro tiene agujeros por todos lados y el rendimiento deja muchísimo que desear. I2P supongo que algo parecido, pero el rendimiento es aún peor. PGP/GPG supongo que es suerte de que no han encontrado aún ninguna vulnerabilidad y tampoco han podido meter ninguna porque el software es bastante fácil de auditar.

Al final yo creo que es mas por los métodos de cifrado que por otra cosa (al menos en SSL y VPNs). Por eso GPG se resiste, pues usa métodos sin patentar y que se les han dado muchas vueltas, como Blowfish o ElGamal.

Ayer estuve leyendo estos documentos. Hablan de vulneravilidades en SSL, pero no parecen haber encontrado nada en las últimas versiones de TLS y sospecho que les es también complicado descifrar conexiones que usen ECC (Cifrado con Curvas Elípticas), que es lo que últimamente todo el mundo (por ejemplo, meneame).

Otra cosa es que tal y como funciona HTTPS, si tienen acceso (que lo tienen, seguro) a una de las más de 100 autoridades de certificación, pueden hacer un Man-in-the-middle, interceptar tu comunicación y enviártela cifrada con un certificado que se hayan hecho ellos.

Para evitar ese problema, Google, Firefox y mucha gente está buscando soluciones. Por ejemplo, una de ellas es Certificate Transparency, un registro público de cuales son los certificados de cada dominio de Internet. Sistema que usa por cierto un árbol Merkle inmutable igual que Bitcoin. De esa forma, se puede comparar si tu certificado TLS es el mismo que el de todo el mundo. Otra iniciativa es la de fijar certificados TLS a cada dominio o la de fijar al menos la autoridad de certificación de cada dominio. Eso sirve para que no puedan cambiar lo uno o lo otro sin que el navegador web se queje, por tanto o te hacen un Man in the middle todo el tiempo y desde la primera conexión (cosa que además canta bastante más) o nunca.

Y hay aun más iniciativas trabajando en la seguridad de Internet, por ejemplo Naming things with hashes, una forma de URLs donde las URLs en sí contienen un hash del documento asociado a esa URL. Por tanto, se reduce la confianza a tener la URL correcta. Esto sirve desde para usar CDNs de forma segura hasta.. para URLs inmutables en el navegador.

Puedo seguir: existen iniciativas relacionadas con la seguridad de las aplicaciones web, para evitar ataques tipo XSS y similares desde el propio navegador web, como por ejemplo CSP.

Podríamos resumir todo esto en: es una carrera armamentística, y el W3C, IETF, los navegadores web y en general la gente que fabrica Internet están haciendo su trabajo invisible de hormiguita para que tú, ciudadano de a pie, tengas las mejores armas para hacer el trabajo de la NSA un poquito más difícil. ¡Que se ganen su sueldo!

#17

http://www.openbsd.org/mail.html

http://undeadly.org/

http://www.openssh.com/faq.html#2.2

PD: PF en OpenBSD también está para algo, un OpenSSH detrás de un PF es gloria.

#20 Que rumoreen todo lo que quieran. Con NetBSD y FreeBSD es más "sencillo" convencerles al residir en EEUU.

Es un arma de doble filo. Si jodes OpenBSD, te joderán de vuelta, esta gente no es tonta, es la de LibreSSL, Xorg sin root y demás ajustes que los demás UNIX ni olían.

http://xenocara.org/

El "gran" Obama, que ha pasado de defender la neutralidad en la red a querer controlarla, como aquí en España, que Rajoy hizo promesas de las que no ha cumplido ni una, si esto sigue así los siguientes en protestar van a ser las telecos, pero porque la gente se va a dar de baja en masa, de sus servicios, al menos yo me lo estoy pensando muy seriamente, creo que me sale muy caro lo que pago de tarifa, por poder solo entrar en meneame, por mucho que me guste.

Parece que tendremos que volver a lo analógico... Papel y lápiz

Menos quejas por favor, que todo esto es para defender el "modo de vida americano" frente a los malos que quieren acabar con las libertades e implantar un estado policial y bla, bla, bla... Aquí y al otro lado del atlántico se defedienden las libertades incluso a costa de sí mismas. La cuadratura del círculo.

Anglosajonia sigue con su plan de dominar el mundo. ¿Dónde está la noticia?

Arabia, Mexico, Japón, la Unión Europea, etc. se autosacrifican para defender los intereses de los (g)usanos, se ve a leguas su estrategia. Lo que me sorprende es que la gente se sorprenda con estas cosas. ¿No ha quedado ya claro hace tiempo que Usa va a por el resto del mundo cargándose lo que haga falta? Me sorprende que la gente no se haya enterado aun.

Por otra parte, hace como tres años decir que Windows tenía puertas traseras a las que la CIA tenía acceso era arriesgarse a ser el hazmereir de casi todo el mundo. Hoy en día ya esto está más que asimilado por todos, y otras cosas peores también.

#30 Yo no, pero china ha cogido sus 1500 millones de clientes y se los ha quitado a Google, Amazon y Ebay.

Es como putin, que no tienen claro si a sus clientes los quieren bombardear o venderles algo.

Obviamente, como se trata de países democráticos, al igual que rompen los cifrados de los demás, están preparando la desclasificación de millones de documentos.

Tranquilos, eso solo afecta a toda persona o empresa que no utiliza servicios web (facebook por ejemplo) o de almacenamiento en Estados Unidos o reino unido, porque si vuestros datos están ahí, no necesitan desencriptar nada, tienen legalmente acceso cuando ellos quieran. Hace un par de años hicieron el mejor truco del mundo para que les dieramos nuestros datos, regalar espacio o hacer migraciones "forzosas" a servidores en UK y Estados Unidos (en mi empresa, por ejemplo, pasó que todos los datos se centralizaron en UK "por sorpresa"(

Alemania utiliza una máquina llamada Enigma. Parece que los aliados están intentando descifrarla.

Gracias estas gente es que no es posible detener los hackeos y robo de información. Muchos de los fallos de el hardwere y softwere que estos descubren quedan en secreto y ademas urgen a compañías del softwere y el hardwere que instalen back door en sus productos. Pero estos personages no solo rompen la seguridad en el Internet también hablan de como el Internet es el viejo oeste y que vedemos de controlar este medio porqué representa un peligro para la seguridad nacional.