CryptFAST - Nouvelle version

Salut,

Tiens, juste quelques reflexions après 40' environ passées sur ton soft :

http://arnold.mcdonald.free.fr/pdf/Swisscrypt.pdf

J'aime toujours te voir t'attaquer aux algos "incassables".
Je me demandais depuis quelques temps si tu résisterais à l'appel de
SwissTruc. Je ne suis pas déçu.

Beau boulot, comme d'hab.
Je me demande quand même pourquoi tu as choisi de t'attaquer au
"chiffrement" et pas au stockage du mot de passe sur le dur. Comme le
but avoué de TrucFast est de protéger des données locales contre
quelqu'un ayant un accès, je me disais que le mot de passe est
probablement le point le plus faible. (même si en y regardant
superficielement, ça semble plus costaud que le chiffrement).

En tous cas belle réaction de SwissTruc qui n'a pas nié les faiblesses
soulevées, ça change.

Au passage, Raymond, si tu passes encore ici, je suis content de voir
qu'il y a eu du progrès. Même si tout n'est pas encore rose. Faut dire,
le rose faut aimer...

Bonne continuation,

--
Mister Jack (MJ)
"Dans quel état j'erre ?"

On Thu Jan 12 2006 at 17:55, --- SwissCrypt.com --- wrote:

Il ne faut pas confondre avec SwissCrypt qui est basé sur du
one-time pad.

http://michel.arboi.free.fr/cryptFAQ/snakeoil.html#vernam

"Les vendeurs d'huile de serpent vont essayer de s'appuyer sur la
force connue du masque jetable. Mais il est important de comprendre
que toute variation dans la réalisation signifie que ce n'est pas un
masque jetable et qu'on est loin de la sécurité d'un masque jetable. "

Mister Jack wrote:

Je me demandais depuis quelques temps si tu résisterais à l'appel de
SwissTruc.

Je ne connaissais absolument pas ce produit. Et puis, j'ai été éloigné de ce
forum un petit bout de temps :-(.

Je me demande quand même pourquoi tu as choisi de t'attaquer au
"chiffrement" et pas au stockage du mot de passe sur le dur.

Oh ça, c'est simple. Je n'avais pas plus d'une heure devant moi pour
titiller le truc mais, surtout, j'aime bien alterner les attaques. La
dernière fois, j'ai essayé de reconstituer les clés, cette fois-ci, de
montrer que le résultat chiffré était très très douteux et ne résisterait
pas longtemps à une étude sérieuse. La prochaine fois, je ferai du MITM ou
autre chose. C'est juste pour varier les plaisirs. C'est vrai que,
logiquement, il faudrait d'abord jeter un oeil au stockage des clés pour les
logiciels de ce style.

En tous cas belle réaction de SwissTruc qui n'a pas nié les faiblesses
soulevées, ça change.

Oui, j'avoue avoir été étonné par sa réaction. Qui sait, un jour on trouvera
autre chose que les procès, les insultes et autres propos démagogiques pour
remercier les gens comme, par exemple, Guillermito ?

PS : je cite Guillermito parce que j'ai un deal avec Guillermito. Chaque
fois que je cite Guillermito, le célèbre Guillermito hein, pas un
Guillermito quelconque, le Guillermito connu de tous, eh bien Guillermito,
ce cher Guillermito, il m'envoie 10 USD. Vive Guillermito !

--
Arnold McDonald (AMcD)

http://arnold.mcdonald.free.fr/

Décidemment, je commence à m'intéresser à ce groupe !!!
Dès que l'on ignore les baveux doués pour les critiques hargneuses et
les insultes, on peut envisager quelques échanges avec les gens corrects.
Et puis, il ne faut pas oublier les observateurs qui lisent, mais
n'interviennent jamais sur ce groupe.

C'est donc pour ces personnes que je publie encore ces quelques précisions :

CryptFAST
------------
Comme indiqué sur le site, ce produit n'a pas la prétention d'être d'une
solidité à toute épreuve. Il s'agit simplement de sécuriser rapidement ses
données. Il n'est donc pas nécessaire d'avouer des faiblesses de ce produit
puisque ses caractéristiques principales sont mentionnées clairement :
Chiffrement RC5 128 bits.
Donc, si un utilisateur a des exigences élevées, il ne s'intéressera pas
à ce produit.

SwissCrypt
------------
Ce produit n'est pas disponible en téléchargement et ne le sera jamais.
Le programme est différent pour chaque client. Il n'y a pas d'algorithme à
clé, mais un fichier des codes one-time pad. Le fichier d'origine est aussi
différent pour chaque client. Vingt minutes après la livraison au client,
ce fichier des codes est totalement renouvelé par le client. En tout
temps, le client peut renouveler totalement les fichiers des codes de
chacun de ses départements.
Les caractéristiques de ce système de renouvellement des codes fait que
le dépôt des sources et du fichier inital à la DCSSI ou auprès d'un tiers
de confiance est parfaitement inutile.
Ce produit n'est pas "vendu" aux entreprises françaises. Ce sont les
entreprises françaises qui "achètent" le produit à Genève. Il y a là
une nuance juridique de taille.

Le fichier des code est généré d'une manière aléatoire dite "cérébrale"
par opposition aux méthodes informatiques et mathématiques plus ou moins
prévisibles. Il peut atteindre plusieurs GB et n'est transmis qu'une
seule fois aux membres d'un groupe, lors de l'installation. Par la suite,
c'est un système de clé de mixage qui assure le renouvellement total du
fichier des codes.

Sur le site SwissCrypt, il est mentionné "Sécurité vérifiable". Cela
signifie qu'à partir d'un certain chiffre d'affaires, un client important
peut soit faire expertiser les sources, soit les obtenir.

Divers
------
Nous avons de nombreux autres projets. Dès que nous aurons les moyens
financiers nécessaires, nous lancerons un appel à collaboration sur ce groupe !!!

Il existe des produits gratuits : c'est bien.
Mais nous, nous devons encore gagner notre vie !

www.swisscrypt.com
jc

Pourquoi précise-tu cela sous mon intervention ? Je me contente juste de
faire un peu de sarcasme sur une de tes réponses à mon encontre, c'est pas
bien méchant. Tu dis que tu penseras un jour à rémunérer mon aide, moi, je
note juste que tu ne m'as même pas contacté en privé. C'est pour cela que je
parle de démagogie.

Comme déjà dit, je préfère largement ta réaction toute fois aux insultes,
procés et autre mauvaise foi qui sont légion dans de tels cas.

Enfin, il y a des moqueries à ton sujet parce que tu n'as visiblement pas
compris comment fonctionnait le milieu de la crypto. Tous les algos sont
publics, les sources sont disponibles, les progs sont testables, etc. C'est
la seule solution pour qu'un produit crypto soit qualifié de sûr. Toi, tu
n'agis pas ainsi. Or, le soft que tu mets à disposition montre déjà des
faiblesses dangereuses. D'où les réactions...

PS1 : et je n'ai passé que 40' sur ton produit. Imagine si j'étais payé
pour...
PS2 : le one-time pad, mal utilisé/codé, ça se casse aussi hein...

Bien cordialement,

--
Arnold McDonald (AMcD)

http://arnold.mcdonald.free.fr/

On Sat Jan 14 2006 at 16:21, --- SwissCrypt.com --- wrote:

Ce produit n'est pas disponible en téléchargement et ne le sera
jamais. Le programme est différent pour chaque client.

Un programme de chiffrement par un masque jetable, ça doit bien
prendre 10 lignes de C. Pourquoi l'acheter ?

Il n'y a pas d'algorithme à clé, mais un fichier des codes one-time
pad. Le fichier d'origine est aussi différent pour chaque client.

Encore heureux !

Vingt minutes après la livraison au client

Question bête : comment la "clé" est-elle protégée ?
Car si le masque jetable est incassable, il a un problème : celui de
distribution des clés énormes.

ce fichier des codes est totalement renouvelé par le client.

Comment ?

En tout temps, le client peut renouveler totalement les fichiers des
codes de chacun de ses départements.

Si vous n'aviez compris que la théorie de base, vous n'auriez pas
écrit "peut" mais "doit".
La clé ne doit être utilisée qu'une fois. Si elle est réutilisée, ça
se casse.
Je vous suggère de lire ceci :
http://www.ranum.com/security/computer_security/papers/otp-faq/

Les caractéristiques de ce système de renouvellement des codes fait que
le dépôt des sources et du fichier inital à la DCSSI ou auprès d'un tiers
de confiance est parfaitement inutile.

C'est pire que ça : vu la longueur des clés, largement supérieures à
128 bits, il faut une autorisation d'importation.
http://www.ssi.gouv.fr/fr/reglementation/regl_crypto.html

Le bureau crypto de la DCSSI va se fendre la poire quand il verra
la demande.

Ce produit n'est pas "vendu" aux entreprises françaises. Ce sont les
entreprises françaises qui "achètent" le produit à Genève. Il y a là
une nuance juridique de taille.

Ça ne règle pas le problème juridique. De toute façon, je ne vois
toujours pas pourquoi on achèterait 10 lignes de C.

Le fichier des code est généré d'une manière aléatoire dite "cérébrale"
par opposition aux méthodes informatiques et mathématiques plus ou moins
prévisibles.

Ah oui, autre problème du masque : la qualité de l'aléa. Je suppose
que vous ne voulez pas en dire plus.
Peut-être pourriez vous mettre à la disposition du groupe un tel
fichier d'aléa, histoire qu'on le torture un peu ?

Par la suite, c'est un système de clé de mixage qui assure le
renouvellement total du fichier des codes.

Donc ce n'est plus aléatoire ?

Sur le site SwissCrypt, il est mentionné "Sécurité vérifiable". Cela
signifie qu'à partir d'un certain chiffre d'affaires, un client important
peut soit faire expertiser les sources, soit les obtenir.

Je lui les donne, les 10 lignes de C.
Ah non, je n'ai pas le droit, autorisation de fourniture, tout ça...

La même chose en C++ (qu'est-ce que c'est baveux) :
http://www.aspheute.com/english/20010924.asp

Bonjour :-)

Comme indiqué sur le site, ce produit n'a pas la prétention d'être d'une
solidité à toute épreuve. Il s'agit simplement de sécuriser rapidement ses
données. Il n'est donc pas nécessaire d'avouer des faiblesses de ce produit
puisque ses caractéristiques principales sont mentionnées clairement :
Chiffrement RC5 128 bits.
Donc, si un utilisateur a des exigences élevées, il ne s'intéressera pas
à ce produit.

On peut vouloir à la fois mettre en sûreté raisonnable ses données et
les chiffrer rapidement. J'ai bien souvent l'occasion de chiffrer des
données peu importantes mais cruciales pour moi. En fait, proposez-donc
une interface simple pilotant gnupg et vous aurez le beurre et l'argent du
beurre. Surtout si le support est bon ; en effet, le gros frein au
chiffrement "personnel" est la complexité et les moultes précautions
dont il faut s'entourer. Avec une jolie interface, la sécurité sera
(au moins) "raisonnable" et "facile" d'accès.

Ce produit n'est pas disponible en téléchargement et ne le sera
jamais. Le programme est différent pour chaque client.

Comme ça, une faille trouvée chez un client ne pourra pas être déduite
chez un autre ? Ou alors, pour empêcher un concurrent d'acheter le
logiciel et de casser l'ensemble, pour lire les documents du concurrent ?
Ce n'est pas sûr, surtout si il n'y a que la clé qui change.

Il n'y a pas d'algorithme à clé, mais un fichier des codes one-time
pad.

C'est une question de vocabulaire, mais il y a forcément une clé. Même
si elle est incluse dans le logiciel "spécifique". J'aurais donc tendance
à penser que le couple (logiciel,clé) est spécifique à chaque client.

...
Les caractéristiques de ce système de renouvellement des codes fait
que le dépôt des sources et du fichier inital à la DCSSI ou auprès
d'un tiers de confiance est parfaitement inutile.

D'autant plus que ce n'est plus trop nécessaire maintenant.

Ce produit n'est pas "vendu" aux entreprises françaises. Ce sont les
entreprises françaises qui "achètent" le produit à Genève. Il y a
là une nuance juridique de taille.

Esperons que les entreprises françaises ne se méfient pas d'un logiciel
d'une "puissance étrangère" ;-)

Le fichier des code est généré d'une manière aléatoire dite
"cérébrale" par opposition aux méthodes informatiques et
mathématiques plus ou moins prévisibles.

Là, tout est dans le "plus ou moins". La méthode "cérébrale" fait tout
de même appel à un ordinateur, non ? Ou alors... non... je n'ose pas
imaginer ce que tu fais avec la tête :-o
J'ai beau chercher dans mon réseau (de neurones) je ne trouve pas trace
d'une méthode "cérébrale".

Il peut atteindre plusieurs GB et n'est transmis qu'une seule fois aux
membres d'un groupe, lors de l'installation. Par la suite, c'est un
système de clé de mixage qui assure le renouvellement total du fichier
des codes.

Ca me rappelle des souvenirs : En trop pie le source qu'à la fin on le
casse ;-)

Sur le site SwissCrypt, il est mentionné "Sécurité vérifiable". Cela
signifie qu'à partir d'un certain chiffre d'affaires, un client
important peut soit faire expertiser les sources, soit les obtenir.

Même pour des logiciels à code source disponible, comme gnupg,
l'expertise est délicate à faire. Pas parce que le programme serait
difficile à regarder, mais parce qu'il y a des parties mathématiques
qu'il faut vérifier.
Dur, donc.

...
Il existe des produits gratuits : c'est bien. Mais nous, nous devons
encore gagner notre vie !

Pas "gratuit". Mais "libre". Les produits estampillés "FREE" (en gros, en
gras, clignotant) sont systématiquement propriétaires, et donc avec une
fiabilité toute relative :
- algorithme non disponible : il faut avoir confiance envers l'éditeur
- code source non disponible : il faut avoir confiance envers le
développeur.
- code source non expertisé publiquement : il faut supposer que les
principes mathématiques sous-jacents ont bien été implémentés.


Bref, avec l'algo/sources/etc... on pourrait avoir de quoi utiliser notre
"temps de cerveau disponible" ;-)

Au plaisir :-)

--
Christophe HENRY
forumslkm.sbgodin@nerim.net (sans lkm)
GnuPG : 3922239E60036EC86BF7268A877C52AC 4883C02A

Les caractéristiques de ce système de renouvellement des codes fait que
le dépôt des sources et du fichier inital à la DCSSI ou auprès d'un tiers
de confiance est parfaitement inutile.

C'est pire que ça : vu la longueur des clés, largement supérieures à
128 bits, il faut une autorisation d'importation.
http://www.ssi.gouv.fr/fr/reglementation/regl_crypto.html

Rhâaa, je savais bien que j'avais dit une bétise. L'usage est libre mais
la fourniture est soumise à condition. Même si le logiciel est
distribué depuis un pays hors Union Européenne.
Enfin, je suppose que la clé est "strictement supérieure à 128 bits".
Ce qui, vu l'entropie réelle, n'est pas forcément atteint.

a+

--
Christophe HENRY
forumslkm.sbgodin@nerim.net (sans lkm)
GnuPG : 3922239E60036EC86BF7268A877C52AC 4883C02A

In article <43c830f9$0$2039$626a54ce@news.free.fr>, killspammers@free.fr
says...

PS : je cite Guillermito parce que j'ai un deal avec Guillermito. Chaque
fois que je cite Guillermito, le célèbre Guillermito hein, pas un
Guillermito quelconque, le Guillermito connu de tous, eh bien Guillermito,
ce cher Guillermito, il m'envoie 10 USD. Vive Guillermito !

Oui mais euh, ça va se voir, là.

[Non, monsieur le juge, c'est une plaisanterie, je ne paie personne pour citer
mon nom. En fait, des fois, on s'amuse sur Usenet, et on raconte des conneries,
vous voyez, parce que ça nous fait rire une minute. On est des déconneurs,
nous, vous voyez, et Usenet, c'est parfois un peu comme le bar du coin, on se
détend entre deux réponses sérieuses, vous voyez. Hum.]

--
Guillermito
http://www.guillermito2.net

Guillermito wrote:

On est des déconneurs, nous, vous voyez,

Wé O|| 351 d3s dj3|_|\|5 h4cK3r5* et défois on dékon tro sévair. kikoo
lol.

PS : les juges comprennent-ils l'humour Overlord/uberl33t (c) 2006 ? Les
paris sont ouverts...

--
Arnold McDonald (AMcD)

http://arnold.mcdonald.free.fr/