Abilitazione sicura della backdoor FBI per i telefoni [duplicati]

-1

La maggior parte dei problemi sollevati da Apple e altri riguardo l'accesso dell'FBI all'iPhone dei terroristi sembra derivare da una preoccupazione relativa alla riduzione della sicurezza generale per gli utenti regolari.

Questo deve essere necessariamente il caso? Ci sarebbero modi sicuri per consentire all'FBI di accedere a dispositivi crittografati, ma nessun altro?

Intendo in generale, non solo per questo specifico caso.

Sicuramente sarebbe auspicabile che l'FBI fosse in grado di recuperare i dati di cui avevano bisogno per svolgere il proprio lavoro in modo efficace.

Personalmente non ho alcuna preoccupazione che l'FBI abbia accesso ai miei telefoni e computer. Non mi piace davvero l'idea che i criminali possano nascondere i loro dati così facilmente e averli completamente fuori dalla portata delle forze dell'ordine.

    
posta user1751825 19.02.2016 - 01:12
fonte

4 risposte

5

L'unica risposta: NO

E c'è una ragione per questo: il codice esiste. Se si programma una backdoor, tale codice esiste da qualche parte nel mondo e quindi può essere sfruttato.

A Security system is only as good as the weakest part of the whole system.

Ciò significa che se una backdoor viene inserita nel dispositivo, il dispositivo è sicuro solo quanto la backdoor, e se viene eseguito un reverse engineering o qualcuno trova un exploit, NO DEVICE IS SAFE .

Quindi no, non dovrebbero farlo. Sconfiggerebbe completamente la sicurezza di tutti gli utenti, non solo quelli che vengono adottati per motivi legali.

Un esempio:

Per rendere questo un po 'più facile da capire, ti consigliamo di usare la tua casa come esempio.
Ovviamente hai un lucchetto sulla tua porta d'ingresso. Quanto è sicura la tua porta di casa? Beh, dovrebbe essere sicuro come le chiavi che mantieni per il lucchetto. Quindi se hai una chiave e ne dai una al tuo amico, allora è sicuro come il tuo amico tiene la chiave (probabilmente non entrerai in casa tua, giusto?)

Supponiamo che il tuo amico voglia andare fuori città, ma vuoi comunque che qualcun altro abbia una copia della tua chiave. Quindi il tuo amico ne dà una copia al suo amico. Il suo amico è degno di fiducia, e non lo perderà, il tuo amico lascia la città, e quando ne hai avuto bisogno sei riuscito a parlare con i tuoi amici amici per entrare nella tua casa.

IMPRESSIONANTE! Questo ti ha tenuto al sicuro. Per un po. Ora il tuo amico viene derubato. All'improvviso qualcun altro ha una copia di quella chiave a casa tua. Se trovano la tua casa, possono entrare in casa e prendere ciò che vuoi.

OH NO SI FA MOLTO! Ora qualcuno viene a casa tua e usa uno strumento progettato per ottenere l'accesso alle serrature e sembra legittimo a tutte le forme di indagine, ma in realtà usa solo uno strumento che rende la serratura è aperta. Ora qualcuno che non ha nemmeno la chiave, ma una buona conoscenza della serratura può anche accedere alla tua casa.

Ora nell'esempio sopra sostituisci casa con iphone, chiave con misure di sicurezza e rubato con ... ben rubato. Se qualcuno ruba quella informazione, può accedervi.

Ovviamente ora consente alla tua chiave di accedere alla tua casa, al tuo lavoro, alla tua banca e alla tua auto. All'improvviso le cose peggiorano molto, vero?

    
risposta data 19.02.2016 - 01:22
fonte
1

In realtà ho appena pensato a un problema molto significativo con questa idea. Se all'FBI viene concesso l'accesso a dispositivi crittografati, è molto probabile che anche le forze dell'ordine in tutti gli altri paesi in cui operano Apple e Google richiederebbero lo stesso livello di accesso. Anche se si può fare affidamento sull'FBI per utilizzare questa capacità solo per scopi legittimi, i servizi di intelligence in molti / molti altri paesi non si possono assolutamente fidare di fare lo stesso.

    
risposta data 19.02.2016 - 01:52
fonte
0

C'è almeno un esempio di un algoritmo crittografico strong che è noto per contenere una backdoor governativa, che è accessibile solo all'agenzia governativa che lo ha creato (la NSA). Si chiama Dual_EC_DRBG, e puoi leggere una risposta che ho recentemente pubblicato a riguardo, se lo desideri .

Quindi, da un punto di vista puramente tecnico, è possibile progettare un algoritmo di crittografia che ha una backdoor che può essere sfruttata solo dall'agenzia governativa che l'ha progettata. Sappiamo che questo è possibile, perché sappiamo che è successo almeno una volta. Quindi, "sì", è tecnicamente possibile creare una backdoor alla quale può accedere solo una particolare agenzia governativa.

Detto questo, no, non ci sono "metodi sicuri per consentire all'FBI di accedere a dispositivi crittografati, ma nessun altro."

Mentre siamo in grado di creare una backdoor che solo il governo può attraversare, il problema fondamentale e il pericolo di farlo (al di là delle preoccupazioni sull'abuso da parte dell'agenzia governativa che utilizza questa backdoor) che non può essere eliminato, è che una volta che le informazioni vengono eliminate da quella porta e archiviate in altre posizioni, a cui può accedere chiunque possa accedere a una di queste posizioni. Quindi (completa la migliore delle ipotesi), passiamo dall'avere informazioni in un posto, che è accessibile solo a te e all'FBI, ad avere quell'informazione in molti posti, ed è accessibile a te, all'FBI ea chiunque possa accedere ovunque l'FBI lo abbia immagazzinato. Non incidentalmente, l'FBI non può nemmeno tenere al sicuro le proprie informazioni , per non parlare delle informazioni che ha sugli altri.

E poi andiamo a fare in modo che le informazioni vengano archiviate ovunque siano condivise dalle altre agenzie governative che l'FBI condivide con esse e che siano accessibili anche a chiunque abbia accesso a tali luoghi. Grazie al Dipartimento per la sicurezza interna, che è approssimativamente ogni agenzia nazionale di intelligence e forze dell'ordine, così come la maggior parte delle forze dell'ordine locali , tramite "centri di fusione". Oh, e, per peggiorare le cose, non è come se fosse "solo" ogni agenzia di intelligence, organizzazione delle forze dell'ordine e tribunale a poter accedere alle tue informazioni. Forse hai sentito parlare della violazione dei dati OPM, in cui 21,5 milioni di persone avevano le loro informazioni personali (e informazioni sui loro amici, familiari e lavoratori) rubati . Quindi, è potenzialmente anche la supervisione e le agenzie amministrative.

E per porre un buon punto su questo problema fondamentale che le agenzie governative hanno nel mantenere i dati in loro possesso, torniamo alla cosa di backdoor Dual_EC_DRBG che ho aperto con.

L'intera ragione per cui sappiamo, in modo definitivo, che Dual_EC_DRBG contiene una backdoor NSA-only è perché un uomo di nome Edward Snowden ha avuto accesso alle informazioni su questa backdoor e l'ha condivisa con il mondo (tra le altre cose, ovviamente). È importante sottolineare che Snowden non era nemmeno un dipendente della NSA, ma un appaltatore. Questa informazione è / era Informazioni top secret e sensibili a compartimenti , che è la categorizzazione delle informazioni più rigorosamente protetta governo ha. Era un'informazione così altamente protetta che il semplice atto di rivelarlo era un atto di tradimento. In teoria, era accessibile solo a un piccolo numero di persone all'interno della NSA.

Questa era un'informazione protetta da più livelli di protezione tecnica, più livelli di protezione dei processi progettati per tenerlo lontano da mani non autorizzate (le mani non autorizzate di Snowden) e dalla minaccia legale di essere accusato di tradimento. Non era abbastanza. Tutto ciò non poteva mantenerlo segreto. Come breve tangente, il nostro governo non è riuscito a mantenere sicuri i cavi e le informazioni sulle operazioni militari del Dipartimento segreto superiore, né ... quindi non è come Snowden è stato l'unico esempio di violazione dei dati di alto profilo e perdita di grandi quantità di informazioni Top Secret.

Nonostante tutte quelle protezioni, questa informazione è ora di dominio pubblico, perché qualcuno che ha avuto accesso ai sistemi della NSA, qualcuno non in quel piccolo numero di dipendenti della NSA autorizzati a conoscerlo, vi ha acceduto e condiviso con tutti.

Dal momento che il governo non può mantenere sicuri i suoi segreti più strettamente custoditi, quale speranza pensi davvero che sia in grado di mantenere i contenuti del tuo iPhone al sicuro?

    
risposta data 19.02.2016 - 08:06
fonte
-2

Domanda:

La maggior parte dei problemi sollevati da Apple e altri sull'accesso all'FBI da parte dei terroristi dell'iPhone, sembra derivare dalla preoccupazione di ridurre la sicurezza generale per gli utenti regolari.

Questo deve essere necessariamente il caso?

Ci sarebbero dei modi sicuri per consentire all'FBI di accedere a dispositivi crittografati, ma nessun altro?

Risposta:

Stai fraintendendo il problema - un po '. L'FBI non sta chiedendo ad Apple di creare una "Back Door" - la "Back Door" esiste già - chiedono ad Apple un'interfaccia più efficiente per sfruttare la Back Door già esistente.

L'unico motivo per cui l'ordine del tribunale è persino fattibile è perché Apple ha memorizzato l'effettiva chiave di decodifica AES sul telefono, in primo luogo - che è protetta solo da una semplice passphrase - a vantaggio dell'utente.

Si tratta di una vulnerabilità di sicurezza intenzionalmente implementata, più comune con la crittografia supportata da hardware che si basa su soluzioni TPM .

    
risposta data 19.02.2016 - 01:42
fonte

Leggi altre domande sui tag