Læser advarer nu mod krypteringsprogram: Slet ikke sikkert

Det lever slet ikke op til grundlæggende krypterings-principper og er derfor ikke sikkert, lyder analysen fra en softwareudvikler, der har set nærmere på et hjemmelavet krypteringsprogram.

I sidste uge fortalte Computerworld om software-udvikleren Jan Langevad, der har udviklet sit eget krypteringsprogram i fritiden.

Programmet MyCrypt så dagens lys, fordi han var træt af den megen overvågning, der i øjeblikker finder sted på internettet.

Den historie kan du læse her: Dansk udvikler bygger krypteringsprogram: Ikke mere overvågning

Men måske går intentioner og resultater ikke hånd i hånd.

Jan Langevad betegner sit krypteringsprogram som ubrydeligt, men den konklusion anfægter en Computerworld-læser i en analyse af programmet.

Han peger på, at programmet MyCrypt langt fra er så sikkert, som opfinderen fortæller.

"Efter at have analyseret programmet via en debugger og disassembler står det lysende klart, at programmet absolut ikke er et sikkert krypteringsprogram."

"Inden for bare 255 forsøg vil enhver fil, krypteret med et kodeord i programmet, brydes" siger Computerworld-læseren Poul Wann Jensen.

Han er software-ingeniør, tidligere i Symantec, hvor han analyserede virus og malware, nu Linux-udvikler hos FXI Technologies AS.

Og Poul Wann Jensen fortsætter:

"Det er direkte skræmmende, at dette program har været annonceret, da det absolut ikke lever op til nogen som helst grundlæggende krypteringsprincipper og faktisk bruger forkerte teknikker."

Den kritik begrunder han med en analyse.

Genbrug af nøglen
Et one-time pad, som MyCrypt anvender som fundament, er en kryptografisk algoritme, hvor man har en nøgle, der er lige så lang som klarteksten i eksempelvis en mail.

På denne måde bliver hvert symbol i klarteksten krypteret med sin egen nøgle, der ikke har nogen relation til de andre.

One-time pad er derfor en 100 procent sikker krypteringsform, hvis den altså anvendes korrekt.

"Hvis man genbruger en pad, vil man kunne aflede selve krypteringsnøglen ud fra to eller flere filer, som har været genbrugt på computeren. Dette er tilfældet her, da MyCrypt.dk bruger en 0x10000 stor pad, som altid genbruges," forklarer han.

Men det er ikke det eneste problem i MyCrypt.

"MyCrypt har en bug i sin passphrase-algoritme, som betyder, den fylder et krypterings-array på 200 bytes med en bestemt byte, som går igen."

"MyCrypt.dk genbruger ikke bare sin one-time pad, den bruger også en index-multiplikator på 256, som betyder, at bare en brøkdel af one-time pad'en faktisk bruges. Derfor vil en fil på 32 megabyte eller større kunne dekrypteres af enhver angriber, da one-time pad'en genbruges på data over 16 megabyte."

I praksis medfører det, at hvis man har krypteret to eller flere filer med programmet, ved at bruge et billede eller anden information som nøglefil, vil man som angriber kunne aflede de bytes, der blev brugt som kryptering, og derfor dekryptere samtlige følgende filer krypteret med denne nøgle.

Læs også: Guide: Så nemt kommer du i gang med e-mail-kryptering

MyCrypt.DK får kritik for manglende sikkerhed,

Ligeledes peger open source-udvikleren på vigtigheden af, at kildekoden i denne type programmer er rigtig.

"Hjemmelavede krypteringsprogrammer uden åben kildekode skal man være meget varsom med. Kryptering er svært, endnu sværere at implementere og selv store krypteringspakker har haft små fejl med store konsekvenser. Jeg vil umiddelbart anbefale, at folk fortsætter med at bruge velkendte krypterings-algoritmer og -programmer," lyder vurderingen.

Er der fejl, så retter jeg dem
Jan Langevads umiddelbare reaktion på kritikken lyder således:

"Hvis der er en fejl i programmet, bliver den rettet og udkommer i en gratis version 3x. Men formålet er fortsat det samme, at enhver skal have adgang til en kryptering, der ikke kan brydes, hvilket sker via at benytte one-time pad-metoden," skriver han til Computerworld.

"Har jeg lavet en fejl, så retter jeg den selvfølgelig."

På Computerworld finder du også denne guide, der viser, hvordan du kan kryptere dine mails: Guide: Så nemt kommer du i gang med e-mail-kryptering

Har du en mening, så giv endelig lyd i debatten.




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Alfapeople Nordic A/S
Rådgivning, implementering, udvikling og support af software og it-løsninger indenfor CRM og ERP.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
The intelligent business: From neat idea to reality

The choice to become a more intelligent business and optimize workflows is not always straightforward, but it requires that you take a step back and see the possibilities in other ways. Come inside when we try to focus on the intelligent business. Hear how SAP S / 4HANA makes processes intelligent and transforms traditional workflows.

26. februar 2021 | Læs mere


AI og machine learning i praksis: Fokus på teknologi og best practice

Vi kender til kunstig intelligens og machine learning, men hvordan udnytter vi dem i praksis? Hør om de aktuelle erfaringer med AI og machine learning, og bliv endnu klogere på fremtidens mulige tendenser, når det kommer til AI og machine learning.

02. marts 2021 | Læs mere


It-sikkerhedskontroller og -processer (How to)

Flere organisationer end nogensinde før bliver udsat for cyberangreb af hackere, der hele tiden finder nye veje og metoder, som de kan udnytte til at trænge ind i virksomhedernes systemer. På dette event kigger vi nærmere på, hvordan man opsætter de nødvendige it-sikkerhedskontroller og gør god brug af eksempelvis incident response, log management, penetrationstesting, awareness-træning, sikkerhedsopsætning og meget andet.

03. marts 2021 | Læs mere






Computerworld
Spotify på vej med kæmpe satsning: Vil være mere end blot en musikstreamingtjeneste
Svenske Spotify er klar med en række nyheder, der rækker længere end blot lyd.
CIO
Der findes ikke noget vigtigere for din virksomhedskultur end psychological safety
Klumme: Forskningen er entydig: Vidensarbejde er mere effektiv, når du tør stille spørgsmål, rejse kritik og indrømme fejl helt uden frygt for at blive straffet eller gjort til grin. Hvis du ikke har fokus på denne del af din virksomhedskultur, så lever din virksomhed og dine medarbejdere ikke op til deres fulde potentiale.
Job & Karriere
IBM Danmark trækker tilbud om frivillige fratrædelser tilbage for stort antal ansatte: "IBM har taget røven på sine ansatte"
Som led i IBM Danmarks store fyringsrunde fik 130 ansatte grønt lys til at forlade selskabet på en frivillig fratrædelsesordning. Men nu har IBM Danmark trukket det oprindelige tilbud tilbage for størstedelen af de ansatte.
White paper
Gratis whitepaper: Hvad er EDI, og hvordan kan det styrke min forretning?
Overvejer du EDI, og ønsker du at undersøge, om EDI er den rette investering for din virksomhed? Har en af dine kunder eller leverandører for nyligt bedt dig om at udveksle elektroniske dokumenter (EDI)? Så hent dette whitepaper og få et overblik over, hvad EDI er, og hvilke fordele producenter og grossister som dig kan se frem til, når du investerer i EDI til din forretning.