שרשור תגובות: SanDisk Extreme 500 - אחסון קשוח ומהיר

שליחה 01/10/2015 12:28

למאמר: SanDisk Extreme 500 - אחסון קשוח ומהיר

תמונה

yonim · שליחה 01/10/2015 16:31

הכונן נראה, לפי התמונות עם כבל USB-MICRO USB 3 סטנדרטי כמו שמגיעים כוננים אחרים.

שליחה 01/10/2015 16:52

תודה על ההערה, תיקנתי בסקירה את הטקסט בנושא.

moranhoresh · שליחה 01/10/2015 17:15

לקרוא להצפנה מבוססת SOFTWARE זה בדיחה, זה אולי עוזר מול החטטן היום-יומי, אבל אם האקר רציני רוצה לפרוץ למערכת זה רק עניין של זמן.
כוננים ניידים עמידים ומוצפנים כמו שצריך מיוצרים ע"י IRONKEY.

lamihai · שליחה 02/10/2015 11:54

צודק, זאת הצפנה תוכנה של 128 ביט. זה רק עניין של זמן לפרוץ למערכת כזו.
לפי הספרות המקצועית הצפנת 128 תפרץ בערך תוך 30 שנה.
אז מי שרוצה קבצים מוצפנים ליותר מ-30 שנה, שלא יקנה את זה.

moranhoresh · שליחה 02/10/2015 15:10

צר לי שלא הבנת, אבל הצפנות תוכנה ניתנות לעקיפה ולפריצה הרבה יותר בקלות בהשוואה להצפנות חומרה.
לכן, הפונקציה של הזמן והביטים לא משחקת תפקיד, האקר לא ינסה לפענח את קוד ההצפנה (כמו שדרוש בחומרה), הוא פשוט ימצא דרך לעקוף אותה או לפענח אותה ישירות מהתוכנה, מה שהרבה יותר קשר לעשות מחומרה.

Batnun · שליחה 02/10/2015 15:30

@moranhoresh
·

אם מצאת דרך לפענח מידע המוצפן ב-AES-128 בלי הסיסמה, כל הכבוד! אתה עומד להיות אחד האנשים המפורסמים ביותר באינטרנט, ובוודאי תקבל שיחת טלפון מפתיעה מה-NSA בקרוב.

http://www.theinquirer.net/inquirer/new ... on-cracked

קוד: בחירת הכל

"To put this into perspective&#58; on a trillion machines, that each could test a billion keys per second, it would take more than two billion years to recover an AES-128 key," the Leuven University researcher added. "Because of these huge complexities, the attack has no practical implications on the security of user data." Andrey Bogdanov told The INQUIRER that a "practical" AES crack is still far off but added that the work uncovered more about the standard than was known before.

[/b]
Batnun

.

lamihai · שליחה 02/10/2015 17:46

Batnun כתב:@moranhoresh
·

אם מצאת דרך לפענח מידע המוצפן ב-AES-128 בלי הסיסמה, כל הכבוד! אתה עומד להיות אחד האנשים המפורסמים ביותר באינטרנט, ובוודאי תקבל שיחת טלפון מפתיעה מה-NSA בקרוב.

http://www.theinquirer.net/inquirer/new ... on-cracked

"To put this into perspective: on a trillion machines, that each could test a billion keys per second, it would take more than two billion years to recover an AES-128 key," the Leuven University researcher added. "Because of these huge complexities, the attack has no practical implications on the security of user data." Andrey Bogdanov told The INQUIRER that a "practical" AES crack is still far off but added that the work uncovered more about the standard than was known before.

Batnun

.
...

·(Y)

אוריה · שליחה 02/10/2015 18:14

האם זמין לריכשה בארץ ? היכן ניתן לרכוש ?

שליחה 02/10/2015 18:52

כן, זמין לרכישה בארץ. למשל, בגולדטופ ובוואללה שופס.

moranhoresh · שליחה 02/10/2015 21:50

בואו ואנסה להסביר לכם למה הגנת תוכנה אינה מספיק יעילה.
נניח יש לכם דלת כניסה לבית עם מנעול סופר מתוחכם.
בהגנה המבוססת על תוכנה המנעול סופר מתוחכם, אבל הדלת עשויה מזכוכית.
בהגנה מבוססת חומרה המנעול סופר מתוחכם והדלת עשויה מפלדה.
ברור לכם, שבכדי לפרוץ את הדלת מזכוכית אני לא צריך למצוא דרך לפתוח את המנעול, מספיק אבן לשבור את הזכוכית.

אותו דבר כאן, בהצפנה של 128 סיביות וכל הצפנה אחרת המבוססת על תוכנה כל מה שהאקר צריך לעשות זה למצוא את האבן, וזה הרבה יותר קל מלמצוא את המפתח למנעול, מה שכמעט בלתי אפשרי לעשות בהגנה מבוססת חומרה.

Batnun · שליחה 03/10/2015 2:50

תסלח לי, אבל מה שאתה אומר זו שטות מוחלטת.

אין כאן שום קונספט של כניסה למקום כלשהו. המידע עצמו מוצפן, זה לא כמו לעקוף סיסמה לווינדוס.
אי אפשר לפענח את המידע המוצפן ב-AES-128, אין שום דרכים ״לעקוף את ההגנה״.

לפענח הצפנות ברמה כזאת זה משהו שעובד רק בסרטים...

אם תצפין מידע עם אחד הכלים שמשתמשים בהצפנה הזאת, זה לא שלא תוכל להגיע למידע המוצפן, זה פשוט שאחרי ההצפנה המידע נראה כמו צירוף אקראי של תווים, והדרך היחידה לפענח אותו זה הסיסמה שבעזרתה הצפינו את הנתונים.

מידע מוצפן זורם בחופשיות בכל רחבי האינטרנט, הבעיה היא לפענח אותו ולא להגיע אליו.

Batnun

.

moranhoresh · שליחה 03/10/2015 7:06

שיטות ההצפנה עובדות על מפתחות.
הבעיה היא להגיע למפתח. באינטרנט, תיאורטית, רק ל-2 המחשבים המתקשרים יש את המפתח.
בהצפנה עם תוכנה, המפתח נמצא בתוך התוכנה, בתוך הקוד הכתוב, על זה מולבשת הסיסמא אותה בחר המשתמש. אם יש לי גישה לתוכנה ולקוד שלה, ובכל תוכנה יש כזו גישה, אז זה רק עניין של זמן עד שהקוד יפרץ
בחומרה לעומת זאת הגישה למפתח הרבה יותר קשה.
מעבר לזאת, נניח יש לי קובץ מוצפן ואת תוכנת ההצפנה, אבבץל אין לי את הסיסמא. כל מה שאני צריך לעשות זה להעתיק למקום אחר את התוכנה והקובץ ולהתחיל להריץ רובוט עם כל הסיסמאות האפשריות עד שאגיע לסיסמא המיוחלת.
במצב בו ההצפנה היא ע"י חומרה הרבה יותר קשה להעתיק את "תוכנת ההצפנה".

ראה זאת כך: להרבה תוכנות הצליחו לייצר KEYGEN. לעומת זאת, לא כ"כ קל לייצר KEYGEN לחומרה.

Batnun · שליחה 03/10/2015 10:09

בקיצור, אין לך מושג איך זה עובד.
אחרי יותר מ-15 שנים בתחום אבטחת מידע, מתוכם 5 שנים עבודה בחברת Certificate Authority, יש לי קצת ידע בתחום ההצפנה. ודרך אגב, במקרה יש לי KenGen שמייצר רשיונות לפיירוול Cisco ASA, שזה אביזר חומרה. אין קשר להצפנה.

יש הרבה תוכנות הצפנה שהן קוד פתוח. מה דעתך שאני אצפין קובץ טקסט פשוט, ואתה תנסה לפענח אותו?
קח את הקובץ המוצפן ואת תוכנת ההצפנה, למשל VeraCrypt,או אפילו קלסיקה כמו OpenPGP, וכמה זמן שאתה רוצה. מתאים?

Batnun

.

moranhoresh · שליחה 03/10/2015 10:52

יופי, אז עבדת כשוטף רצפות בכמה חברות הייטק, כל הכבוד.
לכולם ידוע שתוכנה הרבה יותר קל לפרוץ מחומרה, ושהגנת תוכנה פחות יעילה מהגנת חומרה.
בגלל זה חברות רציניות משתמשות בפיירוול חומרה ולא תוכנה, בגלל זה מקומות עם אבטחה גבוהה משתמשים בחומרה לצורך זיהוי ולא מסתמכים רק על תוכנה.
עכשיו אתה יכול לקשקש כמה שאתה רוצה, מבחינתי הדיון בנושא תם.

שליחה 03/10/2015 11:58

moranhoresh, טון הכתיבה שלך מאוד צורם ולא מתאים לאתר הזה.
לתשומת לבך.

Batnun · שליחה 03/10/2015 12:08

moranhoresh כתב:יופי, אז עבדת כשוטף רצפות בכמה חברות הייטק, כל הכבוד.
לכולם ידוע שתוכנה הרבה יותר קל לפרוץ מחומרה, ושהגנת תוכנה פחות יעילה מהגנת חומרה.
בגלל זה חברות רציניות משתמשות בפיירוול חומרה ולא תוכנה, בגלל זה מקומות עם אבטחה גבוהה משתמשים בחומרה לצורך זיהוי ולא מסתמכים רק על תוכנה.
עכשיו אתה יכול לקשקש כמה שאתה רוצה, מבחינתי הדיון בנושא תם.
...

·

אה, לכולם ידוע.
אחרי תשובה כה מפורטת ומנומקת אין לי כמעט מה לומר יותר, כצפוי.

הרי העובדה שגם לציקפויינט וגם לסיסקו יש פיירוולים מבוססים תוכנה (על מכונה וירטואלית) מצביעה בבירור שהלקוחות שלהן זה רק חברות לא רציניות. בטח גם בגלל זה מקום העבודה המאוד מאובטח שלי משתמש בפתרונות הצפנה וזיהוי מבוססי תוכנה. ממש חובבנים בממשלה הזאת.

ועכשיו, אם תסלח לי, אחזור לעבודה. הרצפה הרי לא תשטוף את עצמה...

Batnun

.

shayze · שליחה 03/10/2015 21:40

@moranhoresh
טון הדיבור שלך והזלזול שלך כלפי אחרים אינם ראויים כלל.
ברור לי שאין לך מספיק ידע כדי להסביר את טענתך, שכן יש הגיון תיאורטי במה שאתה אומר (אותו אסביר תיכף) ודווקא מסיבה זאת, לא הייתי ממשיך במקומך בדיון בנושא זה מכיוון שסתם תביך את עצמך ותביא את עצמך לצנזור או גירוש עקב התנהגות בלתי הולמת.

אם להסביר מעט יותר בבירור את הנקודה של ה"חולשה" שבהצפנה תוכנתית, נניח מקרה לדוגמא:
נניח שיש לי תוכנת הצפנה שמתשמשת במפתח 128 חזק ומוצפן שיקח עשרות אם לא מאות שנים לפרוץ אותו.
אבל התוכנה הזאת לא רוצה שהמשתמש יזכור את המפתח הלא זכיר הזה, אז היא נותנת לו אפשרות לשמור סיסמא.
נניח שמי שכתב את התוכנה הזאת, עשה טעות והכניס חולשה שמאפשרת לתוקף לגרום לתוכנה לחשוב שהוכנסה סיסמא נכונה גם אם לא הוכנסה הסיסמא. במקרה כזה, זה ה"זכוכית" עליה דיברת. אותו תוקף לא צריך למצוא את מפתח ההצפנה אלא רק את החולשה שתאפשר לו גישה למידע.
אבל יש פה הרבה "אם".
אם קיימת חולשה כזאת, ואם היא ניתנת לניצול בקלות ואם ההשקעה משתלמת לאתר את החולשה מלכחתחילה, שהרי פורצים מקצועיים לא ממש מתעניינים בכוננים פרטיים של משתמשים אלא חושבים יותר בגדול בד"כ, ועוד "אם"ים רבים וטובים.
כך שהמסקנה הברורה, שעבור 99.9% מקהל היעד של המוצר שהולך להשתמש בהצפנה (שהם כשלעצמם אחוז מאוד נמוך מקהל היעד של המוצר), ההצפנה הזאת מספקת, ועבור ה 0.1 אחוז הנותרים, תשתמשו בהצפנה אחרת ולא בזאת שניתנת עם המוצר. יש הרבה פתרונות בקוד פתוח שעוברים ביקורת ובדיקות מקיפות. לצורך העניין אתה יכול להחזיק מפתח פרטי משלך ולהריץ סקריפט הצפנה ופענוח שמשתמש ישירות בOPENSSL. ותהיה בטוח שאם אתה ב0.1 אחוז האלה, אתה גם יודע לעשות את זה.

עריכה:
אגב לגבי פתרונות "חומרה" כמו פיירוול, בכל המקרים בהם משתמשים בפתרונות חומרה, מדובר במוצר embedded שכולל בתוכו תוכנה. הסיבות לשימוש בחומרה נפרדת הן רבות ומגוונות. לדוגמא לא היית רוצה מחשב פיירוול שיהיה המחשב האישי שלך שבו אתה מתקין תוכנות טורנטים ונכנס לאתרים מפוקפקים. אתה רוצה מערכת נפרדת ומוקשחת עם מינימום סיכון לפרצות אבטחה ומקסימום נוחות אחזקה, תמיכה ושירות של היצרן.

nir11 · שליחה 03/10/2015 23:14

אני לא מבין מה הקטע, זה נכון שבתוכנה יכולים להיות כל מני פרצות שמאפשרות פריצות בהצפנה, בלי לפענח את הקוד ב brut force.
אני חושב ש heart bleed הוא דוגמא טובה.
אבל למה את חושב שחומרה חסינה יותר? גם שם יכולות להיות פרצות. אני לא מבין למה את מבדיל, תוכל להסביר?

shayze · שליחה 03/10/2015 23:43

במקרה של heart bleed דווקא המקרה ההפוך הוא יותר נכון. מחשבים מקבלים את העדכון יחסית בקלות (בלינוקס העדכון הוא כמעט אוטומטי) אבל חומרות יעודיות, לרוב עם מעבד שאינו x86 דורשות תחזוקה ספציפית של ספק החומרה. לא יפתיע אותי אם מוצרי embedded רבים (לא בתחום האבטחה כמובן) עדיין מכילים גרסה של openssl עם חולשת heart bleed.