Re: [ml] segnalazione nuovo client di chat criptata

Mailing List Manager wrote:

> tante sono le particolarit? del programma e ampia ? la documentazione
> presente al sito (le specifiche tecniche del protocollo sono per ora
> racchiuse in un .pdf di 15 pagine)

Prima regola della crittografia: MAI INVENTARE ALGORITMI CRITTOGRAFICI
se non se ne hanno le basi.

MD5 non e' un buon algoritmo per generare uno stream pseudocasuale da
una chiave statica.

Una chiave pseudocasuale generata da un segreto lungo meno dei messaggi
da trasmettere NON E' UN CIFRARIO DI VERNAM.

> val la pena segnalare soltanto le libere specifiche del protocollo, la
> semplicit? delle soluzioni adottate, il protocollo utilizzato (HTTP) e non
> da ultimo il progetto che ? portato avanti con budget pari a zero ma solo
> tanta passione ed entusiasmo.

Bene per l'entusiasmo, ma:

- HTTP e' un protocollo che induce un certo overhead, e peraltro
complesso da implementare correttamente lato server.

- L'hash della password viene trasmesso in chiaro, questa non e' una
buona idea.

- Seconda regola della crittografia: MAI INVENTARE PROTOCOLLI
CRITTOGRAFICI. Sniffando una registrazione e' possibile effettuare il
prelogin a nome del client e pertanto ottenere STR2; quindi, e' anche
possibile effettuare il login completo e ottenere la STR2 successiva. Da
qui in poi il protocollo e' compromesso.

- Non c'e' modo di cautelarsi da un attacco man in the middle perche'
l'autenticazione non e' mutua

- Non si capisce quale password condivisa venga usata per "cifrare",
visto che in nessuno dei passaggi tra server e client viene scambiata
una password tra due utenti.

- Un programma di cifratura privo di sorgenti non e' un buon programma
di cifratura.

- Per quanto riguarda l'impossibilita' di bloccare questo protocollo,
qualsiasi sistema con Linux, snort-inline e/o iptables con il modulo per
filtrare il contenuto dei pacchetti e' in grado di bloccarlo al volo.

-- 
Cordiali saluti,
Ing. Stefano Zanero
---------------------------
Secure Network S.r.l.
www.securenetwork.it