|
Diese Diskussion wurde archiviert.
Es können keine neuen Kommentare abgegeben werden.
|
 |
|
|
|
Von Anonymer Feigling am Monday 01. March, 15:23 MEW (#1)
|
|
|
|
|
Selbst mit einer Known-Plaintext Attacke bleibt einem Angreifer AFAIK nach heutigem Kenntnisstand bei AES und anderen modernen Ciphern nichts anderes als die komplette Suche im ganzen moeglichen Suchraum uebrig. Das ist schon bei einem 128-bit Schluessel und bei einem 192 oder gar 256-bit Schluessel sowieso prohibitiv.
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Monday 01. March, 17:46 MEW (#6)
|
|
|
|
|
>Selbst mit einer Known-Plaintext Attacke bleibt
>einem Angreifer [..] nichts anderes als die
>komplette Suche im ganzen moeglichen Suchraum
>uebrig
1. ist der suchraum realistischerweise nicht die 128/192/256 bit, sondern nur die entropie des passwortes (selbst bei gutem pw kaum viel höher als ca 40 bit).
2. das schlimme an der known-plaintext attacke ist in diesem fall aber das folgende:
aufgrund des unseeded (unsalted) key-setup prozesses und der völlig vorhersehbaren berechnung der iv's hängt der cypher text gewisser bekannter teile des filesystems (teile des superblocks) einzig vom gewählten passwort ab.
konsequenz:
ein sehr mächtiger angreifer kann für ein dictionary mit ca. 2^40 passwörter (realistisch) den resultierenden cyphertext für alle passwörter offline und im voraus(!) berechnen. ist dies erst mal getan, so besteht ein angriff dann wirklich nur noch aus einer suche des beim opfer vorgefundenen cyphertexts mittels binärer suche. aufwand: lediglich ca 40 lesezugriffe auf die einige dutzend terabyte grosse datenbank mit den vorberechneten cyphertexts - dauert also keine sekunde!
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Monday 01. March, 18:51 MEW (#8)
|
|
|
|
|
Naja, für die meisten Passwörter wohl schon. Für wichtige Dinge, bei denen das Passwort gleichzeitig der Schlüssel ist, sollte man natürlich lange Passwörter verwenden, die nicht durch ein Wörterbuch generiert werden. Für temporäre Daten (/tmp/, Swap) kann man das Passwort gut auch mit /dev/random generieren.
|
|
|
|
|
|
|
|
|
|
|
|
|
Das erwähnte Dictionary, welches die gesamte "entropie des Suchraums" abdecken würde, enthielte alle 2^40 Passwörter. Die von diesem Dictionary benötigte Datenmenge: Höchstens einige wenige Terabyte - also ein kleines SAN aus 100 GB Platten (schlimmstenfalls). /dev/random hilft nicht gegen dieses Wörterbuch.
--
Addicted by code poetry...
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Allerdings ist ein Passwort aus /dev/random problemlos mehr als 40 bit "lang", also nützt das Wörterbuch bzw. die Vorausberechnung da auch wieder nichts.
|
|
|
|
|
|
|
|
|
|
|
|
|
und du merkst dir das PW im Kopf?
Denn ansonsten (wenn du das PW irgendwo abspeicherst) ist eh die ganze Sicherheit weg, da spielen dann implementationsfehler keine Rolle mehr...
Die grösste Sicherheitslücke sitzt immer noch zwischen Tastatur und Stuhllehne!
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Tuesday 02. March, 08:45 MEW (#13)
|
|
|
|
|
Nein, ich merke mir das PW gar nicht, ich bekomme es auch gar nie zu Gesicht. Temporäre Daten brauche ich nicht über einen Neustart hinaus. Für die Verschlüsselung der Daten, die man weiterhin braucht, muss man sich das PW natürlich schon merken. Ich merke mir jeweils, wie sich das Eintippen auf der Tastatur anfühlt, dann liegen >=15 Zeichen schon drin. Wenn die Daten auf einem Server liegen, der durchgehend läuft, muss man das PW ja nicht so oft eingeben.
|
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Monday 01. March, 15:32 MEW (#2)
|
|
|
|
|
..selbst in der cryptoloop doku wird auf dieses Problem hingewiesen..
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Monday 01. March, 16:20 MEW (#5)
|
|
|
|
|
Der Bericht hat eine Schachstelle. ;-)
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Monday 01. March, 17:59 MEW (#7)
|
|
|
|
|
dm-crypt hat ja dasselbe problem im moment auch noch!
dem cryptsetup-script (http://www.saout.de/misc/cryptsetup) ist zu entnehmen, dass der beim berechnen des keys (d.h. beim hashen des passworts) kein salt verwendet wird. d.h. der key hängt wieder lediglich vom passwort ab! da bei der verschlüsselung standardmässig die sektor-nummer als iv verwendet wird, führt dies dazu, dass der cyphertext der bekannten stellen des superblock-sektors wieder nur vom passwort abhängen und somit der ganze dictionary attack möglich ist.
|
|
|
|
|
