Apple vs FBI slučaj

Izraelske kompanije su komercijalni entiteti. Ima ih jako dobrih iz cyber security-ja. Niti su svi jevreji drzavljani izraela, niti se svi izraelci slazu sa politikom drzave.... Ima tamo jako normalih ljudi, kao i svuda ;)

Sto se tice "nacionalne bezbednosti", to je samo prepravljeno ime za "drzavna bezbednost". Njima nije cilj da stiti bezbednost "naroda" i "nacije" vec drzave. Tu se misli na drzavu kao zaposlene u drzavnoj sluzbi, drzavni aparat - visoke funncionere, izabrane i posebno ne-izabrane, tj. karijerne drzavne sluzbenike, pri organima vlasti i razne "bezbednjake". Oni, u sustini, stite sami sebe. To ukljucuje i njihove donatore/lobiste, naravno. Procitaj malo sta tacno znaci ta rec, ona je samo skovana da zvuci kao "stitimo celu drzavu i sve nase gradjane", nikad to nije znacila.

Nacionalna bezbednost, tj. drzavna bezbednost je oduvek stitila "drzavu". Gradjane stiti "javna bezbednost", to je, ajde, suprotna grana....

Potpis

Please do not feed the Trolls!

Blasphemy? How can I blaspheme? I'm a god!'

FBI, CIA, NSA, Mossad, FSB i sl. verovatno imaju u steku bar par 0day exploita sa kojima mogu, eventualno, da da pristupe odredjenom telefonu ako je 0day takav da moze da zaobidje lock-screen, sto je prilicno malo verovatno tj. broj takvih propusta se sigurno meri sa jednom cifrom na par godina. Zato se te stvari verovatno cuvaju za vrlo specijalne potrebe i specijalne mete (dakle, ne prosecnog narko dilera, pedofila i sl.) - sto veci broj otkljucavanja, vece su sanse da ce biti provaljeni i 0day zakrpljen.

To su exploiti za koje Apple placa $1-$1.5M odmah i za koje se suskalo u "industriji" da ih se nadje max par komada godisnje i da ih druge firme i "firme" (ispostave troslovnih agencija) placaju nekoliko miliona $ po komadu (sto dovoljno govori o retkosti istih). Vecina exploita nisu na tom nivou, vec zahtevaju vec otkljucan telefon, sto je vec daleko manje vredna stvar.

Dakle, FBI vrlo verovatno moze, bez puno pompe, da hakuje odredjeni telefon ako imaju srece da 0day jos nije patch-ovan. Ali to ih kosta puno iz razloga navedenih gore.

Zato to nije ono sto FBI i cela ekipa takvih agencija sirom sveta hoce.

Ono sto oni hoce, zajedno sa politicarima koji ih podrzavaju, je zakon ili presedan koji ce naterati firme da im omoguce backdoor pristup lokalnim podacima. Cela prica o "borbi sa Apple-om" je upravo poentiranje politicarima kako, eto, nasli bi oni i teroriste i pedofile i ostale zlikovce, ali ne mogu zato sto moraju jadni da se muce telefon-po-telefon i da se mole manitu-u da firmware nije vec patch-ovan... zato ljudi lobiraju da dobiju podatke na "izvolte" cim FISA sud potpise "nalog".

Jos bolje i bez naloga, onako masovno, daljinski - bez da se neko puno sta pita, sve za borbu protiv terorista, pedofila, droge i ostalih neprijatelja.

Jedini problem sa svim tim je sto ne postoji niti moze da postoji "FBI-only" backdoor - vec ce taj isti backdoor u istom momentu biti dostupan svima, od istih takvih agencija u Rusiji/Kini pa sve do fine ekipe viokih cyber kriminalaca koji ne bi imali nista protiv da pokupe bankarske logine, kreditne kartice i ostale vredne stvari sa telefona uz pomoc idiotskog backdoor-a.

Potpis

DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey

Moze da postoji FBI only backdoor, samo u privatne kljuceve u uredjaju treba dodati i FBI kljuc, kako bi i FBI mogao da vrsi update firmvera i softvera, a ne samo proizvodjac OS, i da FBI ima sors OS od proizvodjaca, uz NDA da ga ne koristi u komercijalne svrhe.

To je odavno reseno, bar sto se kriptografije tice, a ni legalno ne bi bio problem.

Drugo je sto bi to politicki bilo neizvodljivo u USA jer bi javnost smatrala to zadiranjem u privatnost. U Kini i Rusiji verujem da neki proizvodjaci softvera vec imaju slican aranzman sa vlastima.

Proizvođači sofvtera za enkripciju odavno su u core svog softvera ubacili backdoor.

Potpis

OTPOR blokadi ulica, OTPOR blokiranom Beogradu, OTPOR blokiranoj Srbiji

Java to ne mora uopste da bude.
Dobre crypto biblioteke su verifikovane pomocu formalnih metoda, recimo u okviru Project Everest koji Firefox koristi, tu ne moze biti bagova, niti moze biti neke nepotrebne funkcionalnosti poput backdoora ukoliko same specifikacije nisu pogresne, jer se dokazuje da kod potpuno odgovara specifikacijama, liniju po liniju.

Blagi uvod kako moze da se pogleda ovde https://www.cs.colostate.edu/~cs160/.Summer16/tutorials/tut_5.php
Ali je to tema za poseban ispit najcesce u okviru master CS studija, ima dosta literature o tome. Recimo da su verifikacija softvera i formalne metode izborni predmeti u CS kurikulumu PMF Beograd, za master studije.

Ocigledno ima resenja i za telefon i za cloud
https://www.engadget.com/2020/01/16/search-warrant-suggests-data-was-pulled-from-a-locked-iphone-11/
https://www.engadget.com/2020/01/21/apple-dropped-plan-for-encrypted-icloud-backups/
FBI/DEA/CIA/NSA i ostalima backdoor izgleda treba iz finansijskih razloga

FBI kljuc moze da procuri kao i bilo koji drugi kljuc.

Stavise, daleko su vece sanse da procuri FBI kljuc nego Apple-ovi kljucevi iz nekoliko razloga:

a) FBI radnici su drzavni cinovnici i placeni su relativno malo u odnosu na industriju. Neko od gomile radnika ko zaradjuje tipa $70K i ima familiju ce imati dilemu ako mu neko ponudi milione ili desetine miliona $. Ljudi koji rade u "dolini" i imaju pristup sigurnosnim sistemima telefona su placeni red velicine vise i imaju daleko vise da izgube kompromitacijom.

b) Nema teorijske sanse da FBI implementira mere bezbednosti za cuvanje kljuca tajnim koje ce raditi na duzi rok - u pitanju je ogromna organizacija sa gomilom odeljenja koji ce traziti prioritete i instant mogucnost da potpisuju kojesta. Na kraju ce privatni deo kljuca biti dostupan na vise mesta zbog prakticnosti i onda... goto a)

A ako se to desi, FBI tj. drzava postaju izlozeni velikom problemu.

Tako da, mislim da od toga nema nista.

FBI ce pre traziti da firme urade sav posao za njih - tako da ne mogu biti nikako odgovorni za curenje podataka, posto bi curenje podataka zbog FBI propusta dalo municiju svim advokatima koji praktikuju zakon u USA da se naredjaju i tuze za stetu.

Potpis

DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey

Si cuo za formalnu verifikaciju? AES-256 npr, je algoritam koji same USA sigurnosne agencije preporucuju kao jedan od algoritama za cuvanje sopstvenih podataka. Nadjeno je par propusta koji su prakticno smanjili "snagu" na ~50% ali je i 50% (128 bita) toliko ogromna kolicina kombinacija da se ne nazire momenat kada ce racunari moci da izadju na kraj sa tim. Svakako ne pricamo o godinama, verovatno ne i decenijama.

Ako si paranoican i imas potrebe za tako necim, platices formalno verifikovanu implementaciju AES-256tice na hardveru koji je 100% pod tvojom kontrolom i koji je, takodje, verifikovan.

To su odavno resene stvari koje se koriste za privilegovanu komunikaciju ili razmene enormne kolicine para. Interes za razbijanjeu takvih stvari je ogroman.

Algoritmi koji se zasnivaju na tezini faktorizacije poput RSA imaju veci problem, posto je teorijski poznato da ta klasa algoritama gubi kompleksnost sa kvantnim racunarima koji problem faktorizacije resavaju u polinomskom vremenu. Ali i to je poznato i postoje resenja.

Potpis

DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey