CyanogenMod bude automaticky šifrovat textové zprávy

Do CyanogenModu byl integrován systém šifrování textových zpráv WhisperPush. Autorem je známý bezpečnostní expert Moxie Marlinspike, který stojí i za aplikací TextSecure na šifrování SMS. WhisperPush je s TextSecure kompatibilní a na systémové úrovni automaticky transparentně (nezáleží na použité SMS aplikaci) šifruje textové zprávy mezi uživateli CyanogenModu (nebo s nainstalovaným TextSecure). Zprávy jsou však již posílány datovým kanálem, nikoliv přes SMS (to je pouze fallback). Znamená to rozšíření silného end-to-end OTR šifrování mezi 10 milionů uživatelů CyanogenModu.

10.12.2013 10:31 | xm | Zajímavý projekt

Komentáře

[xm]

Ještě technický detail - TextSecure V2 protokol na šifrování používá eliptickou křivku Curve25519 od D. J. Bernsteina, takže by měl být odolný i vůči případným NSA oslabením/zadním vrátkám, z kterého jsou podezřelé NIST křivky (alespoň Bruce Schneier a někteří další bezpečnostní experti se tohoto obávají, byť žádné přímé důkazy nejsou).

[Petr]

Takže to jede přes nějaký server, kam se mobil hlásí, aby to vědělo, že se mu může posílat SMS šifrovaně přes data? A pokud tam není zrovna protistrana přihlášená, pošle to klasickou SMS? Tj. nikdy vlastně nevím, jakou cestou to půjde?

[xm]

Ano, přes TextSecure servery (přičemž CyanogenMod bude provozovat pro WhisperPush vlastní TextSecure servery federované s Moxieho TextSecure servery). TextSecure Server je opensource a nejsou na něm ukládány žádné kontakty, pouze jejich hashe (což pravda v případě vykradení databáze zas tolik neznamená, jelikož hashe přes telefonní čísla není zas tak těžké prolomit - to by znamenalo kompromitaci telefonních kontaktů uživatelů CM/TextSecure a vazeb mezi nimi, ale je to prostě daň za jednoduchost používání).

[Petr]

Teoreticky není přece nutné odesílat a držet kontakty uživatelů, jen by to odeslalo dané číslo/hash před odesláním sms, ověřilo, jestli je online a podle toho se zařídilo. Že to ostatní dělají jinak a odesílají celé adresáře, aby mohli v app ukazovat kompatibilní kontakty je jiná.

[Josef Kufner]

Ale pořád tam dochází k úniku informací o tom, kdo si s kým povídá a kde přibližně se účastníci nachází. Server ví hash, tedy identitu, a ví polohu podle IP adresy. A protože se to bude ptát serveru i na přítomnost lidí, kteří to nepoužívají, dojde tak k úniku informací i o nich. Tedy tvé okolí nabonzuje obsah tvého adresáře v telefonu a nemáš šanci tomu zabránit.

[Petr]

Reagoval jsem na to vykradení databáze, tyto informace se přeci nikde nemusí zaznamenávat, provede se dotaz na protistranu a zapomene se. Samozřejmě se na to nemohu úplně spolehnout, ale pokud ten server bude provozovat někdo komu důvěřuji (tak jako důvěřuji, že ta app dělá co má) a server bude napsaný, aby hned zapomínal, vykradení db o mých kontaktech nic neprozradí, ne?

[...]

kdo se s kym bavi je zrejme z toho, ze nejaka SMS je poslana. tady se akorat rozsiruje (geograficky) pocet nabouratelnych uzlu a odposlechnutelnych linek, ktere maji tuto informaci k dispozici.

[xm]

Na TextSecure server jestli dobře koukám nejsou odesílány celé adresáře kontaktů (respektive jejich hashe), pouze hash tvého vlastního telefonního čísla (které se nejdříve ověřuje testovací SMS zprávou). Pouze při pokusu o odeslání SMS se WhisperPush nejdříve dotáže TextSecure serveru, zda daný kontakt používá WhisperPush/TextSecure. Samozřejmě rogue server by tímto způsobem postupně mohl databázi kontaktů a vazeb mezi nimi sestavit, o tom žádná.

Nicméně CyanogenMod je extrémně rozšířený - zatím má 10 milionů uživatelů a toto číslo stále roste (a to ve statistikách jsou zahrnuti jen ti co explicitně povolili zasílání statistik, reálně to bude ještě více, autoři CM odhadují až 30 milionů). Útočníkovi by to tedy moc nepomohlo, je to obrovská "kupka sena" a lidi co používají šifrování v ní už nebudou svítit jako pomyslné "jehly", protože prostě budou šifrovat všichni. To je obrovská výhoda - šifrování se rozšíří mezi běžné lidi. Kolik z nich bude např. ověřovat klíče (zda nedošlo k MITM) už je jiná otázka, ale to na tomto faktu nic nemění.

[Petr]

No ale v tom jsme za jedno, já to myslel tak, že celé adresáře kontaktů v tomto případě nejsou (nebo minimálně nemusí být) odesílány a vy jste to psal jako že ano, viz. kompromitace vztahů mezi kontakty a daň za jednoduchost. Proto jsem psal, že pokud nebude server ty data sbírat, nemá po napadení útočník skoro nic (vlastně by se mohly po odhlášení mazat i ty jednotlivé hashe uživatelů, takže by se získala jen db aktuálně přihlášených čísel (jejich hashů)).

[...]

vase uvaha stoji a pada na jednotlivem casove omezene kompromitaci serveru. nicmene stale ta uvaha nefunguje v pripade trvale odposlechnutelnosti sitoveho provozu cestou.

[Petr]

Předpokládám, že i ta datová komunikace by mohla být šifrovaná na způsob SSL.

[Jendа]

Problém přetrvává.

[Jendа]

Nicméně CyanogenMod je extrémně rozšířený - zatím má 10 milionů uživatelů a toto číslo stále roste (a to ve statistikách jsou zahrnuti jen ti co explicitně povolili zasílání statistik, reálně to bude ještě více, autoři CM odhadují až 30 milionů).

Jinými slovy, vytěžená sociální síť bude velmi rozsáhlá :).

[xm]

Jinak TextSecure aplikace zatím jede ještě stále pouze přes SMS, ale datový transport už tam je, jen není zatím aktivní. Měla by vyjít nová verze TextSecure, kde půjde zapnout datový transport a šifrované SMS budou pak jen jako fallback.

WhisperPush v CM ovšem nepodporuje SMS fallback, takže bez dat to padá zpět na nešifrované SMS (ale výchozí SMS aplikace bude upozorňovat, zda jsou dané zprávy šifrované či nikoliv - pokud člověk používá jinou SMS aplikaci, tak pak nevím, asi bude mít smůlu a nepozná to, pokud tedy nebude nějaké upozornění v notifikační liště či tak něco).

[Petr]

Píšou "Messages to other TextSecure users are encrypted over the air, protecting your communication in transit." - to moc nechápu, jak to jde udělat jen přes klasické SMS, když se neví, co je na druhé straně.

[xm]

To co je na druhé straně se právě v případě WhisperPush ví (ví o tom TextSecure Server, který má uloženy hashe telefonních čísel).

V případě pouze SMS transportu, jak to bylo s aplikací TextSecure dříve (a stále ještě je), probíhá při prvním pokusu o odeslání šifrované SMS zprávy vyjednání klíčů (zjednodušená a vylepšená forma OTR), což obnáší asi 2 SMS zprávy (děje se transparentně na pozadí). Pak už s kontaktem komunikuješ zcela transparentně šifrovaně (TextSecure odchytává všechny SMS zprávy a ty zašifrované transparentně dešifruje - buď zcela nahradí výchozí SMS aplikaci, nebo lze nastavit tak, že obstarává jen šifrované zprávy a nešifrované propouští dál standardní SMS aplikaci). Tam k žádnému automatickému rozpoznávání zda protistrana má či nemá nainstalováno TextSecure pokud vím nedochází.

[Petr]

Že WhisperPush ví je jasné, zajímal mě ten TextSecure, který zatím nepoužívá data a který jsem si zkusil teď nainstalovat. Škoda, že to nemají vysvětleno a člověk musí hádat, co to vlastně udělá. Díky za info. U toho WPush se tedy telefon přihlašuje/odhlašuje na TS server, aby se vědělo jestli je zrovna online? A když není online, pošle se to šifrovanou SMSkou? Jinak řečeno, nešifrovaně by to nemělo jít nikdy (pokud to protistrana používá), akorát se nebude vědět (pokud app během ověřování příjemce na TS serveru nenahodí nějakou indikaci), jakou cestou to půjde (net/sms).

[xm]

Ne, jak jsem psal WhisperPush (doufám že jen zatím) nepodporuje fallback na šifrované SMS. Tedy pokud nejdou data, spadne to na obyčejné nešifrované SMS (ale výchozí SMS aplikace by na to nějakým způsobem měla upozorňovat).

[xm]

Jinak na tom zda je či není druhá strana online nezáleží - pokud není, zpráva se prostě doručí později (až se druhá strana připojí). To je jedno z vylepšení OTR, které Moxie vymyslel, standardní OTR (jak se používá třeba u XMPP) totiž asynchronní komunikaci neumí. Viz Forward Secrecy for Asynchronous Messages

[Petr]

To je otázka, jestli je to vždy vylepšení. Pro mě je důležité vědět, kdy příjemce zprávu dostane a jakou cestou. Pokud mi app neukáže, že je příjemce zrovna online, tak vůbec netuším, jestli si zapne data (a dostane zprávu) za minutu nebo za týden, což je pro mě obrovské mínus. A taky chci mít jistotu, že zpráva nějakým fallbackem neodejde nešifrovaná. Nebo vědět, že když se do doby X nedočká datového připojení protistrany, pošle to šifrovanou SMSkou. Prostě nějaký jasný popis. Na jejich webu je jen obrázek telefonu a 3 věty typu "děláme to nejlépe".

[xm]

Je to náhrada za SMS, tedy asynchronní komunikace. A je dobré si uvědomit, že jakákoliv mobilní data jsou v principu také asynchronní komunikace (signál může vypadávat podle toho kde zrovna člověk je). Moxie na svém blogu několikrát vysvětloval proč není třeba XMPP+OTR (nebo jakákoliv jiná obdoba klasického IM) pro mobil právě přesně z tohoto důvodu dobrá věc.

Nebyl by ovšem problém implementovat něco jako doručenky u SMS (TextSecure/WhisperPush tohle však zatím neumí). Případně je tu manuální varianta v podobě "pokud ti zpráva došla, odepiš mi nazpátek" ).

[Václav HFechs Švirga]

No já wifi/atd.. zapnu na mobilu třeba jednou za týden, to už by to měl dotyčný rychleji šifrovaným dopisem (jakože pošta, papír, obálka...) .

[xm]

Tak mobilní data jsou dnes už standard, exoty co nemají datový tarif nepočítám Jako problém bych považoval jen roaming (tam by se fallback na šifrované SMS vskutku hodil).

[Petr]

Mám mobilní data a přesto je často nemám zapnutá. Důvodů je více, kromě roamingu i výdrž.

[j]

Pise vypatlanej exot ... 80% telefonu data nema a nikdy mit nebude.

[xm]

Řeč je samozřejmě o smartphonech. Na starou Nokiu fakt CyanogenMod nedostanete Nevím o nikom ze svého okolí (ať už v práci, v rodině, mezi kamarády, ...), kdo by neměl datový tarif. Asi se pohybuju v jiné společnosti nebo nevím :-P

[...]

zajimave. jdu po dvou dnech vypnout rezim letadla na smartphonu. sere me vydrz a aplikace na automaticke prepinani rezimu letdla, ktere vykradaji kontakty, zpravy, hovory, zalozky a historii prohlizece.

[...]

pro poradek... vydrzi "jen skoro tyden (6 dni)" ve velmi ocesanem nastaveni a to je neprijatelne malo.

[Jendа]

Nevím o nikom ze svého okolí (ať už v práci, v rodině, mezi kamarády, ...), kdo by neměl datový tarif. Asi se pohybuju v jiné společnosti nebo nevím :-P

To jsi opravdu v nějaké jiné společnosti, datový tarif nemají dokonce ani někteří lidé v místním hackerspace. (osobně mám předplacená data od T-Mobile, používám to občas v notebooku)

[pavlix]

Já mám předplacenku od ha-loo mobil, data jsem používal výjimečně u Vodafone (jednodenní tarif), teď s ha-loo jsem je ani nezkoušel zprovoznit, nepotřebuju to.

[Václav HFechs Švirga]

Znám dost lidí, co mají kredit a data použijí vyjímečně, spíše použivají wifi, když už. Ale u sms nějak chtějí, ať jim chodí co nejdříve .

[Josef Kufner]

Přesně takle na tom jsem. Skoro všude mám wifi a datové tarify stojí na měsíc to, co protelefonuju za rok (a ještě to má směšnou FUP). Takže mám mapy a jízdní řády offline, synchronizace kalendáře i kontaktů prostě chvíli počká (beztak v tu chvíli nemám poruce počítač) a jinak jsem spokojený.

[Jendа]

Já jsem wifi ani mobilní data nezapnul na svém současném mobilu ještě nikdy. Nějak je to neumí…

[Petr]

No mezitím jsem ten blog a diskuzi projel a lidi se ptají přesně na to co já. "Problém" je, že jakmile zapnu mobil, jsem na SMS příjmu, ale data spousta lidí zapíná jen občas. Mě zpráva, která vůbec netuším jestli bude doručena do minuty nebo do týdne je úplně k ničemu. Doručenky jsou pěkné (popravdě když už to dělají, u vlastního TS klienta bych čekal mnohem víc stavů, jako to má BBM), ale neřeknou mi, za jak dlouho se dočkám. U SMS se dočkám hned jak bude na signálu, nabije atd. Taky co psal, mají se snad odesílat celé adresáře (hashe), no počkám si na výsledek, ale prvotní nadšení, že je tu konečně něco rozumného, nějak vyprchává.

[Jendа]

"Problém" je, že jakmile zapnu mobil, jsem na SMS příjmu, ale data spousta lidí zapíná jen občas. Mě zpráva, která vůbec netuším jestli bude doručena do minuty nebo do týdne je úplně k ničemu.

Souhlas. iPhony to tuším dělají přes nějaký GSM alert, že BTS mobilu řekne „zapni data, mám pro tebe zprávu“.

[...]

mam pro vas spatnou zpravu. zapnu a letadlo zustava letadlem pokud bylo aktivni pri vypnuti, tak odemknu sim, ale nepripoji se do site a drzi airplane rezim ve stejnem stavu jako pred vypnutim.

[Jendа]

Jo, já to chápu, taky nosím mobil nepřihlášený do sítě, případně úplně vypnutý, případně vůbec. Reagoval jsem ale na příspěvek, který mluvil o přihlášení do GSM.

[xm]

Co se týče fallbacku - jak jsem psal v případě WhisperPush by mělo být ve výchozí SMS aplikaci nějaké upozornění/rozlišení, pokud by zpráva měla být odeslána nešifrovaně. To psal toším Moxie v nějaké diskuzi. Jestli to už mají implementované nevím, původně tam měli napsáno "silent fallback" což by opravdu nebylo ideální

[Petr]

Mátla mě zmínka o fallbacku ve zprávičce: "Zprávy jsou však již posílány datovým kanálem, nikoliv přes SMS (to je pouze fallback)."

[Xerces]

Nebylo by lepší použít asymetrické klíče a bez účasti nějakého styčného serveru? Prostě bych si ke kontaktům, které to podporují přidal jejich veřejný klíč a s těmi bych pak smskoval zabezpečeně. Nic by se nemuselo ověřovat, žádné dodatečné SMS.

[xm]

Heh? To samozřejmě je asymetrická kryptografie, jinak by tam ani nemohla fungovat perfect forward secrecy

Tak jak popisujete fungoval (a ještě stále funguje) původní TextSecure. Jenže tohle se nikdy nerozšíří mezi větší veřejnost - pokud messaging systém dnes nemá jednoduché a automatické spárování s kontakty, nemá bohužel moc šancí na rozšíření (viz oblíbenost bezpečnostních nočních můr typu WhatsApp a Viber). Oportunistická kryptografie má smysl i tehdy, když velká část uživatelů nebude kontrolovat otisky klíčů (či provozovat socialistického milionáře) a tedy bude náchylná vůči MITM - už jen z toho důvodu, že se obrovsky rozšíří počet lidí používajících šifrování a spolky jako NSA nebudou moct jednoduše cíleně vypichovat jako podezřelé lidi co používají silné šifrování. Pro tajné služby tohle musí být noční můra, dobře jim tak

[Jendа]

Tak jak popisujete fungoval (a ještě stále funguje) původní TextSecure

To umí asymetricky zašifrovat 160 znaků a narvat to do 160 znaků?

[xm]

Umí, viz popis protokolu:

Sending A Message

When composing a message, the total headerfied, encrypted, and mac'd data message is handed to the transport layer, which then splits the data message into fragments small enough to fit into individual SMS messages. Once the receiving end has received all the fragments, it reassembles them into one message again before verifying the MAC and decrypting.

Some knowledge of the transport layer sizing requirements is needed by the application layer, since it is responsible for padding the message out. What is handed to the transport layer should be sized such that when split into fragments and fully base64 encoded, it will exactly fill the maximum available payload space in each SMS message (140 bits, 160 characters).

In the end, there are 60 characters available in the first fragment, and 115 in each subsequent fragment.

Tzn. do první SMS se vejde jen 60 znaků, do každého dalšího fragmentu textu už 115 znaků.

[ewew]

Nebolo by lepšie nekomunikovať ?