Tag Archives: nsa

Cisco 與 Fortinet 防火牆的 RCE 漏洞

NSA 使用這些漏洞來大量監聽企業的流量:「Leaked Exploits are Legit and Belong to NSA: Cisco, Fortinet and Snowden Docs Confirm」。 Cisco 已經確認這個安全性漏洞了,全系列包括已經停產的 Cisco PIX、上個世代的 Cisco ASA 5500 (但還有些型號還在賣),以及目前主力的 Cisco ASA 5500-X,另外還包括了安全模組系列也中獎:「Cisco Adaptive Security Appliance SNMP Remote Code Execution Vulnerability」。 Cisco ASA 5500 Series Adaptive Security … Continue reading

Posted in Computer, Hardware, Murmuring, Network, Political, Security, Social, VPN, WWW | Tagged , , , , , , , , , , , , , , , , | Leave a comment

大規模監控會無形壓抑少數意見

前陣子看到的這篇報導,在討論大規模的監控帶來的影響:「Mass surveillance silences minority opinions, according to study」。而 Bruce Schneier 這幾天也提到了這個問題:「Mass Surveillance Silences Minority Opinions」。 原始的論文出自「Under Surveillance: Examining Facebook's Spiral of Silence Effects in the Wake of NSA Internet Monitoring」這邊。 論文作者從 Facebook 上的行為來分析,說明大規模的監控會使得少數意見不敢發聲,對於社會多元性的負面影響。

Posted in Computer, Murmuring, Network, Political, Science, Social | Tagged , , , , , , , , , | Leave a comment

密碼系統的 Monoculture

這篇文章講到最近密碼系統的現象:「On the Impending Crypto Monoculture」。 目前常在用的密碼系統包括了 RSA、DH、ECDH、ECDSA、SHA-2、AES 這些演算法,而最近這幾年大家在推廣使用的演算法都出自於同一個人手裡,Dan Bernstein,也就是 djb: A major feature of these changes includes the dropping of traditional encryption algorithms and mechanisms like RSA, DH, ECDH/ECDSA, SHA-2, and AES, for a completely different set of mechanisms, including … Continue reading

Posted in Computer, Murmuring, Security | Tagged , , , , , , , , , , , , , , , , , , , , , , , , , , , | 1 Comment

美國年輕人的理想職業

紐約時報報導 National Society of High School Scholars 問了一萬八千名美國年輕人 (15~29 歲) 理想的職業,也不少出乎意料的結果跑出來:「The New Dream Jobs」。 常見的網路公司在上面,但讓紐約時報感到意外的,FBI、CIA 與 NSA 也在上面: When the National Society of High School Scholars asked 18,000 Americans, ages 15 to 29, to rank their ideal future employers, the … Continue reading

Posted in Murmuring, Social | Tagged , , , , , , , , , , , , , , , , , | Leave a comment

在攻擊時總是挑最弱的一環:NSA 對 DH 的攻擊

在「How is NSA breaking so much crypto?」這邊提到了 2012 年有文章說明 NSA 有能力解開部份的加密通訊,而後來 Snowden 所提供的資料也證實了這點: In 2012, James Bamford published an article quoting anonymous former NSA officials stating that the agency had achieved a “computing breakthrough” that gave them “the ability to … Continue reading

Posted in Computer, Murmuring, Network, Security, VPN, WWW | Tagged , , , , , , , , , , , , | Leave a comment

Cisco 會將硬體寄送到貨運商,以提高 NSA 攔截安裝後門的難度

在「To Avoid NSA Interception, Cisco Will Ship To Decoy Addresses」這篇看到的報導,出自「Cisco posts kit to empty houses to dodge NSA chop shops」這篇。 去年 Snowden 揭露的資料顯示 NSA 會攔截 Cisco 的硬體,並且在上面安裝後門再打包寄出:「Greenwald alleges NSA tampers with routers to plant backdoors」: "The NSA routinely receives – … Continue reading

Posted in Computer, Hardware, Murmuring, Network, Political, Security, Software, VPN | Tagged , , , , , , , | Leave a comment

Gemalto 被 NSA 與 GCHQ 滲透的問題...

前幾天 Snowden 發佈出來的消息,全世界最大的 SIM 卡製造商 Gemalto 被 NSA 與 GCHQ 滲透進去,取得所有的 SIM key:「NSA/GCHQ Hacks SIM Card Database and Steals Billions of Keys」、「Gemalto Hack May Have Far-Reaching Effects」。 The attack, reported by The Intercept, is breathtaking in its scope and audacity. … Continue reading

Posted in AWS, Cloud, Computer, Murmuring, Network, Security, Telephone | Tagged , , , , , | Leave a comment

安全的 SSH (Secure Secure Shell)

在 Twitter 上看到「Secure Secure Shell」這篇文章,介紹要如何加強 OpenSSH。 文章裡分成四個部份討論,從 Key exchange 開始,Authentication、Symmetric ciphers 以及 Message authentication codes。 先把已知有問題的技術都先拿掉 (像是 MD5、RC4 與 DES),然後有被 NSA 影響到的技術,而且有不錯的替代方案的也拿掉。 另外還介紹了 Tor hidden service 下的保護。 感覺有點偏激的文件,可以拿來參考...

Posted in Computer, Murmuring, Network, Security, Software | Tagged , , , , | 1 Comment

djb 的密碼學陰謀論

Daniel J. Bernstein (djb) 在巴西 H2HC 11 的的演講投影片:「Making sure crypto stays insecure」(PDF)。 對政府單位來說,並不樂見有安全的密碼系統。因為安全的密碼系統對於政府監控人民是個麻煩。 如果十年前拿出來講,可能大多數人會覺得投影片裡面的內容太過於「被害妄想」,但經過 Edward Snowden 的努力後,被證實政府完全站在人民的反面。 在演算法裡面藏後門 (經典的 Dual_EC_DRBG);干擾標準的制定,讓實做變得複雜,於是就會變得難以正確實做;在標準裡面故意低估安全威脅 (尤其是 timing attack 類);放出過時消息宣稱加密的成本很高 (指時間成本)。 這種種事情的透漏,甚至讓小說作者 cancel 掉小說的續集 (第三集),因為他發現他要寫的故事內容 NSA 都已經做過了:「Sci-fi Author Charles Stross Cancels Trilogy: the NSA Is Already … Continue reading

Posted in Computer, Murmuring, Political, Security | Tagged , , , , | 1 Comment

NSA 從兩年前就知道 OpenSSL 的 Heartbleed bug...

依據 Bloomberg 的報導,NSA 兩年前就知道 OpenSSL 的 Heartbleed bug 了:「NSA Said to Exploit Heartbleed Bug for Intelligence for Years」。 翻了 GitHub 上的 mirror 記錄,可以發現是在 2012/01/01 commit 進去的:「commit 4817504d069b4c5082161b02a22116ad75f822b1」,幾乎是一開始就知道了? 苦啊...

Posted in Computer, Murmuring, Network, Security, WWW | Tagged , , , , , | 1 Comment