31 diciembre 2009
30 diciembre 2009
A fondo: Entendiendo el problema de seguridad del algoritmo de cifrado de GSM
A fondo: Entendiendo el problema de seguridad del algoritmo de cifrado de GSM: "
Esto no es un problema nuevo. Muchos han estado denunciado las debilidades del sistema de cifrado de esta red, y que la GSM Association no ha tomado las medidas necesarias para paliarlas. Hay que tener en cuenta que los algoritmos utilizados tienen más de veinte años, una barbaridad. Tecnologías más nuevas, como UMTS, no utilizan el sistema de cifrado comprometido, por lo que las redes 3G no se ven afectadas por lo expuesto por el equipo de Nohl.
Algoritmos de cifrado de GSM: buena idea, pero anticuada
GSM utiliza varios algoritmos diferentes de cifrado, para la identificación del usuario, su autenticación, y la transmisión de datos y voz de forma cifrada. Estos algoritmos están distribuidos entre el operador de la red GSM, el teléfono móvil y la propia SIM. De algunos de estos algoritmos hay diferentes versiones.El suscriptor se identifica únicamente un código único, llamado IMSI (International Mobile Subscriber Identity), guardado en la SIM. Junto a ella están la clave única de usuario (Ki), el algoritmo de generación de claves de cifrado (A8), el algoritmo de autenticación (A3) y el PIN. En el móvil GSM está el algoritmo de cifrado (A5). Lo primero es autenticar al usuario en la red. Se comprueba que el IMSI y el PIN de la SIM son correctos, y los algoritmos de cifrado tanto de la SIM como del móvil están en orden.
Una vez autenticado, pasamos a lo que nos interesa debido a la noticia: el algoritmo A5, que se utiliza para transmitir datos por la red. Por seguridad, la clave única del usuario, almacenada en la SIM, no se envía a través de la red. El operador guarda una copia de esta clave, y para que el usuario pueda transmitir de forma cifrada, le envía un paquete aleatorio. Con el algoritmo A8 se genera una clave de sesión (Kc). En el receptor, mediante el algoritmo A5, se genera una respuesta a partir de la clave de sesión Kc única del usuario y el paquete aleatorio enviado por el operador de red. El operador de red realiza el mismo cálculo por su parte y compara los resultados.
Si el cálculo del lado del usuario y el del lado del operador coinciden, es que está todo en orden. Entonces, la voz digitalizada y los datos se van dividiendo en paquetes, se cifran con la clave única, y se transmiten en ambos sentidos. Para poder descifrarlos, necesitaríamos conocer esa clave Kc única. Para descubrir esa clave única, sólo tenemos la secuencia aleatoria enviada por el operador de red y la respuesta que manda el usuario.
El problema es que la operación matemática que aplica A5 no tiene inversa. Es decir, conociendo el resultado, no hay ninguna operación matemática que pueda calcular cuál era la clave única de usuario que ha utilizado el algoritmo para obtener ese resultado.
Existen tres variantes del A5, denominados A5/1, A5/2 y A5/3. El A5/1, como el resto de especificaciones, era secreto pero se obtuvo por ingeniería inversa, y por el momento es el más utilizado. Oficialmente, utiliza claves de 64 bits, lo que a día de hoy es pobre. Pero para colmo, esas claves de 64 bits contienen siempre 10 ceros fijos, por lo que en realidad es de 54 bits (aunque las SIMS actuales ya vienen usando los 64 bits).
El A5/2 apenas se usa, ya que se trata de una versión más débil y barata del A5/1 y lo reventaron al poco tiempo.
El A5/3 es más reciente y robusto, de 128 bits, pero su uso es muy limitado. Ya que implica actualizar hardware, pocos operadores de red se han gastado lo necesario para actualizar sus equipos para que lo soporten.
El algoritmo A5/1 reventado: implicaciones
El grupo ‘The Hackers Choice’ creó un proyecto en 2008 para desarrollar un ataque práctico sobre A5/1 (en el sentido de que fuera posible ponerlo en práctica, y no sólo a nivel teórico). Para ello hacía falta construir una tabla de búsqueda de unos 3 terabytes, que permitiera que dada cualquier combinación de secuencia aleatoria y resultado del cálculo con A5/1, cuál es la clave de usuario que daría ese resultado a partir de esa secuencia.
Sumado a un proyecto de escaneo de redes GSM, sería posible grabar cualquier llamada o SMS de la red GSM, cifrados con A5/1, y en unos minutos disponer de la clave de cifrado y así poder conocer el contenido con un mínimo retraso. Esa tabla se generaría aplicando A5/1 sobre todas las secuencias aleatorias que puede enviar el operador con cada una de las posibles claves de sesión usuario, y calculando el resultado.
Una vez que tengamos la clave, escuchamos la conversación entre el usuario y el operador de red. El operador manda la secuencia aleatoria, y el usuario responde con una cadena generada a partir de su clave de sesión única. Cruzamos esos dos datos en la tabla y al momento tenemos cuál es la clave Kc única que daría ese resultado sobre esa secuencia aleatoria. Listo, ya conocemos la clave de cifrado de las comunicaciones de ese usuario.
La clave Kc varía cada cierto tiempo, pero al tener disponible la tabla, es fácil descubrir la nueva clave.
Pero… ¿cómo se construye una tabla así? Pues de la misma forma que SETI@Home: con una red distribuida. En apenas unos meses, desde septiembre, la potencia de 80 nodos CUDA aportados por colaboradores de todas partes han conseguido generar la tabla, que está disponible por torrents.
Desde la GSM Association se ha emitido un comunicado diciendo que esto no es tan sencillo como lo están pintando, y que el equipamiento necesario para utilizar esta técnica de forma efectiva no está al alcance de cualquiera. También indican que los operadores tan sólo tienen que modificar el algoritmo existente para evitar el problema. Claro, pueden pasarse a A5/3, o implementar otro algoritmo más seguro, pero bastante se han gastado ya en UMTS como para ahora actualizar los equipos de la red GSM.
Pero el propio Nohl durante su presentación dijo que tanto el hardware como el software están disponibles de forma libre, y con unos pocos miles de dólares puedes tener tu estación de escucha. Esto lo sitúa lejos del usuario medio, pero lo deja al alcance de aquellas organizaciones con recursos e intereses suficientes como para ignorar las consecuencias de infringir leyes sobre el secreto de las comunicaciones.
¿Debo dejar de usar mi móvil?
No, no hay que ser tan extremista. Tan sólo ten en cuenta que si te siguen la pista porque pretendes defraudar a hacienda, recalificar unos terrenitos con la ayuda de tu amigo de urbanismo, o poner música del eMule en tu boda, no tengas conversaciones delicadas por tu móvil. Pero no sólo porque ahora esté roto, sino porque un juez podía solicitar escuchas, así que poco cambia la cosa.
El objetivo de todo esto es dejar claro que la tecnología de cifrado usada por GSM está muy anticuada y no es lo suficientemente segura. Hace falta que los operadores den el paso y sellen los agujeros de seguridad que se conocen desde hace tiempo, pero que ahora ya pueden ser explotados.
Gracias a userooo1 por las correcciones al artículo.
Más información | Chaos Comunication Congress Más información | GSM Association Más información | Algoritmo A5/1, Algoritmo A5/2, Algoritmo A5/3 En XatakaMovil | Descifran y publican el código de encriptación primario utilizado en las redes GSM
16 diciembre 2009
15 diciembre 2009
Interpretaciones ingeniosas
14 diciembre 2009
11 diciembre 2009
PRIMERA PEREGRINACION EN BICI MADRID-GUADALUPE
Tendremos que hacerle nosotros también ¿Quién se apunta?
Subida al Pikes Peak con un coche sin conductor
La gente de la universidad de Stanford se ha propuesto, con el patrocinio de Audi, subir un TT a lo más alto de la montaña más famosa del mundo del automovilismo: Pikes Peak. Y para ello, como por lo visto tienen pocos el carnet de conducir pero muchos ordenadores, han decido que sean estos los que suban al coche a los más alto ayudados por robots... Ya veremos si lo consiguen..... estaremos atentos.
Escucha música desde Youtube con TubeRadio
Buena parte del contenido existente en Youtube corresponde a vídeos musicales, TubeRadio da un paso adelante y nos permite buscar y crear listas de reproducción con esos vídeos. Para ello dispone de un sencillo interfaz web a través del cual realizar búsquedas y organizar los vídeos.
TubeRadio busca por artista y obtiene toda la discografía, después busca los vídeos en Youtube y los añade si existen. Después podemos hacernos listas de reproducción con los vídeos que queramos, guardarlas si estamos registrados e incluso compartirlas para que otros las puedan escuchar y ver.El reproductor es bastante sencillo e intuitivo, siguiendo con la filosofía que marcará en su día el reproductor iTunes de Apple. En la parte central se muestran los álbums, vídeos o listas, según lo que estemos buscando.La aplicación incluye además la opción de puntuar las listas de reproducción, ordenador los vídeos a nuestro gusto y editar su información. Toda la información sobre las discografías y álbums la obtiene de last.fm, obteniendo la combinación perfecta al contenido de Youtube.Enlace | TubeRadio
E.E.U.U usa Ps3 para romper encriptaciones
Parece que el Centro de Delitos Cibernéticos de Estados Unidos, conocido como C3, ha sustituido servidores Dell de $8000 con más eficientes y mucho más baratos PS3 de $300. Cada PS3 es capaz, de 4 millones de contraseñas por segundo, y C3 tiene actualmente 20 PS3 con los planes de comprar 40 más. Naturalmente esto sólo se utiliza para romper la encriptación en las computadoras incautadas de sospechosos de albergar pornografía infantil.
La prueba de la bañera
Durante una visita a un Instituto Psiquiátrico, uno de los visitantes le preguntó al Director, qué criterio se usaba para definir si un paciente debería o no ser Internado.
‘Bueno’, dijo el Director, ‘hacemos la prueba siguiente: llenamos completamente una bañera, luego le ofrecemos al paciente una cucharita, una taza y un cubo y le pedimos que vacíe la bañera. En función de cómo vacíe la bañera, sabemos si hay que internarlo o no’.-Ah, entiendo- dijo el visitante. – Una persona normal usaría el cubo porque es más grande que la cucharita y la taza.
-No -dijo el Director, ‘una persona normal sacaría el tapón’. Usted ¿qué prefiere: una habitación con o sin vista al jardín?Dedicado.. A todos….los que pensasteis en el cubo.
Trabajadores motivados
Mientras mi jefe actúe como si me estuviera pagando un buen sueldo… yo actuaré como si estuviera haciendo un buen trabajo.
Accesorio para el tablero del coche Nav-Mat II
Si eres una de esas tantas personas que no gustan de conectar el sistema de navegación GPS en el parabrisas, sino que sólo quieres que el dispositivo esté ubicado en el salpicadero y no dejar marcas de la ventosa en su ventana, una compañía llamada Bracketron tiene la solución.
Esta empresa ha diseñado una estera llamada Nav-Mat II para ser colocada en tablero de instrumentos que tiene una superficie lisa en el centro donde podrás instalar esa fastidiosa ventosa.Este accesorio es flexible por lo que supuestamente tomará la forma del tablero – y utiliza la tecnología TemporBond que le permite permanecer en el lugar sin moverse durante la conducción, incluso ante giros bruscos.
El Nav-Mat II cuesta 30 dólares y puedes conseguirla en Best Buy o desde el sitio web de la empresa.
10 diciembre 2009
Estamos probando unas mejoras
Estamos haciendo lo que se viene llamando actualizar funciones del blog.... internas .... vamos que en teoría no cambia NADA :)
09 diciembre 2009
RSS + Google Reader
Bueno, escribo para pediros un favor. Necesito un par de cosas que a mi me parecen sencillas pero por lo visto no se le ha ocurrido a nadie implementar o por el contrario, que será lo más normal, no he sido capaz de encontrar.
La primera versa sobre Google Analitics que es un servicio que Google ofrece para controlar las visitas a las páginas web. El software funciona perfectamente si accedemos a la web a través de un navegador de una forma directa, pero no funciona a través de los feed RSS. Vamos que si quieres seguir un blog a traves de Google Reader a través de su RSS Google Analitics ni se entera. Esto que parece una tontería es bastante importante, porque un blogger no sabe si le leen o no (si es que eso es importante claro).
Por otro lado, me gustaría ser capaz de hacer comentarios en los blogs que visito habitualmente PERO sin salirme de Google Reader. Parece que es otra tontería, pero sería perfecto y os puedo asegurar que la gente escribiría muchísimo más en los blogs.
Son solo estas 2 cositas. :)
Nuevo logo de Movistar
Pues si amigos, yo también lo he visto, vamos a peor. Pasta lo que se dice pasta no creo que se pueda decir que Telefónica no tenga, pero lo que se dice gusto. Me gustaría saber 2 cosas: -¿Quién, con el dinero de Telefónica, ha encargado y supongo que aceptado esta m**** de rediseño? y por otro lado ¿Cuantas playas del caribe le quedan por conocer al que le ha colado esto a Telefónica?, porque es para darle un premio....
En fin ... vergüenza del producto gráfico nacional .. en un "multinacional" """"nuestra"""".
TENSIOR BLOG
Aunque desactualizado, (no será por tiempo) os traemos el blog de Tensior, que básicamente habla de motos y más concretamente de SU moto. No está mal, salvo para aquellos que les gusten las motos. :)
Mis nuevos amigos
Pues no me había dado ni cuenta, pero aquí están, los dos primeros amigos oficiales de "carneconpatatas" a través de "google friend connect".
Si os digo la verdad, se que es un tema de redes sociales y poco más pero mola saber que lo que escribes o posteas es leído por alguien más que tu hermano :)
Solo tengo el gusto de conocer a uno de ellos , Tensior, pero estoy seguro que al otro no tardaré, sabiendo que es la Peña Alonso La Perla (Bar La Perla) de Torrijos....
Gracias ... por seguirme.
Disponible Thunderbird 3
Como ya os comentamos la semana pasada con el lanzamiento de la Release Candidate 1, poco faltaba para tener entre nosotros la versión final de Thunderbird 3.
La nueva versión recoge todas las novedades que os comentamos entonces y ofrece un rendimiento mucho más depurado y mejorado que la versión anterior. Como ya nos comentasteis entonces, era cuestión de resolver algunos bugs y la versión estaría disponible.Una muy buena alternativa a los clientes de mail que traen por defecto los sistemas operativos hoy en día que intentará plantar cara a Apple Mail y Windows Live Mail. Enlace | Thunderbird
04 diciembre 2009
03 diciembre 2009
internet
Manifiesto en defensa de los derechos fundamentales en internet
Ante la inclusión en el Anteproyecto de Ley de Economía sostenible de modificaciones legislativas que afectan al libre ejercicio de las libertades de expresión, información y el derecho de acceso a la cultura a través de Internet, los periodistas, bloggers, usuarios, profesionales y creadores de internet manifestamos nuestra firme oposición al proyecto, y declaramos que...
1.- Los derechos de autor no pueden situarse por encima de los derechos fundamentales de los ciudadanos, como el derecho a la privacidad, a la seguridad, a la presunción de inocencia, a la tutela judicial efectiva y a la libertad de expresión. 2.- La suspensión de derechos fundamentales es y debe seguir siendo competencia exclusiva del poder judicial. Ni un cierre sin sentencia. Este anteproyecto, en contra de lo establecido en el artículo 20.5 de la Constitución, pone en manos de un órgano no judicial -un organismo dependiente del ministerio de Cultura-, la potestad de impedir a los ciudadanos españoles el acceso a cualquier página web.
3.- La nueva legislación creará inseguridad jurídica en todo el sector tecnológico español, perjudicando uno de los pocos campos de desarrollo y futuro de nuestra economía, entorpeciendo la creación de empresas, introduciendo trabas a la libre competencia y ralentizando su proyección internacional.
4.- La nueva legislación propuesta amenaza a los nuevos creadores y entorpece la creación cultural. Con Internet y los sucesivos avances tecnológicos se ha democratizado extraordinariamente la creación y emisión de contenidos de todo tipo, que ya no provienen prevalentemente de las industrias culturales tradicionales, sino de multitud de fuentes diferentes.
5.- Los autores, como todos los trabajadores, tienen derecho a vivir de su trabajo con nuevas ideas creativas, modelos de negocio y actividades asociadas a sus creaciones. Intentar sostener con cambios legislativos a una industria obsoleta que no sabe adaptarse a este nuevo entorno no es ni justo ni realista. Si su modelo de negocio se basaba en el control de las copias de las obras y en Internet no es posible sin vulnerar derechos fundamentales, deberían buscar otro modelo.
6.- Consideramos que las industrias culturales necesitan para sobrevivir alternativas modernas, eficaces, creíbles y asequibles y que se adecuen a los nuevos usos sociales, en lugar de limitaciones tan desproporcionadas como ineficaces para el fin que dicen perseguir.
7.- Internet debe funcionar de forma libre y sin interferencias políticas auspiciadas por sectores que pretenden perpetuar obsoletos modelos de negocio e imposibilitar que el saber humano siga siendo libre.
8.- Exigimos que el Gobierno garantice por ley la neutralidad de la Red en España, ante cualquier presión que pueda producirse, como marco para el desarrollo de una economía sostenible y realista de cara al futuro.
9.- Proponemos una verdadera reforma del derecho de propiedad intelectual orientada a su fin: devolver a la sociedad el conocimiento, promover el dominio público y limitar los abusos de las entidades gestoras.
10.- En democracia las leyes y sus modificaciones deben aprobarse tras el oportuno debate público y habiendo consultado previamente a todas las partes implicadas. No es de recibo que se realicen cambios legislativos que afectan a derechos fundamentales en una ley no orgánica y que versa sobre otra materia.
27 noviembre 2009
CiberGuardian, mi hermano en Telemadrid
Si, si, es él. Fijaté, nadie sabe a donde va todos los días por la mañana y resulta que es profesor de universidad, y encima de los buenos....Abuelas, lamentablemente hace ya unos años que carecemos de ellas, pero para eso está aquí su hermano.... que no se diga..
25 noviembre 2009
Confirmado el Bugatti Veyron no flota
El otro día poníamos a un "tontolaba" sacando de un lago uno de los coches más caros , exclusivos, rápidos y potentes del mundo....pues aqui teneís como los metió alli...
Tonto es una rato... si..
24 noviembre 2009
Tags Technorati: 
Tags Technorati: 
23 noviembre 2009
22 noviembre 2009
21 noviembre 2009
20 noviembre 2009
Adidas ZX700 Boat: zapatillas-zapato
¿Zapatillas o zapatos? Difícil descifrarlo al ver este nuevo modelo de calzado de Adidas. Un diseño arriesgado pues se trata de las primeras zapatillas-zapato del mercado.
Las Adidas ZX700 Boat toman el esquema de los clásicos mocasines náuticos aunque se adaptan al estilo del calzado deportivo. Así es como este modelo tiene una suela de goma blanca, parecida a la de cualquier zapatilla de la marca, aunque luego se remata el concepto con un diseño en cuero, corderoy y los clásicos cordones de los zapatos náuticos en el mismo tono.
¿Su precio? 120 euros.
Comparte esta anotación
Haciéndose mayor, tecnológicamente hablando
19 noviembre 2009
Farmacos que te ayudaran a sentirte mejor en tu trabajo
Suscribirse a:
Entradas (Atom)