Your SlideShare is downloading. ×

Sf2010

366

Published on

My slide deck from slobodni festival 4

My slide deck from slobodni festival 4

Published in: Technology
0 Comments
0 Likes
Statistics
Notes
  • Be the first to comment

  • Be the first to like this

No Downloads
Views
Total Views
366
On Slideshare
0
From Embeds
0
Number of Embeds
1
Actions
Shares
0
Downloads
2
Comments
0
Likes
0
Embeds 0
No embeds

Report content
Flagged as inappropriate Flag as inappropriate
Flag as inappropriate

Select your reason for flagging this presentation as inappropriate.

Cancel
No notes for slide

Transcript

  • 1. Osiguravanje povjerljivosti i privatnosti komunikacija u nesigurnim okolinama Tonimir Kišasondi, dipl.inf, EUCIP
  • 2. $whoami
    • Znanstveni novak @ foi.hr
    • Security, Crypto, Linux
  • 3. Što se krije iza predugog naslova?
    • Par kratkih uputa i smjernica kako očuvati tajnost svojih komunikacija
    • Smjernice za alate / metode
    • Popularno pitanje: "Što će to meni?"
      • Vrijednost podataka i indirektni napadi
      • S. Koreja, Iran, Kina
      • J. Koreja, Austrija, Belgija, Kanada
  • 4. Elementi razmatranja
    • Komunikacija
    • Klijent
    • Modus operandi
  • 5. Interesantna hipoteza:
    • "If an attacker has physical access to your computer, it's not your computer anymore"
    • Ukratko: Sve što nije eksplicitno zaštičeno, pretpostavite da je kompromitirano.
      • Ista stvar odnosi se na privatnost :)
    • Par problema kriptiranog sadržaja
      • Analiza prometa [traffic analysis]
      • Uništavanje poruka
      • Ponavljanje poruka
      • Problem "ekosustava"
  • 6. Googleovo razmišljanje: "If you have something that you don't want anyone to know, maybe you shouldn't be doing it in the first place." - Eric Schmidt, Google CEO
  • 7. Interesantna hipoteza: "If you have something that you don't want anyone to know, maybe you should secure it?."
  • 8. E-Mail:
    • Zanemarivani problem: Mail na serveru
      • Povečani problem s brojem ljudi koji koriste isti server
      • "Gmail sindrom"
    • No brainer: Koristite GnuPG
    • Provjeravajte fingerprintove ključeva!
    • Frontendovi
      • APG – Android privacy guard
      • Enigmail (Thunderbird)
      • Firegpg (Firefox / Gmail)
      • Gpg4win / gpgpt
      • Mnogi mail klijenti podržavaju openpgp standard
  • 9. Web promet:
    • Pripazite na fake / istekle SSL certifikate
    • sslstriping / sslsniffing napadi
    • EFFov HTTPS everywhere firefox plugin
      • Automatska enkripcija svih web siteova koji podržavaju SSL
    • TOR za anonimizaciju prometa
      • Endpoint sniffing i DNS leakage
      • network.proxy.socks_remote_dns = true
      • TorProxy / Shadow browser na androidu
      • Obavezno koristiti Torbutton
        • Panopticlick: Korelacija poznatih informacija
  • 10. Web promet:
    • Anonimizacijski servisi imaju problem
      • End node sniffing
      • Dali ste sigurni tko je zapravo vlasnik end nodea ili proxya?
    • Koji je smisao anonymizing proxya?
      • Tajnost podataka po nekriptiranoj vezi?
      • WWW proxy servisi : "where is the money?"
      • Ostale metode identifikacije (browser,cookie,LSO,Traffic Analysis, navike korisnika)
    • Redovito leakanje povjerljivih informacija iz TORa
  • 11. Web promet:
    • Sigurnost bez anonimnosti?
    • SSH tunelling
      • AllowTCPForwarding yes
      • ssh -D 55555 [email_address]
      • .ssh/config
      • Putty -> Dynamic
      • Multiproxy switch toolbar
      • network.proxy.socks_remote_dns = true
    • DNS, ICMP tunelling
    • VPN
    • Sanitizacija prometa!
  • 12. IM:
    • Skype je navodno kriptiran i siguran :)
    • Ista stvar za Gtalk
    • IM history, Gtalk history problemi
    • Problem centraliziranih servisa (ICQ)
      • Problem ICQ DST buyouta.
    • OTR (off-the-record)
      • Pidgin, Adium, Miranda, Kopete, Irssi, Trillian
    • Provjeravajte fingerprintove
  • 13. Datoteke:
    • GPG za pojedine datoteke
      • 7zip-portable AES256
      • Size matters, Use long passphrases
    • Truecrypt / dmcrypt-LUKS
      • kontejneri,particije,diskovi
      • Prenosivi mediji su iznimno korisni!
    • Truecrypt hidden containers
    • Problem primjenjene kriptoanalize :)
  • 14. Datoteke:
  • 15. Datoteke:
    • Problem primjenjene kriptoanalize :)
      • Problem tradecrafta
    • "Security by obscurity"
      • Funkcionira, samo uz primjenu pravog securitya :)
      • Kreirajte svoje "trikove" – Kriptiranje ili Kodiranje?
    • Vrijednost sadržaja uvjetuje kompleksnost analize i truda da se dođe do tog sadržaja
      • Keylogging, Exploatacija, sniffing
      • Enkripcija je rijetko problem.
  • 16. Datoteke:
    • Secure delete!
    • Guttmanova (DoD metoda)
    • Secure-Delete
    • Shred
    • Eraser
    • Pripazite na flash memoriju!
  • 17. Keylogging:
    • Wifi tastature
      • KeyKeriki
      • Patchirani firmware
    • Patchirani FW tastature
    • Keyghost, Interni keyghost
    • Powerline analiza
    • Tempest
  • 18. Malware:
  • 19. Malware
    • Malware (Keylogging, Trojani, Rootkitovi)
      • Koliki je prosječni response time malware kuča?
      • Custom made malware
      • Zahtjevnost pisanja malwarea + packing + crypting
    • Stoned bootkit
    • Trojaned Routers
  • 20. SW:
    • Sandboxing
    • NoScript, AdblockPlus, Strict transport security
    • Pazite na Local Shared Objects
    • Cookies, Saved passwords
    • Pazite na updatean software, browser, pluginove
    • Nepotrebni servisi
    • Minimizirajte "attack surface"
    • "Password reuse" problem
    • "Use your head"
  • 21. Medij prijenosa:
    • Pazite na medij
      • WIFI
      • 3G
    • A5/1, A5/2, KASUMI -> Broken
    • Komunikacija između BTS-a i BSC-a je nesigurna
      • Žičani tapovi?
    • FCFS metoda primanja signala
      • "Evil twin" napadi
    • 3G/GPS moduli npr Qualcom / Gobi
      • Android / Gobi location services (privacy anyone)
  • 22. Razno:
    • Droptop, Burner cell
    • Border control zakoni, DEFCON, Kina i sl.
      • Zamjena / Vađenje HDD-a?
    • Boot from SD card (XB Machine, Incognito OS)
      • VPN?
    • Removeable storage je posebno koristan
      • MicroSD cards?
    • Posebni VM-ovi
      • Sanitizacija VM-a
      • Posebno interesantno za "sumnjiva mjesta"
      • "Siguran VM"
  • 23. Medij prijenosa:
    • Ako želite da bude sigurno, potrudite se da je sigurno!
      • Metoda i aplikacija ima
      • Nisu kompleksne
    • Razmislite kome su vrijedni ti podaci i koji je utjecaj na vašu "okolinu"
      • Google & Co.
      • Maliciozni korisnici
      • Neposredni napad
    • Što zakon govori o tome? Gdje su granice?
  • 24. Pitanja?
  • 25. Hvala

×