Vlákno názorů k článku Postřehy z bezpečnosti: RCE ve Western Digital MyCloud od anonym - Od tohoto problému řadím produkty Kaspersky mezi absolutně...
-
Od tohoto problému řadím produkty Kaspersky mezi absolutně nedůvěryhodné. Takový amatérismus u oboru jako je kryptografie, ještě od spol. zabývající se kybernetickou bezpečností, je nesmazatelné znamení hanby.
"... z nichž nejkritičtější je ten, že používá PRNG, postavený na základě jediného zdroje entropie – aktuálního času."
Je zajímavé, že nikomu z "odborníků" od Kaspersky nevadilo, že posloupnost (například čas) nelze použít jako zdroj entropie - žádnou totiž neposkytuje. Vydali rádoby generátor hesel, který neobsahoval ani jeden bit entropie. Vlastně jde o generátor posloupnosti hesel, který na první pohled z velké dálku vypadá uvěřitelně. Vlastně jde o mizernou napodobeninu generátoru hesel hraničící s podvodem.
-
Tak dá se z aktuálního času vytvořit pseudonáhodná číselná řada. I pseudonáhodné řady můžou být velmi kvalitní a v méně či více omezeném rozsahu jsou úspěšně testovány na různé parametry náhodnosti. Neboli v určeném rozsahu je s velkou mírou spolehlivosti nelze rozlišit od opravdu náhodných čísel.
Problém samozřejmě nastane, když se zjistí ten způsob generování, pak je jednoduché získat každý element v řadě. U Kasperských možná doufali, že na to nikdo nepřijde, neboli security by obscurity?
-
Mno, měl jsem to napsat přesněji. Můžete použít aktuální čas k inicializaci generátoru pseudonáhodných čísel. Potřebujete k tomu transformaci, třeba počtu sekund od epochy na rozsah inicializačního čísla nebo vektoru. Je to kryptografická blbost, ale odpovídá to Kasperského problému: vypadalo by to hodně náhodně, a přitom by to bylo predikovatelné.
