Oct. 29th, 2012

avsmal: (Default)
Вчера я прочёл интересную статью о уязвимости почтовых сервисов: "How a Google Headhunter’s E-Mail Unraveled a Massive Net Security Hole" (по ссылке от Helger Lipmaa). История интересная сама по себе: о том, как криптограф подделал письмо Ларри Пейджу от Сергея Брина и наоборот.

Вкратце о технической стороне вопроса. Почтовые сервера умеют подписывать письмо при помощи DKIM с целью защиты от фишинга и спама. По письму, отправленному таким сервером, можно проверить, что оно действительно отправлено им. Причём подделать такое письмо (как предполагается) невозможно. В статье, собственно, сам DKIM никто не сломал, но оказалось, что почтовые сервисы (к примеру, Google и Yahoo) используют короткие ключи - по 512 бит. А ключ 512 бит можно подобрать за пару дней, воспользовавшись облачными вычислениями. Стоимость вопроса всего $75 =)

Теперь о политической =) стороне вопроса. За последнее время было опубликовано много всякой взломанной почты, в т.ч. почта из ящика [livejournal.com profile] navalny. Среди его почты было обнаружено несколько компрометирующих писем. В них некоторое неизвестное лицо (как утверждалось, Станислав Белковский) предлагал деньги за публикацию заказных постов (вот, что по этому поводу говорит сам Белковский). Эта информация была, как водится, растиражирована нашистами на каждой стене интернета. Навальный тогда признал, что почта настоящая, но некоторые письма - поддельные. В ответ на это хакер, взломавший почту, выложил оригиналы писем с подписями DKIM, и любой сомневающийся смог проверить, что письмо действительно было отправлено Навальному с итальянского сервера Yahoo.

Мне тогда показалось странным, что Навальный отрицает существование этих писем. Во-первых, DKIM действительно был корректный, а вероятность взлома ключа от Yahoo я оценивал как незначительную. Во-вторых, не такие уж это и страшные письма (многие популярные блогеры публикуют заказные посты), чтобы портить свою репутацию публично опровергая их подлинность. А теперь оказывается, что подделать письмо совсем просто и дёшево.

Резюме. Я не утверждаю, что эти компрометирующие письма - поддельные. Просто я раньше был уверен в их подлинности, а теперь у меня есть серьёзные сомнения в этом.

Upd: Вот тут пишут, что в случае с письмами Навального использовались ключи длиной 1024 бита. Спасибо [livejournal.com profile] fat_crocodile.

Profile

avsmal: (Default)
avsmal

February 2015

S M T W T F S
1234 567
891011121314
15161718192021
22232425262728

Most Popular Tags

Style Credit

Expand Cut Tags

No cut tags
Page generated Sep. 24th, 2017 10:29 am
Powered by Dreamwidth Studios