Bak dörr i PGP

Uppgifterna kommer från personer som har ekonomiska intressen i ett annat konkurrerande program, SafeIT. Det bästa den personen har lyckats visa upp till sitt försvar är en artikel om en bug i slumptalsgeneratorn på PGP5 för operativsystemen Linux och OpenBSD.

Henry här är länken som Henry tänkte på.
http://www.idg.net/gomail.cgi?id=182782

Det florer många versioner av PGP. Det finns både versioner som marknadsförs med Bakdörr och versioner som har det gömnt. Det finns företag som har som affärsidé att sälja bakdörrar till program.

Som användare kan man inte veta, men det är förmodligen störst risk med Amerikanska och export tillåtna produkter.

Henry tror att alla PGP är bra. Anders tror alla är dåliga så det finns olika uppfattningar. Något mitt imellan är nog sanningen.

Safeit som Henry nämnde har jag inte testat, men jag läste om det på Business Wire och jag tror jag ska prova.

Nu börjar jag fan tröttna..

Den person som försöker marknadsföra SafeIT under olika namn. Sluta fan upp med det.

Combatman och Henry är Ni samma person som kuba.

Vilket PGP program ska man skaffa. Måste man betala till fiman?

Finns det någon bra info om PGP på svenska?

Bakdörrar och felaktigheter i PGP

Combatman jobbar du åt NSA? Varför går du ut som att PGP är pålitligt. Det finns massor av versioner med buggar, bakdörrar. En del kända för alla, en del kända i vissa kretsar, en del förmodligen inte upptäckta och en del som väldigt få känner till.

Några av de mer kända versionerna med fel är t.ex:

PGP553 fel i Wipe algoritmen

PGP553i Rotvolymsbuggen. Lagrar extrakopior i klartext.

PGPdisk 6.0 versionen livsfarlig numera är den ersatt av PGP602, men det finns hemladdningsställen där den ligger kvar.

PGPtray i PGP602i (ej säkerhetsbugg utan bara att start måste ske från
windowsknapp)

Outlook Express 5 och PGP602i fungerar ej.


Teoretiskt finns det versioner med PGP som borde vara tillräckligt säkra, förutsatt att båda parter har versionen.

PGP backdoors. Javisst finns det PGP med bankdörrar. Ofta används bakdörrarna till RSA algoritmen, där det läggs in ett programpaket. Du kan köpa programmet hos t.ex. nedan länk men det finns massor av andra exempel. http://www.newimage.com.tw/crypto/pr03.htm Programmeringen är ju inte direkt överkurs att lägga in en bakdörr.

I flera länder har myndigheterna rätt till bakdörr för krypteringen skall vara godkänd. exempelvis Kina.

Det finns också olika intressen som försöker smyga in skit i folks datorer.

Låt en expert granska koden.

>> Combatman och Henry är Ni samma person som kuba. >>

Nej.

>> Vilket PGP program ska man skaffa. Måste man betala till fiman? >>

Du kan hitta en internationell version här: http://www.pgpi.org/
Den versionen kom till genom att man skrev tog ut källkoden i bokform från USA (vilket är lagligt enligt exportreglerna) och scannade in den. På siten finns också svar på dina andra frågor.

>> Varför går du ut som att PGP är pålitligt. >>

PGP har visat sig vara rätt pålitligt. Människorättsorganisationer har använt den för att skydda information om vittnen etc. mot förtryckarregimer. Kryptoeliten har analyserat algoritmerna och protokollen den använder, detta då det är det mest använda programmet.

>> Några av de mer kända versionerna med fel är t.ex: >>

Kan du skicka en mer pålitlig referens till de här felen? Det är tyvärr så att någon med ekonomiska intressen i programmet SafeIT går och sprider en massa disinfo i det här forumet och jag kan just nu inte bedöma om du är den personen. Jag ser det dessutom som positivt att ett företag går ut med detaljerna om en produkt istället för att som vissa försöka gömma säkerhetshål och eventuella buggar bakom ett tjockt lager hemlighetsmakeri. Det är omöjligt att bedömma säkerheten hos en produkt utan tillgång till detaljerad information om produkten.

>> Det finns också olika intressen som försöker smyga in skit i folks datorer. >>

Ja, kommer någon åt ens dator och kan smyga in ett fjärrstyrningsprogram (Back Orifice, Netbus eller de kommersiella programmen typ PCAnywhere) så kan det bli jobbigt. Då kan de byta ut certifikat eller läsa e-post från skärmen samtidigt som man själv gör det.

> Combatman jobbar du åt NSA? Varför går du ut som att PGP är
> pålitligt. Det finns massor av versioner med buggar, bakdörrar.
> En del kända för alla, en del kända i vissa kretsar, en del
> förmodligen inte upptäckta och en del som väldigt få känner till.

Ja, jag arbetar för NSA. Men jag har även fast anställning hos SPECTRE, KGB, GRU samt ett flertal utomjordiska organisationer. Alla program mer komplexa än "Hello world!" innehåller buggar. En del är allvarliga, andra påverkar knappt någonting.

PGP är ett öppet projekt. De kör med helt öppna kort och låter vem som helst se och analysera källkoden. Detta gör att de buggar som finns snabbt upptäcks och kan rättas till. Bakdörrar har aldrig funnits i PGP. Det är möjligt att hackade versioner släppts av folk som velat förstöra säkerheten.

Laddar man ner PGP från en officiell plats finns ingen risk att man råkar ut för en hackad version. Installationsfilerna är dessutom signerade.

En skillnad mellan SafeIT och PGP är att man själv kan kontrollera att PGP inte har några bakdörrar. SafeIT kan, vad vi vet, ha 10 000 bakdörrar.

> Några av de mer kända versionerna med fel är t.ex:
>
> PGP553 fel i Wipe algoritmen
> PGP553i Rotvolymsbuggen. Lagrar extrakopior i klartext.

Detta är en över 2 år gammal version. Om de där buggarna existerade (kan man få en källa tack?) så rättades de med all säkerhet till... För övrigt så finns det ingen wipe-funktion i SafeIT...

> PGPdisk 6.0 versionen livsfarlig numera är den ersatt av PGP602,
> men det finns hemladdningsställen där den ligger kvar.
> PGPtray i PGP602i (ej säkerhetsbugg utan bara att start måste
> ske från windowsknapp)
> Outlook Express 5 och PGP602i fungerar ej.

PGPDisk-buggen rättades snabbt till. Den senaste versionen är sedan januari 6.5.3i. Inga buggar har rapporterats om denna version. OE5 fungerar alldeles utmärkt med PGP 6.5.3i.

Det finns med all säkerhet buggar i SafeIT. Vem vet hur allvarliga dessa är..?

Det går inte att ha bakdörr till PGP och det finns inga PGP med fel i.

Då jag inte skickade posten ovan verkar det verkar visst som vi nu har 2 Henrys på listan. Undrar om Flashback tänker erbjuda någon frivillig form av pseudonymitet så man kan undvika identitetskonflikter.

Det vore bra

Det där med att NSA har en backdoor i windows är bara skitsnack. Det var några personer som hittade lite mysko saker i windows koden som hette "NSAKEY" (eller något liknande). Och så drog de alldeles för snabba slutsatser om att det var NSA som hade en backdoor.