Come stabilire un party remoto OTR casuale come individuo specifico?

4

Leggendo il libro di Glenn Greenwald del 2014 Nessun posto dove nascondersi , una cosa mi è sembrata un po 'strana. Greenwald spiega come Edward Snowden insistesse sul fatto che Greenwald installasse PGP per comunicare in modo sicuro, ma Snowden poi (prima che le comunicazioni criptate da PGP fossero disponibili) accetta di parlare su un IM cifrato OTR su una rete IM non specificata. Il mio grassetto nella citazione qui sotto; questo è da pagina 17 nell'edizione rilegata. È probabile che tutti gli errori siano miei.

I was uncertain what he had meant about "declining short-term travel": I had expressed confusion about why he was in Hong Kong but certainly hadn't refused to go. I chalked that up to miscommunication and replied immediately. "I want to do everything possible to be involved in this," I told him, suggesting that we talk right away on OTR. I added his user name to my OTR buddy list and waited.

Within fifteen minutes, my computer sounded a bell-like chime, signaling that he had signed on. Slightly nervous, I clicked on his name and typed "hello". He answered, and I found myself speaking directly to someone who I assumed had, at that point, revealed a number of secret documents about US surveillance programs and who wanted to reveal more.

Lo scambio di chiavi OTR è automatizzato e dovrebbe essere verificato confermando idealmente l'impronta digitale chiave fuori banda in modo da consentire a entrambe le parti di confermare con chi stanno parlando (ad esempio, tramite telefono dalle parti riconoscere le voci dell'altro, o attraverso un segreto condiviso). Ma Snowden (molto probabilmente a ragione) non si fida dei canali di comunicazione - e-mail, in pratica - che ha a disposizione Greenwald per non essere monitorato, e probabilmente non si fiderebbe che non vengano manomessi almeno in una certa misura. Snowden non condivide alcun documento prima che l'e-mail crittografata con PGP sia disponibile (che è fondamentalmente riportata alle pagine 19-20, sempre nell'edizione rilegata), ma questo mi sembra ancora presentare un problema di bootstrap del canale di comunicazione.

Supponendo che non abbiano avuto alcun contatto precedente, come avrebbe potuto Snowden confermare positivamente che stava effettivamente parlando con Greenwald, e non con qualcun altro, o qualcuno che stava compiendo un attacco man-in-the-middle?

    
posta a CVn 24.05.2014 - 21:47
fonte

2 risposte

1

La verifica dell'identità di un partecipante remoto con OTR richiede un segreto condiviso (e quindi un precedente metodo sicuro di condivisione dei segreti) o la conoscenza dell'impronta digitale (e quindi un modo verificabile per comunicare le impronte digitali).

Non sono a conoscenza di alcun resoconto pubblicato di ciò che Snowden ha effettivamente fatto in questo caso particolare. Una possibilità realistica, tuttavia, è che potrebbe aver usato una terza parte fidata per trasmettere le informazioni necessarie. Ad esempio: sia Snowden che Greenwald avevano stabilito comunicazioni sicure con Laura Poitras - Snowden via PGP, come descritto in questo articolo in The Intercept (che spiega anche in dettaglio come ha verificato la sua impronta digitale PGP), e Greenwald via OTR, come menziona alcuni paragrafi prima del passaggio citato. Non dice come (o anche se) lui e Poitras abbiano verificato le rispettive identità, ma non avrebbero avuto la difficoltà di Snowden: avevano un sacco di condivisi cronologia su cui potrebbe basarsi una verifica di domande e risposte OTR; oppure potrebbero avere le impronte digitali verificate al telefono.

Quindi, con questi canali sicuri già consolidati, e supponendo che Snowden si fidasse dei Poitras, avrebbe potuto chiederle di mandargli l'impronta digitale OTR di Greenwald tramite posta elettronica crittografata / firmata PGP.

    
risposta data 17.07.2015 - 23:50
fonte
0

OTR ti consente di porre una domanda per autenticare l'altro utente. Quindi avrebbero potuto fare una domanda che entrambi avrebbero (solo) saputo.

    
risposta data 25.05.2014 - 15:59
fonte