Tales from the Machine Room


Home Page | Comments | Articles | Faq | Documents | Search | Archive | Tales from the Machine Room | Contribute | Login/Register

DES, Bugie e Videotapes

Rieccoci con un'altro metting con UL. Dopo la debacle della "proposta" che e' stata sostanzialmente abbattuta da me con un singolo colpo di mail, e' ritornato alla carica con una luuuuuuuuuuunga discussione sulla mailing list di "discussioni generiche sull'it".

Non staro' a ripetere qui' tutta la trafila ma il punto principale che e' stato piu' martellato e' che la VPN attulamente utilizzata usa un algoritmo di crittografica vecchio e bacato.

Dopo un certo numero di mail, contromail, contro-contro-contromail et similia, siamo quindi arrivati ad un'ennesima "presentazione".

UL - ...quindi la versione di VPN che usiamo attualmente usa un algoritmo vecchio e non considerato sicuro...
IO - E chi lo dice?
UL - Hemmm... come?
IO - CHI dice che l'algoritmo e' vecchio e non sicuro.
UL - Be'... e' considerato non sicuro...
IO - Da chi?
UL - Errr... molteplici articoli...
IO - Quali articoli? Scritti da chi? Puoi fornire una copia? Indicare un documento on-line?
UL - Hemmm... non in questo momento...
IO - Che algoritmo di crittografia usa la nostra vpn?
UL - Eh?
IO - Hai appena detto che il nostro algorimo non e' considerato sicuro. Quindi devo supporre che conosci perfettamente l'algoritmo usato. Quale e'?
UL - Hemmm.... CIPE.
IO - Cipe non e' un algoritmo. E' un protocollo.
UL - Herr...
IO - Quando e' stato inventato l'algoritmo?
UL - Come?
IO - Hai detto che e' vecchio. Quando e' stato inventato quindi?
UL - Hemmm...

A questo punto TB ed il supermegaboss (GP) si stavano mettendo comodi e preparandosi con pop-corn e beveraggi per assisteare al match...

IO - Quali altri algoritmi di crittografia esistono che sono meno "vecchi" di quello che stiamo usando?
UL - (balzando sulla preda) Se noi usassimo $notavpn...
IO - Quello non e' un algoritmo, e' una collezione di tools.
UL - Appunto, ma usa come algoritmo $notalibreria!
IO - Quello non e' un algoritmo e' una libreria che implementa vari algoritmi di crittografia.
UL - Errr...

Arrostire qualcuno sulla graticola e' divertente fino ad un certo punto, poi comincio a stufarmi ed a pensare di andarmene a casa.

IO - Il protocollo che usiamo attualmente come VPN e' denominato CIPE, che sta per Crypto-IP-Encapsulation, cipe usa come algoritmo di crittografia un algoritmo denominato 'blowfish', che e' stato inventato nel '93 da un matematico del MIT.
UL - Ecco appunto, e' del 93 quindi piuttosto vecchio...
IO - (guardandolo storto) Dal 93 ad oggi e' stato esaminato parecchie volte da altri matematici ed e' sempre considerato parecchio solido, specialmente per via del fatto che e' studiato per usare chiavi di qualsiasi lunghezza, al contrario di cose come DES.
UL - Ma DES e' un algoritmo molto piu' nuovo...
IO - Dato che e' stato inventato nel 1972 dubito seriamente che possa essere considerato piu' "nuovo", inoltre DES e' stato effettivamente craccato piu' volte in svariati esperimenti. Ma sorvoliamo su questo fatto. Un'altro algoritmo molto usato e' MD5.
UL - Che e' sicuramente piu' nuovo...
IO - Che e' stato inventato nel 1991 e descritto nel 92, quindi dubito che si possa definire piu' moderno di qualche cosa inventato nel '93.

Guardo UL che non mi pare voglia ribattere.

IO - La differenza fondamentale tra DES/MD5 e Blowfish e' che blowfish e' stato inventato appositamente per essere il piu' rapido possibile, proprio per l'utilizzo in cose come VPN, dove piu' veloce e' la fase di crittografia piu' veloce e' la risposta della rete.

Di nuovo, UL non mi pare in modalita' "risposta".

IO - Quindi possiamo concludere che, PRIMO: l'algoritmo usato e' il piu' moderno ed efficiente che si possa utilizzare, SECONDO: non vi sono casi documentati di effettiva rottura della crittografia e TERZO: tu non sai di che stai parlando.

UL - No, un momento...
IO - Si, cosa?
UL - Non ho mai detto che vi siano casi di rottura...
IO - Hai cominciato dicendo "l'algoritmo che usiamo e' vecchio e considerato non sicuro", questo per me significa che hai dei casi documentati, altrimenti che cavolo parli a fare?
UL - Non ho mai detto questo...
IO - (indicando il mio PDA sul tavolo) Quello sta' registrando. Dobbiamo fare un rewind di 10 minuti e riascoltare?

E adesso vediamo cos'altro si inventa la prossima volta.

NOTA: Il primo che mi manda una mail riferita a quell'articolo di Gutmann lo fulmino.

Davide
17/01/2009 14:41

Previous Next

Comments are added when and more important if I have the time to review them and after removing Spam, Crap, Phishing and the like. So don't hold your breath. And if your comment doesn't appear, is probably becuase it wasn't worth it.

3 messages this document does not accept new posts
SergioneSergione By Sergione - posted 24/08/2008 16:05
ok mi rendo conto che rischio la fulminazione ma tanto domani dovrei rientrare al lavoro, e tra quello e il fulmine trovo leggermente pił allettante l'idea di una scarica di corrente... a quale articolo di Gutmann ti stai riferendo?


provato a digitare 'gutmann cipe' in google?


FabioFabio By Fabio - posted 22/11/2008 12:49

> provato a digitare 'gutmann cipe' in google?


Si, provato. Questa pagina esce come secondo risultato happy


FagianoneFagianone By Fagianone - posted 10/12/2008 09:04

>> provato a digitare 'gutmann cipe' in google?


>Si, provato. Questa pagina esce come secondo risultato

Adesso e' il primo


Prova ad usare google in inglese.


Previous Next


This site is made by me with blood, sweat and gunpowder, if you want to republish or redistribute any part of it, please drop me (or the author of the article if is not me) a mail.


This site was composed with VIM, now is composed with VIM and the (in)famous CMS FdT.

This site isn't optimized for vision with any specific browser, nor it requires special fonts or resolution.
You're free to see it as you wish.

Web Interoperability Pleadge Support This Project
Powered By Gojira