Cryptography

NSA จ่ายเงินให้กับ RSA กว่า 10 ล้านดอลลาร์เพื่อให้ช่องโหว่ Dual_EC_DRBG คงอยู่

By pe3z

on 21 December 2013 - 19:08 Tag: Security, RSA, NSA, Cryptography

Security

จากข่าวเก่าในประเด็นที่ NSA ได้ฝังช่องโหว่ความปลอดภัยในมาตรฐาน Dual_EC_DRBG ล่าสุดอ้างอิงจากแหล่งข่าวนิรนามของรอยเตอร์ว่า NSA ได้มีการจ่ายเงินให้กับ RSA กว่า 10 ล้านดอลลาร์เพื่อทำให้ช่องโหว่นี้คงอยู่

Newegg แพ้คดีสิทธิบัตร RC4 ศาลสั่งจ่ายค่าเสียหาย 2.3 ล้านดอลลาร์

By lew

on 27 November 2013 - 09:42 Tag: Patent, Intellectual Property, Cryptography, Newegg

Patent

คดีสิทธิบัตรการเข้ารหัส RC4 และการแลกกุญแจสาธารณะที่บริษัท TQP ฟ้อง Newegg คณะลูกขุนในศาลชั้นต้นตัดสินแล้วว่าให้ Newegg จ่ายค่าเสียหาย 2.3 ล้านดอลลาร์ จากที่ TQP เรียกร้อง 5.1 ล้านดอลลาร์ โดยยืนยันว่ามีการละเมิดสิทธิบัตรทั้งสี่ฉบับจริง

TQP ยังมีคดีรอขึ้นศาลอีกนับสิบคดี โดยมีคู่กรณีเช่น กูเกิล, LinkedIn, หรือโซนี่ จนถึงตอนนี้ TQP ได้รับค่าเสียหายไปแล้วกว่า 45 ล้านดอลลาร์

บริษัทขนาดใหญ่มีแนวโน้มจะเปลี่ยนกระบวนการเข้ารหัสจาก RC4 เป็นกระบวนการอื่นที่แน่นหนากว่า แต่ยังไม่มีบริษัทใดออกมายอมรับว่าเป็นเพราะถูกเรียกค่าเสียหายเช่นนี้

CloudFlare เปิดตัวระบบเข้ารหัสข้อมูลต้องถอดรหัสด้วยผู้ถือกุญแจสองคน เลียนแบบการยิงนิวเคลียร์

By lew

on 26 November 2013 - 07:09 Tag: Security, Cryptography, Cloudflare

Security

การรักษาความปลอดภัยขั้นสุดท้ายเป็นปัญหาสำคัญขององค์กรจำนวนมาก เช่น รหัส root ของเครื่องเซิร์ฟเวอร์หลักในระบบ รหัสผ่านเพื่อเข้าถึง private key บนสมาร์ตการ์ด การเก็บรักษาข้อมูลเหล่านี้ส่วนมากต้องอาศัยการพิมพ์ออกมาเป็นกระดาษแล้วนำไปเก็บรักษาไว้ที่ปลอดภัยเช่นตู้เซฟธนาคารที่ต้องการกุญแจสองดอกให้เปิดพร้อมกันจึงนำข้อมูลออกมาใช้งานได้ ตอนนี้ CloudFlare ผู้ให้บริการ reverse proxy รายใหญ่ก็นำโครงการภายในที่ชื่อว่า Red October เปิดซอร์สออกมาให้ใช้งานกัน

ผู้ใช้ RC4 ถูกฟ้องสิทธิบัตรจำนวนมาก, Newegg ไม่ยอมจ่ายและจ้าง Diffie เป็นพยาน

By lew

on 25 November 2013 - 16:17 Tag: Security, Patent, Cryptography, Newegg

Security

กระบวนการเข้ารหัสแบบสตรีมอย่าง RC4 ที่รับรู้กันว่าถูกประดิษฐ์ขึ้นมาโดย Ron Rivest หรือตัว R ใน RSA ตั้งแต่ปี 1987 ถูกอ้างว่ามีสิทธิบัตรที่เกิดขึ้นก่อนหน้า ในสิทธิบัตรหมายเลข US 5412730 A สิทธิบัตรนี้ถือครองโดยบริษัท TQP Development โดยตอนนี้มีบริษัทถูก TQP ยื่นฟ้องแล้ว 140 บริษัท แต่ Newegg ผู้ค้าปลีกไอทีรายใหญ่ไม่ยอมจ่ายค่าสิทธิบัตร และนำคดีนี้ขึ้นศาล

RC4 เป็นกระบวนการเข้ารหัสพื้นฐานที่ได้รับความนิยมสูง เพราะมีประสิทธิภาพที่ดี เว็บจำนวนมากใช้ RC4 เป็นกระบวนการเข้ารหัสลำดับแรกเพราะต้องการประหยัดทรัพยากร

Twitter, Google, Facebook ปรับกระบวนการความปลอดภัยเพิ่มเติม

By lew

on 23 November 2013 - 08:17 Tag: Google, Security, NSA, Twitter, Cryptography, Facebook

Google

ภายใต้บรรยากาศความกลัว NSA ของทั้งโลก การปรับปรุงความปลอดภัยที่เคยมีความสำคัญลำดับ "รองๆ" ก็กลายเป็นวาระเร่งด่วนที่บริการหลักๆ ทั่วโลก เร่งปรับปรุง และตอนนี้สามผู้ให้บริการสำคัญคือ ทวิตเตอร์, กูเกิล, และเฟซบุ๊ก ต่างปรับปรุงกระบวนการเข้ารหัสเพิ่มเติม

NIST ปรับมาตรฐาน SHA-3 ให้อ่อนแอลงโดยอ้างประสิทธิภาพ

By lew

on 2 October 2013 - 15:11 Tag: Security, USA, Open Standard, NSA, Government, Cryptography, NIST

Security

มาตรฐานการแฮชข้อมูล SHA-3 เพิ่งได้ผู้ชนะเป็น Keccak ไปเมื่อปีที่แล้ว แต่หลังจากการเปิดเผยข้อมูลของ Edward Snowden ทำให้ NIST หน่วยงานกลางผู้ออกมาตรฐานมีปัญหาความน่าเชื่อถืออย่างหนัก จากข่าวความร่วมมือกับ NSA ตอนนี้มาตรฐาน SHA-3 ที่กำลังอยู่ระหว่างกระบวนการปรับมาตรฐาน และเขียนเอกสารในฟอร์แมตที่ชัดเจนกลับมีปัญหาว่าทาง NIST กำลังลดความปลอดภัยของมันอย่างจงใจ

โปรแกรมเมอร์ไมโครซอฟท์รายงานช่องโหว่ Dual_EC_DRBG มาตั้งแต่ปี 2007 (และไม่มีใครสนใจ)

By lew

on 26 September 2013 - 09:54 Tag: Security, NSA, Cryptography

Security

รายงานการฝังช่องโหว่ไว้ในตัวสร้างเลขสุ่ม Dual_EC_DRBG สร้างความตระหนกให้กับทั้งอุตสาหกรรมความปลอดภัย คำถามสำคัญคือมาตรฐานเปิดที่ผ่านกระบวนการสร้างมาตรฐานของ NIST นี้ทำไมจึงหลุดรอดสายตาของนักคณิตศาสตร์และนักรหัสวิทยาทั่วโลกไปได้ วันนี้ทาง WIRED ลงบทความเล่าถึงการนำเสนอความยาว 5 นาทีด้วยสไลด์ 9 หน้าที่งาน Crypto ในปี 2007 ระบุถึงความเป็นไปได้ในการฝังช่องโหว่เอาไว้

BitCoin เจอปัญหาในแอพพลิเคชั่นแอนดรอยด์ ควรย้ายบัญชีทันที, Baidu รายงานการจารกรรมบนพีซี

By lew

on 13 August 2013 - 16:04 Tag: Security, Baidu, Cryptography, Bitcoin

Security

แอพพลิเคชั่นบัญชี BitCoin บนแอนดรอยด์จำนวนมากเจอปัญหาบั๊กตัวสร้างตัวเลขสุ่ม ทำให้บัญชีที่สร้างจากแอพพลิเคชั่นเหล่านี้อยู่ในความเสี่ยงทั้งหมด โดยผู้ผลิตรายหลักได้แก้ปัญหาแล้ว โดยแอพพลิเคชั่นเหล่านี้ได้แก่

Cryptanalysis ศาสตร์แห่งการถอดรหัส

By lew

on 12 August 2013 - 19:56 Tag: Security, In-Depth, SSL, Cryptography, HTTPS

Security

กระบวนการเข้ารหัสที่มีอยู่ในโลกมากมายและถูกพัฒนาอย่างต่อเนื่องจนทุกวันนี้ซับซ้อนในระดับที่ต้องการความรู้คณิตศาสตร์ระดับสูง เหตุผลสำคัญของการพัฒนาเหล่านี้คือการแข่งขันกับกระบวนการถอดรหัสที่พัฒนาอย่างต่อเนื่องเช่นเดียวกันศาสตร์ที่ว่าด้วยการถอดรหัสนี้เรียกว่า Cryptanalysis เป็นศาสตร์ที่อยู่คู่กับการเข้ารหัสมานาน เทคนิคและกระบวนการก็ซับซ้อนและใช้ในกรณีเฉพาะบางอย่างไปเรื่อยๆ

ในบทความนี้เราจะยกตัวอย่างบางเทคนิคที่ใช้กันในการถอดรหัส

นักวิจัยความปลอดภัยคาด RSA และ Diffie-Hellman จะไม่ปลอดภัยภายใน 5 ปี

By lew

on 7 August 2013 - 15:05 Tag: Security, SSL, Cryptography, HTTPS

Security

ทีมวิจัยความปลอดภัยจากบริษัท artemis นำเสนอความก้าวหน้าในวงการรหัสวิทยาในช่วงหลัง และคาดว่ากระบวนการแยกตัวประกอบตัวเลขขนาดใหญ่นั้นน่าจะมีการปรับปรุงประสิทธิภาพขึ้นอย่างมากภายในห้าปีข้างหน้า

กูเกิลเตรียมเปลี่ยนใบรับรอง SSL ไปเป็น 2048 บิตทั้งหมด

By lew

on 31 July 2013 - 16:02 Tag: Google, Security, SSL, Cryptography, HTTPS

Google

กูเกิลประกาศเปลี่ยนใบรับรอง SSL จาก 1024 บิตไปเป็นแบบ 2048 บิตทั้งหมดพร้อมกับเปลี่ยนสา่ยการรับรอง (certificate chain) ไปพร้อมกัน

กระบวนการนี้ไม่น่าจะกระทบผู้ใช้ นอกจากผู้ใช้ที่ใช้ไม่ได้อัพเดตระบบปฎิบัติการหรือใช้ไลบรารี SSL ของตัวเองรุ่นเก่า หรือซอฟต์แวร์ที่ฝังใบรับรองเข้ากับโค้ด ก็จะทำงานไม่ได้จากการอัพเดตครั้งนี้

แม้จะอัพเดตขนาดกุญแจไปเป็นขนาด 2048 บิต แต่ทุกวันนี้กระบวนการเข้ารหัสแบบกุญแจสมมาตรก็ยังใช้การเข้ารหัส RC4 แบบ 128 อยู่

Cyptocat มีปัญหาการสร้างกุญแจห้องแชตรวม ถอดรหัสได้ง่ายกว่าที่ออกแบบไว้

By lew

on 5 July 2013 - 10:58 Tag: Open Source, Security, Cryptography

Open Source

โปรแกรมแชตแบบเข้ารหัสที่ชื่อว่า Cryptocat แจ้งปัญหาความผิดพลาดในกระบวนการสร้างกุญแจร่วมกันของห้องแชตแบบหลายคน ทำให้ข้อมูลที่เข้ารหัสในห้องแชตนั้นถอดรหัสผ่านกระบวนการ brute force ได้ง่ายกว่าที่ออกแบบไว้

Cryptocat ระบุว่าบั๊กนี้มีผลตั้งแต่เวอร์ชั่น 2.0 เป็นต้นมา และได้รับการแก้ไขแล้วในเวอร์ชั่น 2.0.42 อย่างไรก็ดี การแก้บั๊กนี้จะทำให้เวอร์ชั่นที่แก้ปัญหาไม่สามารถแชตแบบห้องรวมกับเวอร์ชั่นก่อนหน้าได้อีกต่อไป

ทาง Cryptocat แนะนำให้ทุกคนย้ายไปใช้โปรแกรมรุ่น 2.1 หรือใหม่กว่าเพื่อหลีกเลี่ยงปัญหานี้

Symmetric Encryption: ถ้ารู้จัก ต้องรู้ใจ

By lew

on 27 May 2013 - 04:10 Tag: Security, In-Depth, Cryptography

Security

ในบรรดากระบวนการเข้ารหัสนั้น เราอาจจะบอกได้ว่าการเข้ารหัสแบบกุญแจสมมาตร (symmetric key) ที่เป็นกระบวนการการเข้ารหัสที่ทั้งสองฝ่าย มี “ความลับ” ร่วมกันอยู่ก่อน เมื่อส่งข้อมูลจริงแล้วจึงใช้ความลับนั้นถอดรหัสผ่านออกมาได้จึงได้ข้อความที่อ่านออกมาได้

กระบวนการป้องกันข้อความที่เป็นความลับนั้นมีมานานนับย้อนไปได้ถึงสมัยจูเลียส ซีซาร์ ที่อาศัยการสลับตัวอักษรด้วยตารางที่เป็นความลับ โดยทุกตัวในตารางจะมีตัวแทนของตัวเองทั้งหมด

![](https://upload.wikimedia.org/wikipedia/en/thumb/4/4a/Caesar_cipher_left_shift_of_3.svg/500px-Caesar_cipher_left_shift_of_3.svg.png)

Random Number Generator: อะไรก็ได้ ง่ายๆ

By lew

on 6 May 2013 - 05:00 Tag: Security, In-Depth, Cryptography

Security

ความสามารถสำคัญของคอมพิวเตอร์คือการทำตามคำสั่งที่ชัดเจนได้อย่างแม่นยำและคาดเดาผลลัพธ์ได้เป็นอย่างดี แต่ในโลกความเป็นจริง กระบวนการอย่างหนึ่งที่สำคัญมากคือการ "มั่ว" ที่ในแม้แต่มนุษย์เราเองก็ยังทำได้ลำบาก เราอาจจะขอให้ใครสักคนมั่วตัวเลขอะไรก็ได้สักสี่หลักให้เรา แต่เราอาจจะพบว่าเมื่อเราขอให้คนจำนวนมากๆ สุ่มเลข เราอาจจะพบว่าเลขที่เราได้มักเป็นเลขที่เราใช้งานบ่อยๆ เช่น "1234", "0000", หรือ "1111"

ไอบีเอ็มเปิดซอร์ส HElib ระบบเข้ารหัสที่แก้ไขค่าได้โดยไม่ต้องถอดรหัส

By lew

on 3 May 2013 - 13:22 Tag: Open Source, IBM, Cryptography

Open Source

ระบบการเข้ารหัสแบบ homomorphic encryption (HE อาจแปลไทยได้เป็นการเข้ารหัสแบบสาทิสสัณฐาน) เป็นระบบเข้ารหัสที่เปิดโอกาสให้เราสามารถกระทำบางคำสั่งกับข้อมูลที่เข้ารหัสอยู่ โดยไม่ต้องถอดรหัสออกมาก่อน เช่น การบวกตัวเลขสองตัวที่เข้ารหัสเอาไว้โดยไม่ต้องถอดรหัสตัวเลขทั้งสองชุดออกมา งานวิจัยนี้มีมาตั้งแต่ปี 2009 และตอนนี้ห้องแลป T J Watson ก็เปิดซอร์ส HElib ในสัญญาอนุญาตแบบ GPL ให้ดาวน์โหลดไปใช้งานได้แล้ว

Hash: ไม่รู้ว่ามันคืออะไรแต่มันใช่

By lew

on 25 April 2013 - 06:16 Tag: Security, In-Depth, Cryptography

Security

ในกระบวนการรักษาความปลอดภัยคอมพิวเตอร์ นอกเหนือจากการดูแลระบบให้ควบคุมสิ่งที่ผู้ใช้หรือผู้บุกรุกให้ไม่สามารถทำงานใดๆ นอกเหนือจากที่กำหนดไว้ กระบวนการเข้ารหัส (Cryptography) นับเป็นสิ่งสำคัญที่ช่วยให้กระบวนการควบคุมนั้นเป็นไปได้จริง กระบวนการเข้ารหัสทุกวันนี้มักสร้างจากตัวประกอบสามตัวหลักได้แก่ ฟังก์ชั่นแฮช, การเข้ารหัสแบบกุญแจสมมาตร (symmetric key), และการเข้ารหัสแบบกุญแจอสมมาตร (asymmetric key) ในตอนแรกจะพูดถึงฟังก์ชั่นแฮชก่อน

ElcomSoft อาศัยการ hibernate เครื่อง เจาะผ่าน BitLocker และ TrueCrypt

By lew

on 23 December 2012 - 17:10 Tag: Security, Cryptography

Security

การเข้ารหัสดิสก์ทั้งลูก (Full Disk Encryption - FDE) เป็นเทคโนโลยีที่สร้างความปลอดภัยให้กับข้อมูลในดิสก์ได้เป็นอย่างดีเพราะข้อมูลทั้งหมดถูกเข้ารหัส แม้แต่หน่วยงานรัฐก็ไม่สามารถเจาะข้อมูลออกมาได้หากไม่มีคีย์ แต่ซอฟต์แวร์ Elcomsoft Forensic Disk Decryptor (EFDD) ราคาเพียง 299 ปอนด์สามารถเจาะกระบวนการเข้ารหัสเหล่านี้ได้ในบางกรณี

นักวิจัยเผยช่องโหว่ความปลอดภัยของ cloud แบบสาธารณะ เสี่ยงถูกขโมย private key

By pe3z

on 8 November 2012 - 19:29 Tag: Security, Cryptography, Cloud, Cloud Storage

Security

กลุ่มของนักวิจัยจากมหาวิทยาลัยนอร์ทแคโรไลนา มหาวิทยาลัยวิสคอนซินและ RSA Security ค้นพบช่องโหว่บน cloud แบบสาธารณะที่ช่วยให้ผู้โจมตีสามารถเข้าถึง 4096-bit private ElGamal decryption key ที่เข้ารหัสโดย libgcrypt v1.5.0 จากเซิร์ฟเวอร์ที่มีการแชร์กันได้แบบ Cross-VM

ผู้คิดอัลกอริทึม Skein เตือน SHA-1 อาจจะไม่ปลอดภัยเร็วกว่าที่คิด

By lew

on 8 October 2012 - 20:14 Tag: Security, SHA, Cryptography, NIST

Security

Jesse Walker พนักงานอินเทลผู้คิดอัลกอริทึม Skein ที่เข้าแข่งขันเป็น SHA-3 เตือนว่าอัลกอริทึม SHA-1 ที่ได้รับความนิยมอย่างสูงในตอนนี้อาจจะตกเป็นเป้าหมายของการโจมตีได้ในเร็วๆ นี้

"Keccak" ได้รับเลือกเป็น SHA-3 Algorithm

By willwill on 3 October 2012 - 07:23 Tag: SHA, Cryptography

SHA

อัลกอรึธึมตระกูล SHA นั้นเป็นอัลกอรึธึมในการแฮชข้อมูล โดยปัจจุบันมีทั้งหมด 2 รุ่น คือ SHA-1 และ SHA-2 โดยเราอาจจะเคยได้ยิน SHA-2 ด้วยชื่อที่ระบุความยาวของมัน เช่น SHA-256, SHA-512 ทั้งสองตัวนี้ได้รับการออกแบบโดยสถาบัน NSA

แต่ด้วยปัจจุบันวิทยาการต่างๆ ก็มีการเปลี่ยนแปลงไป ทาง NIST สถาบันมาตรวิทยาของสหรัฐฯ จึงได้จัดการประกวดออกแบบ SHA-3 ขึ้นมา ซึ่งจะคล้ายๆ กับกระบวนการประกวดสร้างอัลกอรึธึม AES ซึ่งใช้ในการเข้ารหัสแบบสมมาตรที่ใช้กันอย่างแพร่หลายในปัจจุบัน

Subscribe to Cryptography