Дмитрий Скляров взломал цифровую подпись в камерах Canon

[@fan_bel]

молодец, что еще сказать

[@Rand]

Молодец, что сообщил сначала разработчикам. А Canon, конечно, зря… Нельзя недооценивать таких товарищей!

[@bismark]

может не поверили сначала, думали очередной русский хочет много денег, а теперь уже поздно

[@KaDuman]

Вот пишешь компаниям о том или ином, а они молчат. Даже такому человеку не ответили. Обидно.
Гнать надо такую службу связи в компаниях.

[@Denter]

«Мля, опять эти русские...»(с)Canon
«А нехрен было его выпускать»(с)Adobe

[@Denter]

«Ну и зря засветил. Могли бы классно поприкалываться»(с)Wikileaks

[@odiszapc]

Сделать фотографию Медвепута, убивающего своего сына. Доказать подлинность и закрыть Медведопута в тюрягу.

[@usr]

Шутка достойна Петросяна.

[@Habazlam]

Теперь и в Японию Диме нельзя!

[@jed_meyers]

Надо было на письма реагировать вовремя.

[@ssve]

> Это снимки советского флага на Луне, НЛО над горой Фудзи, Сталина с «айподом» и Статуи Свободы с серпом в руке

Жестоко

[@ZiggiPop]

Теперь еще и в коммунисты запишут

[@dmitrek]

У Сталина айфон в руке. Зачем ему айпод?

[@googol]

iPod это клёво и молодежно. Было по крайней мере.

[@dmitrek]

А Сталин — клёвый и молодёжный? :D

[@kai]

А разве нет?

[@zalk]

Прямо как клевый Иисус из «Догмы» :)

[@SpiritOfVox]

Лучший друг детей, соответственно и молодёжи.

[@olololog]

[@chilly]

Я так и знал что НЛО завезло идею коммунизма.

[@dioneo]

Как вообще можно рассматривать в качестве доказательства штамп времени, штамп локации(?), когда закрытый ключ находится в устройстве пользователя. А если бы данные о том, что закрытый ключ получен, не были бы обнародованы, а если он уже давно получен?

[@Denter]

А это сейчас куча адвокатов поднимают свои дела, в которых обвинением использовались такие фотографии как доказательства, и подают аппеляции.

[@Nickname]

Ну то есть по Вашей логике многих преступников (причём реальных, т.к. думаю вряд ли была какая-то заметная доля подделанных фоток, если и были) могут оправдать. По-моему в этом ничего хорошего нету.

[@Denter]

А я и не говорю, что это хорошо. У любого подобного действия есть куча «волн», доходящих до самых неожиданных мест.
Canon был категорически не прав, что не отреагировал сразу.
Теперь будет первая волна аппеляций, требующих признать доказательства недействительными. И вторая волна исков к самому Кэнону (от тех, кто пострадал от первой волны) из-за того, что его гарантии оказались недействитльными.

[@krasin]

Нет. Фишка в другом: если Скляров смог взломать систему, то это могли сделать и до него. Возможно, на основе такой фальшивой подписи были осуждены невиновные. Поэтому, если такие фотографии были ключевыми уликами, требуется повторное рассмотрение дела.

[@bismark]

вполне возможно что уже все было сломано, но только это не афишировалось, а Скляров сломал и показал всему миру

[@intnzy]

думаю, адвокаты довольны — в результате они заработают еще множко денежек

[@alienator]

Вот-вот…

Вы меня, дурачка, простите, может, я чего не понимаю… Но к чему вся эта возня с ключами?

Если я возьму вот этот постер со статуей Свободы, распечатаю его покрупнее, приеду на Liberty Island в надлежащее время, чтоб свет подходящий был, и пересниму его там так, чтобы он заполнил полный кадр — это будет доказательством?

С луной и Сталиным такой фокус не пройдет, конечно (я полагаю, что дата тоже снимается с GPS и не может быть введена отдельно). А для многого другого — вполне.

[@ilya_compman]

Вы не учли, что можно доказать, что вы снимали постер, а не статую свободы

[@alienator]

Как?

[@Lockdog]

проделайте свой эксперимент, но в меньших масштабах и сами увидите, что идея не сработает

[@vicnaum]

Почему же?

[@MAXH0]

Свет + плоская картинка + накопление погрешностей…
К.О.

[@vicnaum]

А с каких пор обычные фотокамеры передают 3д объем? :) Чем для матрицы отличается плоская самосветящаяся картинка от реальной сцены прошедшей через объектив?

Если разрешение и динамический диапазон будут такими же, как у реальной сцены — никто не отличит её от реальной сцены. Погрешности? А пыль на матрице? А мыльный и затертый объектив? Да мало ли погрешностей бывает…

[@Lockdog]

Покажите на примере, в теории всегда всё идеально

[@Cyrus]

Фокус (focus distance) вроде пишется в EXIF тоже. Хотя можно использовать мануальный да еще и с объективом через переходник.

[@Xpeh]

Так в том то и дело, что вопрос не в возможности подделки как таковой, а в её трудоёмкости и возможностях экспертов. Если вы будете использовать аналоговые методы, то, не будучи специалистом в фотографии, вы допустите ошибки, которые эксперт найдёт.

[@alienator]

> вопрос не в возможности подделки как таковой

Вопрос именно в этом.

Да и не так уж это сложно, переснять 2D-объект. Двух софтбоксов более чем хватит.

[@Denter]

Вы действительно думаете, что легко сможете осветить снимаемый двухмерный постер таким образом, чтобы сформированное отраженным светом изображение было неотличимо от сформированного реальными источниками света, расположенными на разной «глубине» картинки?
Тем более для специалистов и ПО, на поиск несоответствий заточенных?

То, что наш мозг может воспринять изображение как реальность — это нюансы работы мозга и механизмов восприятия, но вовсе не гарантия того, что это невозможно различить в принципе. Просто у нас в голове много механизмов «упрощения» картинки Мира для ускорения восприятия.

[@alienator]

Вы репродукции картин в альбомах видели?

[@Denter]

Берёте любую фотографию, имеющуюся у Вас как в электронном, так и в бумажном виде, фотографируете бумажную копию и пытаетесь привести полученную картинку к оригиналу по цветопередаче и равномерности освещенности.

При этом специалист отражение источника света на плоскости бумаги вычленит, полагаю, несмотря на любые Ваши старания.

[@alienator]

Что тут зря предполагать — у меня есть знакомый эксперт-криминалист, и я ему только что позвонил.

Коротко: сделать можно. И не слишком трудоемко, доступно любому опытному фотографу. ББ с серой карты берется, равномерность освещения тоже обеспечивается, фокусное расстояние, кроме некоторых случаев, не будет проблемой.

Над «нюансами работы мозга» он поржал и назвал это теплым ламповым звуком. Про «плоскую картинку» ничего не сказал, помолчал и осторожно поинтересовался, учил ли я в школе физику.

Конечно, ряд возможных недостатков очевиден: фактура бумаги, рефлексы, локальные искажения, грязь на поверхности. Их можно избежать.

Тут, говорит он, другое важно: никто ведь не будет переснимать точную копию. Если уж этим заниматься, то нужно внести в снимок какие-то изменения. Вот их-то и будут искать в первую очередь — несовпадение угла освещения, теней, перспективы, обтравка краев и т.п.

А против «ретейка» фотографии он возражений не имеет — делайте, говорит, раза с тридцатого у вас получится.

[@Denter]

Спасибо.

Не уверен, что всё это настолько реализуемо на современной технике с профессиональными дофигамегапиксельными камерами (тем более для HDR снимков), но всё равно полезно и интересно.

[@alienator]

Эксперт Витя :) также просветил меня насчет роли ПО в современной криминалистике. Там много интересного… их сейчас неплохо оснащают, если требуется, но никаких чудес компьютеризация особо не дает. Базы данных хранить — это да, это обязательно, а вот в экспертизе по-прежнему дофига ручной работы. Даже во всяких ЦРУ больше пользы дает транспортир с увеличительным стеклом, чем супер-пупер современное оборудование.

Думаю при случае вытащить Витю на пиво, и если что не секретное захочет рассказать, можно будет свернуть статейку.

[@Denter]

Думаю при случае вытащить Витю на пиво, и если что не секретное захочет рассказать, можно будет свернуть статейку.

Вас за язык никто не тянул…
;)

[@vicnaum]

Можно купить старую зеркалку и снимать на неё =)

[@diamant]

Ну а как можно рассматривать в качестве доказательства логи биллинга, когда они содержатся на компе провайдера, который имеет к ним полный доступ? Или как использовать в качестве доказательства нотариально заверенные скриншоты, когда нотариуса можно подкупить или принудить?

[@den_rad]

или использовать cloacking (подмену адреса в hosts).

[@besisland]

Нет, ну про нотариуса совсем другой случай.

[@Nickname]

В чём польза-то?

[@sovnarkom]

Польза в том, что Скляров — не один такой умный. А раз уж технология скомпрометирована — об этом должны знать все, а то в том же суде напредъявляют левака и ищи потом виноватых.

[@Nickname]

Да может и один, кто его знает. Тем более по лозунгу «информация должны быть свободной», указанному в статье, не видно, что он взломал для того, чтобы придумали более стойкое средство защиты.

[@gonzazoid]

вы полагаете что после взлома никому в голову не прийдет разработать более надежный алгоритм. А покупатели будут как и прежде покупать сей дырявый продукт,

[@Nickname]

Наоборот как раз, я полагаю, что придёт :)
Просто это больше соответствует лозунгу «информация должны быть лучше защищена», а не «информация должна быть свободной» :)

[@diamant]

информация о возможности взлома и подделки цифровой подписи должна быть свободной

[@TheShock]

а для чего? если бы ради денег, то он бы никому не открывал эту информацию

[@Nickname]

Ну так я тоже не знаю, для чего. Если смотреть на прошлое его громкое дело, там тупо нагнули Adobe, без особой благородной идеи.

[@TheShock]

уязвимости надо закрывать, а не игнорировать. если уязвимость есть и никто не хочет её закрывать — необходимо опубликовать, чтобы об этом знали все, а не только узкий круг людей, которые могут ею воспользоватся. Тогда пользователи будут в большей безопасности (предупрежден — значит вооружен)

[@bismark]

здесь вместо Adobe Canon выступит…

[@Sicness]

Здорово. Но все, если это не Ваша статья, же надо давать ссылку на статью, а не копировать статью от своего имени.
Странно что опечатка: "«информация должны быть свободной»"

[@Palehin]

Всегда восхищался такими людьми…

[@romx]

И какую же информацию на этот раз освободил Скляров?
Просто интересно.

[@r13]

Это вы зря. Принесут следующий раз в суд фотографию, где вы в костюме педобира врываетесь в детский сад…

[@track]

Нет, погодите. Раньше такую фотографию принести было нельзя. Теперь, после того, как Скляров взломал цифровую подпись — стало можно.
Так все же, что именно он «освободил», и требовалась ли этому свобода?

[@Denter]

Он показал, что архитектура не защищена от взлома.

А это значит, что создатели архитектуры могли это знать. И «кому надо», теоретически, могли этим пользоваться.

Теперь не могут.

[@track]

По моему вы не вполне понимаете смысла используемого слова «Архитектура». Это не просто звучное и красивое слово. :-)

[@Denter]

Ваше суждение ошибочно.

[@splix]

Откуда вы знаете что раньше нельзя было? Делать можно было (он ведь не сам дыру встроил, он нашел сущестувующую и до него дыру).

А вот сколько людей кроме него нашли этот способ, и насколько раньше, мы вряд ли узнаем. Может и никого не было, но кто знает?

[@Lockdog]

Обидно, что приходится объяснять вроде бы очевидные вещи, да? =)

[@r13]

У меня тег ирония запал ;)

[@gonzazoid]

раньше можно было. И раньше вы не могли бы доказать что это подделка и имели шанс на бесплатную путевку в места не столь отдаленные. Теперь можете доказать ВОЗМОЖНОСТЬ подделки и бесплатная путевка отменяется.

[@keylase]

Мне у него в следующем году учиться :)

[@Lockdog]

Поздравляю. =)

[@den_rad]

Можете рассказать по-подробнее?

[@Lockdog]

Я так понимаю, что человек учится в Бауманке, где как раз Скляров и преподаёт =)

[@inittab]

Завидую :) Он читает очень интересный курс, и вообще очень приятен в общении. Я ему даже экзамен сдавал с удовольствием =)

[@r13]

Ожидается массовая волна самоубийств в компании Кэнон.

[@Trotil]

Дмитрий Витальевич всегда утверждал, что (в последний раз я с ним общался в 2007 году), что его неправильно называют криптографом. Хорошей математической базы (теория чисел, конечные поля) у него нет. Практика у него сосредоточена в реверсинге программ, форматов, а теперь, как следует из статьи, и устройств.

Я посмотрел доклад. Дмитрию Склярову удалось обнаружить ключи цифровой подписи в фотоаппарате и извлечь их. Зная ключи и алгоритм подписывания (основная часть статьи), можно сформировать поддельную цифровую подпись.

Что он предлагает в качестве защиты от подобной атаки:
Summary: What Canon can do?
— With currently available models –nothing
— With future models:
— Implement HMAC calculation in cryptoprocessor which does not expose secret key
— Prevent camera from running non-Canon’s code to avoid illegal usage of cryptoprocessor
— Hire people who really understands security :)

(коротко — не хранить ключи в открытом виде в устройстве, а использовать для их генерации криптопроцессор и повысить защиту от доступа к криптопроцессору «не Канонвским» кодом).

[@mipan]

снимайте на пленку!

[@r13]

[@hammerzeit_halt]

да, косяк, там все перевернует. беда-беда

[@Maccimo]

Иллюстрация не из «Юного Техника», случайно?

[@bismark]

на очереди Nikon, уверен что и там есть уязвимости

[@odiszapc]

Ха вот красавец!

[@romx]

Требует ли «свободы» информация о номере и пине вашей банковской карточки?

[@LeKot]

Как заебал этот псевдоконтраргумент. Что ни топика про информацию, то пин-код.

[@romx]

Ага, видите, и вы тоже начинаете понимать, что совсем не любая информация «должна быть свободной».

[@LeKot]

что значит начинаете понимать?) Вы где-то видели, чтоб я говорил о том, что любая информация должна быть свободной? Просто свободной должно быть намного больше информации, чем есть сейчас и Дмитрий Скляров делает очень правильное дело. Заметьте он не сперва на черный рынок, а потом в паблик. Он сперва к производителю и лишь спустя долгий срок в паблик. Если б производитель отреагировал без опубликования этой нформации, она бы и не публиковалась. Компания отвечает за свои косяки перед общественностью — в чем проблема-то вообще? Почему эта информация не должна быть свободной и как она связана с моей кредитной картой?))

[@MaximKat]

Справедливости ради стоит заметить, что насчет «не сперва на черный рынок» ничего не известно :)

[@MaximKat]

ПС
Во всем остальном — согласен.

[@romx]

Ну, вот видите, красивый и эффектный лозунг про «информация должна быть свободной» постепенно видоизменяется в не такой звонкий и эффектный, но гораздо более разумный:
«Для некоторой информации, при определенных условиях, было бы неплохо быть свободной» ;)

Вот так мы из мира абстрактных лозунгов переходим в реальный мир.

[@LeKot]

Вот так мы переходим из условного языка в абсолютный. Когда я слышу «Информация должна быть свободной» я не слышу в этом «Открой свою дверь, поставь стеклянную стену». Я слышу именно «Для этой информации, %в_контексте_комментируемой_статьи%, было бы неплохо быть свободной»
Не будьте занудой

[@4dmonster]

Вы ошиблись с аналогией.
касательно карточек правильный провокационный вопрос должен быть таким:
«Требует ли «свободы» информация о КОМПРОМЕТАЦИИ номера и пина вашей банковской карточки?»

[@LeKot]

вот это правильный вопрос. И информация о компрометации номера и пина несомненно требует огласки. Эта огласка может выступить обоснованием ваших слов о непричастности к движениям денежных средств по карте за последние N часов, например :)
Многие пытаются применить модель открытой информации к текущему миру, но это неправильно. Если информация будет открытой — мир изменится и минусы системы компенсируются за счет плюсов подстроившегося мира.

[@alienff]

А нафига кенон изобрател велосипед, придумывая свою пдпись? Почему нельзя было подписывать фотографии RSA?

[@4dmonster]

проблема не в подписи как таковой, а в том что секретный ключ можно извлечь из камеры.

[@alienff]

Ну да, логично…

[@Holden]

Интересно, какие локации на поддельных фотографиях?