Cifrado inquebrantable a prueba de torturas

Brain
Imagen: Mindcontrolgrid.com

Un equipo multidisciplinario de neurocientíficos y criptógrafos de Estados Unidos desarrollaron un sistema de contraseña que se asegura de mantener la clave en secreto… incluso para quien la posee.

El sistema criptográfico, llamado Serial Interception Sequence Learning (SISL), fue ideado por Hristo Bojinov de la Universidad de Stanford y amigos de Northwestern y del SRI, y está basado en el aprendizaje implícito, un proceso mediante el cual se puede absorber nueva información sin estar realmente consciente de ello.

Mediante un juego de computadora especialmente diseñado para aprender el password, parecido a Guitar Hero, el sistema ‘guarda’ la información en una zona específica del cerebro a la que no se puede accesar por voluntad propia, pues queda en el subconsciente esperando ser utilizada.

Antes de iniciar, el juego crea una secuencia aleatoria de 30 letras escogidas entre S, D, F, J, K, y L, sin caracteres repetidos. Hay seis botones, y cuando comienza, el usuario tiene que presionar el botón de la letra correspondiente cuando el círculo llega a la parte inferior.

La sesión dura aproximadamente 45 minutos, y el 80% de las pulsaciones de teclas realizadas están utilizandose para inconscientemente introducirte la contraseña de 30 caracteres. Un password tan largo como ese es millones de veces más seguro que un password promedio capaz de ser recordado.

Quizá a algunas personas no se les venga de inmediato a la mente las ventajas de poseer un password imposible de recordar de manera consciente, pero habrá quienes desearán que esto hubiera sido posible antes de tener que entregar la contraseña por orden de un juez.

Si no puedes recordar un password, no hay manera de que alguien lo obtenga mediante coacción o tortura, y será verdad cuando digas “lo siento, no puedo recordarlo”.

Referencia
http://www.extremetech.com/ (en inglés)

Dos de cada 1000 claves de RSA son malas

Candado
Imagen: pachd.com

Un equipo de matemáticos y criptógrafos de Europa y Estados Unidos descubrieron una debilidad inesperada en el sistema de cifrado que se usa mundialmente para ventas en línea, manejo de cuentas de banco, correo electrónico y otros servicios de Internet que deben ser privados y seguros.

El sistema de cifrado de clave pública se basa en la generación de dos claves ligadas entre sí; lo que una clave cifra, únicamente la otra clave puede descifrarlo y vice versa. Entonces una de estas claves se comparte mientras que la otra se conserva privada y secreta.

Al hacer una transacción con un banco por ejemplo, nuestra clave pública es enviada al banco, éste entonces puede cifrar los datos que nos envía utilizando la clave pública que recibió, y solo la clave privada, que está en nuestra posesión, podrá descifrar estos datos que envió el banco, evitando que terceros puedan ver la información. Así mismo el banco nos envía a nosotros su clave pública, para que nuestra computadora pueda cifrar los datos que enviamos de tal manera que solo el banco pueda descifrarlos con su clave privada.

Para que este sistema funcione, se necesita que ambas claves sean generadas utilizando datos al azar, si los datos no son realmente al azar, entonces la clave privada podría ser deducida a partir de la clave pública, invalidando por completo la utilidad de cifrar los datos, ya que cualquiera que obtenga nuestra clave privada podrá ver los datos cifrados con nuestra clave pública, y el solo objetivo de cifrar los datos es para que esto no ocurra.

Lo que los investigadores encontraron es precisamente que 2 de cada 1000 claves privadas pueden ser deducidas a partir de la clave pública debido a que los sistemas que generaron las claves no lo hicieron utilizando realmente datos al azar.

“Realizamos una revisión de sanidad de claves públicas recolectadas en la web. Nuestro objetivo principal era probar la validez de la suposición de que diferentes elecciones al azar son realizadas cada vez que las claves son generadas. Encontramos que la gran mayoría de las claves públicas funcionan como deben. Un encuentro más desconcertante es que dos de cada mil módulos de RSA que recolectamos no ofrecen seguridad. Nuestra conclusión es que la validez de la suposición es cuestionable y que generar claves en el mundo real para criptosistemas de ‘secretos múltiples’ como el RSA es significativamente más riesgoso que para los de ‘secreto único’ como los de ElGamal o (EC)DSA que están basados en Diffie-Hellman”. dice el abstracto de la investigación.

Los investigadores detallaron su trabajo en una revista académica que los autores enviaron para su publicación a una conferencia de criptografía que será llevada a cabo en Santa Bárbara, California, en agosto. Sin embargo hicieron público su descubrimiento el martes por que creen que el asunto es de preocupación inmediata para los operadores de servidores web que confían en el sistema de cifrado de clave pública.

Más información
El estudio completo (PDF, en inglés)
http://eprint.iacr.org/ (en inglés)
http://www.nytimes.com/ (en inglés)

Red de Desarrolladores de Software de China hackeada, los datos de 6 millones de usuarios fueron filtrados

Llave con filtración
Imagen: Tecnocápsulas

La CSDN (Chinese Software Developers Network – Red de Desarrolladores de Software de China), operada por Bailian Midami Digital Technology Co., Ltd., es una de las más grandes redes de desarrolladores de software en China. Un archivo de texto con la información de más de 6 millones de usuarios de la red, incluyendo nombres de usuario, correos, y una buena parte de las contraseñas en texto plano, fue filtrada a Internet.

CSDN escribió una carta de disculpa a los usuarios, pidiéndoles que cambien sus contraseñas del sitio. Anteriormente a Abril del 2009 las contraseñas no eran cifradas en la base de datos. Con esto no está por demás la recomendación de siempre cifrar las contraseñas en las bases de datos. De esta manera si una base de datos es filtrada, las cuentas dentro del sitio no son expuestas (nota del autor: y justamente escribo una guía sobre el uso de cifrado y salts para proteger esto).

Del análisis de estos datos filtrados se pueden obtener interesantes datos, como las contraseñas más utilizadas, una lista de estás fue publicada en github. Además se publico una lista de los 100 proveedores de correo más utilizados por los desarrolladores Chinos.

Al ver las tres contraseñas más utilizadas y el número de usuarios que las utilizaron, podemos darnos una idea del por que tantas cuentas de usuarios son hackeadas todo el tiempo, estás son contraseñas de desarrolladores de software, gente que por lo general tiene una mejor noción de la seguridad informática y de las computadoras en general, es difícil imaginar los números de gente que no trabaja en este medio.

Las tres contraseñas más utilizadas:
‘123456789’ por 235039 usuarios.
‘12345678’ por 212761 usuarios.
‘11111111’ por 76348 usuarios.
Usuarios que utilizan alguna de estas tres contraseñas: 524,148
Porcentaje de usuarios de la red cuyas cuentas podrías ser accedidas por alguna de estas tres contraseñas: 8.7%

El punto es, no utilicen estás contraseñas si no quieren tener un alto riesgo de perder sus cuentas. Como XKCD ilustró, es mejor utilizar una frase como contraseña, si esto es permitido, que 8 letras/números/símbolos, no importa que sea una combinación de estos.

Referencias y vínculos relacionados:
Disculpa a los usuarios de CSDN (en chino)
Las 100 contraseñas mús utilizadas
Los 100 proveedores de correo más utilizados (en inglés)
Fortaleza de las contraseñas (XKCD) (en inglés)
Archivo Filtrado (vínculo de descarga, 104.8 MiB)

Software del MIT permite realizar operaciones en bases de datos cifradas

Candado
Imagen: pachd.com

CryptDB, un software de base de datos que los investigadores del MIT presentaron en octubre en el Simposio de Principios de Sistemas Operativos, permite a los usuarios enviar peticiones a una base de datos SQL cifrada y obtener resultados sin descifrar la información almacenada. CryptDB anida los datos en varias capas de cifrado, cada una de las cuales tiene una llave diferente y permite un diferente tipo de operación simple en los datos cifrados. No trabaja con todos los tipos de cálculos, y no es el primer sistema en ofrecer este tipo de operación sobre datos cifrados, pero podría ser el único práctico, ya que un esquema previo que permitía operaciones en datos cifrados multiplicaba el tiempo de procesamiento por un factor de un billón. Este solo agrega un 15% a 26% al tiempo de operación.

Esto es una necesidad para poder manejar datos delicados de empresas o gobiernos en la nube, ya que permitiría proteger los datos de ser robados y hasta de administradores curiosos al resolver el problema que existe con los datos cifrados de que no se puede hacer ninguna operación sobre ellos sin descifrarlos previamente, lo que vuelve imposible el poder procesar datos en computadoras remotas donde no existe confianza y que sin embargo son utilizadas para almacenar esta información.

A este tipo de cifrado se le conoce como “cifrado homomórfico completo”, y fué teórico hasta el año 2009 cuando Craig Gentry logró crearlo pero con esa desventaja de multiplicar el tiempo de operaciones hasta un nivel impráctico. Ahora los científicos del MIT patrocidanos por Google y Citigroup, parecen haber creado esta implementación práctica. Con este tipo de cifrado, una persona puede cifrar sus datos en cadenas de texto o en números indescifrables, pero sobre los que se pueden realizar operaciones, y obtener un resultado, también cifrado. Este resultado descifrado coincidiría con el resultado de hacer la misma operación sobre los datos si hubieran estado descifrados.

Fuentes:
www.forbes.com (in inglés)
Revista académica del MIT (en inglés)

OpenPGP implementado en Javascript permite cifrar correos de Gmail

Candado
Imagen: pachd.com

Investigadores de la firma de seguridad alemana Recurity Labs han implementado la especificación de OpenPGP en JavaScript. Esto le permitirá a los usuarios cifrar y descifrar mensajes de correo electrónico desde correos web. La herramienta llamada GPG4Browsers funciona ahora como una extensión de Google Chrome, y es capaz de cifrar y descifrar correos desde Gmail.

Por el momento la herramienta todavía se considera un prototipo, y es necesario acceder al modo desarrollador de Google Chrome para poder instalarla. El código de la herramienta fue lanzado bajo una licencia LGPL, y utiliza muchas librerías estándar de JavaScript por lo que seguramente será portado sin problemas a los demás navegadores.

Fuentes:
www.techworld.com.au (en inglés)
Sitio web de GPG4Browsers (en inglés)
Código fuente de la extensión
Especificación de OpenPGP (en inglés)

Cifrando mensajes en bacterias

E-coli fluorestente
E-coli fluorescente. Crédito: Manuel A. Palacios/Tufts University

Investigadores han inventado una nueva manera de cifrar mensajes secretos utilizando bacterias que producen proteínas luminosas solo bajo condiciones específicas. Esta técnica también podría utilizarse para marcar semillas y granos u otros productos.

A las bacterias se les da un gen que produce una proteína fluorescente cuando es activado. Estas bacterias son entonces “impresas” en una hoja de papel. En este punto las bacterias son invisibles en la nitrocelulosa.

Cuando el mensaje es recibido, el papel se coloca en una placa de agar con un compuesto químico que activa el gen que produce la proteína fluorescente. Ya que la placa de agar se usa como medio de crecimiento de bacterias, las bacterias comienzan a desarrollarse, así produciendo este gen fluorescente, y volviendo el mensaje legible.

Se tiene una segunda protección para esto, y es el de que las bacterias con el mensaje real son resistente a cierto antibiótico. Alguien que poseyera el papel y tratara de interpretarlo solo vería colores sin sentido. Una vez que se aplica el antibiótico, las bacterias resistentes sobreviven y tras el proceso en la placa de agar el mensaje puede leerse.

Fuente:
news.sciencemag.org