Narodowy Szyfrator

Wstęp

Dziś media przywitały mnie doniesieniem, iż Polska dysponuje bronią ostateczną. Wunderwaffe wyprodukowana została przez WAT do spółki z WASKO SA. Ma być czymś na miarę współczesnej Enigmy. Chociaż urządzenie rzeczywiście może być dobre, to media mam wrażenie przesadzają i nakręcają się niepotrzebnie. Tym samym wg mnie szkodzą. W tym artykule nie ma nic szczególnie odkrywczego, ale a nuż urodzi się z tego ciekawsza dyskusja niż na forum gazety.pl :)

Jak zwykle w takich sytuacjach, można spotkać opinie, że pudełko jest bezpieczne m.in. dlatego, że zastosowane metody kryptograficzne są tajne. Powszechnie uważane za bezpieczne RSA i AES są jawne. Za to karty MIFARE są super tajne.

Utrzymanie w tajemnicy konstrukcji pewnie rzeczywiście spowoduje, że atakujący będzie musiał zakupić więcej skrzynek do testów, by w końcu się dostać do środka nie powodując utraty klucza.

Najpełniejszy obraz tego, co siedzi w środku, póki co dały mi dwa wywiady:

• radiowy - z panem Jerzym Gawineckim, który jest mózgiem operacji,
• wideo - z panem Krzysztofem Mańkiem oraz Jerzym Gawineckim.

Pierwszy zgrałem z radia i udostępniłem. Mam nadzieję, że nie łamię przy okazji prawa.

Drugi dostępny jest na stronie gazety.pl.

Na podstawie wywiadów...

Argumentem za użyciem takiego urządzenia ma być m.in. niedawny przypadek wielkiego wycieku danych do Wikileaks. Tak mówi pan Gawinecki w wywiadzie wideo. Obawiam się jednak, że to nie był problem technologii, ale sposobu obchodzenia się z tajnymi danymi. Co jest bliższe wersji przedstawianej przez tego samego człowieka w wywiadzie radiowym. Chociaż sprzętowa kryptografia, o ile wiem, może być bezpieczniejsza niż realizowana przy pomocy PCeta.

Jakiś szyfr asymetryczny w środku wykorzystuje krzywe eliptyczne. Martwi nieco stwierdzenie, że użyto tajnych "własnych koncepcji (bezpiecznych) opartych na krzywych eliptycznych". Wywiad sugeruje, że algorytmu nie widział nikt spoza WAT.

Użyty szyfr symetryczny to AES-256. Też można się zastanawiać, czy modyfikacja względem "wadliwej" realizacji NSA nie powoduje innych nowych możliwości ataku.

Co do FPGA - może jest to jakaś nowość ze względu na konkretnie tu użyty sprzęt. Bo samo FPGA w kryptografii nie jest nowe. Mój współlokator w ramach pracy inżynierskiej realizował taki projekt. Z radości - dzięki FPGA można przeprogramować urządzenie, by realizowało jakikolwiek inny algorytm.

Propozycja, by pan redaktor łączył się z bankiem przy pomocy tego urządzenia po drodze nie wydaje się szczególnie dobra. I tak najsłabszym ogniwem byłby sam system operacyjny pana redaktora. A póki co mechanizmy kryptograficzne zaimplementowane w przeglądarkach powinny wystarczyć.

Uzupełnienie 01.2014

Dla porządku jeszcze wrzucam link do czegoś, co jest konkurencją lub rozwinięciem powyższego urządzenia. Oto CompCrypt ETA MIL 10P N7, zawierający "niejawny algorytm szyfrujący", który powoduje, że jest on "nie do złamania".

Odnośnie natomiast komentarza dotyczącego krzywych eliptycznych - inaczej, niż zasugerowano mi to w komentarzu poniżej, nie są z zasady one odporne na łamanie. Niestety okazuje się też, że ufam NIST nieco na wyrost. Co prawda dobierają krzywe tak, by było bezpiecznie, ale z tym drobnym zastrzeżeniem, że bezpieczeństwo być może gwarantuje między innymi to, że NSA sprawdza, czy aby nie spiskujemy.

Bank BPH - kilka powodów, by nie mieć tam konta

Współpraca

Tym razem chciałbym się podzielić wrażeniami z posiadania oraz pozbywania się konta w banku BPH.

Kilka lat temu założyłem konto Student w BPH. Akurat obowiązywała promocja polegająca na tym, że prowadzenie konta kosztowało 0 PLN. Chociaż był oczywiście haczyk. Od posiadacza bank wymagał wpływów w wysokości minimum 50 PLN miesięcznie. W przeciwnym wypadku mógł ukarać klienta kwotą liczoną w tysiącach PLN. I co to znaczy, że bank może mnie ukarać? To jest konkretny regulamin, czy go nie ma?

Chociaż klauzula ta brzmiała szatańsko, to 50 PLN nie jest jednak kwotą szczególnie wygórowaną.

Wtedy jeszcze korzystałem z systemu operacyjnego z okienkiem w logo. Światły dział informatyczny banku zadbał przede wszystkim o takich klientów. By dokonać przelewu przy pomocy przeglądarki Firefox, należało zainstalować magiczny dodatek od BPH służący do podpisywania przelewów. Już było zabawnie.

Jednak prawdziwa rozrywka zaczęła się po zmianie systemu na GNU/Linux. W tym przypadku przede wszystkim potrzebna była Java. Ponieważ szczerze nie znoszę środowiska programistów Javy, już na powitanie był powód, by pod nosem wydać z siebie kilka niecenzuralnych fraz.

Jak każdy programista Javy wie, język ten jest wszechstronny, szybki i przenośny. Dlatego właśnie na systemie skonfigurowanym z locales na pl_PL.utf8 nie dało się wykonać przelewu. Okazało się, że cały ten syf działa dopiero po ustawieniu locales na latin-2. Żeby jeszcze było to napisane w instrukcji...

Z biegiem miesięcy robiło się coraz lepiej. Po którejś aktualizacji oprogramowania utraciłem możliwość wykonywania przelewów. Aplikacja Javowa po prostu zawieszała mi Firefoksa. Zacząłem więc szukać jakiegoś zestawu wersji programów, dla którego wykonanie przelewów jednak mogło się udać. Okazało się, że Opera 9 + Java 1.5 jest takim zestawem. Warto wspomnieć, że w tym czasie Opera 10 i Java 1.6 nie były świeżynkami.

Jako anegdotkę można wspomnieć fakt, że w międzyczasie z panelu internetowego zniknęła mi karta płatnicza, chociaż nadal działała i jak najbardziej obciążała mi konto.

Likwidacja

Pewnego dnia okazało się, że pewnie niedługo skończę jednak studia i pewnie przestając być studentem naruszyłbym jakiś punkt umowy z bankiem. Postanowiłem więc, że zakończę współpracę. Założyłem konto u konkurencji. Nadszedł więc czas na zerwanie umowy i wyniesienie pieniędzy.

Wniosek trzeba było złożyć w placówce. Zdaje się, że istotne było, bym złożył wniosek koniecznie w tej placówce, gdzie konto zakładałem. Szczęśliwie dojazd nadal jest dogodny.

Przyszedłem więc do placówki i zakomunikowałem, że chciałbym zakończyć współpracę. Dostałem do podpisania wniosek. Pani trochę sobie poklikała i postukała w klawiaturkę. Dosłownie kilka sekund po tym jak stwierdziła, iż dokonało się dzieło, wysiadł w placówce prąd. Gdy nóżka powija się takim tandeciarzom, mą głowę zalewają endorfiny. Jednak z drugiej strony... Przecież to placówka w centrum Warszawy, a nie mają sprawnych UPSów?! Grubo. Za chwilę komputery zaczęły się z powrotem włączać. Wszystkie z systemem, którego nazwy nie wymienię, a jakże -- wiadomo przecież, że jest najbezpieczniejszy na świecie i warto go użyć w banku.

Popełniłem niestety przy okazji błąd. Co prawda na swojej kopii wniosku o likwidację miałem stempel z datą, nie wpisałem jednak daty na wniosku, który dostał bank. O efektach tego niedopatrzenia za moment.

Tymczasem stwierdziłem, że skoro likwidują mi konto, to może uda się atomowo przeprowadzić operację "zamknięcie konta + przelanie środków". Nic podobnego. Pani zakomunikowała, że może mi pieniądze wypłacić na miejscu. Mogę też dokonać przelewu za 8 PLN. Nie będąc świadomym tego, że przez miesięczny okres wypowiedzenia będę dysponował panelem internetowym i będę mógł sam wykonać przelew, zgodziłem się na potrącenie mi tych 8 PLN i wyzerowanie konta. Jak się później okazało pani w banku nie umie liczyć, bo konto nie zostało opróżnione do zera, troszkę zostało. Na kilka bułek, gdybym zgłodniał wieczorem.

To zabawne, tym bardziej że pani pogroziła, że jeśli konto w dniu próby jego zamknięcia nie będzie wyzerowane, to nie zostanie zamknięte. I tym samym dojdą nowe problemy.

Oczekiwanie

Po miesiącu konto nadal nie było zamknięte, więc zadzwoniłem kilka razy na infolinię, żeby dowiedzieć się, co jest grane. Przy okazji okazało się, że bank w międzyczasie zaczął potrącać 35 groszy za kody jednorazowe wysyłane SMSem. Nie udało mi się natomiast ustalić przy pomocy infolinii, czy BPH nie raczy mi przez ten miesiąc naliczyć jakichś opłat albo czy w ostatniej chwili nie wyliczy jakichś odsetek i tym samym uniemożliwi zamknięcie konta.

Okazało się również, że w systemie rzekoma data złożenia wniosku o likwidację konta jest odległa o dwa tygodnie od daty, którą mam na swojej kopii wniosku.

Ten porządek w dokumentach skłonił mnie do kolejnych odwiedzin w placówce. Zapytałem panią, czy mogłaby mi wydrukować jakieś potwierdzenie z systemu. Pani zaczęła od odpalenia arkusza w Excelu, który udostępniony był po SMB w sieci lokalnej. To już była kupa radości. Ale brnąłem dalej. Pani sprawdziła jeszcze w jednym z systemów, których w BPH dostatek (webowy, niebieski dosopodobny i nie wiadomo, co jeszcze). No i tu się pojawia kwestia wydruku z tego systemu. Ostatecznie pani wybrała następującą procedurę:

1. Wyrównujemy suwakiem okna Internet Explorera zakres treści
2. Wciskamy Print Screen na klawiaturze
3. Dziwimy się, że się nie wydrukowało
4. Otwieramy Worda
5. Wklejamy schowek do Worda
6. Drukujemy

Coś pięknego. Na wniosku kupa fajnych rzeczy, ale brak stwierdzenia, że któryś z kodów oznacza wniosek o likwidację czegokolwiek. Wśród adnotacji coś, że się nie kwalifikuję do czegoś tam. Też mi nowina, WKU już mi to wcześniej powiedziało.

Finisz

Mniej więcej po miesiącu od daty, którą miała w notatniku Szkolna Kasa Oszczędnościowa, konto zniknęło z panelu internetowego. No i pojawiła się kwestia. Skoro nie mam już konta, to dlaczego mam jeszcze dostęp do panelu? Pani na infolinii nie była mi w stanie odpowiedzieć z całą pewnością, bo z jakiegoś powodu nie mogła sprawdzić, czy mam produkty inwestycyjne. Ostatecznie stwierdziła, że to błąd banku. Poszedłem więc po raz trzeci do placówki i poprosiłem o odcięcie mi dostępu do panelu. Teraz poczekam. Jeśli przez najbliższy rok nie przyjdzie żadne żądanie zapłaty, uznam, że bankowi wreszcie udało się zamknąć konto.

Bardzo Piękna Historia.

Przy okazji dodam, że heurystyka w banku ING dotycząca kwalifikacji "przelew fajny/przelew podejrzany" jest dużą ciekawostką. Bo jak wszyscy wiedzą -- najlepsze bezpieczeństwo uzyskuje się poprzez utajnienie algorytmu (najlepiej własnej produkcji).

Pomoc, Dźwigowa

Wyjątkowo telewizja nie kłamie. To, co dzieje się teraz podczas prób ucieczki z Ursusa to tortura. 189 z objazdem nie wiadomo po co wokół PKP Włochy, magicznie zamieniający się w 189 na Sadybę podczas kilkusekundowego postoju. 129 nie jeździ, bo nie przedostałby się pod wiaduktem. Z-9 to jakiś ponury żart. Wydostać się rano przez Popularną? Nie ma co próbować bez maszynki do golenia. SKMek na PKP Włochy nie widać. Same KM, wszystkie zapchane. Wersję obrazkową zapewnia TVN Warszawa w swoich dwóch reportażach.

No to teraz można czekać na zakończenie jednoczesnych prac na Dźwigowej, na torowiskach i przy estakadzie przy wylocie z Kleszczowej...

Pole Mokotowskie z wysypiskiem śmieci w tle

To już 6 lat jak mieszkam w warszawskim akademiku Politechniki. W pobliżu znajduje się całkiem ładny i duży park zwany Polem Mokotowskim (nie "Polami Mokotowskimi"). Niestety jego część stanowi teren MPO, czyli tych ludzi, którzy wożą śmieci. Tak się składa, że oficjalnie jest to baza MPO. Nieoficjalnie smród w okolicy jest ciężki. Szczególnie w ciepłe dni po deszczu. Chmura odoru niesie się kilkaset metrów. Napisałem więc do MPO i Urzędu Miasta z zapytaniem, co oni na to. List brzmiał tak:
❴

Witam,

piszę, ponieważ ręce mi już opadają. Co roku z terenu MPO na Polu Mokotowskim dobywa się nieprzyjemny zapach. Niestety w tym roku, gdy często po dniu deszczowym, następuje dzień słoneczny i ciepły, to coś składowane na w/w terenie gnije wyjątkowo dobrze, a smród staje się nie do zniesienia. Teren śmierdzi jak pospolite wysypisko śmieci. Mało tego, że ciężko przejść czy przejechać główną alejką bez odruchu wymiotnego, to gdy wiatr jest "sprzyjający", woń czuć w okolicach ul. Waryńskiego.

Chciałbym wiedzieć, czy nie martwi UM, że tarzają się w tej zupie dzikie zwierzęta i roznoszą nie wiadomo co po okolicy. Co z wodami gruntowymi? Czy nie jest przypadkiem tak, że ekstrakt z odpadów trafia wraz z wodą do licznych zbiorników wodnych w parku?

Chciałbym wiedzieć, czy UM zamierza coś z tym zrobić, czy skończy się tradycyjnie na obietnicach.

Żeby docenić ten fetor, polecam udać się w cieplejszy dzień na Pole Mokotowskie. Ekstremalne doznania gwarantowane.

❵ I wbrew mym oczekiwaniom doczekałem się dwóch odpowiedzi. Od MPO:
❴

Szanowny Panie,

Dziękuję za maila. Uprzejmie informuję, że zgodnie z uchwalonym przez Radę Miasta Stołecznego Warszawy planem zagospodarowania przestrzennego Pola Mokotowskiego z dnia 18 czerwca 2009 r. nr LVII/1706/2009 r., na mocy którego ustalono ukształtowanie terenu przy ul. Niepodległości 213, jako zespołu terenów parkowych, zieleni urządzonej oraz towarzyszących obiektów sportowych i usługowych oraz mając na uwadze fakt, że jest to teren rekreacyjny, Spółka podejmuje działania w zakresie przeniesia swojego Zakładu z tego terenu. Jesteśmy w trakcie pozyskiwania nowego terenu do realizacji zadań w zakresie zimowego i letniego oczyszczania miasta. Chcemy, aby przeniesienie nastąpiło jak najszybciej.

W przypadku dodatkowych pytań służę pomocą.

❵ Oraz od Urzędu Miasta:
❴

OŚ-II-GCI-0717/22-1/10
Warszawa, dnia 20 lipca 2010 r.

Dot. maila z dnia 20 czerwca 2010 r. w sprawie uciążliwości zapachowych odczuwanych w okolicy Pola Mokotowskiego.

W nawiązaniu do ww. maila, Biuro Ochrony Środowiska informuje, że Pana skarga przekazana została do Miejskiego Przedsiębiorstwa Oczyszczania w m.st. Warszawie Sp. z o.o. oraz do Biura Nadzoru Właścicielskiego Urzędu m.st. Warszawy, sprawującego nadzór nad tym przedsiębiorstwem, z prośbą o ustosunkowanie do stawianych zarzutów.

W dniu 7 lipca 2010 r. MPO Sp. z o.o. złożyło wyjaśnienie, że nastąpiło czasowe, nieplanowane nagromadzenie odpadów komunalnych na terenie Dzielnicowego Zakładu Oczyszczania Z-2 przy al. Niepodległości 213, w wyniku blokady dojazdu na składowisko „Łubna”, przez jedną z organizacji ekologicznych.

Ponadto, składając powyższe wyjaśnienie Spółka poinformowała, że podjęła w  trybie pilnym działania zmierzające do zapewnienia alternatywnych miejsc zagospodarowania odpadów i zawarła umowę na ich wywóz. Do czasu wywiezienia wszystkich nagromadzonych odpadów, stosowane są środki usuwające niepożądane zapachy, jednak panujące od pewnego czasu wysokie temperatury mogą powodować w ograniczonym czasie ich mniejszą skuteczność.

Jednocześnie informuję, że Zarząd Spółki podjął działania w celu znalezienia nieruchomości na terenie Warszawy, na którą przeniesiona zostanie działalność Dzielnicowego Zakładu Oczyszczania Z-2 przy al. Niepodległości 213. Zgodnie z oświadczeniem Biura Nadzoru Właścicielskiego, pozytywne rozstrzygnięcia w tej kwestii powinny zapaść w najbliższych miesiącach.

❵ Czyli wreszcie oficjalnie wynika z pisma, że odpady bywają na tym terenie, a nie jest to jedynie parking. Zobaczymy, czy w ciągu najbliższych miesięcy rzeczywiście MPO pożegna się z terenem, czy też może znów przeszkodzą ekologiczni partyzanci stacjonujący gdzieś tu w okolicy.