Seznamte se s novinkami v šifrování a kryptogafie!

Prezentace na téma: "Seznamte se s novinkami v šifrování a kryptogafie!"— Transkript prezentace:

1 Seznamte se s novinkami v šifrování a kryptogafie!
Pavel Vondruška, specialista pro IT bezpečnost a certifikační služby ČESKÝ TELECOM, a.s. IT Security 2005, , Hotel Diplomat, Praha

2 Svět – Kryptografie a Bezpečnost
Paris Hilton's T-Mobile Sidekick gets sidekicked as a hacker breaks into her account, scoops up her address book, notes and phone pics.

3 Svět – Kryptografie a Bezpečnost
Kolize hašovací funkce MD5 objeveny ! Bezesporu největší událostí bylo zveřejnění kolizí hašovací funkce MD5 ( , Rump Session, konference Crypto 2004) Originální zpráva : Xiaoyun Wang, Dengguo Feng, Xuejia Lai, Hongbo Yu: Collisions for Hash Functions MD4, MD5, HAVAL-128 and RIPEMD, rump session, Crypto 2004,

4 Svět – Kryptografie a Bezpečnost
February 15, 2005 SHA-1 Broken SHA-1 has been broken. Not a reduced-round version. Not a simplified version. The real thing. The research team of Xiaoyun Wang, Yiqun Lisa Yin, and Hongbo Yu (mostly from Shandong University in China) have been quietly circulating a paper describing their results: collisions in the the full SHA-1 in 2**69 hash operations, much less than the brute-force attack of 2**80 operations based on the hash length. collisions in SHA-0 in 2**39 operations. collisions in 58-round SHA-1 in 2**33 operations.

5 Svět – Kryptografie a Bezpečnost
Microsoft chybně implementoval šifrový algoritmus RC4 ! Microsoft uses the RC4 stream cipher in both Word and Excel. According to a paper by Hongjun Wu - The Misuse of RC4 in Microsoft Word and Excel "In this report, we point out a serious security flaw in Microsoft Word and Excel. The stream cipher RC4 with key length up to 128 bits is used in Microsoft Word and Excel to protect the documents. But when an encrypted document gets modified and saved, the initialization vector remains the same and thus the same keystream generated from RC4 is applied to encrypt the different versions of that document. The consequence is disastrous since a lot of information of the document could be recovered easily." It's an amateur crypto mistake. The easy way to prevent this attack is to use a unique initialization vector (IV) in addition to the key whenever you encrypt a document. Zdroj:

6 Svět – standardy a normy RFC pro kvalifikované certifikáty …
V březnu 2004 vyšlo RFC, které se zabývá profilem kvalifikovaného certifikátu. RFC 3739 on Internet X.509 Public Key Infrastructure: Qualified Certificates Profile ftp://ftp.rfc-editor.org/in-notes/rfc3739.txt

7 Svět – standardy a normy Standard FIPS 180-2 doplněn …
V únoru byl doplněn standard FIPS 180-2, který se zabývá třídou hashovacích funkcí SHA. Šlo o upřesnění nejmladší fce z této třídy a to SHA-224.

8 Svět – standardy a normy Bylo nalezeno 41. Mersennova prvočíslo
Mersennova prvočísla jsou prvočísla speciálního tvaru: M(n)=2n-1. Doposud bylo takovýchto prvočísel známo 40. Dne 22. 5. 2004 bylo oficiálně oznámeno nalezení 41. Mersennova prvočísla a po kontrole správnosti byla 29. 5. zveřejněna jeho hodnota – je jím 224 036  Toto číslo se stalo největším v současnosti známým prvočíslem – lze jej zapsat pomocí 7 235 733 dekadických cifer. – pravděpodobně bylo objeveno 42.Mersennovo prvočíslo ….

9 Česká Republika - Legislativa
Novela zákona č. 227/2000 Sb., o elektronickém podpisu Dne 26. července 2004 nabyla účinnosti novela zákona o elektronickém podpisu (č. 440/2004 Sb.). Tento předpis nově zavádí pojem "kvalifikované časové razítko", které prokazuje existence elektronického dokumentu v čase. Další novinkou je možnost používat „elektronické značky“. Elektronickou značkou může označovat data právnická osoba nebo organizační složka státu a používat k tomu automatizované postupy. Elektronické značky jsou podmínkou pro připravované zavedení výpisů ze stáních rejstříků na poštách a matrikách. Novela dále upravuje používání elektronických podatelen na orgánech veřejné moci.

10 Česká Republika - Legislativa
Vyhláška č. 496/2004 Sb., k elektronickým podatelnám Vyhláška č. 496/2004 Sb., k elektronickým podatelnám upravuje postup, jak mají orgány veřejné moci přijímat a odesílat datové zprávy prostřednictvím elektronické podatelny. Tato vyhláška navazuje na nařízení vlády č. 495/2004 Sb., k elektronickým podatelnám, které nařizuje orgánům veřejné moci elektronickou podatelnu zřídit a má sloužit jako návod, jak naplnit podmínky dané tímto nařízením vlády. Vyhláška nabyla účinnosti k 1. lednu 2005.

11 Česká Republika - Legislativa
Připojení České republiky k CCRA Česká republika se na konci září 2004 připojila jako dvacátá země k mezinárodní dohodě o vzájemném uznávání certifikátů vydávaných v oblasti bezpečnosti informačních technologií pro osvědčení shody s kritérii "Common Criteria for Information Technology Security Evaluation" (dále jen "CC"). Norma ISO/IEC :1999 je totožná s textem zveřejněným pod názvem "Common Criteria for Information Technology Security Evaluation", verze 2.1. Tato kritéria jsou obvykle nazývána pouze "Common Criteria„ (zkratka "CC„). NBÚ požádal o připojení k dohodě v lednu roku 2004 a to jako účastník využívající certifikáty vydávané v rámci CCRA. Tímto aktem je vymezeno, které certifikáty vydané v oblasti bezpečnosti informačních technologií bude NBÚ automaticky uznávat.

12 Česká Republika - Legislativa
Návrh novely zákona č.148/1998 schválen vládou ČR Vláda České republiky na zasedání 26. ledna 2005 schválila návrh nového zákona o ochraně utajovaných informací a o bezpečnostní způsobilosti a s ním související zákon o změně zákonů v souvislosti s přijetím zákona o ochraně utajovaných informací a o bezpečnostní způsobilosti. Účelem návrhu zákona o ochraně utajovaných informací a o bezpečnostní způsobilosti je nově upravit oblast ochrany utajovaných informací a oblast ověřování bezpečnostní způsobilosti pro výkon citlivých činností tak, aby právní úprava byla slučitelná s právem Evropských společenství a zároveň aby odstranila nedostatky dosavadního zákona č. 148/1998 Sb.

13 Česká Republika – Kryptografie a Bezpečnost
Crypto-World oslavil 5-té výročí Domácí e-zin Crypto-World vydávaný od září roku 1999 pod vedením Pavla Vondrušky oslavil své 5-té výročí. Mimo měsíčníku, který je zdarma rozesílán registrovaným čtenářům (více jak 780) jsou s e-zinem spojeny další aktivity : tradiční podzimní soutěž, informace poskytované na webu (legislativa, standardy a normy) a od ledna 2004 i pravidelní denní Crypto-News, které připravují pánové : Vondruška, Klíma, Rosa a Pinkava.

14 Česká Republika – Kryptografie a Bezpečnost
První publikovaná praktická ukázka využíti kolize MD5 Ondrej Mikle, student MFF UK, ukázal, že lze využít i jednu publikovanou kolizi MD5 ke konstrukci reálných útoků. Mikle, Ondrej: Practical Attacks on Digital Signatures Using MD5 Message Digest, Cryptology ePrint Archive, Report 2004/356, , 2nd December 2004 Detaily viz např. Crypto-World 1/2005

15 Česká Republika – Kryptografie a Bezpečnost
Mezinárodní workshop Mikulášská kryptobesídka prosinec 2004, Hotel STEP, Praha. Tradiční workshop se stává bezesporu nejdůležitější domácí akcí v oboru kryptologie. Mimo předních českých odborníků (V.Klíma, V.Matyáš, D.Cvrček, Krhovjak, L.Smolík, P.Vondruška) se akce zúčastnili významní odborníci ze zahraničí : Karthik Bhargavan (Microsoft Research, Cambridge, UK) , Peter Hellekalek (pLab, University of Salzburg), Alexandre Stervinou (RSA Security, Europe), Klonowski, Kutylowski, Lauks, Zagorski (Wroclaw University of technology) ….

16 Česká Republika – Kryptografie a Bezpečnost
Prolomení proudové šifry Hiji-bij-bij Vlastimil Klima: Cryptanalysis of Hiji-bij-bij (HBB), IACR ePrint archive 2005/003, January 2005.

17 Česká Republika – Kryptografie a Bezpečnost
Zdrojové kódy Microsoftu pro NBÚ Díky podpisu smlouvy ( ) mezi Microsoftem zastoupeným Billem Gatesem a Jiřím Devátem, ředitelem české pobočky Microsoftu, a Janem Marešem, ředitelem Národního bezpečnostního úřadu získá Česká republika na tři roky přístup ke zdrojovým kódům operačních systémů Windows 2000, Windows XP, Windows Server 2003, a dále na Windows CE 3.0, Windows CE 4.0 (.NET) a Windows CE 5.0. Smlouva dále zpřístupňuje zdrojové kódy sady aplikací, serverů a služeb Microsoft Office System. Národní bezpečnostní úřad může přístup k těmto kódům podle přesně stanovených podmínek poskytnout i třetím stranám.

18

19 Kontakty V případě dotazů kontaktujte: Mgr.Pavel Vondruška
Další informace můžete najít zde :