Kryptoblog

För ett tag sedan undrade cashkuler om hur pokersajters slumptalsgeneratorer fungerar.

Jag visste inte då att det faktiskt finns pokersajter som publicerar utvärderingar av sina slumptalsgeneratorer (RNG). När jag i morse Googlade på “rng evaluation” sprang jag på en sida hos Titan Poker. Dom skriver:

Titan Pokers mjukvara, utvecklad och underhållen av Playtech använder slumpgeneratorer för att säkerställa total spelintegritet.

Playtechs spelprogram innehar ett officiellt Certifikat genom RNG Evaluation från Technical Systems Testing (TST), en internationell, erkänd och respekterad Ackrediterad Testningsfacilitet (ATF).

TST har arbetat med industriella operatörer, leverantörer och regulatorer för att säkerställa att gamingprodukten fungerar på ett rättvist och säkert sätt och att det körs enligt några av de mest följdriktiga och omfattande lagstiftningar och reglerande fodringar som finns.

Institutet dom pekar på är alltså Technical Systems Testing (TST). Jag känner inte till dom, och jag hade gärna sett att man publicerade utvärderingsrapporten. Vidare är jag tveksam till om en bra slumptalsgenerator implicerar total spelintegritet (vad det nu innebär).

Men jag tycker att det är intressant att pokersajter försöker skapa trovärdighet för sina system genom att göra utvärderingar och publicera resultaten.

Aloha!

Snabbt statusmeddelande:
Just nu ser Kryptoblog konstig ut. Jag har uppgraderat till senaste Wordpress. Men det betyder att alla fixar jag gjort tidigare skall lyftas in i den nya kodbasen och det tar lite mer tid…

Snart skall allt vara som vanligt igen…

I förra veckan rapporterade Pawal att flera myndigheter inte längre plockades upp av Creeper. Tanken var då att myndigheterna börjat blockera Creeper. Denna tanke spred jag vidare.

Men nu visar det sig att det var PHP som var boven. Pawal ber om ursäkt och det gör jag också.

Jag har precis lagt till en sida tänkt att innehålla en del filer jag lägger ut för nedladdning. Inget speciellt märkvärdigt alls än så länge. På sidan finns just nu den generatorbaserade testimplementation av RC4 jag bloggade om för en vecka sedan.

Jag har lagt till tre nya bloggar i blogglistan på Kryptoblog

TaoSecurity är en blog av Richard Bejtlich som handlar om FreeBSD nätverkssäkerhet, övervakning, incidenthantering och forensik.

SMBlog är en blog av Steven M. Bellovin, professor inom IT-säkerhet vid Columbiauniversiteten i USA.

Steven skriver mycket om forskningsnära frågor och nyheter. Som Steven sammanfattar sitt intresse: Networks, security, and especially why the two don’t get along.

Emergent Chaos är en blog om säkerhet, integritet, frihet och ekonomi. Bloggen skrivs av en grupp författare, bland annat Adam Shostack och Chris Walsh.

Jag hoppas att ni som läser Kryptoblog hittar nya spännande saker att läsa via dom här blogglänkarna.

Det börjar dra ihop sig till att lägga 2007 till handlingarna. Tack för alla trevliga och intressanta kommentarer, mail och tips på uppslag jag fått under året!

Jag tänkte avsluta med ett lite kryptonöje. J & F på Kirei tipsade för ett tag sedan om en fantastisk simulator av Enigma-kryptot kallad Enigma Simulator.

Som synes ett mycket snyggt gränssnitt som försöker fånga utseendet och den mekaniska känslan hos en Enigma-maskin. (Jag har inte kommit på hur man skall koppla in matningen i övre hörnet… Simulatorn inkluderar ett separat fönster för bland annat kopplingspanelen.

Att leka lite med Enigma-simulatorn är något jag tyckte var klart skoj och kan klart rekommenderas. Här kommer därför en liten starthjälp, en kodsträng att testa på. För att göra det lite mer nyårsdags-anpassat är inställningarna enligt följande:

Initial position: A, A, R
Left rotor: II, ringstellung: N
Middle rotor: III, ringstellung: E
Right rotor: IV, ringstellung: W
Reflector: C

Steckerbrett:
K - R
Y - P
T - O

Och därmed avslutar jag helt enkelt 2007 med att säga: DAZYVCGGDMHVRLYPUZTLJNPXZA !!

Riksdagsledamot Désirée Liljevall (S) har skrivit en intressant interpellation om IT-säkerhet.

2007/08:278 Nationell Internetsäkerhet

av Désirée Liljevall (s)

till statsrådet Åsa Torstensson (c)

Sverige är en stolt IT-nation. Vi har en hög andel hushåll med Internetuppkopplade datorer, myndigheterna ger service och information på nätet dygnet runt och den tekniska utvecklingen gör att allt fler har tillgång till snabbt, eller till och med mycket snabbt, bredband. Internet som arbetsverktyg är väl använt av människor i alla delar av samhället. Det här är en positiv utveckling. Desto allvarligare är det att larmrapporterna om dålig IT-säkerhet hörs allt oftare. Kunskapsbristen om vikten av Internetsäkerhet är skriande. Riksrevisionen kom med en rapport i ämnet i juni, Krisberedskapsmyndigheten har rapporterat i frågan ett par gånger i höst. Svenska myndigheter är inte samordnade, de har undermåligt skydd och de anställda vet för lite hur de ska agera för att skydda sina IT-system och den information de har.

För en enskild datoranvändare räcker det med ett klick på ”fel” länk i ett e-postmeddelande eller på en hemsida för att datorn ska bli kapad och hamna i ett så kallat botnet. Via dessa nät av tusentals datorer kan kriminella skicka spam, störa hela IT-system, stjäla information och så vidare. Eftersom datorerna finns i många olika länder är det svårt att hitta de kapade datorerna för att bromsa utvecklingen och komma åt brottslingarna.

En organiserad Internetattack skulle kunna slå ut stora delar av vårt samhälle. Det mest kända exemplet på hur informationssäkerheten i ett helt land äventyras är när Estland i våras beslutade att flytta en staty från andra världskriget från en plats i Tallinn till en annan. Landets regeringskansli, flera myndigheter och riksmedierna utsattes då för organiserade överbelastningsattacker. Sverige har mycket dålig beredskap för att skydda sig från en sådan attack.

Mot bakgrund av vad som anförts undrar jag vad statsrådet tänker göra för att skydda svenska myndigheters IT-system från Internetattacker.

Désirée Liljevall har uppenbarligen läst på, gissningsvis bland annat rapporten Sveriges beredskap mot nätangrepp som KBM presenterade i slutet av november. Det skall bli spännande att se vad Åsa Torstensson svarar på interpellationen. Den är så bra att jag verkligen hoppas att den inte avfärdas utan tas på allvar av ministern.

Jag har precis lagt till en ny blog till bloglistan. Den här gången är det Flylogic Engineering’s Analytical Blog från företaget Flylogic.

Flylogic är ett av mycket få företag som har kompetens och utrustning som krävs för att plocka isär och analysera inte integrerade kretsar. Deras blog är fylld med bilder på chip, nedfilade kapslar och isärplockade kort.

Att döma av deras blog är en av Flylogics favoritverksamheter att plocka isär elektronikprodukter som är utrustade med säkerhetsmekanismer eller är avsedda att tillhandahålla olika typer av säkerhet. Bland annat har Flylogic med framgång plockat isär och gått runt säkerheten hos ett flertal säkra USB-minnen. Här är exempelvis MAI:s KEYLOK:

En fin USB-blobba på väg till slaktbänken.

KEYLOK uppsprättad. Notera att det inte finns något mer fysiskt skydd för kretsarna.

MCU:n CY7C63101A isärplockad och färdig att proba.

Närbild på chippet. Notera minnesarrayen till höger.

Och så avslutar man med att läsa ut data direkt från minnet:

We performed some magic and once again we have success to unlock the once protected device. A quick look for ASCII text reveals a bunch of text beginning around address $06CB: .B.P.T. .E.n.t.e.r.p.r.i.s.e.s…D.o.n.g.l.e. .D.o.n.g.l.e. .C.o.m.m.< .E.n.d.P.o.i.n.t.1. .1.0.m.s. .I.n.t.e.r.r.u.p.t. .P.i.p.e.

En annan krets Flylogic attackerat är Atmels CryptoMemory som jag tidigare bloggat om. Här är en bild på sådana chip plockade från sin vanliga miljö för bättre analysmöjligheter:

Som HW-nisse med intresse för IT-säkerhet är det här nästan som julafton, och en hel månad i förväg!

Jag har lagt till en ny kategori till Kryptoblog. NIST AHS avsedd för nyheter relaterade till NISTs AHS-tävling (Advanced Hash Functions) där NIST precis öppnade dörren för kandidater.

En sak vi förhoppningsvis kommer att se en hel del av de närmaste åren och jag vill skriva om är nyheter om nya metoder för analys av hashfunktioenr och resultat från dessa analyser. Ett exempel är den diffusionsanalys som Daniel J Bernstein tidigare gjort på sin kompressorn i Salsa20. Så här ser tillståndet ut vid start:

Efter en iteration:

Efter två iterationer:

Efter tre iterationer:

Efter fyra iterationer:

Ett snyggt sätt att illustrera lavineffekten i en hashfunktion.

Jag sitter just och tröskar igenom boken AVIEN Malware Defence Guide.

För att kolla upp lite fakta och vad andra tyckt om boken kollade jag på Amazon. Bokens betyg på Amazon är fem fyrar, och är baserat på två läsarkommentarer, mer exakt den här:

5.0 out of 5 stars The *must have book* for all Malware administrators, August 11, 2007 By Michael P. Blanchard “co-Author of AVIEN Malw… (Mass, USA)

If your book budjet only allows for one book this year, this is the book you should buy. If you’re a malware administrator for a small to huge size enterprise this is the book that will help guide you through your day to day activities.

The section on detection of a piece of malware that may be running on a user’s machine is extreamly helpful, the tools mentioned in that chapter will all become staple items in your outbreak “jumpkit” after reading that section.

There really isn’t any other book like this out on the market today. The entire book was written by the global top professionals in the field that live with the malware threat on a daily basis. They are not people that are locked away in a lab somewhere only discecting threats, although that is a part of many of their jobs. These authors know what it’s like to be in the trenches, trying to protect their enterprise environments while still maintaining that extreamly delicate balance that allows their users to perform the daily activities that they require to make the enterprise run smoothly. These authors help walk you through their sections as if they are right there with you guiding you along and answering your questions.

Och:

5.0 out of 5 stars One of the Author’s Speaks, August 10, 2007 By Kenneth Bechte

This is the book I wish I had when I started in the field back in 1988. Every one of the contributors to the book are great and knowledgeable folks. Unlike the other books on this subject everyone who contributed is highly regarded, experienced and active in the career field.

This is a MUST for every Corporate IT library.

Men hallå?! Det är alltså två av författarna till boken som skrivit dessa recensioner! (Tur att dom inte tog till överord…)

Jag har inte bestämt mig för om boken är bra eller ej, men att författarna är ohederliga och inte att lita på, det har jag kommit fram till.