Telegram, ένας δωρεάν open source messenger με κρυπτογράφηση

[kostas_dr]

[mobinmob]

Μου κάνει τρομερή εντύπωση η υποδοχή αυτής της γενιάς "ασφαλών" εφαρμογών από τους χρήστες... Τα OTR και ZRTP υπάρχουν εδώ και χρόνια, υποστηρίζονται από αρκετούς clients και τα χρησιμοποιούν ελάχιστοι. Είναι ασφαλή, εξελίσσονται και υποστηρίζονται σε κάθε πιθανή και απίθανη πλατφόρμα. Γιατί λοιπόν γίνεται τόσος χαμός για τους "μαθητευόμενους μάγους" του Telegram;

[Gi0]

Γιατί λοιπόν γίνεται τόσος χαμός για τους "μαθητευόμενους μάγους" του Telegram;

Επειδη τα καναν σκατα

[mobinmob]

Επειδη τα καναν σκατα

Συμφωνώ, απλά δεν καταλαβαίνω τι πιστευουν οτι προσφερουν παραπανω από τα πρωτόκολλα που αναφέρω

Οι coders  της whisper systems, έχουν γράψει αναλυτικά τι προσφέρουν περισσότερο από το OTR, στην Silent Circle πατούν πάνω στο ZRTP και το επεκτείνουν (και έχουν πολύ ενδιαφέρον πρωτόκολλο για text messaging στο οποίο ακούγεται ότι θα βασιστεί το Dark Mail), στο threema υλοποιοιούν με ενδιαφέροντα τρόπο κρυπτογράφηση χρησιμοποιώντας την nacl του djb και επιβεβαιώνοντας τα κλειδιά ... Στο Telegram;

[Gi0]

Συμφωνώ, απλά δεν καταλαβαίνω τι πιστευουν οτι προσφερουν παραπανω από τα πρωτόκολλα που αναφέρω

Οι coders  της whisper systems, έχουν γράψει αναλυτικά τι προσφέρουν περισσότερο από το OTR, στην Silent Circle πατούν πάνω στο ZRTP και το επεκτείνουν (και έχουν πολύ ενδιαφέρον πρωτόκολλο για text messaging στο οποίο ακούγεται ότι θα βασιστεί το Dark Mail), στο threema υλοποιοιούν με ενδιαφέροντα τρόπο κρυπτογράφηση χρησιμοποιώντας την nacl του djb και επιβεβαιώνοντας τα κλειδιά ... Στο Telegram;

Στο telegram αποφασισαν να εφαρμοσουν/αναπτυξουν τη δικη τους κρυπτογραφηση. Το οποιο ειναι το πρωτο πραγμα που πρεπει να αποφευγει ο καθενας που θελει να εχει σχεση με την κρυπτογραφια. Και η απαντηση τους ειναι πως "The team behind Telegram, led by Nikolai Durov, consists of six ACM champions, half of them Ph.Ds in math". Μια και εαν εχεις διδακτορικα στα μαθηματικα αυτοματα γινεσαι αψογος κρυπτογραφος.

Marketing.

[mobinmob]

Tο τελευταίο διάστημα είχαμε ανακάλυψη σοβαρών bug σε υλοποιήσεις του SSL/TLS  (της Apple  και την GnuTLS) που γράφτηκαν και συντηρούνται από σοβαρούς επαγγελματίες κρυπτογράφους και το πρωτόκολλο στο οποίο βασίζονται είναι δημοσιευμένο και έχει κρυπταναλυθεί μέχρι αηδίας. Το να πιστεύει κάποιος ότι δημιουργώντας το δικό του πρωτόκολλο θα είναι πιο ασφαλής επειδή "η ομάδα έχει καλούς μαθηματικούς", είναι το... λιγότερο αστείο

[warlock9_0]

https://whispersystems.org/

[Gi0]

Tο τελευταίο διάστημα είχαμε ανακάλυψη σοβαρών bug σε υλοποιήσεις του SSL/TLS  (της Apple  και την GnuTLS) που γράφτηκαν και συντηρούνται από σοβαρούς επαγγελματίες κρυπτογράφους και το πρωτόκολλο στο οποίο βασίζονται είναι δημοσιευμένο και έχει κρυπταναλυθεί μέχρι αηδίας. Το να πιστεύει κάποιος ότι δημιουργώντας το δικό του πρωτόκολλο θα είναι πιο ασφαλής επειδή "η ομάδα έχει καλούς μαθηματικούς", είναι το... λιγότερο αστείο

Αgreed, το 2ο "goto fail" φιασκο μεσα σε λιγο καιρο.

https://whispersystems.org/

post #11

[mobinmob]

Αgreed, το 2ο "goto fail" φιασκο μεσα σε λιγο καιρο.

 

Ευτυχώς βρέθηκε σε auditing και διορθώθηκε άμεσα (μέσα στην μέρα δημοσίευσης του advisory ή την επόμενη) από τις διανομές. Δεν είναι η πιο διαδεδομένη υλοποίηση - οι openssl και nss είναι- αλλά μπορούσε να δημιουργήσει σοβαρά προβλήματα.

Δυστυχώς, απ' ότι φαίνεται δεν είναι καινούργιο το bug...

https://whispersystems.org/

 

Για pc δες το jitsi... OTR για text, ZRTP για ήχο και video.

https://jitsi.org/

[Gi0]

Δυστυχώς, απ' ότι φαίνεται δεν είναι καινούργιο το bug...

Οντως, αυτο ειναι το τραγικοτερο της υποθεσης. Παιζει να πλησιαζει τη δεκαετια, γεγονος που εν μερη αναιρει -δυστυχως- το "given enough eyeballs, all bugs are shallow" του Linus. Και εαν το συνδυασουμε με το bug της Apple, καταληγουμε στο no-shit-Sherlock συμπερασμα πως proprietary ή μη, κανενα software δεν ειναι ασφαλες.

 

Anyway, ξεφυγαμε λιγο απο το αρχικο θεμα, mobinmob cheers για τη συζητηση