Por @Wicho — 9 de Junio de 2021

Teléfono ANOM – Policía australiana
Teléfono ANOM – Policía australiana

En 2018 el FBI cerró un servicio de comunicaciones cifradas llamado Phantom Secure que era muy popular entre criminales de todo el mundo. Y viendo una oportunidad reclutaron a un ex distribuidor del servicio que estaba trabajando en uno nuevo llamado ANOM para que colaborara con ellos. El acceso al sistema está camuflado en una aplicación de calculadora que va instalada en los teléfonos móviles que permiten conectarse a él. Esta aplicación no calcula nada; en realidad permite enviar mensajes e imágenes convenientemente cifradas. Pero la gracia del asunto está en que el FBI y su colaborador tenían acceso a todo el tráfico de la red mediante una puerta trasera.

El martes fuerzas del orden de todo el mundo revelaron que en los aproximadamente 18 meses que han pasado desde que se pusiera en marcha la operación Trojan Shield (Escudo de Troya) han podido interceptar más de 20 millones de mensajes en 45 idiomas. Y que eso ha llevado al arresto de más de 800 personas en una docena de países. Aunque aún hay operaciones en marcha, así que habrá alguna detención más. En total había en servicio más de 12.000 dispositivos que eran usados por más de 300 organizaciones criminales que operan en más de 100 países. Por lo visto Anom no es que tenga una cuota de mercado especialmente grande, pero aún así es la operación más grande de este tipo de la historia.

Si han hecho público todo esto ahora es debido a la necesidad de parar algunas operaciones actualmente en marcha antes de que tengan consecuencias irreparables y a que se terminan los plazos que las las autoridades legales que supervisan la operación dieron para interceptar las comunicaciones.

No es la primera vez que las fuerzas del orden consiguen colarse en un sistema de este estilo, aunque en otras ocasiones sí había sido hackeando los sistemas. Pero parece que sí es la primera vez que se la consiguen meter doblada de fábrica a los malos. A los que además les cobraban unos 1.700 dólares por el teléfono y seis meses de acceso al setvicio. Ya no se puede fiar uno de nadie. Ni siquiera del FBI.

Eso sí, el colaborador que fue suministrando los móviles a esta gente, que por lo visto ha cobrado 120.000 dólares, ya puede estar bien escondido.

Compartir en Flipboard Compartir en Facebook Tuitear

PUBLICIDAD



Por @Alvy — 8 de Junio de 2021

Phil Zimmerman (CC) Matt @ WikimediaEl software criptográfico PGP cumple hoy 30 años. La versión 1.0 se lanzó a las redes en 1991, una época en la que el software circulaba principalmente por listas de correo, las BBS (boletines electrónicos) y los servidores de FTP que servían de repositorios. Recuerdo haberlo visto anunciado en la lista de los cypherpunks y luego haberlo bajado en aquella época de CompuServe, uno de los primeros sitios en los que se distribuyó así un poco de tapadillo. Fue el momento en que se popularizó realmente la criptografía de clave pública en el correo electrónico, y también de la autenticación mediante firmas digitales. Venía con todo el código fuente, era gratis para usos no comerciales y cualquiera podía usarlo. Era un software era tan poderoso que ni la mítica NSA podía romper sus claves.

Cuenta la leyenda que para evitar problemas Phil Zimmerman, su creador, se lo entregó a varios amigos, quienes se encargaron de subirlo a Usenet (los foros de debate de la época) de los cuales fue saltando a otros sitios – para que todo el proceso fuera lo más anónimo posible dado que se «avecinaba tormenta». El código fuente se publicó en un libro en papel que salió de Estados Unidos, para evitar los controles de exportación de «cosas secretas». Con todo eso comenzó la distribución masiva: el genio estaba fuera de la botella.

Con el tiempo surgieron muchas versiones de PGP, Zimmerman acabó vendiendo su empresa y se dedicó a otros aspectos de la ciberseguridad. Hoy ha escrito un mensaje/carta de recordatorio con motivo del aniversario:

Tal día como hoy en 1991 se subió a Internet Pretty Good Privacy (PGP). El día anterior se lo había enviado a un par de amigos para que lo distribuyeran. Esto dio comienzo a una década de luchas para acabar con los controles de exportación de Estados Unidos sobre el software criptográfico fuerte. Tras la publicación de la versión 1.0 de PGP varios ingenieros se presentaron como voluntarios y realizamos muchas mejoras. En septiembre de 1992 lanzamos PGP 2.0 en diez idiomas, diversas plataformas y con nuevas funcionalidades, incluyendo el modelo de confianza que permitió que PGP se convirtiera en el método de cifrado de correo electrónico más utilizado.

Me convertí en el objetivo de una investigación penal por violar la Ley de Control de Exportación de Armas al permitir que PGP se extendiera por todo el mundo. Esto impulsó aún más la popularidad de PGP (…) Las restricciones a la exportación de EE.UU. finalmente cayeron en el año 2000. PGP encendió la década de las guerras criptográficas, lo que hizo que todas las democracias occidentales abandonaran sus restricciones al uso de criptografía fuerte. Fue una década histórica y emocionante, y un triunfo del activismo por el derecho a mantener una conversación privada.

(…) Aquí estamos, tres décadas después, y la criptografía fuerte está en todas partes. Lo que era glamuroso en la década de 1990 es ahora mundano. Han cambiado muchas cosas en estas décadas. Es mucho tiempo en años-perro y años-tecnología. Mi propio trabajo cambió a la telefonía y los mensajes de texto seguros de extremo a extremo. Ahora tenemos una criptografía fuerte y omnipresente en nuestros navegadores, en las VPN, en el comercio electrónico y en las aplicaciones bancarias, en los productos de la Internet de las Cosas (IoT), en el cifrado de discos, en la red TOR, en las criptodivisas. Y en un resurgimiento de las implementaciones del protocolo OpenPGP. Parece imposible volver a meter al genio en su botella. – Phil Zimmerman.

En el mensaje de Zimmerman hay algunas anécdotas humanas relevantes, como que le consta que su software permitió la evacuación segura de 8.000 civiles durante el conflicto de Kosovo, protegió las comunicaciones de los investigadores de crímenes de Guerra en Guatemala y de la Resistencia política en Burma en los 90. Incluso hay gente que se le ha acercado en conferencias para darle las gracias por estar vivo gracias a su software. Desde luego hizo muchas más cosas que eso, muchas de las cuales nunca sabremos. Todo un ejemplo de auténtico trabajo de un cypherpunk, haciendo bueno el dicho: «lo que hacen los cypherpunks es escribir código».

{Foto: Matt @ Wikimedia. Traducción: DeepL.}

Relacionado:

Compartir en Flipboard Compartir en Facebook Tuitear

PUBLICIDAD



Por @Alvy — 14 de Mayo de 2021

RNG | John D. Cook

John D. Cook tiene una serie de interesantes anotaciones sobre generadores de números aleatorios a las que se puede acceder bajo la etiqueta: RNG. Esto tiene aplicaciones tanto en criptografía como en muchas áreas de física y matemáticas, incluyendo las simulaciones.

En las explicaciones se habla desde los generadores de números aleatorios congruentes de la forma xn+1 = a xn mod m a otros con nombres más exóticos. Todos buscan un difícil equilibrio entre algo sencillo y fácil de implementar (aunque no genere números demasiado aleatorios) y otros más complejos y difíciles de llevar a la práctica –ya sea por capacidad de cómputo o complejidad del código– que puedan pasar más pruebas de aleatoriedad.

Algunos de estos algoritmos tienen nombres propios a cual más curioso: RANDU, MINSTD, DIEHARDER, PractRand y otros. También se explican varias formas para cómo extraer bits realmente aleatorios de fuentes sesgadas, como en el famoso problema de las «monedas cargadas», que se atribuye a John Von Neumann.

Relacionado:

Compartir en Flipboard Compartir en Facebook Tuitear

PUBLICIDAD



Por @Alvy — 14 de Abril de 2021

En este detallado vídeo de Computerphile, ese gran canal de vídeos sobre informática y sus derivados que no podemos dejar de recomendar, Mike Pound explica cómo se pueden descifrar los mensajes de la máquina Enigma con ordenadores de hoy en día. Su explicación es una variación basada en el criptoanálisis publicado en 1995 por James J. Gillogly en Ciphertext-only Cryptanalis of Enigma. El tiempo necesario: 10 segundos por mensaje, usando un portátil normal y corriente… pero la cosa tiene truco porque hay que añadir un poco de ayuda genuinamente humana.

Para entender la explicación conviene conocer algo más sobre cómo funciona una máquina Enigma (el vídeo de Brady Haran de Numberphile es también muy detallado), en especial cómo era el sistema de cables y rotores. Pound no entra mucho en las matemáticas del asunto, excepto para hacer algunos cálculos de servilleta sobre cómo cuantos más cables para enlazar pares de letras y más rotores se usaran, más complicado «probar todas las combinaciones» sería.

Cada rotor tenía 26 contactos –uno para cada letra del alfabeto– y podían usarse cinco discos en tres de las ranuras de los rotores (en algunos modelos se usaban cinco). En la práctica cambiaban cada día (o cada hora) y solían usarse diez cables pareados; también había que tener en cuenta la posición del anillo y la posición inicial, lo que complicaba el asunto.

Resolver Enigma se convierte básicamente en un problema estadístico: si se toma el mensaje cifrado con un número suficiente de caracteres y se intenta un descifrado «al azar» se obtiene un resultado que puede ser estadísticamente significativo o no. Eso se llama índice de coincidencia y se refiere al parecido del resultado con la frecuencia del alfabeto, que se conoce para todos los idiomas. Basta compararlo con el alemán –el idioma en que estaban cifrados los mensajes de Enigma– para ver si «parecen alemán» o no tanto.

Una particularidad de este método es que el valor del índice de coincidencia «mejora» o «empeora» si uno de los rotores es correcto, así como con los distintos pares de cableados correctos. De este modo se puede ir probando si fijar un rotor e ir variando los otros mejora el resultado (o lo empeora) y lo mismo con los pares de cables. A veces es posible incluso ver cómo van apareciendo bloques de palabras bien descifradas (o casi) lo cual estadísticamente no puede atribuirse a una mera coincidencia; eso implica que el proceso va por el buen camino: cables bien conectados o rotores en las posiciones correctas. Es cuestión entonces de afinar los demás y repetir el proceso. Criptoanálisis a la más vieja usanza.

El trabajo de Pound está disponible para quien quiera trastear con en Github; código fuente: Java Enigma y también en la llamada Cryptool, que tiene una interfaz gráfica y sirve para experimentar con este tipo de herramientas de criptoanálisis. Ojo que no es trivial: el ordenador no lo hace todo él sólo y hay que irle guiando en el proceso. Algo que sólo se ha podido mejorar con redes neuronales hasta cierto punto.

Como también explica, y esto es quizá lo más interesante, se necesita no sólo cierta cantidad de texto cifrado para poder atacarlo convenientemente, sino además saber algo sobre lo que contiene. Con textos pequeños de 50 caracteres es muy, muy difícil hacerlo; durante la Segunda Guerra Mundial se necesitaban entre 200 y 250 caracteres. Incluso con 1.200 o 1.500 a veces hoy en día es complicado si no se tiene una idea de qué contiene el mensaje. Pero por suerte es normal que en aquella época incluyeran palabras como «informe meteorológico», saludos, nombres de lugares, el arquetípico «heilhitler» y otros detalles que se conocían de otros mensajes ya descifrados, lo que hizo posible crackearlos, algo que hoy en día es más rápido y cómodo, pero que utiliza la misma idea aunque con un poco más de «fuerza bruta».

Relacionado:

Compartir en Flipboard Compartir en Facebook Tuitear

PUBLICIDAD




Un libro de @Alvy y @Wicho

Se suponía que esto era el futuro | un libro de Microsiervos, por Alvy y Wicho

Se suponía que esto era el futuro
Ciencia, tecnología y mucho más
www.microsiervos.com/libro


PUBLICIDAD