Artikel top billede

Læser advarer nu mod krypteringsprogram: Slet ikke sikkert

Det lever slet ikke op til grundlæggende krypterings-principper og er derfor ikke sikkert, lyder analysen fra en softwareudvikler, der har set nærmere på et hjemmelavet krypteringsprogram.

I sidste uge fortalte Computerworld om software-udvikleren Jan Langevad, der har udviklet sit eget krypteringsprogram i fritiden.

Programmet MyCrypt så dagens lys, fordi han var træt af den megen overvågning, der i øjeblikker finder sted på internettet.

Den historie kan du læse her: Dansk udvikler bygger krypteringsprogram: Ikke mere overvågning

Men måske går intentioner og resultater ikke hånd i hånd.

Jan Langevad betegner sit krypteringsprogram som ubrydeligt, men den konklusion anfægter en Computerworld-læser i en analyse af programmet.

Han peger på, at programmet MyCrypt langt fra er så sikkert, som opfinderen fortæller.

"Efter at have analyseret programmet via en debugger og disassembler står det lysende klart, at programmet absolut ikke er et sikkert krypteringsprogram."

"Inden for bare 255 forsøg vil enhver fil, krypteret med et kodeord i programmet, brydes" siger Computerworld-læseren Poul Wann Jensen.

Han er software-ingeniør, tidligere i Symantec, hvor han analyserede virus og malware, nu Linux-udvikler hos FXI Technologies AS.

Og Poul Wann Jensen fortsætter:

"Det er direkte skræmmende, at dette program har været annonceret, da det absolut ikke lever op til nogen som helst grundlæggende krypteringsprincipper og faktisk bruger forkerte teknikker."

Den kritik begrunder han med en analyse.

Genbrug af nøglen

Et one-time pad, som MyCrypt anvender som fundament, er en kryptografisk algoritme, hvor man har en nøgle, der er lige så lang som klarteksten i eksempelvis en mail.

På denne måde bliver hvert symbol i klarteksten krypteret med sin egen nøgle, der ikke har nogen relation til de andre.

One-time pad er derfor en 100 procent sikker krypteringsform, hvis den altså anvendes korrekt.

"Hvis man genbruger en pad, vil man kunne aflede selve krypteringsnøglen ud fra to eller flere filer, som har været genbrugt på computeren. Dette er tilfældet her, da MyCrypt.dk bruger en 0x10000 stor pad, som altid genbruges," forklarer han.

Men det er ikke det eneste problem i MyCrypt.

"MyCrypt har en bug i sin passphrase-algoritme, som betyder, den fylder et krypterings-array på 200 bytes med en bestemt byte, som går igen."

"MyCrypt.dk genbruger ikke bare sin one-time pad, den bruger også en index-multiplikator på 256, som betyder, at bare en brøkdel af one-time pad'en faktisk bruges. Derfor vil en fil på 32 megabyte eller større kunne dekrypteres af enhver angriber, da one-time pad'en genbruges på data over 16 megabyte."

I praksis medfører det, at hvis man har krypteret to eller flere filer med programmet, ved at bruge et billede eller anden information som nøglefil, vil man som angriber kunne aflede de bytes, der blev brugt som kryptering, og derfor dekryptere samtlige følgende filer krypteret med denne nøgle.

Læs også: Guide: Så nemt kommer du i gang med e-mail-kryptering

MyCrypt.DK får kritik for manglende sikkerhed,

Ligeledes peger open source-udvikleren på vigtigheden af, at kildekoden i denne type programmer er rigtig.

"Hjemmelavede krypteringsprogrammer uden åben kildekode skal man være meget varsom med. Kryptering er svært, endnu sværere at implementere og selv store krypteringspakker har haft små fejl med store konsekvenser. Jeg vil umiddelbart anbefale, at folk fortsætter med at bruge velkendte krypterings-algoritmer og -programmer," lyder vurderingen.

Er der fejl, så retter jeg dem

Jan Langevads umiddelbare reaktion på kritikken lyder således:

"Hvis der er en fejl i programmet, bliver den rettet og udkommer i en gratis version 3x. Men formålet er fortsat det samme, at enhver skal have adgang til en kryptering, der ikke kan brydes, hvilket sker via at benytte one-time pad-metoden," skriver han til Computerworld.

"Har jeg lavet en fejl, så retter jeg den selvfølgelig."

På Computerworld finder du også denne guide, der viser, hvordan du kan kryptere dine mails: Guide: Så nemt kommer du i gang med e-mail-kryptering

Har du en mening, så giv endelig lyd i debatten.




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
EG A/S
Udvikling, salg, implementering og support af software og it-løsninger til ERP, CRM, BA, BI, e-handel og portaler. Infrastrukturløsninger og hardware. Fokus på brancheløsninger.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Computerworld Summit 2021

En moderne digital vindervirksomhed bringer nye teknologier i spil, skaber digital innovation, udnytter data som styringsværktøj og ser verden som én stor markedsplads. Men succes kræver, at du ved, hvor den dyre teknologi kan gøre den største forskel i forretningen. Den kræver, at du ved i hvilken retning den øgede politiske regulering af teknologi og data bevæger sig hen. Og den succes kræver, at du kan udnytte teknologien til at automatisere og skalere til gavn for bundlinjen og budgettet.

26. oktober 2021 | Læs mere


CIO Trends 2021: Sådan ser teknologiradaren ud hos Danmarks bedste CIOs

Teknologien i virksomheder spiller i den grad en større og større rolle, hvor vi er nødt til at stille endnu større krav til, hvordan vi udnytter den, og hvilke muligheder den giver. Spørgsmålet er dog, hvordan man formår at lede en virksomhed, der konstant skal forholde sig til teknologiens forandringer.

16. november 2021 | Læs mere


How to Sikkerhed: Awareness, email fraud og phishing

Man kan aldrig vide sig sikker, for uanset hvor godt man sikrer sig mod hackerangreb og anden svindel, vil hacker næsten altid være et skridt foran. De går efter organisationernes svageste led i håbet om at kunne snyde sig til data, penge eller andet værdifuldt. Få derfor konkrete bud på, hvordan du kan gribe opgaven an og understøtte et effektivt awareness-niveau i din organisation med enkel, men velfungerende, teknologi.

17. november 2021 | Læs mere