https://news.ycombinator.com/item?id=8929906
">"On that day, a male and female agent started an argument in San Francisco's Glen Park public library, to get Ulbricht's attention. As soon as Ulbricht was distracted, another agent grabbed the open computer"
And that, ladies and gentlemen, is how you defeat crypto. How could you even defend yourself against such a thing? The only thing that comes to mind is never working in public on a computer."
I'm laughing my ass off like you wouldn't believe. :D :D :D :D :D.
Dnia piątek, 23 stycznia 2015 16:08:26 TeMPOraL pisze:
https://news.ycombinator.com/item?id=8929906
">"On that day, a male and female agent started an argument in San Francisco's Glen Park public library, to get Ulbricht's attention. As soon as Ulbricht was distracted, another agent grabbed the open computer"
And that, ladies and gentlemen, is how you defeat crypto. How could you even defend yourself against such a thing? The only thing that comes to mind is never working in public on a computer."
O boge.
I'm laughing my ass off like you wouldn't believe. :D :D :D :D :D.
Ja też trochę parskłem. Zwłaszcza tu:
"The jury saw spreadsheets of Silk Road finances, Ulbricht's personal tracking of his 'net worth,'..."
Wat.
"...and got just a small glimpse of the years of TorChat chat logs with Silk Road administrators that were on the machine. In those chats, "myself"—the default name for a user of TorChat—made key executive decisions about how to run Silk Road."
Ech. Logi. Can't live with them, can't live without them, it seems.
Also:
"The men had not broken the encryption. After seeing Ulbricht in public, they quickly scuttled their original plan, to arrest him at home the following day. They adopted a more street-level approach. It was one their suspect—a young man with two college degrees, hunting for a spot in a San Francisco cafe, coming to rest in a quiet library—had not thought of. It was the strategy of the poor and the desperate, of thieves and thugs.
He turned his head, and they reached out, and took his things."
Fucking opsec. Fajnie, mam szyfrowany dysk. So what. Siedzę teraz w ciapągu i piszę te słowa, szansa, że ktoś uparty wyciągnie mi lapka z rąk tak, ze nie zdążę nawet zablokować ekranu jest... cóż, niezerowa.
Wat do? Dead man's switch, po którym się dysk shreduje? Bo opcja "wyślę komendę z telefonu" generalnie odpada, gdy ręce (jak Ulbrichta) są w kajdankach.
Compartmentalization? Odrębne kontenery na odrebne tematy (np. per folder)?
Jakieś inne pomysły?
On Fri, Jan 23, 2015 at 6:22 PM, rysiek rysiek@hackerspace.pl wrote:
"The jury saw spreadsheets of Silk Road finances, Ulbricht's personal tracking of his 'net worth,'..."
Wat.
Sounds Like Fibi. :) Czyżby Bitcoin przyciągał taki typ osoby?
"...and got just a small glimpse of the years of TorChat chat logs with Silk Road administrators that were on the machine. In those chats, "myself"—the default name for a user of TorChat—made key executive decisions about how to run Silk Road."
Ech. Logi. Can't live with them, can't live without them, it seems.
Proste, szyfrować je osobnymi kluczami zmienianymi regularnie. (plus perfect forward secrecy) Albo lepiej, kasować po określonym czasie.
Also:
"The men had not broken the encryption. After seeing Ulbricht in public, they quickly scuttled their original plan, to arrest him at home the following day. They adopted a more street-level approach. It was one their suspect—a young man with two college degrees, hunting for a spot in a San Francisco cafe, coming to rest in a quiet library—had not thought of. It was the strategy of the poor and the desperate, of thieves and thugs.
He turned his head, and they reached out, and took his things."
Fucking opsec. Fajnie, mam szyfrowany dysk. So what. Siedzę teraz w ciapągu i piszę te słowa, szansa, że ktoś uparty wyciągnie mi lapka z rąk tak, ze nie zdążę nawet zablokować ekranu jest... cóż, niezerowa.
Wat do? Dead man's switch, po którym się dysk shreduje? Bo opcja "wyślę komendę z telefonu" generalnie odpada, gdy ręce (jak Ulbrichta) są w kajdankach.
Dead man switch, ale wysłanie komendy z telefonu też spoko. Najlepiej dwa w jednym. Problem, jak zmusić dead man switch do zadziałania tak, aby nie było to uznane za blokowanie śledztwa.
Compartmentalization? Odrębne kontenery na odrebne tematy (np. per folder)?
Pomaga, ale to za mało. Możesz przecież mieć dany kontener otwarty w tej konkretnej chwili. Napastnik, który powiedzmy podgląda, co robisz, jest w stanie dobrze wybrać moment ataku. Każdy wzorzec twojego zachowania może być użyty przeciwko tobie.
Jakieś inne pomysły?
Dead man switch to musi być coś dość "deniable" (polski odpowiednik?) - łatwe do podważenia umyślne załączenie takiego mechanizmu. Podobnie system zapobiegania wymuszeniu wyłączenia zabezpieczeń. Zatem ani jeden, ani drugi nie mogą polegać na celowym działaniu, a jednak muszą reagować na ewentualne celowe załączenie.
Podoba mi się ten pomysł z BLE i komórką, tylko jak sensownie wymusić wyłączenie?
Rubber-hose niekoniecznie sprowadza się tylko do gumowych węży, ale też broni palnej... lub kajdanek i wożenia rzeczonej osoby razem z przejętym sprzętem.
Zmieniam klucz GPG :: http://rys.io/pl/147 GPG Key Transition :: http://rys.io/en/147
A podpisałeś nowy klucz starym i vice versa? To takie dodatkowe zabezpieczenie ciągłości Web of Trust dla automatów.
Nie zgadzam się też, że w przypadku Tor ciężko cokolwiek skorelować. Polecam poczytać: https://blog.torproject.org/category/tags/attacks Jeden nawet był uruchomiony (przez przypadek?) live jakiś czas temu i działał. Goście chcieli to opublikować na Black Hat.
Dnia piątek, 23 stycznia 2015 19:54:31 Radoslaw Szkodzinski pisze:
Wat do? Dead man's switch, po którym się dysk shreduje? Bo opcja "wyślę komendę z telefonu" generalnie odpada, gdy ręce (jak Ulbrichta) są w kajdankach.
Dead man switch, ale wysłanie komendy z telefonu też spoko. Najlepiej dwa w jednym. Problem, jak zmusić dead man switch do zadziałania tak, aby nie było to uznane za blokowanie śledztwa.
Doczytałem, gość nie miałby szans wykorzystać komendy z telefonu. To były sekundy, odwrócono jego uwagę, spojrzał w bok, w tym momencie podpierdzielili mu lapka i jednocześnie założyli kajdanki.
W wątku na HN jest kilka fajnych pomysłów -- akcelerometry, wykrywanie zmiany temperatury (OHAI, coldboot), czy my personal favourite: słuchawki jako "zrywka".
Compartmentalization? Odrębne kontenery na odrebne tematy (np. per folder)?
Pomaga, ale to za mało. Możesz przecież mieć dany kontener otwarty w tej konkretnej chwili.
Tak, ale mogę wtedy też przyjąć zasadę, że nie otwieram bardzo "sensitive" kontenerów w miejscach, w których mogę nie mieć szansy zdążyć nacisnąć kombinacji natychmiast blokującej kontenery "sensitive".
Np. nie ruszałbym ich w kafejce. Po prostu dodatkowa opcja, zamiast "wszystko albo nic".
Napastnik, który powiedzmy podgląda, co robisz, jest w stanie dobrze wybrać moment ataku. Każdy wzorzec twojego zachowania może być użyty przeciwko tobie.
Tak, ale w przypadku RU wzorce zachowania czniać, bo treść, którą wyciągnęli, jest milion razy gorsza od czegokolwiek, co mogliby ogarniać na podstawie "wzorców zachowania".
A tak mógłby się bronić, że "ktoś podpierdala mi lapka -- to niszczę wrażliwe dane, bo konta bankowe".
Jakieś inne pomysły?
Dead man switch to musi być coś dość "deniable" (polski odpowiednik?)
- łatwe do podważenia umyślne załączenie takiego mechanizmu.
Kocham pomysł ze słuchawkami.
Podobnie system zapobiegania wymuszeniu wyłączenia zabezpieczeń. Zatem ani jeden, ani drugi nie mogą polegać na celowym działaniu, a jednak muszą reagować na ewentualne celowe załączenie.
Ano.
Podoba mi się ten pomysł z BLE i komórką, tylko jak sensownie wymusić wyłączenie?
Blech, mi nie. W przypadku, o którym rozmawiamy, nie zadziałałby, z tego co rozumiem.
Rubber-hose niekoniecznie sprowadza się tylko do gumowych węży, ale też broni palnej...
Ano.
lub kajdanek i wożenia rzeczonej osoby razem z przejętym sprzętem.
Ano.
Zmieniam klucz GPG :: http://rys.io/pl/147 GPG Key Transition :: http://rys.io/en/147
A podpisałeś nowy klucz starym i vice versa? To takie dodatkowe zabezpieczenie ciągłości Web of Trust dla automatów.
Tak. Znaczy, nowy podpisałem starym. Starego nie podpisywałem chyba nowym, ale to łatwo naprawić.
Nie zgadzam się też, że w przypadku Tor ciężko cokolwiek skorelować. Polecam poczytać: https://blog.torproject.org/category/tags/attacks Jeden nawet był uruchomiony (przez przypadek?) live jakiś czas temu i działał. Goście chcieli to opublikować na Black Hat.
"Niemożliwe" != "ciężko". Jeśli nie zgadzasz się, że ciężko, proszę pokaż metodę *łatwej" korelacji. :)
On Fri, Jan 23, 2015 at 5:08 PM, TeMPOraL temporal.pl@gmail.com wrote:
https://news.ycombinator.com/item?id=8929906
">"On that day, a male and female agent started an argument in San Francisco's Glen Park public library, to get Ulbricht's attention. As soon as Ulbricht was distracted, another agent grabbed the open computer"
And that, ladies and gentlemen, is how you defeat crypto.
No, that's how you defeat having no system locking and no automatic encrypted disk unmounting. This is why you shouldn't just use full disk encryption. Physical attacks are cheap.
Better yet, have some means of self destruction for the encrypted data, to frustrate rubber hose cryptanalysis.
Best regards,
A tak serio, ktoś ma jakieś dobre pomysły?
Urządzenie BLE zdaje się być sensowne i stosunkowo mało podejrzane. (np. telefon) Trzeba je tak zmodyfikować, aby dało się trywialnie uciąć połączenie.
W odróżnieniu od RFID/smart card czy kilku innych proponowanych dead man switchów...
R.
On 01/23/2015 06:33 PM, Radoslaw Szkodzinski wrote:
A tak serio, ktoś ma jakieś dobre pomysły?
Zegarek z nadajnikiem radiowym, jak TI Chronos? Oczywiście, tylko pod warunkiem, że atakujący nie wie, że możesz zablokować komputer naciskając przycisk na zegarku, ale to samo chyba dotyczy telefonu. Można to oczywiście rozszerzyć, np. używając akcelerometru w bucie i określonej (krótkiej) sekwencji, można wymusić okresowe podawanie haseł pomimo aktywności, ale nie wydaje mi się to zbyt sensowne.
On 01/23/2015 09:22 PM, Piotr Machała pm7 wrote:
On 01/23/2015 06:33 PM, Radoslaw Szkodzinski wrote:
A tak serio, ktoś ma jakieś dobre pomysły?
Zegarek z nadajnikiem radiowym, jak TI Chronos? Oczywiście, tylko pod warunkiem, że atakujący nie wie, że możesz zablokować komputer naciskając przycisk na zegarku, ale to samo chyba dotyczy telefonu. Można to oczywiście rozszerzyć, np. używając akcelerometru w bucie i określonej (krótkiej) sekwencji, można wymusić okresowe podawanie haseł pomimo aktywności, ale nie wydaje mi się to zbyt sensowne.
Jeszcze jedno mi wpadło do głowy: akcelerometr w laptopie, blokujący ekran w przypadku gwałtownego ruchu. Jeżeli nie boimy się podglądania, możemy też sprawdzać, czy kamera widzi naszą twarz i blokować, gdy zniknie.
2015-01-23 21:24 GMT+01:00 Piotr Machała pm7 hackerspace@933x.net:
On 01/23/2015 09:22 PM, Piotr Machała pm7 wrote:
On 01/23/2015 06:33 PM, Radoslaw Szkodzinski wrote:
A tak serio, ktoś ma jakieś dobre pomysły?
Zegarek z nadajnikiem radiowym, jak TI Chronos? Oczywiście, tylko pod warunkiem, że atakujący nie wie, że możesz zablokować komputer naciskając przycisk na zegarku, ale to samo chyba dotyczy telefonu.
Przycisk za wolny i zbyt oczywiste, że coś robisz z jakimś sprzętem.
Można to oczywiście rozszerzyć, np. używając akcelerometru w bucie i
Co powiesz na "w kieszeni" - telefon komórkowy ma taki. Oraz kilka innych sensorów.
określonej (krótkiej) sekwencji, można wymusić okresowe podawanie haseł pomimo aktywności, ale nie wydaje mi się to zbyt sensowne.
Może ma sens w celu włączenia blokady na siłę gestem... Hmm.
Jeszcze jedno mi wpadło do głowy: akcelerometr w laptopie, blokujący ekran w przypadku gwałtownego ruchu.
Ok, szkoda, że nie mam akcelerometru w laptopie. (Bo nie ma HDD.)
Jeżeli nie boimy się podglądania, możemy też sprawdzać, czy kamera widzi naszą twarz i blokować, gdy zniknie.
Boimy się podglądania, bardzo, na tyle, że zaklejamy taśmą klejącą kamerki i odpinamy mikrofony wbudowane. (Szczególnie to drugie, nadaje się do zbierania haseł a nawet kryptoanalizy.)
On 01/23/2015 09:41 PM, Radoslaw Szkodzinski wrote:
2015-01-23 21:24 GMT+01:00 Piotr Machała pm7 hackerspace@933x.net:
On 01/23/2015 09:22 PM, Piotr Machała pm7 wrote:
On 01/23/2015 06:33 PM, Radoslaw Szkodzinski wrote:
A tak serio, ktoś ma jakieś dobre pomysły?
Zegarek z nadajnikiem radiowym, jak TI Chronos? Oczywiście, tylko pod warunkiem, że atakujący nie wie, że możesz zablokować komputer naciskając przycisk na zegarku, ale to samo chyba dotyczy telefonu.
Przycisk za wolny i zbyt oczywiste, że coś robisz z jakimś sprzętem.
Myślisz, że po założeniu kajdanek patrzyli mu na ręce i zdążyli by go powstrzymać? Wątpię.
Można to oczywiście rozszerzyć, np. używając akcelerometru w bucie i
Co powiesz na "w kieszeni" - telefon komórkowy ma taki. Oraz kilka innych sensorów.
Co powinien wykrywać telefon w kieszeni? Raczej nie będziesz mógł go wyjąć i coś konkretnego zrobić.
Jeszcze jedno mi wpadło do głowy: akcelerometr w laptopie, blokujący ekran w przypadku gwałtownego ruchu.
Ok, szkoda, że nie mam akcelerometru w laptopie. (Bo nie ma HDD.)
Dołóż? W laptopach jest mnóstwo wolnego miejsca na jakąś małą atmegę (lub cokolwiek innnego) i akcelerometr.
Jeżeli nie boimy się podglądania, możemy też sprawdzać, czy kamera widzi naszą twarz i blokować, gdy zniknie.
Boimy się podglądania, bardzo, na tyle, że zaklejamy taśmą klejącą kamerki i odpinamy mikrofony wbudowane. (Szczególnie to drugie, nadaje się do zbierania haseł a nawet kryptoanalizy.)
Dlatego napisałem "jeśli" :) Ale w tym przypadku i tak dość mocno jesteśmy zależni od bezpieczeństwa laptopa. Jeżeli nie ufamy, że jest bezpieczny, nie będziemy tam nic niebezpiecznego trzymać, nie?
On 2015-01-23 22:52, Piotr Machała pm7 wrote:
On 01/23/2015 09:41 PM, Radoslaw Szkodzinski wrote:
2015-01-23 21:24 GMT+01:00 Piotr Machała pm7 hackerspace@933x.net:
On 01/23/2015 09:22 PM, Piotr Machała pm7 wrote:
On 01/23/2015 06:33 PM, Radoslaw Szkodzinski wrote:
A tak serio, ktoś ma jakieś dobre pomysły?
Zegarek z nadajnikiem radiowym, jak TI Chronos? Oczywiście, tylko pod warunkiem, że atakujący nie wie, że możesz zablokować komputer naciskając przycisk na zegarku, ale to samo chyba dotyczy telefonu.
Przycisk za wolny i zbyt oczywiste, że coś robisz z jakimś sprzętem.
Myślisz, że po założeniu kajdanek patrzyli mu na ręce i zdążyli by go powstrzymać? Wątpię.
Zgryzana kapsułka detonująca po bluetooth ładunek EMP w plecaku.
Pieprzycie wszyscy bez pojęcia.
Przecież wystarczy zasilać laptopa z tej samej baterii z któej leci wam rozrusznik serca.
Wtedy jak napastnik pociągnie za laptopa to automatycznie odpina się on od rozrusznika i wyłącza.
Proste i banalne.
Kolejna opcja to wyjąć wszystkie śrubki z laptopa, i trzymać go w papierowej teczce żeby się nie rozpadł, i ostrożnie wyjmować. Wtedy jak ktoś złapie za laptopa to się po prostu rozleci gubiąc kawałki.
Kolejna rzecz to zapięcie porządnego ładunku CO2 z kertridżem z bitą śmietaną wewnątrz lapka, i dead man switcha w postaci, nie wiem, kolczyka w pępku (chociaż kolczyk w napletku z magnesem to by było coś, zajebista zabawka dla technofila. Bierz mnie mikrofalo!). Wtedy laptop zaczyna się pienić, a wasze wszystkie silkroady są bezpieczne przed gwałtownym długim okiem sprawiedliwości.
No i ostatnie, najlepsze: kupić starego trupa laptopa, pomalować srebrnym sprejem, i nakleić mu wydrukowany screen na którym wyraźnie widać że operujecie na jakichś tajnych danych. Wtedy napastnik wyrywa wam go i ucieka, żeby dopiero później się zorientować że to była zasadzka! A Wy w tym czasie robicie purge swoich szyfrowanych kontenerów na ofszorze z ukrytego w kanałach miejskich terminala, który ma kolejowe połączenie z portem w gdyni.
Proste.
2015-01-25 18:29 GMT+01:00 spin@hackerspace.pl:
Pieprzycie wszyscy bez pojęcia.
A ty pieprzysz z zadęciem, ale nie na tej liście. Na OT z tym.
-- Radosław Szkodziński
On 2015-01-26 11:43, Radoslaw Szkodzinski wrote:
2015-01-25 18:29 GMT+01:00 spin@hackerspace.pl:
Pieprzycie wszyscy bez pojęcia.
A ty pieprzysz z zadęciem, ale nie na tej liście. Na OT z tym.
IMVHO pieprzę bardzo w temacie.
Jeżeli: a) robisz coś na tyle nielegalnego że może cię targetować indywidualnie specops kraju w którym to robisz, no reason, b) jesteś na tyle biedny by nie móc wynająć sobie ochrony bez skrupułów, c) jesteś na tyle głupi by pracować w miejscu publicznym na maszynie na któej masz dane sensitive,
to sorry, to nawet gdybyś był tak wysportowany i miał taki refleks który pozwolił by Ci pochwycić i połknąć lecącą jaskółkę za pomocą odbytu bez draśnięcia jej włosem (in b4 dingleberries), to żadne słuchawki i bluetoothy nie zastąpią ci mózgu.
Dnia poniedziałek, 26 stycznia 2015 19:34:36 spin@hackerspace.pl pisze:
On 2015-01-26 11:43, Radoslaw Szkodzinski wrote:
2015-01-25 18:29 GMT+01:00 spin@hackerspace.pl:
Pieprzycie wszyscy bez pojęcia.
A ty pieprzysz z zadęciem, ale nie na tej liście. Na OT z tym.
IMVHO pieprzę bardzo w temacie.
Jeżeli: a) robisz coś na tyle nielegalnego że może cię targetować indywidualnie specops kraju w którym to robisz, no reason, b) jesteś na tyle biedny by nie móc wynająć sobie ochrony bez skrupułów, c) jesteś na tyle głupi by pracować w miejscu publicznym na maszynie na któej masz dane sensitive,
to sorry, to nawet gdybyś był tak wysportowany i miał taki refleks który pozwolił by Ci pochwycić i połknąć lecącą jaskółkę za pomocą odbytu bez draśnięcia jej włosem (in b4 dingleberries), to żadne słuchawki i bluetoothy nie zastąpią ci mózgu.
*Ten* mail jest on-topic. Tamten, na który Astral odpowiadał, nie był. Know the difference. It might save us all time.
2015-01-26 19:34 GMT+01:00 spin@hackerspace.pl:
On 2015-01-26 11:43, Radoslaw Szkodzinski wrote:
2015-01-25 18:29 GMT+01:00 spin@hackerspace.pl:
Pieprzycie wszyscy bez pojęcia.
A ty pieprzysz z zadęciem, ale nie na tej liście. Na OT z tym.
IMVHO pieprzę bardzo w temacie.
Jeżeli: a) robisz coś na tyle nielegalnego że może cię targetować indywidualnie specops kraju w którym to robisz, no reason,
Od razu specops kraju. Corporate espionage też sporo warty, działania policji, złodziejstwo itd.
Pełnej krasy specops może podjechać vanem ze sprzetem do przechwytywania sygnałów radiowych... z takim czymś trudno walczyć jakąkolwiek elektroniką. (Ale w miejscach publicznych może być dostatecznie dużo zakłóceń.)
Sprytniejszy złodziej może dać "anonimowy" tip, jeśli zobaczy coś wartego. O ile pamiętam był minimum jeden przypadek skazania na podstawie dowodów ze skradzionego sprzętu.
b) jesteś na tyle biedny by nie móc wynająć sobie ochrony bez skrupułów,
Ochroniarze też ludzie, też się mylą, da się ich przekupić, pozbyć tak samo jak właściciela. (Podobnie psa.) Defense in depth.
c) jesteś na tyle głupi by pracować w miejscu publicznym na maszynie na któej masz dane sensitive,
Albo mądry. W miejscu niepublicznym ktoś ci może po prostu założyć torbę, strzelić tazerem, uśpić dowolnymi środkami etc. bo nie ma świadków. Wszystko zależy od tego, co robisz, komu podpadłeś i jak bardzo.
to sorry, to nawet gdybyś był tak wysportowany i miał taki refleks który pozwolił by Ci pochwycić i połknąć lecącą jaskółkę za pomocą odbytu bez draśnięcia jej włosem (in b4 dingleberries), to żadne słuchawki i bluetoothy nie zastąpią ci mózgu.
A żadna ilość mózgu przy fakapie nie zastąpi dobrze przygotowanego opsec.
hej,
W dniu 26 stycznia 2015 20:19 użytkownik Radoslaw Szkodzinski astralstorm@gmail.com napisał:
2015-01-26 19:34 GMT+01:00 spin@hackerspace.pl:
On 2015-01-26 11:43, Radoslaw Szkodzinski wrote:
2015-01-25 18:29 GMT+01:00 spin@hackerspace.pl:
Pieprzycie wszyscy bez pojęcia.
A ty pieprzysz z zadęciem, ale nie na tej liście. Na OT z tym.
IMVHO pieprzę bardzo w temacie.
Jeżeli: a) robisz coś na tyle nielegalnego że może cię targetować indywidualnie specops kraju w którym to robisz, no reason,
Od razu specops kraju. Corporate espionage też sporo warty, działania policji, złodziejstwo itd.
Ale jeśli nie chcesz się zabezpieczyć przed specops, tylko przed złodziejstwem i corporate espionage, to nie musisz się przejmować tym, że atakujący zauważy, że właśnie zabezpieczasz / niszczysz dane.
Zatem jednak telefon w kieszeni połączony przez BT z laptopem.
2015-01-26 20:23 GMT+01:00 Jarosław Górny jaroslaw.gorny@gmail.com:
Ale jeśli nie chcesz się zabezpieczyć przed specops, tylko przed złodziejstwem i corporate espionage, to nie musisz się przejmować tym, że atakujący zauważy, że właśnie zabezpieczasz / niszczysz dane.
Możesz nie mieć tej szansy. Stąd właśnie wynika potrzeba posiadania prawdziwego dead man switcha. A jakoś nie uśmiecha mi się wyciągać telefon co x minut z kieszeni i smyrać, żeby mi komputera nie zablokowało. Poza tym telefon dziurawa bestia i ktoś właśnie tam się może włamać.
Zatem jednak telefon w kieszeni połączony przez BT z laptopem.
Tak, to jest rozwiązanie pokrewne słuchawkom na BT połączonym z laptopem. Ale w przypadku słuchawek nie trzeba sięgać do kieszeni, by wyłączyć lub odświeżyć.
Funkcja automatycznego uśpienia działałaby tutaj super, moim zdaniem - powiedzmy, że trzeba je dotknąć jeśli taki np. akcelerometr nie wykrywa normalnego ruchu np. przez 30 minut. (Albo lepiej krócej.)
Macie jakieś propozycje słuchawek BT z taką funkcją?
W dniu 26 stycznia 2015 20:33 użytkownik Radoslaw Szkodzinski astralstorm@gmail.com napisał:
2015-01-26 20:23 GMT+01:00 Jarosław Górny jaroslaw.gorny@gmail.com:
Ale jeśli nie chcesz się zabezpieczyć przed specops, tylko przed złodziejstwem i corporate espionage, to nie musisz się przejmować tym, że atakujący zauważy, że właśnie zabezpieczasz / niszczysz dane.
Możesz nie mieć tej szansy. Stąd właśnie wynika potrzeba posiadania prawdziwego dead man switcha. A jakoś nie uśmiecha mi się wyciągać telefon co x minut z kieszeni i smyrać, żeby mi komputera nie zablokowało.
Czekaj, bo ja czegoś nie rozumiem. Pozwól, niech Ci wytłumaczę jak działa BT. *Nie* musisz wyciągać telefonu z kieszeni i niczego smyrać. Dlaczego zakładasz, że ktoś ukradnie laptopa razem z Tobą? ;)
W tym opisywanym przypadku tak się nie stało. Zabrali laptop i uciekli. Gdyby koleś miał sparowany telefon z laptopem to po kilku{nastu,dziesięcu} metrach złodziejowi komputer by się zablokował / wyłączył / dysk sformatował.
Poza tym telefon dziurawa bestia i ktoś właśnie tam się może włamać.
Tak jest. Tak samo jak na komputer.
2015-01-26 20:40 GMT+01:00 Jarosław Górny jaroslaw.gorny@gmail.com:
W dniu 26 stycznia 2015 20:33 użytkownik Radoslaw Szkodzinski astralstorm@gmail.com napisał:
2015-01-26 20:23 GMT+01:00 Jarosław Górny jaroslaw.gorny@gmail.com:
Ale jeśli nie chcesz się zabezpieczyć przed specops, tylko przed złodziejstwem i corporate espionage, to nie musisz się przejmować tym, że atakujący zauważy, że właśnie zabezpieczasz / niszczysz dane.
Możesz nie mieć tej szansy. Stąd właśnie wynika potrzeba posiadania prawdziwego dead man switcha. A jakoś nie uśmiecha mi się wyciągać telefon co x minut z kieszeni i smyrać, żeby mi komputera nie zablokowało.
Czekaj, bo ja czegoś nie rozumiem. Pozwól, niech Ci wytłumaczę jak działa BT. *Nie* musisz wyciągać telefonu z kieszeni i niczego smyrać. Dlaczego zakładasz, że ktoś ukradnie laptopa razem z Tobą? ;)
Albo razem z drogim telefonem. Ale tak, przewiduję i taki atak.
W tym opisywanym przypadku tak się nie stało. Zabrali laptop i uciekli. Gdyby koleś miał sparowany telefon z laptopem to po kilku{nastu,dziesięcu} metrach złodziejowi komputer by się zablokował / wyłączył / dysk sformatował.
Prawda.
Poza tym telefon dziurawa bestia i ktoś właśnie tam się może włamać.
Tak jest. Tak samo jak na komputer.
Moim zdaniem łatwiej, telefony bardziej dziurawe i trudniej zabezpieczyć, poza tym połączone z internetem non stop, jakieś śmieszne aplikacje na nich instaluję itd.
Dnia poniedziałek, 26 stycznia 2015 20:40:38 Jarosław Górny pisze:
W dniu 26 stycznia 2015 20:33 użytkownik Radoslaw Szkodzinski
astralstorm@gmail.com napisał:
2015-01-26 20:23 GMT+01:00 Jarosław Górny jaroslaw.gorny@gmail.com:
Ale jeśli nie chcesz się zabezpieczyć przed specops, tylko przed złodziejstwem i corporate espionage, to nie musisz się przejmować tym, że atakujący zauważy, że właśnie zabezpieczasz / niszczysz dane.
Możesz nie mieć tej szansy. Stąd właśnie wynika potrzeba posiadania prawdziwego dead man switcha. A jakoś nie uśmiecha mi się wyciągać telefon co x minut z kieszeni i smyrać, żeby mi komputera nie zablokowało.
Czekaj, bo ja czegoś nie rozumiem. Pozwól, niech Ci wytłumaczę jak działa BT. *Nie* musisz wyciągać telefonu z kieszeni i niczego smyrać. Dlaczego zakładasz, że ktoś ukradnie laptopa razem z Tobą? ;)
W tym opisywanym przypadku tak się nie stało. Zabrali laptop i uciekli. Gdyby koleś miał sparowany telefon z laptopem to po kilku{nastu,dziesięcu} metrach złodziejowi komputer by się zablokował / wyłączył / dysk sformatował.
Nie. Jeśli "tym opisywanym przypadkiem" jest Ross Ulbricht, to po raz n-ty: 1. odwrócili jego uwagę; 2. *spojrzał* (nie wstając sprzed laptopa!!) na zamieszanie; 3. W TYM MOMENCIE zwinęli lapka spod jego rąk zanim zdążył zablokować go; 4. JEDNOCZEŚNIE aresztując go na miejscu.
Więc tak, zwinęli lapka *razem z nim*.
W dniu 26 stycznia 2015 20:45 użytkownik rysiek rysiek@hackerspace.pl napisał:
Nie. Jeśli "tym opisywanym przypadkiem" jest Ross Ulbricht, to po raz n-ty:
- odwrócili jego uwagę;
- *spojrzał* (nie wstając sprzed laptopa!!) na zamieszanie;
- W TYM MOMENCIE zwinęli lapka spod jego rąk zanim zdążył zablokować go;
- JEDNOCZEŚNIE aresztując go na miejscu.
Więc tak, zwinęli lapka *razem z nim*.
OK. Jasne. Pytanie jak długo znajdował się w odległości metrów od laptopa. Być może to zabezpieczenie jednak by zadziałało (np. wsadzili go może do innego radiowozu, czy coś). Lepsze to niż nic, tanie i proste do wdrożenia.
W dniu 26.01.2015 o 21:06, Jarosław Górny pisze:
W dniu 26 stycznia 2015 20:45 użytkownik rysiek rysiek@hackerspace.pl napisał:
Nie. Jeśli "tym opisywanym przypadkiem" jest Ross Ulbricht, to po raz n-ty:
- odwrócili jego uwagę;
- *spojrzał* (nie wstając sprzed laptopa!!) na zamieszanie;
- W TYM MOMENCIE zwinęli lapka spod jego rąk zanim zdążył zablokować go;
- JEDNOCZEŚNIE aresztując go na miejscu.
Więc tak, zwinęli lapka *razem z nim*.
OK. Jasne. Pytanie jak długo znajdował się w odległości metrów od laptopa. Być może to zabezpieczenie jednak by zadziałało (np. wsadzili go może do innego radiowozu, czy coś). Lepsze to niż nic, tanie i proste do wdrożenia.
Z tymi całymi bluetoothami w telefonach jest konkretny problem. Mam na myśli, że zabezpieczenie jest guzik warte jeśli jest uciążliwe, a bt w komórce takie jest.
- komórka ma nie zawsze w pełni naładowane aku (ja mam co najmniej każdego drugiego tygodnia komórkę 1-2 dni martwą, bo aku się rozładuje, a mi nie chciało się podłączać kabelka) - bt ssie aku w zastraszającym tempie - z obu powyższych większość osób trzyma bt w stanie disabled (chyba nawet teraz komórki z automatu je wyłączają po odpowiednio długim czasie idleowania), więc trzeba pamiętać, żeby je włączyć
Tak więc potencjał że samemu się sobie utrudni życie, jest większy niż szansa, że akurat "dzisiaj" ktoś będzie chciał takiego lapka zawinąć. To pokonuje całe to zabezpieczenie, bo po czasie człowiek przestanie się stosować do jego rygorów, ponieważ jest uciążliwe.
Koniec końców osobiście wolałbym jednak wcale nie wychodzić z bunkra wraz z lapkiem z wrażliwymi danymi, jak spin wspominał.
Dnia wtorek, 27 stycznia 2015 08:29:33 Łukasz 'Cyber Killer' Korpalski pisze:
Z tymi całymi bluetoothami w telefonach jest konkretny problem. Mam na myśli, że zabezpieczenie jest guzik warte jeśli jest uciążliwe, a bt w komórce takie jest. (...)
Ano.
Tak więc potencjał że samemu się sobie utrudni życie, jest większy niż szansa, że akurat "dzisiaj" ktoś będzie chciał takiego lapka zawinąć. To pokonuje całe to zabezpieczenie, bo po czasie człowiek przestanie się stosować do jego rygorów, ponieważ jest uciążliwe.
No niestety, standard:
Wygoda <---------------------------------------------> Bezpieczeństwo
Ustaw swoje preferencje na osi. ;)
Koniec końców osobiście wolałbym jednak wcale nie wychodzić z bunkra wraz z lapkiem z wrażliwymi danymi, jak spin wspominał.
No ale powtórzę -- pytanie, jakie dane, jak wrażliwe. Shit, który Ulbricht miał na lapcoku ("pamiętnik") -> dżizas, po co to nosić, sure. Ale jakieś bieżące dokumenty, czy nawet czysto prywatne pliki -> chciałbym mieć takie zabezpieczenie, bo czasem muszę nad nimi posiedzieć gdzieś poza bunkrem.
hej,
W dniu 27 stycznia 2015 11:58 użytkownik rysiek rysiek@hackerspace.pl napisał:
Koniec końców osobiście wolałbym jednak wcale nie wychodzić z bunkra wraz z lapkiem z wrażliwymi danymi, jak spin wspominał.
No ale powtórzę -- pytanie, jakie dane, jak wrażliwe. Shit, który Ulbricht miał na lapcoku ("pamiętnik") -> dżizas, po co to nosić, sure. Ale jakieś bieżące dokumenty, czy nawet czysto prywatne pliki -> chciałbym mieć takie zabezpieczenie, bo czasem muszę nad nimi posiedzieć gdzieś poza bunkrem.
Otóż to! Bardzo dużo plików, które mamy na laptopach w jakiś tam sposób zawiera „wrażliwe” dane. Nie trzeba być Ulbrichtem od razu. Więc jeśli ktoś stoi na takim bardzo radykalnym stanowisku, że „wrażliwych danych nie wynosimy z domu” to w zasadzie trzeba mieć oddzielnego laptopa tylko do wynoszenia z domu, na którym nie będzie właściwie niczego (inb4 Kononowicz). I może to właśnie jest najprostsze rozwiązanie ;)
Taki laptop nazywa się desktop.
W zasadzie więcej wrażliwych danych ludzie ostatnimi czasy trzymają w telefonach.
Co do utrudniania sobie życia, właśnie ten patent ze słuchawkami BT BLE z akcelerometrem & żyroskopem do wykrywania twojego ruchu i automatycznym oraz ręcznym (przycisk) wyłączaniem dość mało by utrudniał moim zdaniem.
R.
On 2015-01-26 20:19, Radoslaw Szkodzinski wrote:
Pełnej krasy specops może podjechać vanem ze sprzetem do przechwytywania sygnałów radiowych.
A niepełnej krasy specops ukradnie ci laptopa jak nie patrzysz.
Z tego wynika że CIA = niepełnej krasy specops.
Co zatem jest pełnej krasy specopsem? Modyfikowani genetycznie japończycy z KGB na ritalinie z niemieckim sprzętem z przyszłości szkoleni przez mossad w siedzibie Google'a na marsie?
Wnioskuję o merge tego wątku z tym o tytułach filmów.
Sprytniejszy złodziej może dać "anonimowy" tip, jeśli zobaczy coś wartego. O ile pamiętam był minimum jeden przypadek skazania na podstawie dowodów ze skradzionego sprzętu.
Na ile bilionów ludzi? Tyle wygrać.
Ochroniarze też ludzie, też się mylą, da się ich przekupić, pozbyć tak samo jak właściciela. (Podobnie psa.) Defense in depth.
No mój pies wpierdala dolary jak zobaczy, więc wnioskuję że jest przekupny. Chociaż na euro szczeka, a na ruble robi 'bierz go', więc chyba ma bias jakiś.
c) jesteś na tyle głupi by pracować w miejscu publicznym na maszynie na któej masz dane sensitive,
Albo mądry. W miejscu niepublicznym ktoś ci może po prostu założyć torbę, strzelić tazerem, uśpić dowolnymi środkami etc. bo nie ma świadków. Wszystko zależy od tego, co robisz, komu podpadłeś i jak bardzo.
Nom, szczególnie w takim saferoomie czy coś jak to zwykli miewać bogaci ludzie co się dorobili na wywożeniu czołgów z rosji do afryki.
Już widzę jak wpada tam ten robo karaluch ze śmigłem od drona, zarzuca ci na głowę worek z nanoprzędzy grafenowej piszcząc z głośnika "poddaj się chuju!"
to sorry, to nawet gdybyś był tak wysportowany i miał taki refleks który pozwolił by Ci pochwycić i połknąć lecącą jaskółkę za pomocą odbytu bez draśnięcia jej włosem (in b4 dingleberries), to żadne słuchawki i bluetoothy nie zastąpią ci mózgu.
A żadna ilość mózgu przy fakapie nie zastąpi dobrze przygotowanego opsec.
Nie napisałeś jeszcze jednego.
Zawsze jest ryzyko że ktoś zrobi tak wspaniałego gumowego penisa/musztardę/hotdoga/hotwheelsa/program księgowy że jak ci go pokarze to poddasz się od razu z rozłożonymi nogami krzycząc 'BIERZCIE MNIE JESTEM WINNY'. Tu błąd tkwi w samym użytkowniku, jak sobie z tym poradzić? Dead man switch w rozruszniku serca?
Musztardę zrozumiem, hotwheels jeszcze jako tako, ale wolałbym umrzeć niż dostać erekcji od programu księgowego.
Dnia poniedziałek, 26 stycznia 2015 21:08:16 spin@hackerspace.pl pisze:
Musztardę zrozumiem, hotwheels jeszcze jako tako, ale wolałbym umrzeć niż dostać erekcji od programu księgowego.
http://i3.kym-cdn.com/photos/images/facebook/000/155/834/plz-stop-post.jpg
On 2015-01-26 21:22, rysiek wrote:
Dnia poniedziałek, 26 stycznia 2015 21:08:16 spin@hackerspace.pl pisze:
Musztardę zrozumiem, hotwheels jeszcze jako tako, ale wolałbym umrzeć niż dostać erekcji od programu księgowego.
http://i3.kym-cdn.com/photos/images/facebook/000/155/834/plz-stop-post.jpg
Zgadzam się, ten wątek jest bez sensu.
Próbujecie się zabezpieczyć przed sytuacją porównywalną do skoku ze spadochronem schrodingera, z dodatkową zmienną która określa liczbę zerwanych sznurków za pomocą liniowego generatora kongruencyjnego.
Nie lepiej zostać na ziemi i grać w starcrafta?
Dnia poniedziałek, 26 stycznia 2015 21:54:30 spin@hackerspace.pl pisze:
On 2015-01-26 21:22, rysiek wrote:
Dnia poniedziałek, 26 stycznia 2015 21:08:16 spin@hackerspace.pl pisze:
Musztardę zrozumiem, hotwheels jeszcze jako tako, ale wolałbym umrzeć niż dostać erekcji od programu księgowego.
http://i3.kym-cdn.com/photos/images/facebook/000/155/834/plz-stop-post.jpg
Zgadzam się, ten wątek jest bez sensu.
Próbujecie się zabezpieczyć przed sytuacją porównywalną do skoku ze spadochronem schrodingera, z dodatkową zmienną która określa liczbę zerwanych sznurków za pomocą liniowego generatora kongruencyjnego.
Nie lepiej zostać na ziemi i grać w starcrafta?
Nie lepiej przenieść się z takimi konstruktywnymi uwagami na waw-ot?
On 2015-01-26 21:56, rysiek wrote:
Dnia poniedziałek, 26 stycznia 2015 21:54:30 spin@hackerspace.pl pisze:
On 2015-01-26 21:22, rysiek wrote:
Dnia poniedziałek, 26 stycznia 2015 21:08:16 spin@hackerspace.pl pisze:
Musztardę zrozumiem, hotwheels jeszcze jako tako, ale wolałbym umrzeć niż dostać erekcji od programu księgowego.
http://i3.kym-cdn.com/photos/images/facebook/000/155/834/plz-stop-post.jpg
Zgadzam się, ten wątek jest bez sensu.
Próbujecie się zabezpieczyć przed sytuacją porównywalną do skoku ze spadochronem schrodingera, z dodatkową zmienną która określa liczbę zerwanych sznurków za pomocą liniowego generatora kongruencyjnego.
Nie lepiej zostać na ziemi i grać w starcrafta?
Nie lepiej przenieść się z takimi konstruktywnymi uwagami na waw-ot?
Ostatni mój post w temacie, ale chciałem zauważyć że ten wątek jest o próbie zabezpieczenia się przed wyrwaniem laptopa spod ręki przez agentów CIA podczas pracy nad danymi sensitive w miejscu publicznym.
Kontynuujcie proszę.
Dnia poniedziałek, 26 stycznia 2015 22:00:35 spin@hackerspace.pl pisze:
Nie lepiej zostać na ziemi i grać w starcrafta?
Nie lepiej przenieść się z takimi konstruktywnymi uwagami na waw-ot?
Ostatni mój post w temacie, ale chciałem zauważyć że ten wątek jest o próbie zabezpieczenia się przed wyrwaniem laptopa spod ręki przez agentów CIA podczas pracy nad danymi sensitive w miejscu publicznym.
Nie. Ten wątek jest o Rossie Ulbrichcie, opsecu, i rozważaniu różnych metod zabezpieczania się przed różnymi sytuacjami, w których dane mogą wyciec lub zostać wykradzione "fizycznie".
Pojawiło się przynajmniej kilka ciekawych wątków, np.: - urządzenie z BT, blokowanie ekranu lub szyfrowanych kontenerów gdy urządzenie "zniknie"; - "słuchawki" robiące de facto za dead man switch, blokowanie ekranu/kontenerów jak zostaną wypięte; - w ogóle konteneryzacja ważnych rzeczy i (duh) nie pracowanie nad ubersensitive data w miejscach, gdzie nie można sobie zapewnić chociaż minuty na ew. reakcję na zablokowanie/zniszczenie danych.
Pojawił się też shitpostujący spin, rozpierdzielający całkiem ciekawą miejscami dyskusję, bo jego zdaniem dyskutowanie [jego osobistej wersji] tego tematu jest #bezsensu.
Shitposting nawet czasem doceniam, jak wiesz, ale może nie na general@, eh?
Kontynuujcie proszę.
Will do.
On 2015-01-26 22:07, rysiek wrote:
- w ogóle konteneryzacja ważnych rzeczy i (duh) nie pracowanie nad ubersensitive data w miejscach, gdzie nie można sobie zapewnić
chociaż minuty na ew. reakcję na zablokowanie/zniszczenie danych.
Przepraszam, ale czuję się w obowiązku.
Martwi mnie to że ktoś wogóle rozważa pracę nad danymi sensitive w przestrzeni publicznej, czy to ze słuchawkami, czy to z magią na BT, czy konteneryzacją i szybkimi rękoma.
Tego się nie robi.
To jest rzecz tak bardzo podstawowa że ten wątek powinien być smutkaniem i/lub śmiechaniem z Ulbrichta za popełnienie tak debilengo błędu.
Jeżeli chcesz korzystać z danych sensitive w przestrznie publicznej, to robienie tego na urządzeniu o paradygmacie laptopa jest warte czterech shitpostujących spinów rozpieprzających nie wątek na liście HSowej, ale pasek na TVN24, aż dziw bierze że nikt nie wspomniał o założeniu na eran folii podwyższającej prywatność.
Pomijam już fakt że jedyne bezpieczne rozwiązanie hardware'owe dla danych o takiej skali szkodliwości powinno być customowe, dopasowane do warunków, i z zabezpieczeniem wielostopniowym zarówno informatycznym, elektronicznym jak i strukturalnym.
Rozważania w tym wątku są tak dziwne że raz po raz sprawdzam czy dzisiaj nie jest piątek wieczór.
A to ze słuchawkami już się kiedyś pojawiło AFAIR, więc so much origional omg.
Dnia poniedziałek, 26 stycznia 2015 22:21:14 spin@hackerspace.pl pisze:
Przepraszam, ale czuję się w obowiązku.
Niezamaco. Znacznie to lepsze, niż shitposting.
Martwi mnie to że ktoś wogóle rozważa pracę nad danymi sensitive w przestrzeni publicznej, czy to ze słuchawkami, czy to z magią na BT, czy konteneryzacją i szybkimi rękoma.
Tego się nie robi.
Nie, nie robi się. Ale dane nie muszą być ubersensitive. Mogę chcieć pracować nad not-so-sensitive data, ale być paranoikiem i mimo wszystko mieć jakieś dodatkowe zabezpieczenie poza szybkością rąsi.
Idzie o to, że dodatkowe zabezpieczenia zwiększają zakres danych, z jakimi mogę (gdy muszę) pracować w mniej-niż-idealnych warunkach. A to czasami jest istotne.
To jest rzecz tak bardzo podstawowa że ten wątek powinien być smutkaniem i/lub śmiechaniem z Ulbrichta za popełnienie tak debilengo błędu.
Ale przecież w dużej mierze jest.
Jeżeli chcesz korzystać z danych sensitive w przestrznie publicznej, to robienie tego na urządzeniu o paradygmacie laptopa jest warte czterech shitpostujących spinów rozpieprzających nie wątek na liście HSowej, ale pasek na TVN24, aż dziw bierze że nikt nie wspomniał o założeniu na eran folii podwyższającej prywatność.
A gówno. "Sensitive" nie jest zerojedynkowe. Jak wyżej -- im lepsze zabezpieczenia, z tym większym zakresem potencjalnie można pracować w tym mniej bezpiecznych środowiskach.
Pomijam już fakt że jedyne bezpieczne rozwiązanie hardware'owe dla danych o takiej skali szkodliwości powinno być customowe, dopasowane do warunków, i z zabezpieczeniem wielostopniowym zarówno informatycznym, elektronicznym jak i strukturalnym.
Noi zgoda. Porozmawiajmy o tym, czym mogłoby być.
Rozważania w tym wątku są tak dziwne że raz po raz sprawdzam czy dzisiaj nie jest piątek wieczór.
Nie jest.
A to ze słuchawkami już się kiedyś pojawiło AFAIR, więc so much origional omg.
Fajnie, ja nie widziałem, spin taki mądry i ściągnął całe Internety na dyskietkę, a się nie podzielił. Nie uszanowanko. Nie wow.
2015-01-23 21:41 GMT+01:00 antoszka antoni@hackerspace.pl:
Tako rzecze Radoslaw Szkodzinski (2015-01-23, 18:33):
A tak serio, ktoś ma jakieś dobre pomysły?
Ale kombinujecie. Dongiel USB na dyskretnym sznurku. Ktoś zabiera laptop – dongiel się wypina.
Bardzo oczywiste. Dostajesz po łapach za utrudnianie śledztwa czy coś takiego. Do tego bardzo wkurzające, bo jesteś przyczepiony sznurkiem do laptopa, nawet wstać i rozprostować kości nie można.
Tako rzecze Radoslaw Szkodzinski (2015-01-23, 21:43):
Ale kombinujecie. Dongiel USB na dyskretnym sznurku. Ktoś zabiera laptop – dongiel się wypina.
Bardzo oczywiste. Dostajesz po łapach za utrudnianie śledztwa czy coś takiego.
Nic podobnego.
Do tego bardzo wkurzające, bo jesteś przyczepiony sznurkiem do laptopa, nawet wstać i rozprostować kości nie można.
We wspomnianej sytuacji nie zostawiasz laptopa samopas anyway, coś za coś.
2015-01-23 19:54 GMT+01:00 Radoslaw Szkodzinski astralstorm@gmail.com:
Problem, jak zmusić dead man switch do zadziałania tak, aby nie było to uznane za blokowanie śledztwa.
Dead battery switch, polecam, sam używam (nieumyślnie :D). Praca na kabelku jest bardzo wygodna, laptop się nie wyłączy w wyniku zaniku prądu, bateria trzyma koło 5 minut.
2015-01-23 21:22 GMT+01:00 Piotr Machała pm7 hackerspace@933x.net:
Można to oczywiście rozszerzyć, np. używając akcelerometru w bucie i określonej (krótkiej) sekwencji
ukradli ci laptopa zacznij tańczyć
Może karta RFID leżąca pod laptopem? Jak ktoś go zabierze, to system zablokuje co trzeba. Akcelerometr w laptopie nadal brzmi najrozsądniej.
Dzielenie danych na kontenery jest też dość mądre. Będę musiał pewnego dnia wprowadzić tę metodę na moim systemie. I odblokowywać tylko on-demand; może jakaś integracja z FS?
-- Tracerneo
2015-01-24 0:14 GMT+01:00 Tracerneo ziolkoneo@gmail.com:
2015-01-23 19:54 GMT+01:00 Radoslaw Szkodzinski astralstorm@gmail.com:
Problem, jak zmusić dead man switch do zadziałania tak, aby nie było to uznane za blokowanie śledztwa.
Dead battery switch, polecam, sam używam (nieumyślnie :D). Praca na kabelku jest bardzo wygodna, laptop się nie wyłączy w wyniku zaniku prądu, bateria trzyma koło 5 minut.
2015-01-23 21:22 GMT+01:00 Piotr Machała pm7 hackerspace@933x.net:
Można to oczywiście rozszerzyć, np. używając akcelerometru w bucie i określonej (krótkiej) sekwencji
ukradli ci laptopa zacznij tańczyć
Może karta RFID leżąca pod laptopem?
Od razu tę kartę widać. Złodziej zwinie ją razem z laptopem. Musiałaby być wprost stykowa i niespodziewana, inaczej sobie podłoży kartkę i zwinie razem z RFIDem.
Jak ktoś go zabierze, to system zablokuje co trzeba. Akcelerometr w laptopie nadal brzmi najrozsądniej.
Akcelerometr w telefonie moim zdaniem lepszy. Niekoniecznie trzeba tańczyć. :3 Połączenie się samo zrywa.
Akcelerometr w laptopie w sumie też fajny, ale nie wierzę, abyś miał gdzie podpiąć taką atmegę, a dyski twarde są bardzo passe. W lapkach z reguły nie masz wewnętrznych wolnych USB, a mini-PCIe problematyczne (daj mi kontroler) i też często nima miejsca. Musiałby być dongiel USB zajmujący zewnętrzny port USB. Hmm... Ciekawe, co z używaniem laptopa w tramwaju/pociągu/samochodzie. Akcelerometr musiałby być dość mało czuły...
Dzielenie danych na kontenery jest też dość mądre. Będę musiał pewnego dnia wprowadzić tę metodę na moim systemie. I odblokowywać tylko on-demand; może jakaś integracja z FS?
Opisujesz Qubes OS. Jeszcze nie jest to zrobione, ale po prostu VM będzie suspendowane (do zaszyfrowanego pliku) normalnym mechanizmem Xen do migracji. Z integracją ze screen saverem.
2015-01-24 8:24 GMT+01:00 Radoslaw Szkodzinski astralstorm@gmail.com:
2015-01-24 0:14 GMT+01:00 Tracerneo ziolkoneo@gmail.com:
Dzielenie danych na kontenery jest też dość mądre. Będę musiał pewnego dnia wprowadzić tę metodę na moim systemie. I odblokowywać tylko on-demand; może jakaś integracja z FS?
Opisujesz Qubes OS.
Dokładniej to, co chcą zrobić.
Jeszcze nie jest to zrobione, ale po prostu VM będzie suspendowane (do zaszyfrowanego pliku) normalnym mechanizmem Xen do migracji. Z integracją ze screen saverem.
https://wiki.qubes-os.org/ticket/832
Bugi w Xen i Linuxie blokują te zadanie, ale było to testowane i działało w niektórych przypadkach. Możesz samemu to skleić. Ale na 100% da się to zrobić, ludzie migrują VM Xen bez problemu.
A gdyby zerwanie łączności Bluetooth z telefonem blokowało dostęp?
W dniu 24 stycznia 2015 08:29 użytkownik Radoslaw Szkodzinski < astralstorm@gmail.com> napisał:
2015-01-24 8:24 GMT+01:00 Radoslaw Szkodzinski astralstorm@gmail.com:
2015-01-24 0:14 GMT+01:00 Tracerneo ziolkoneo@gmail.com:
Dzielenie danych na kontenery jest też dość mądre. Będę musiał pewnego dnia wprowadzić tę metodę na moim systemie. I odblokowywać tylko on-demand; może jakaś integracja z FS?
Opisujesz Qubes OS.
Dokładniej to, co chcą zrobić.
Jeszcze nie jest to zrobione, ale po prostu VM będzie suspendowane (do zaszyfrowanego pliku) normalnym mechanizmem Xen do migracji. Z integracją ze screen saverem.
https://wiki.qubes-os.org/ticket/832
Bugi w Xen i Linuxie blokują te zadanie, ale było to testowane i działało w niektórych przypadkach. Możesz samemu to skleić. Ale na 100% da się to zrobić, ludzie migrują VM Xen bez problemu.
-- Radosław Szkodziński
General mailing list General@lists.hackerspace.pl https://lists.hackerspace.pl/mailman/listinfo/general
2015-01-24 15:58 GMT+01:00 Franek Maroszek f.maroszek@gmail.com:
A gdyby zerwanie łączności Bluetooth z telefonem blokowało dostęp?
Za mało. Jak już mówiłem, napastnik może wozić ciebie razem z laptopem dla pewności. (Przewidując m.in. zabezpieczenia biometryczne.)
Brakuje sposobu aby wyłączyć, nie budząc tym samym podejrzeń.
On 01/26/2015 11:41 AM, Radoslaw Szkodzinski wrote:
2015-01-24 15:58 GMT+01:00 Franek Maroszek f.maroszek@gmail.com:
A gdyby zerwanie łączności Bluetooth z telefonem blokowało dostęp?
Za mało. Jak już mówiłem, napastnik może wozić ciebie razem z laptopem dla pewności. (Przewidując m.in. zabezpieczenia biometryczne.)
Brakuje sposobu aby wyłączyć, nie budząc tym samym podejrzeń.
Przypomina mi się http://hackaday.io/project/2736-bionic-yourself-v20 :)
Dnia poniedziałek, 26 stycznia 2015 11:41:17 Radoslaw Szkodzinski pisze:
2015-01-24 15:58 GMT+01:00 Franek Maroszek f.maroszek@gmail.com:
A gdyby zerwanie łączności Bluetooth z telefonem blokowało dostęp?
Za mało. Jak już mówiłem, napastnik może wozić ciebie razem z laptopem dla pewności. (Przewidując m.in. zabezpieczenia biometryczne.)
Brakuje sposobu aby wyłączyć, nie budząc tym samym podejrzeń.
No właśnie dlatego taka zajebista pomysła to słuchawki. Słuchawek nikt nie podejrzewa. Also, można słuchawki przerobić tak, by: - wpinało się je w gniazdo mikrofonu - zapodawały jakąś częstotliwością (nie, nie są to już słuchawki, lol) tak, by wpięcie innego małego jacka nie robiło roboty - miały czujniczek tego, czy są założone na uszy, przy próbie zdjęcia -> shutdown.
2015-01-26 12:34 GMT+01:00 rysiek rysiek@hackerspace.pl:
Dnia poniedziałek, 26 stycznia 2015 11:41:17 Radoslaw Szkodzinski pisze:
2015-01-24 15:58 GMT+01:00 Franek Maroszek f.maroszek@gmail.com:
A gdyby zerwanie łączności Bluetooth z telefonem blokowało dostęp?
Za mało. Jak już mówiłem, napastnik może wozić ciebie razem z laptopem dla pewności. (Przewidując m.in. zabezpieczenia biometryczne.)
Brakuje sposobu aby wyłączyć, nie budząc tym samym podejrzeń.
No właśnie dlatego taka zajebista pomysła to słuchawki. Słuchawek nikt nie podejrzewa. Also, można słuchawki przerobić tak, by:
- wpinało się je w gniazdo mikrofonu
Chyba, że są bluetooth. Zresztą, gniazda są teraz combo 4-pin. Kłopot, jeśli chcesz używać mikrofonu od headsetu lub słuchawek.
- zapodawały jakąś częstotliwością (nie, nie są to już słuchawki, lol) tak, by wpięcie innego małego jacka nie robiło roboty
Hmm. Na >20kHz to nawet zsumowanie z mikrofonem jest ok, tylko musi być względnie odporne na szum. Można dać PRNG w odpowiednim watermarku i masz token. Szczególnie fajne z bezprzewodowymi, a wyjęcie słuchawek z uszu jest normalne, gdy ktoś do ciebie mówi. (Nie musi wiedzieć, że masz push-to-talk.) Bezprzewodowe mają powód posiadania zasilania.
Musiałyby mieć push-to-talk lub odpowiednik, aby dało się rozmawiać nie wyjmując ich z uszu. Kwestią otwartą jest ładowanie - musiałoby się dać podpiąć do nich kabelek ładowania bez wyjmowania z ucha...
W połowie zbiega się to z moim długofalowym projektem. (W dalszym planie ma mieć aktywny push to talk - mikrofony binauralne; BT nie planowałem wtedy jeszcze, za wąski na to jestem.)
- miały czujniczek tego, czy są założone na uszy, przy próbie zdjęcia -> shutdown.
Sensor pojemnościowy w odpowiednim miejscu.
Raczej lock. Maszyny nadal za długo startują na shutdown. Ale to kwestia preferencji.
E, specem od krypto nie jestem, ale niektóre pomysły są z komsosa :)
"Zrywki" fajne, ale jednak fizyczne - a co jeśli nie zadziała, wygoda etc. Ale idąc w tą stronę to jakiś automatyczny lock bazujący na odległości - np. komórka w kieszeni, nadająca sygnał. Przy pingu ileś tam lub oddaleniu się od lapciaka o x metrów komputer wybucha alboco. Lub podobne rozwiązanie; jeśli ktoś zabiera laptopa to raczej cię od niego separuje.
---- Wł. So, 24 sty 2015 08:24:25 +0100 Radoslaw Szkodzinskiastralstorm@gmail.com napisał(a) ----
2015-01-24 0:14 GMT+01:00 Tracerneo ziolkoneo@gmail.com:
2015-01-23 19:54 GMT+01:00 Radoslaw Szkodzinski astralstorm@gmail.com:
Problem, jak zmusić dead man switch do zadziałania tak, aby nie było to uznane za blokowanie śledztwa.
Dead battery switch, polecam, sam używam (nieumyślnie :D). Praca na kabelku jest bardzo wygodna, laptop się nie wyłączy w wyniku zaniku prądu, bateria trzyma koło 5 minut.
2015-01-23 21:22 GMT+01:00 Piotr Machała pm7 hackerspace@933x.net:
Można to oczywiście rozszerzyć, np. używając akcelerometru w bucie i określonej (krótkiej) sekwencji
ukradli ci laptopa zacznij tańczyć
Może karta RFID leżąca pod laptopem?
Od razu tę kartę widać. Złodziej zwinie ją razem z laptopem. Musiałaby być wprost stykowa i niespodziewana, inaczej sobie podłoży kartkę i zwinie razem z RFIDem.
Jak ktoś go zabierze, to system zablokuje co trzeba. Akcelerometr w laptopie nadal brzmi najrozsądniej.
Akcelerometr w telefonie moim zdaniem lepszy. Niekoniecznie trzeba tańczyć. :3 Połączenie się samo zrywa.
Akcelerometr w laptopie w sumie też fajny, ale nie wierzę, abyś miał gdzie podpiąć taką atmegę, a dyski twarde są bardzo passe. W lapkach z reguły nie masz wewnętrznych wolnych USB, a mini-PCIe problematyczne (daj mi kontroler) i też często nima miejsca.
mPCIe zawiera w pinoucie port USB. Tak działają wszystkie modemy 3g w laptopach.
hej,
W dniu 24 stycznia 2015 08:24 użytkownik Radoslaw Szkodzinski astralstorm@gmail.com napisał:
2015-01-24 0:14 GMT+01:00 Tracerneo ziolkoneo@gmail.com:
Może karta RFID leżąca pod laptopem?
Od razu tę kartę widać. Złodziej zwinie ją razem z laptopem. Musiałaby być wprost stykowa i niespodziewana, inaczej sobie podłoży kartkę i zwinie razem z RFIDem.
A może po prostu laptop „spięty” po blutufie z telefonem, który masz w kieszeni. W KDE 10 lat temu dało się to jednym kliknięciem zrobić.
On 2015-01-24 08:24, Radoslaw Szkodzinski wrote:
stykowa i niespodziewana
wstrząśnięta, niezmieszana.
Najlepiej zrobić ją na robocie na kółkach, i jak się krzyknie do tego robota "SPIERDALAJ ADWERSARZ!" to on ucieka poza zasięg karty RFID, dźwięki z gwiezdnych wojen opcjonalne.
On 2015-01-23 21:43, Radoslaw Szkodzinski wrote:
2015-01-23 21:41 GMT+01:00 antoszka antoni@hackerspace.pl:
Tako rzecze Radoslaw Szkodzinski (2015-01-23, 18:33):
A tak serio, ktoś ma jakieś dobre pomysły?
Ale kombinujecie. Dongiel USB na dyskretnym sznurku. Ktoś zabiera laptop – dongiel się wypina.
Bardzo oczywiste. Dostajesz po łapach za utrudnianie śledztwa czy coś takiego. Do tego bardzo wkurzające, bo jesteś przyczepiony sznurkiem do laptopa, nawet wstać i rozprostować kości nie można.
Noś luźne spodnie to rozprostujesz kość bez wstawania.
https://www.usenix.org/conference/usenixsecurity12/technical-sessions/presen...
Dnia wtorek, 27 stycznia 2015 16:33:39 piorek pisze:
https://www.usenix.org/conference/usenixsecurity12/technical-sessions/presen tation/bojinov
Mmm, dobre! Dzięki!
On Tue, Jan 27, 2015 at 4:33 PM, piorek piorek@hackerspace.pl wrote:
https://www.usenix.org/conference/usenixsecurity12/technical-sessions/presen...
Fajne, ale napastnik po prostu zmusi ciebie osobiście do zalogowania. Musi być sposób, aby "zalogować się" jednocześnie niszcząc login.
2015-01-28 20:32 GMT+01:00 Radoslaw Szkodzinski astralstorm@gmail.com:
On Tue, Jan 27, 2015 at 4:33 PM, piorek piorek@hackerspace.pl wrote:
https://www.usenix.org/conference/usenixsecurity12/technical-sessions/presen...
Fajne, ale napastnik po prostu zmusi ciebie osobiście do zalogowania. Musi być sposób, aby "zalogować się" jednocześnie niszcząc login.
Dodam jeszcze, że i tak możliwe do skopiowania. Trochę jak skomplikowany magiczny masoński uścisk ręki.
Jeszcze gorzej, nie testowali tego w przypadku, gdy użytkownik używa tej metody dzień w dzień, istnieje szansa, że będziesz lepszy. Ich wykres pokazywał logarytmiczną krzywą uczenia, gdzie się kończy?
R.
-
antoszka -
enki -
Franek Maroszek -
Jarosław Górny -
nycek -
piorek -
Piotr Machała pm7 -
Radoslaw Szkodzinski -
rysiek -
spin＠hackerspace.pl -
TeMPOraL -
Tracerneo -
Łukasz 'Cyber Killer' Korpalski