Tag: pgp

kernel.org 推動 git push 的簽名

在 LWN 上看到 kernel.org 解釋並且推動 git push 的電子簽名：「Signed pushes for kernel.org」。

在「Signed git pushes」這篇裡面解釋了除了 git commit 本身的簽名外，另外 git push 的簽名也有重要性。

而在「Introducing the kernel.org git transparency log」這邊則是公開了對應的 git transparency log。

這個方法讓 kernel.org 上的 git repository 會更透明，加上 kernel.org 上的 git repository 會被很多人 mirror，在真的出問題的時候，大家手上也都有資料可以交叉比對...

Adobe Security Team 直接把 Private Key 貼到網誌上面...

Security Team 出這種包...：「In spectacular fail, Adobe security team posts private PGP key on blog」。

Adobe 這次的事情要怎麼說呢，hmmm...

Bitcoin.org 對於接下來的 release 發出警告

Bitcoin.org 發出了有點摸不著頭緒的警告：「0.13.0 Binary Safety Warning」。

Bitcoin.org has reason to suspect that the binaries for the upcoming Bitcoin Core release will likely be targeted by state sponsored attackers. As a website, Bitcoin.org does not have the necessary technical resources to guarantee that we can defend ourselves from attackers of this calibre.

而且直接是點名可能是針對中國區的用戶：

We ask the Bitcoin community, and in particular the Chinese Bitcoin community to be extra vigilant when downloading binaries from our website.

由於 Bitcoin.org 全站走 HTTPS，這是在暗示會出現「不小心發出 Bitcoin.org 的 SSL certificate」的事情？另外官方也建議使用 PGP public key 驗證：

We strongly recommend that you download that key, which should have a fingerprint of 01EA5486DE18A882D4C2684590C8019E36C2E964. You should securely verify the signature and hashes before running any Bitcoin Core binaries. This is the safest and most secure way of being confident that the binaries you’re running are the same ones created by the Core Developers.

來拿板凳蹲著看，順便拉一張目前 certificate 看到的資訊，目前是從 RapidSSL SHA256 CA - G3 簽出來：

PGP 短 ID 的安全問題

PGP 短 ID 的安全問題出來了，不見棺材不掉淚啊：「Fake Linus Torvalds' Key Found in the Wild, No More Short-IDs.」。

重點在這段，已經有人發出攻擊了：

Search Result of 0x00411886: https://pgp.mit.edu/pks/lookup?search=0x00411886&op=index
Fake Linus Torvalds: 0F6A 1465 32D8 69AE E438  F74B 6211 AA3B [0041 1886]
Real Linus Torvalds: ABAF 11C6 5A29 70B1 30AB  E3C4 79BE 3E43 [0041 1886]

Search Result of 0x6092693E: https://pgp.mit.edu/pks/lookup?search=0x6092693E&op=index
Fake Greg Kroah-Hartman: 497C 48CE 16B9 26E9 3F49  6301 2736 5DEA [6092 693E]
Real Greg Kroah-Hartman: 647F 2865 4894 E3BD 4571  99BE 38DB BDC8 [6092 693E]

另外作者給了還蠻重要的觀念：

DO NOT TRUST ANYTHING SHORTER THAN THE FINGERPRINTS.

Cisco 釋出偵測是否有被植入後門的程式

前幾天在「在 Cisco Router 上被植入的後門」這邊提到了 Cisco 的 router 被植入後門，剛剛在 Zite 上看到 Cisco 放出檢查程式：「Cisco released a tool to scan for SYNful_Knock implants」。

程式是用 Python 寫的，可以在「Talos Intel - Synful Knock Scanner」這邊取得，但這個網站沒有用 HTTPS 保護，網站上提供的 Hash 簽名也沒有 PGP 簽名的資訊，從無信任起...

找了一下 Cisco 官方的資訊，在「SYNful Knock Scanner」這邊也有提供 Hash，請用這邊的值確認吧，這是目前能做到最好的確認了。

Hacking Team 購買 Flash Exploit 的信件

前情提要：「Hacking Team 被黑而洩漏出來的資料」。

在「How a Russian hacker made $45,000 selling a 0-day Flash exploit to Hacking Team」這邊提到了 Hacking Team 被黑而洩漏出來的信件，透漏了俄羅斯的人賣 Flash Exploit 給 Hacking Team 的過程。

從內容就可以看出不同的賣法，包括「首次」與「獨家」都是可以談的條件：

1) The price is US$45,000.00 for the non-exclusive sale of any special discount for the "first" deal together will be greatly appreciated :)

然後有些東西是另外加密通信的：

The two men then exchanged PGP keys, which they used to exchange a number of encrypted messages, presumably one including how Toporov would like to be paid.

然後還有 invoice：

而買了幾個建立關係後，後面還會有 discount：

Now your discount on the next buy is -5k and -10k is for a third bug.

最近應該會有不少人跳下去解讀洩漏出來的資料...

Google 在 Chrome 內的 PGP：End-to-End

Google 前天發表了 Chrome 裡面的 PGP 實做套件：「Making end-to-end encryption easier to use」。

目前只放出了 source code，並沒有在 Chrome Web Store 上架，這點在網站上就直接說明了，他們目前認為目前沒有被足夠的人檢查過，所以請不要傳到 Chrome Web Store 上：

Since this is source, I could just build this and submit it to the Chrome Web Store

Please don’t do this.

The End-To-End team takes its responsibility to provide solid crypto very seriously, and we don’t want at-risk groups that may not be technically sophisticated — journalists, human-rights workers, et al — to rely on End-To-End until we feel it’s ready. Prematurely making End-To-End available could have very serious real world ramifications.

One of the reasons we are doing this source code release is precisely so that the community as a whole can help us make sure that we haven’t overlooked anything in our implementation of End-To-End.

Once we feel that End-To-End is ready, we will release it via the Chrome Web Store ourselves.

而為了鼓勵大家去找問題，雖然這是很新的軟體，但已經將 End-to-End 直接納入 Vulnerability Reward Program 裡：

And we mean it: our Vulnerability Reward Program offers financial awards for finding security bugs in Google code, including End-to-End.

不過傳統的方法還是會更可靠一些，畢竟 JavaScript 沒辦法很仔細控制記憶體內容，在放掉的記憶體空間內可能會包含某些未加密的資訊，甚至是 private key 的資訊。

如何安全下載軟體...

由於從網路上下載軟體回自己電腦跑是種「引狼入室」的行為，如何用合理的方式驗證下載回來的軟體，會是對資安敏感的人的重要課題。

然後就看到一篇純粹抱怨文，以 PuTTY 為例，要肯定確定抓到的軟體是沒被「加料」過的卻是困難重重：「Downloading Software Safely Is Nearly Impossible」。

PuTTY 算是資訊安全類的軟體，但卻發現難以找到合理的方式確認 XDDD

首先是要先判斷「哪個站台是正確的官方站台」時，卻發現 putty.org 這個網域不是原作者 Simon Tatham 擁有，而即使是公認的官方網站 www.chiark.greenend.org.uk 的 greenend.org.uk 這個網域，也不是原作者擁有。

然後 www.chiark.greenend.org.uk 沒有提供 HTTPS，所以下載下來後還要想辦法確認沒被動手繳過。而作者的 RSA public key 放在 earth.li 網域上，同樣的這也不是作者擁有的網域，而且也遇到同樣問題：public key 的下載也不支援 HTTPS。

然後去 MIT 上的 PGP key server 翻也沒翻到，然後文章作者就崩潰自暴自棄直接執行下去了 XDDD

PuTTY 的這一串過程好像從以前就沒改善... XD