avsmal: (Default)
[personal profile] avsmal
Вчера я прочёл интересную статью о уязвимости почтовых сервисов: "How a Google Headhunter’s E-Mail Unraveled a Massive Net Security Hole" (по ссылке от Helger Lipmaa). История интересная сама по себе: о том, как криптограф подделал письмо Ларри Пейджу от Сергея Брина и наоборот.

Вкратце о технической стороне вопроса. Почтовые сервера умеют подписывать письмо при помощи DKIM с целью защиты от фишинга и спама. По письму, отправленному таким сервером, можно проверить, что оно действительно отправлено им. Причём подделать такое письмо (как предполагается) невозможно. В статье, собственно, сам DKIM никто не сломал, но оказалось, что почтовые сервисы (к примеру, Google и Yahoo) используют короткие ключи - по 512 бит. А ключ 512 бит можно подобрать за пару дней, воспользовавшись облачными вычислениями. Стоимость вопроса всего $75 =)

Теперь о политической =) стороне вопроса. За последнее время было опубликовано много всякой взломанной почты, в т.ч. почта из ящика [livejournal.com profile] navalny. Среди его почты было обнаружено несколько компрометирующих писем. В них некоторое неизвестное лицо (как утверждалось, Станислав Белковский) предлагал деньги за публикацию заказных постов (вот, что по этому поводу говорит сам Белковский). Эта информация была, как водится, растиражирована нашистами на каждой стене интернета. Навальный тогда признал, что почта настоящая, но некоторые письма - поддельные. В ответ на это хакер, взломавший почту, выложил оригиналы писем с подписями DKIM, и любой сомневающийся смог проверить, что письмо действительно было отправлено Навальному с итальянского сервера Yahoo.

Мне тогда показалось странным, что Навальный отрицает существование этих писем. Во-первых, DKIM действительно был корректный, а вероятность взлома ключа от Yahoo я оценивал как незначительную. Во-вторых, не такие уж это и страшные письма (многие популярные блогеры публикуют заказные посты), чтобы портить свою репутацию публично опровергая их подлинность. А теперь оказывается, что подделать письмо совсем просто и дёшево.

Резюме. Я не утверждаю, что эти компрометирующие письма - поддельные. Просто я раньше был уверен в их подлинности, а теперь у меня есть серьёзные сомнения в этом.

Upd: Вот тут пишут, что в случае с письмами Навального использовались ключи длиной 1024 бита. Спасибо [livejournal.com profile] fat_crocodile.
From:
Anonymous( )Anonymous This account has disabled anonymous posting.
OpenID( )OpenID You can comment on this post while signed in with an account from many other sites, once you have confirmed your email address. Sign in using OpenID.
User
Account name:
Password:
If you don't have an account you can create one now.
Subject:
HTML doesn't work in the subject.

Message:

 
Notice: This account is set to log the IP addresses of everyone who comments.
Links will be displayed as unclickable URLs to help prevent spam.

Profile

avsmal: (Default)
avsmal

February 2015

S M T W T F S
1234 567
891011121314
15161718192021
22232425262728

Most Popular Tags

Style Credit

Expand Cut Tags

No cut tags
Page generated Jul. 27th, 2017 02:36 am
Powered by Dreamwidth Studios