Microsoft zpřístupnil FBI uživatelské šifrovací klíče (diskuse)

[Valgrind]

!!! TVL !!! Dekuji za zpravicku.

[Valgrind]

To defaultni nastaveni je peklo... A servilnost ke statnimu zlu jeste vetsi.

S účtem u MicroSoftu můžete naplno využít možnosti operačního systému Windows...

[Slavko]

Zaujímavé, ako admin sa na serveri často dostanem všade, ale používateľom vždy priamo hovorím -- k tým a tým dátam sa dostanete len Vy a ja, nech vedia, že to nie je celkom súkromné (na druhej strane, sú to firemné servery)...

Ak tvrdia, že sa k dátam dostane len používateľ a vedia sa tam dostať, tak klamú, a to cielene! No, ale kto by už veril akejkoľvek firme, a ešte z USA?

[Valgrind]

Daleko hlubsim a obecnejsim problemem je poslusnost vuci statu a zakonum!

[Isthvan]

Snad bys nechtel soukromym firmam narizovat, treba nejakym zakonem, ze nemuzou rozdavat klice/data svych zakazniku, soudruhu? Jak je ten clanek napsan, implikuje to, ze v Americe nemaji povinnost tak ani tak, coz je, jak jiste uznas, idealni stav, protoze rozhodne trh. A trh zjevne rozhodl, ze to Microsoft dela spravne.
Navic ti lide brali verejne penize (a jeste ilegalne), tak by bylo trochu smesne, kdyby si ted stezovali na to, ze jim stat bere data.

[Valgrind]

Ja nechci firmam nic prikazovat! Jen rikam, ze servilnost vuci statu je daleko hlubsi a obecnejsi problem. To, ze jsem zastancem volneho trhu, ma snad znamenat, ze nemohu kritizovat soukromou firmu/korporaci? Nebo ze nemohu kritizovat prorustani korporatu a statniho zrizeni?

[Isthvan]

Myslel jsem, ze opravdovy zastance volneho trhu kritizuje penezenkou :)

[Valgrind]

Jisteze. Jak je to v rozporu s tim, co pisu? Nemohu si na webu zadrzkovat na korporaci prorostlou do statu, ktera je servilni vuci statnimu zlu? A proc? Protoze je prorostla...

[Isthvan]

Pokud nikde nepises jinym kritikum takove ty knizeci rady jako "nemusite to pouzivat", tak to asi v rozporu neni :D

[RealJ]

Svata prostoto… kdyz das to heslo kamaradovi a ten ho vyda policii, muze za to kamarad nebo tva debilita? Tady je to stejne, ocekavat ze nasdilim hesla s MS a oni budou v bezpeci vuci law enforcement je debilita. Bitlocker samotny je docela bezpecny ale pokud je uzivatel debil a neumi cist ale jenom odklikava tak mu nepomuze ani Slavko z Kosic.

[Peter Golis]

Nedotknuteľnosť súkromia a právo nevypovedať vo svoj neprospech sa ukázali v plnej kráse.

[Z]

Tvé soukromí vezme za své, když orgány pojmou důvodné podezření. Je potřebný soudní příkaz, ale pak se ti prohrabou vším, co najdou.

Tvé právo nevypovídat tím není nijak dotčeno.

[Peter Golis]

A to odôvodnené podozrenie je že mi volal kuriér s bežnou zásielkou ktorý pred tým odovzdal miestnemu dílerovi na colnici odchytenú zásielku s púdrom do frňáku?

Lebo tak to funguje.

[RealJ]

tak to fakt nefunguje... ten soudce ktery se pod to podepisuje potrebuje trochu vice nez tohle...

[..... Izak .....]

LOL v CR jsou soudci, co se podepisi pod uplne vse i uplne prazdnou slozku-protokol

[Z]

V momentě když ti zabavují notebook, tak v tom lítáš až po uši a místo planých keců o ochraně soukromí bys měl raději využít to právo nevypovídat a co nejdřív si promluvit se svým právním zástupcem.

Přečti si třeba Muklové a šlajsny, to je takový poctivý opis nepoctivostí od jednoho co si poseděl v české base. Popisuje tam všechno: svůj zločinný život, zadržení, domovou prohlídku, vyšetřovací a útěkovou vazbu, střetnutí s právním zástupcem, soud, nástup trestu...

[Peter Golis]

Blbosť.

Napríklad kauza Mirrornet versus BSA bola podľa tvojej logiky založená na dôkazoch. V reále neexistovali, policajti zabavili technológiu na základe vyfabulovaných halucinácií, a BSA bola na základe toho preventívne rozpustená aby nemusela uhradiť škodu ktorú svojou plánovanou záškodníckou činnosťou spôsobila.

Spoj sa s tvojím nadriadeným aby ťa poslal na školenie, zjavne ti zatajil reálnu históriu a núti ťa obhajovať vaše oddelenie.

[..... Izak .....]

BSA za to vubec platit nemusela nebot BSA nic neudelal, BSA podla tr. oznamen9i - to ze bylo vylhane je jedno zpackala to police - UPLACENA imho, coz se sice prokazalo, ale GIBS to zahladil - to ze nejaky vysetrovatel mel u sebe razem vice penez, ono to bylo tak mala cast ve stovkach stici KC, ze si to jako ze mohl nasetrit

BSA skoncila proto, ze nekolik firem krive uvadela jako firmy, kde pouzivaji nelegalni SW a ze za to byli odsouzeni - jenze to bylo jinak, ty firmy soudy vyhraly a nebo tam ani zadne vystrovani neprobhelo a za pomluvu a poskozvani znacky firem mela BSA zaplatyit opdskodne, nalsedne se BSA zrisla a nebylo po kom castku vymahat - pak v CR pusobila BSA nelegalne, nebot nebyla zadna spolcnost, jen stejney advokat - ale zadna registrace neziskovky, spolecnosti nic, jen tvrdili, ze jsou BSA ...

No a presne tu BSA vyhodil skolnik z vysoke skoly, nevim kde vzali dopis od min. skolsvi, ale VS nepusti zadnho saska s dopisem od ministra do skoly, nepusti tam totiz ani Policii CR - to musi schvalit Rektorat a Dekan - akademicka puda ma totiz svobodu a specialni rezim - i tak by tam nic nenasel, nebot skoly uz meli onen SELECT - v te dobe tam ale BSA chtela obvinit skoly, ze pouzivaji ilegalni LINUX a nechteji si kupovat MS servery - me z toho obvinili taktez, dopisem nejdrive na rektorat, kde se jim vysmali a pak sli za dekanem - ten nevedel, tak se zeptal sefu grantu, kterym jsem ty linuxy spravoval jako pomved - a vsichni jsme se tomu zasmali a dopisy jsme IGNOROVALI.

BTW ten pan z BSA skolnikovi vyhrozval, ze to pro nej bude mit pravni dusledky, nacez mu skolnik rekl, ze on je defakto pologramotny delnik, jehoz cilem je opravovat vybaveni skoly, mazat dvere, opraviovat zamky, zajistovat klice a co neopravi nhlasit, aby se objednala firma na opravu a tu tam doporvodit, ze on vubec nema menstalni kapacitu pochopit, co mu zde pan s diplomem rika a tak ze jej muze dat k soudu a prokazat mu tam umyslne zavineni neceho, co ani nensi shcopen pochopit - ze on ma senzam lidi, kterym muze dat klice a on na seznamu neni, ze jej nezna a nikdy jej na universite nevidel - ze BSA taky nezna a minsitra skolsvi tez nezna, ze onm ma sveho nadrizeneho a ten spada pod rektorat a pak zna dekana a sefy fakult - tam pak prisle ostry dopis plny vyhruzek, na doprecuni nas spravcu se na dopis vubec nemelo odpovidat a mel se skartovat s tim, ze o nicem nevime a asi jsme to vyhodnotili jako nejaky spam s vyhodili spolu s jinou reklamou

BSA totiz nikdy nic nenapsala doporucene - davali si sakra pozor na to, aby mohli kdykoliv rict, ze to oni nic to nekdo jiny a kdo vi kdo to poslal vsak v te dobe prece CZ pomoce sefoval agent StB Muhlfeit - co ted ze sebe dela jakehohsi dusevniho guru co potkal pedofila Billa - btw dalsi agenti StB byli prtave lide pro skoly a lidi na vydirani firem

[Peter Golis]

Ten čo im u polície nahrával, ten Dastych bol Kapitán alebo Major?

Jedno si písal, druhé dosiahol. Chamtivosť ho definovala.

[..... Izak .....]

Presne tak - a v CR je nauzivana VAZBA jako soucast muceni, uz se tam priznala kupa uplne nevinnych lidi, nebot pochopili, ze v CR muzou by ve vazbe klidne i 20 let, ale kdyz se priznaji, dostanou ty blbe 3 mesice ve vezeni, kde je jim lepe nez ve vazbe.

Treba takovy pl. Kratochvil, vozil humanitarni pomoc na dombas, vysledek je, ze je vinen z terorizmu - ale protoze jim to asi nevyjde, tak mu podstrcili udajne detske porno - zajimave je, ze dnes uz soud nedokazuje kdo psal nejaky prispevek, profil je pod vym jmenem, je tam tvoje fotka a je uplne jedno, ze to je falesny profil, jdes sedet, nedelam si srandu, osobne jsme to videl, kde soudce omital nejak dokazovat, ze nekdo neco psal - no a to porno u Kratochvlia dokonce odmitaji UKAZAT !!! tedy rikaji, ze tam je, ale do spisu jej vubec nedali - protoze jej drzeli ve vazbe a on si nasel kamarady a tim mu darovali penize na advokata a hrozi, ze se bude domahat odskodneho za nezakonnou vawzbu a za nezakonne stihani - ma dokonce domaci samovazbu - ale budet v klidu, pravnik vasi ce stoji treba 1M, sle soud vam pak priklepne odskodne za 5 let zniceneho zivota na 60.000 kc - to vam musi stacit

[Xerces]

... Tato technologie by správně měla bránit komukoli kromě majitele zařízení v přístupu k datům ...

To je chybně. Brání to komukoliv, kromě toho kdo zná heslo. Takže když jako majitel toho zařízení to heslo rozešlu do světa, tak je to na nic. Kdo tohle nechápe, tak se může jenom divit.

[PetebLazar]

Běžné OEM licence Windows 11 Pro se dnes musí aktivovat přihlášením k účtu Microsoft, při defaultně zapnutém Bitlockeru u předinstalovaného OS se snad Bitlocker klíč uloží u Microsoftu. Má majitel notebooku v takovém případě opravdu svobodnou vůli?

[Xerces]

Má svobodnou vůli vybrat jiný OS, nebo nepoužívat BitLocker.

[RealJ]

RTFM a nebudes za debila sdilejiciho klice s MS...

[Radovan]

Koupíš si počítač s předinstalovanými W11, doneseš si ho domů, zapneš...

Kde si máš přečíst manuál?

[Kris]

doneseš si ho domů, zapneš... a nainstaluješ tam operační systém

[RealJ]

takze kdyz si koupis auto, privezes ho domu, neprectes si manual? Tak to chapu...

[Jenda]

To je preci v poradku. Stat musi mit pristup.

[Jendа]

BitLocker je celý od začátku špatně. Funguje tak, že je klíč uložen v TPM, a při bootu se ověří secureboot a klíč se načte do systému. Následně se zobrazí standardní login obrazovka (již s plně dešifrovaným diskem), a to je to, co "brání" k přístupu k datům.

Pro srovnání, rozumnější software pro šifrování disku (například LUKS běžný na Linuxu; TrueCrypt/VeraCrypt…) klíč v počítači vůbec neobsahuje, odvozuje se přímo z hesla, které zadává uživatel.

BitLocker přístup má potenciální výhody (pro odemčení počítače lze použít otisk prstu, nebo to udělat na dálku po síti - to se s LUKSem dělá přes ruku se SSH serverem v initramdisku; počítač se může zapnout a třeba vykonávat naplánované úlohy i bez interakce uživatele - to je s LUKSem nemožné, vždy je potřeba zadat heslo), ale dopady této architektury na bezpečnost se již mnohokrát ukázaly jako naprosto devastující.

V SecureBootu se objeví průměrně tak 1-2 díry za rok, naposledy například letos v létě, přičemž exploity na ně byly zveřejněny minulý měsíc. Na rozdíl od síťových útoků zde je problém, že záplatu na ztracený/ukradený/zabavený počítač nelze nainstalovat zpětně - tj. útočníkovi stačí uložit počítač do trezoru (a nepřipojovat k síti, aby se nenainstalovaly záplaty) a počkat, až se objeví nějaký nový útok, a pak jej může vytáhnout a dešifrovat.

I pokud by však SecureBoot fungoval bezchybně, je tu problém s tím, že ten klíčový materiál putuje při každém startu přes procesor do paměti - a těch startů lze dělat neomezeně. Pokud tedy máme nějaký hardwarový útok, jako například glitching, cold boot attack, nebo HW zařízení, které interceptuje komunikaci procesoru s pamětí, ale je složité ho provést a hrozí, že nevyjde, nic nám nebrání ho zkoušet opakovaně.

Zálohování klíčů do cloudu je pak třešničkou na dortu, které by pro "firemní security" třeba ani tolik nevadilo (brání se proti krádežím, ne státu). Výše uvedené ale způsobí, že šifrování prolomí kdejaký BFU (například pro výše odkazované útoky stačí do počítače vložit flashku s nahraným jedním souborem).

Třeba mě někdo, kdo rozumí Windows, opraví?

Co je teď za normální software pro šifrování disku pro Windows?

[-]

Mám za to, že dříve (éra Windows 7 a Server 2008) uměl BitLocker i ten klasický mód jako LUKS. Jak je tomu nyní netuším.

[-]

Viz tento popis z gpeditu a související článek.

[-]

Co je teď za normální software pro šifrování disku pro Windows?

Možná VeraCrypt System Encryption, ale sám jsem to používal naposledy s původním TrueCryptem a Windows 7.

[RealJ]

ulozit notas do sejfu a udelat utok na jakoukoliv implementaci s vyuzitim aktualni zranitelnosti jde u vseho... zapominas ale na praktickost takoveho utoku. Z pohledu law enforcement mas omezeny cas kdy muzes nekoho dat k soudu tudiz notas 10 let v sejfu je ti k hovnu... BitLocker neni spatny, dela to co ma pokud clovek neni uplny debil. Problem je, ze naprosta vetsina lidi kteri pouzivaji nejake sifrovani (a klidne to muze bejt puvodni TrueCrypt) jsou idioti a mysli si ze jsou chytrejsi nez ti ostatni idioti. Ja videl k ucelum sifrovani pouzite snad vse co je na trhu, od hw sracek primo v disku pres sw reseni od Ciny po US, vzdy dana implementace selhala na uzivateli.

[Jendа]

ulozit notas do sejfu a udelat utok na jakoukoliv implementaci s vyuzitim aktualni zranitelnosti jde u vseho... zapominas ale na praktickost takoveho utoku.

Nejde. U normálního šifrovacího SW je poslední taková verze, na kterou lze provést útok, něco co používalo DES, což jsou devadesátky. A i ještě dávno před AES competition se používaly různé 3DESy a alternativní šifry, na které dosud nejsou čistě kryptoanalytické útoky známy. Moooožná v nějakém hodně špatném nasazení půjde část dat dešifrovat u RC4. A pak se zvyšuje rychlost bruteforce, protože tehdy neměli PBKDF2, natož Argon a spol. Ale dostatečně dlouhé heslo (70bit+) je dosud neprolomitelné.

U MS se nová zranitelnost objevuje co půl roku.

vzdy dana implementace selhala na uzivateli

No a právě BitLocker je nejrozšířenější šifrování široko daleko, které je tak strašně špatné, že neselhává na uživateli.

[plostenka]

BitLocker je celý od začátku špatně.

Naopak, presne dle agenturniho zadani, ze klice nespravuje uzivatel ani firemni admin, ale sam MS.

Kdo nic spatneho nedela nema co skryvat! A pan radaktor taky jeste nikdy nesifroval...

[Jendа]

Naopak, presne dle agenturniho zadani, ze klice nespravuje uzivatel ani firemni admin, ale sam MS.

Nepochopil jsi pointu příspěvku. Mně by zas tak nevadilo, že klíče má MS (když jde o obranu před ne-státními-útočníky - takové to jak ti kolega zavolá že zapomněl notebook při vystupování z vlaku, nebo možná řekněme i obrana před cílenou krádeží od ne-státní konkurence). Ale to, co se tam děje, je nepoužitelné i před těmito "dětmi".

[..... Izak .....]

LUKS a TrueCRYPT klic neodvozuji, ale klic je zasifrovan ve vice kopiich na danem disku/souboru + je hashovan passphase a tou se odemkne skutecny klic, ktery pak rosifrovava disk - bohuzel je pak v RAM a sel by ukrast - tedy pokud by CIA nejdrive hackla subjekt, ukradla klic z RAM - pak by to rozsifrovala - pokud ma nekdo switche cisco, dostane se pres bezne intel sitovky az do CPU i RAM a to mimo OS - viza PatrotAct, kdyz kazda US spolecnost musi vytvorit zadni vratka a primy pristu k HW, na Intel to nejde vypnout, jen CIA ma kousky kde to neni a na AMD je ARM CPU a sifrovana flash, ta pry jde nejak poskodit a pak to nefunguje ... takze asi tak.

Resenim je exosticka sitovka a zadny US LAN switch a maji smulu - tedas ve windows muslu nemaji, tam maji pristup pres windows update sluzbu a pusti si co budou chit pod pravy system

Ale ano pokud vam jen tak zabavi Linux a vypnou jej, tak se muzou jit u LUKS klouzat - ale muzou z vas vymlatit heslo

[Radovan]

Nešiřte paniku. Teď vládnou kámoši našeho vůdce Trump a Vance, takže to je v pořádku a strach mají jenom přistěhovalci, LGBT, levičáci a jejich mámy.

[-]

Zatímco za Bidena měli strach jenom fašouni a dezoláti, že?

[RealJ]

za Bidena se imigranti moc neresili, naopak se jim davala moznost volit co nejdrive at to vyhraje ta spravna strana... zajed si nekdy treba do Vermontu, skvely to stat az na ty vsechny pice co tam bydli... vsude vidis nalepky black lives matter akorat zadna z tech progresivnich pic cernocha krome porna nevidela... jed pak treba do MO a ty progresivni nalepky jiz neuvidis protoze lidi maji zkusenosti...

[Jendа]

Nerozumím tomu směšování "černochů" a "imigrantů" v jednom odstavci. Ze svých chabých znalostí dějepisu, plus jsem si to teď pro ověření vygooglil, si myslím, že černoši jsou typicky v USA už 100+let. Naprostá většina migrantů je "Mexico/Latino" a "South/East Asia".

[Radovan]

Z Bidetovských fašounů dezoláti strach neměli, i když se o to liberasti moc snažili. Foltýn, Stříž, Oganesjan a další. Jenže zapomněli, že dezoláti dobyli Bastilu.

A ten předchozí Radovan to napsal špatně, já žádného vůdce nemám. Také vím, co po tom dobytí Bastily následovalo

[pavele]

Takže BitLocker ve Windows je odvařený, pro zabezpačení soukromých dat v počítači nepoužitelný.

[Radovan]

On někdo věřil, že je tam kvůli zabezpečení soukromí uživatele?

[Peter Golis]

Samozrejme že áno. A je to aj dokázané že zabezpečoval súkromie používateľa pred ním samým a nikým iným.

[disorder]

microsoft nepoklada matersky korporat (domenu) ani organy za ciel ochrany. z pohladu microsoftu je to isto lepsie nez sa natahovat s organmi alebo korporatom hovorit, ze sa to neda v pripade nudze odsifrovat.

ci je to dobre alebo zle je asi podla toho kto to chce pouzit a pred cim sa chce chranit

[..... Izak .....]

CO je to za blbost, FBI nepotrebuje zadne dalsi klice, v USA je zakonem Digital-Milenium-ACT zakazano nabyzte sifroivane sluzby, bez pristupu tajsnych sluzebt a ty tak maji tzv. 3 master key, kterym vse desifruji - viz kauza PGP a odchod zakladatele. - ma to tak i MacOS - a Apple vam za 100USD vas disk rozsifruje, kamosovi to klelo chybou update a k datum se nedostal ac mel vsechny ciuselne kody pro obnovu atd. - tak mu to rozsifroval Apple, kdyz jim to poslal do servisu - takze taky umi rozsifrovat disk ... jo to u LUKS nedokazi, ani TrueCrypt - proto TrueCrypt zakazali a zacali ilegalne stihat v USA jeho autory za podporu terorizmu

[Peter Golis]

Tá blbosť znamená len toľko že sa to oficiálne prevalilo aj s dôkazmi.