Ljudska glupost je uvek bila najslabija karika.

I onda se ljudi cude zasto neki "rucno" kriptiramo usb diskove :)

... i sad ide teorija zavjere - "Kingston i SanDisk rade za NSA - namjerna rupa u kriptovanju"

ama ne postoji hardverska enkripcija. Drugo, ja sam lepo rekao da su one stare diskete sa rupicom za zabranu upisa bata. Sto ne naprave usb disk sa rucnom zabranom pisanja brisanja podataka.
Nija vazno koja je enkripcija, vec koliko si ti informisan pa da je na netu lepo i procitas.

naravno da postoji, proguglaj malo i "TPM"

Problem je samo u kvaliteti implementacije. A zasto koristiti jedinstven aes password, umesto korinickog za enkripciju podataka, ostaje dobro pitanje :)

Jednostavno je - zato što softver rade imbecili bez dovoljno obrazovanja i znanja o algoritmima kriptovanja. Pročitali su da je AES najbolji i onda misle da su ta tri slova dovoljna zaštita, čim neko vidi AES, ima da odustane. Nije nego... Ne znam za vas, ali meni se čini da je sav noviji softver koji dobijam uz hardver očajnog kvaliteta. Vidi se da ga pišu priučeni ljudi.

TrueCrypt FTW :)

Ja odavno ne verujem tim hardverskim resenjima... pogotovu ne ako ih je readio neki fakin Kingston ili SanDisk... razmislite dobro da li bi ste sigurnost vasih podataka poverili nekim inzenjerima iz 3 lepe koji su radili za saku pirinca dnevno.

Misliš nešto ovako:


Ali ovo nema nikakve veze sa enkripcijom. Ovo je samo zaštita od pisanja na USB. Zgodna stvar kad razmenjuješ fajlove sa ljudima koji imaju viruse na kompu. Ne zato što se brinem da ću zapatiti virus, već me mrzi stalno da brišem fajlove i menjam atribute direktorijumima.

koliko puta sam samo na ovom forumu rekao da ljudi koji se ne bave primenjenom kriptografijom ne treba da pisu kriptografske kodove ? :)

sta mozete da ocekujete , da za 1000 dinara dobijete flash od 4 giga (lupam cenu al je tu negde verovatno) i odlican kriptografski software

to je software za "entuzijaste" koji voled a se hvale u drustvu da im je disk enkriptovan ... :)

ne vidim zasto bi iko s trunkom zdravog razuma , kad je vec dovoljno napredan da mu treba enkripcija , koristio neki software koji je pisao neki kinez za saku pirinca , sto rece Ivan.

TrueCrypt for the win! + multiplatformski je pa vam ne treba uvek windows da pristupite podacima

inace, kad god sam kupiovao usb flash memorije , nikad nisam kupio te neke koje imaju posebne feature , sandisk recimo ima obicaj da od jednog dela flesa napravi virtuelni cdrom , ume da zadaje muke na neWindows sistemima :)

Al pazi, ovo uopste i nije u toj klasi, nije ovo nikakav side-channel weakness, ovo je totalna nesposobnost i back-door velik ko avion. Ekvivalent bi bio da ugradis na stan H-vrata od 5000 evra sa citacem retine i onda na ista stavis klasican pijacni cilindar koji zaobilai sve mere zastite i pride okacis kljuc ispred vrata

zato i pominjem saku pirinca i 1000 dinara za flash :)

propust jeste idiotski, ali sam siguran da lik koji je napravio taj software nije bas toliki idiot
vec je radio ono za sta je placen, i koliko je placen, a to je da pravi sareni softver ...

Kome treba USB flash sa dobrom zaštitom tu onda treba kupiti proizvod od firme koja se specijalizovala u tome, npr. IronKey (https://www.ironkey.com/products).

Po meni bacanje para za ovu primenu, truecrypt i buvljacki USB flash je sve sto ti treba. Eventualno bolji flash ako hoces dugotrajniji i kvalitetniji storage ali i najjeftiniji je dovoljan u smislu zastite podataka.

Hardverski AES ne znaci nista bolju zastitu, to je marketinski fazon i koriscenje koncepta PKI key dongolva kao analogiju koja ne stoji. Ne postoji dongle koji je tamper-resistant i crypto chip nije na istom dye-u sa flashom i moze da se zaobidje u smislu da se pridje flash delu dongleta i pokupi ciphertext i onda si ponovo u istoj situaciji kao sa truecrypt+flash od 10 evra. Ili moze elektricno da disabluje kill switch i onda da tovari dongle sa bruteforce-om, burgija vrti gde para nece, kao sto se da videti u Terminatoru Ili ce ti neko uvaliti keylogera i pokupiti password, sto je isto problem sa SVIM enc mehanizmima. U svakom slucaju kad uporedis AES enc podatak sa truecrypta i sa irongate-a zapravo truecrypt ima prednost jer koristi XTS mode za koji se veruje da je sigurniji od CBC moda.
Savrsena zastita ne postoji ni u kom slucaju, ako si ciljan za napad i neko ima fizicki pristup tvojoj masini ili ti je masina kompromitovana tesko ces se odbraniti, u tom trenutku ti je USB dongle najmanji problem. Za sve ostalo obican truecrypt volume na USB flashu je vise nego dovoljan jer najveci problem sa flashevima je to sto se gube i sto "pronalazaci" posle citaju podatke, AES encrypted volume bez kljuca to resava.


Meni je mnogo strasnije u celoj ovoj prici sto su svi ovi felericni donglovi NIST sertifikovani.

Mislim da moze da se upgraduje program?

pise da moze , ali koja je poenta ?
sta mislis koliko su radili na toj upgradeovanoj verziji?

mislio sam da smo se slozili da koriscenje tih aplikacija nije dobro resenje ...

Poenta je da imam podatke koji su mi manje vazni 'hardwerski' kriptovane na sandisk contouru, a koji su mi vazni kriptovane u posebnom true crypt kontejneru i to tako radi super brzo i pouzdano i ne sekiram se ako ga izgubim ili ga neko pozajmi.

Jedno pitanje u vezi truecrypt, ranije sam koristio drivecrypt koji ima opcija da se otvori poseban crveni ekran u koji se ukucava sifra da bi se izbegli keylog-eri, tako nesto nisam video u truecryptu, da li to znaci da je on ranjiv na keylogere?

Hm, kako te to crveni ekran moze spasiti od razlicitih varijanti keylogger-a? :)

Mislis, keylogger "cita sa ekrana"?

Kontam da vecina keylogger-a, ovih sto ljudi pokupe na Windowsu, radi tako
sto neki (najcesce) skriveni proces presrece / kupi ono sto se kuca po tastaturi
i salje negde na preko mreze, u nekim odredjenim aplikacijama samo, ili generalno.

Ili gresim?

Fore sa bojama i "skrivenim" tekst boxovima je zastita od screenscrape+ocr napada, al nisam skoro cuo ni za jedan takav, ipak je mnogo jednostavnije mountovati keylogera i analizirati ukucane podatke nego brljati po svim mogucim ocr-ovanim sadrzajima, bar sto se tice provaljivanja lozinki.

Moz' koristiti sta hoces, al' kad dodju i izbiju ti par zuba recices password u svakom slucaju :P
Kao sto rekoh ranije, najpouzdaniji brute-force alat je Toljaga 1.0 :D

ima nesto sto se zove Plausible Deniability
funkcionise tako sto ti njima das sifru , i oni dobiju odredjen sadrzaj
ali ostatak sadrzaja ostaje nevidljiv , on se dekriptuje drugom sifrom

a iz samog postojanja enkriptovanih podataka se ne moze zakljuciti
nista o postojanju skrivenog sadrzaja , tako da mozes da kazes da
tu nema vise nicega

truecrypt ima tu opciju , hidden volume


mada , ako te dovoljno biju ... :)

to summarize : http://xkcd.com/538/
:)

"Very low level (Red) password entry screen that stops snooping key-presses." Da li to radi i kako mrzelo me je da eksperimentisem.

back2topic: SanDisk je izdao update samo za enterprise seriju usb-ova, a za boraniju (consumer products) nije i najverovatnije ni nece?

auuuu, pa ovde cia vs bia :)

pa shta vi ljudi nosite na tim flashevima :)

Pa to nije tvoj problem, a ni bilo ciji drugi problem, a u tome je i problem, ako razumes.

A sta je sa opcijom "select drag & drop", da li to keylogger belezi?

ako se ide vec toliko daleko , ima i keylogera koji pamte i sadrzaj klipborda ...

select-drag-drop nije isto kao copy-paste

ili gresim?

Na sandisk forumu pise da su testirani razni uredjaji i da su jedino odredjene verzije kruzer enterprise imale sigurnosni propust - koji je ispravljen, a da ostali uredjaji nisu ugrozeni, pa ne treba ni da se rade ispravke za njih.


Link na originalni syss tekst:
http://www.syss.de/fileadmin/r...ks_SanDisk_USB_Flash_Drive.pdf