DES byl rozlousknut

Minuly tyden byl ruzlusten text "Strong cryptography makes the world a safer place", zakryptovany algoritmem DES s 56bitovym klicem. 10.000$ ziskal jakysi Rocke Verser ze Salt Lake City, clen konkurencniho americkeho louskajiciho teamu. Ukazalo se, ze DES, ac mu verila americka vlada, NSA i FBI, prece jen neni tak spolehlivy, jak se cekalo. Nicmene k rozlousknuti sifry bylo potreba asi 30 dni na zhruba 14.000 pocitacu (a mezi nami - take bylo celkem stesti, ze se na dany klic prislo jiz v 25% keyspace a nikoli az u 95%, coz by bylo take realne mozne). Nic vsak zatim neni ztraceno, ctete dalsi clanek

DES je dobyt, vzhuru na RSA

Tak to byva - kdyz se dobyde jeden hrad, okamzite se vsichni vrhnou na dalsi. Dalsim potencialnim sifrovacim algoritmem, kteremu bychom meli vypraskat kozich, bude 56bitovy RC5 algoritmus, ktery je spolu se sifrou IDEA vyuzivan kryptovacimi systemy RSA a PGP. Klienty muzete ziskat na site RSA Challenge Attack, keyserver je tamtez. Zatim jsou hotova necela tri procenta keyspace.

JAVA - nejslibnejsi softwarova technologie na trhu

Seznameni s Javou - prvni dil ze serie clanku o Jave, tento dil se inspiroval perfektni knihou The java Language Environment - October 1995, stazitelnou od Sunu pod nazvem language.ps

Nazory v prispevcich se nemuseji shodovat s oficialnimi nazory meho zamestnavatele. Informace zde uvedene, jsou poskytovany bezplatne a bez jakekoliv zaruky. Nenesu odpovednost za zadne skody, ktere mohou vzniknout jejich pouzitim. K dalsimu verejnemu sireni prispevku nebo jejich casti je nutny souhlas autora.

Programovaci Jazyk JAVA dava jako kyslik novy zivot softwarovemu prumyslu - tvrdi JavaSoft.

Je to pravda. Jazyk Java je obrovsky krok dopredu. Splni se sen vsech producentu a vsech uzivatelu software - konecne bude stejna aplikace bezet na vsech platormach. Konecne se vymanime z nadvlady Microsoftu a Windows. Uz bylo na case. JAVA JEDE!

JAVA je klasifikovan jako programovaci jazyk pro internet. To neni tak uplne pravda, jazyk Java je univerzalni jazyk pro psani aplikaci (neni vhodny pro systemove programovani - psani operacnich systemu, driveru atd.). Pro programovani internet aplikace je vhodny z nekolika duvodu: multithreading, podpora soketu, podpora internet protokolu (HTTP,FTP,..), podpora obrazku ve formatu GIF a JPEG, podpora zvuku ve formatu au (Sun Audio), take podpora ve Web prohlizecich tomu nahrava. Java je ale daleko vice nez Applety ve web strankach.

Rysy jazyka:

• Ciste objektove orientovany jazyk: Java jazyk je ciste objektove orientovan, neobsahuje zadne funkce ci procedury obsahuje pouze objekty, vsechny operace jsou definovany jako operace s objekty.
• Jazyk Java byl navrzen tak, aby se jeho syntaxe maximalne podobala jazyku C++. (stejne jako byla OS/2 navrzena tak, aby se navenek podobala DOSu. Ted jiz vime, ze to byla blbost, mela se podobat UNIXu.) Jazyk C je nejpouzivanejsi programovaci jazyk pro univerzalni pouziti. Proto prechod z C na Javu je snadny - musite se 'jenom' doucit pouzivat Java library classy.
• Robusni a bezpecny: Java je navrzena jako bezpecny jazyk, program se kontroluje pri kompilaci i pri behu. Jazyk Java neobsahuje ukazatele a tak je eliminovana moznost prepsani pameti pri chybe programu (nebo security utoky typu buffer overflow). Dale se kontroluje kod pred spustenim na stack under/overflow. Dalsi vec, je automaticka garbage collection, coz desne usnadnuje programaturum praci - nemusi se starat o tzv. memory leaky (alokovana, vice uz nepouzivana oblast pameti, ktera chybou v programu nebyla dealokovana).
• Nezavisly na platforme: Java program/kod bezi na libovolne plaformne podporovane Javou bez jakekoliv konverze.
• Multithreading - Program muze mit nekolik nezavislych vlaken (napr. server jedno pro kazdeho pripojeneho klienta). To ma za nasledek vyssi vykon (neni treba testovat klienty casove narocnou poll metodou). Java nabizi siroke moznosti synchronizace jednotivych vlaken programu.
• Dynamicky: Java run-time system je dynamicky linkuje poprve pouzite tridy. (Programovani v Jave ma jen 2 faze, preklad a spusteni.) Tyto tridy mohou byt dokonce nahravany i pres sit. Setri se tim take pamet, protoze nepouzivane tridy nejsou v operacni pameti. Linkuje se tim nejefektivnejsim zpusobem - nelikuji se cele baliky funkci (jako napr. *.DLL) ale primo jednotlive tridy. Dalsi vyhoda je, ze se nemusi pouzivat obvykle velmi komplikovane soubory Makefile (podivejte se schvalne na nejaky od X-Windows aplikace).
• Vysoky vykon: Jazyk Java je jazyk interpretovany ale musim rici ze je jeden z nejrychlejsich interpretrovanych jazyku. Pokud se pouziji JIT (Just-in-Time) kompilatory, je pak vysledny kod priblizne jen 2-3x pomalejsi nez prekladany C kod. Na zrychleni jazyka Java Sun nyni intenzivne pracuje - uvidime co na nas v Java 1.2 vybali.

• Pametovy model: Jak jsem jiz napsal v Jave neexistuji pointery a nemuze zde nastat situace buffer overflow, ktera je velmi casto pouzivana k tomu aby program spusteny s pravy roota vykonal to, co jeho tvurci rozhodne nezamysleli (bind, syslogd, ...)
• Kontrola bytecodu: Bytecode Java programu se obvykle nahrava pres sit, takze je nutno zkontrolovat zda jeho tvurce nepripravil nejaka necekana prekvapeni. Kontroluje se: zda neobsahuje ukazatele, zda neporusuje pristupova prava k tridam, zda nepredefinovava jine tridy a zda neobsahuje stack under/over flow a zda udava spravne parametry k instrukcim java assembleru. (Prekladace javy od Microsoftu obcas generuji bytekod, ktery se Sunovske JVM nelibi - vyhazuje jej prave tato cast Javy. Proto kdo to mysli s Javou vazne nepouzije Microsoft nesmysly)
• Sitova bezpecnost: Java appletu lze zakazat veskerou komunikaci po siti ci jenom komunikaci s pocitacem z nehoz byl nahran.
• Bult-in security manager: Java ma vestavenou specialni tridu, ktera se nazyva SecurityManager. Tato trida umoznuje monitorovat a pripadne zakazovat vsechny potencialne nebezpecne akce. Ma mnoho voleb, co vsechno se da kontrolovat - od jiz vyse zmineneho pristupu na sit, pres pristup k lokalnim souborum (lze napr. povolit jen nektere), az po pristup k jednotlivym tridam. Skoda jen ze se WWW prohlizece dodavaji s predkonfigurovanym SecurityManagerem a neumoznuje jeho nastaveni z menu. Netscape Navigator 4 umoznuje jen vypnuti a zapnuti SM, coz je rozhodne velka skoda. Napriklad by bylo mozne povolit tisk na tiskarne a zaroven zakazat pristup k lokalnim souborum - takhle je to vsechno nebo nic. Skoda.

  GCC Bound Checking

  Prispevek od Radima Kolare

  Jak jsem psal v clanku o Jave, zacal mne posledni dobou padat jeden z mych vytvoru (MRL - udrzba *.MSG filebaze) v C na core dumped - cize pisi do pameti tam, kam nemam. Opravovat tuto chybu se mne moc nechtelo, protoze produkuji znacne neprehledne programy a po 2 letech se v nich absolutne nevyznam. Navic tento program vice nez rok a pul fungoval bezchybne.

  Vzpomel jsem si ze jsem nekde slysel cosi o bound checking patches pro GCC. Po par trablich jsem je nasel na ftp://dse.doc.ic.ac.uk/pub/misc/bcc. Tyto patche hlidaji vsechny operace s pointery, zda jsou korektni. Pochopitelne ze to ten program zdrzuje, je to jen pro otestovani spravnosti programu. Tak jsem to nainstaloval, otestoval na prikladu:

  #include < stdio.h>
  #include < stdlib.h>
  
  int p[10];
  
  main ()
  {
    int i;
    for (i = 0; i < 100; ++i)
      printf ("%d\n", p[i]);
  }
  

  Z prikladu je nazorne videt, co ty patche hlidaji. Vypisi diag. hlasku a okamzite provedou core dump. Vyse uvedeny program totiz nemusi zhavarovat hned na prvku 11, ale mnohem pozdeji. Nebo pokud mate napr dve pole za sebou int p[10],j[10] tak zapisem na p[11] obvykle prepisete j[0] - tohle take tyto patche hlidaji.

  Dale to uz bylo jednoduche: prelozil jsem svuj vytvor s prepinaci -g -fbounds-checking spustil jsem to, spadlo to, jako obykle s tim rozdilem ze jsem vedel cislo radky. Na te radce byla operace strcpy(,). To mne moc nepomohlo, tak jsem nabehnul na core debugerem gdb. Predtim jsem jeste zkusil pouzit nejakou X-WinDoZe nadstavbu nad gdb, ktera mne odradila, tak jsem vypnul Xka a pokracoval dal klasicky. (Xka zrovna nepatri mezi mnou oblibene pracovni prostredi - virtualni console jsou lepsi, pouzivam je minimalne a jedina X-aplikace, kvuli kterym je poustim je www prohlizec. Jeste mne depta zapnute full-window drag ve fvwm, az mne to zase vytoci tak pujde mily fvwm k zemi a misto nej vrazim twm ). Po prozkoumani core gdb jsem zjistil ze program padal z duvodu dlouheho MSGID, tak jsem tam vrazil misto 80ti znaku 260, prelozil a behalo to. Nechapu co ma kdo proti gdb - takovy hezky bagr.

  GCC Bound Checking Patches - doporucuje 10 z 5ti hackeru

  Po odzkouseni jsem si pri zalohovani vzpomel na ,,Pouze lameri pouzivaji zalohy. Opravdovy hacker nahraje sve dulezite veci do ftp archivu a necha to cely svet mirrorovat''. Tak jsem to zazalohoval jeste do nekolika anonymnich ftp archivu (LEO, FTP.CDROM.COM, HOBBES).

  LINUX a HP, jak to je ?

  Prispevek od Radima Kolare

  V minulem cisle NETMAGu jsem pravdepodobne chybne informoval ctenare o tom ze HP dodava LINUX na pracovni stanice s HP-PA RISC procesorem. Fakta co se mi podarilo ziskat jsou:

  • na ZDNETu byl uverejnen announcement ze HP bude dovadavat 'workstations and servers' s Linuxem na prani zakaznika. Nikde nebylo uvedeno ze se jedna o RISC stanice a servery. Ja jsem predpokladal ze se Intelovskym PC nerika workstation a ze Linux na Intelu je zcela bezna vec.
  • V Linux kernelu (ls /usr/src/linux/arch ) neni procesor HP-PA RISC uveden.
  • Na Internetu (t.j. JPP) jsem o Linuxu na HP cosi zaslechl (z vice zdroju) a bylo to prezentovano jako novinka.
  • Na serveru http://www.hp.com neni o Linuxu ani slovo.

  Zadny z techto faktu bohuzel nepotvrzuje ani nevyvraci, zda je ci neni Linux na HP-PA RISCu. Je mozne ze HP pracuje na portaci Linux Jadra na PA-RISC, stejne tak je mozne ze za celou touto slavou se skryva to, ze zakaznikovi prodaji CD s Linuxem k PC.

  ---

  

  ---

  

  Powered by IBM OS/2 Warp Server Advanced