W tym ćwiczeniu naszym celem jest atak na uproszczoną implementację SRP. Będziemy występowali w roli „man in the middle”, ale dla uproszczenia nie będę w tym wypadku implementował rozwiązania z udziałem trzech stron (klient <-> atakujący <-> serwer) i ograniczę się do komunikacji klient <-> atakujący. Miałem spory problem z tym zadaniem ponieważ na początku… Dowiedz się więcej »
Zgodnie z tradycją, w poprzednim zadaniu zapoznaliśmy się z jakąś super technologią a teraz będziemy poznawali sposób w w jaki można spróbować obejść jej zabezpieczenia. Ostatnio przyglądaliśmy się protokołowi SRP i to on będzie naszym dzisiejszym celem, wykorzystana technika będzie podobna do tych które poznaliśmy przy okazji ćwiczeń związanych z protokołem Diffiego-Hellmana, ale to chyba… Dowiedz się więcej »
W tym zadaniu zapoznajemy się z protokołem Secure Remote Password. Protokół dział wykorzystując ideę podobną do tej zgodnie z którą działa protokół Diffielgo-Hellmana i pozwala w bezpieczny sposób uwierzytelniać się np. na serwerze. W związku z tym, że samo zadanie polega na implementacji poszczególnych kroków podanych przez autorów, wklejam od razu swoją implementację poniżej: Powyższa… Dowiedz się więcej »
Kolejne zadanie to tak właściwie kontynuacja albo rozwinięcie tego co robiliśmy ostatnio z tym, że zamiast modyfikować wartości kluczy publicznych tym razem zmieniamy wartość g, czyli liczby, która podnoszona jest do potęgi w czasie wykonywania protokołu Diffiego-Hellmana. Naszym zadaniem jest przeprowadzenie testu i sprawdzenie trzech przypadków:1. g = 1,2. g = p,3. g = p-1.W… Dowiedz się więcej »
W poprzednim ćwiczeniu poznaliśmy zasadę działania algorytmu Diffiego-Hellmanaa teraz musimy odtworzyć scenariusz ataku typu „man-in-the-middle” ze wstrzykiwaniem parametru. Brzmi dość skomplikowanie, ale zasada działania jest bardzo prosta. Atak typu man-in-the-middle (w dalszej części opisu będę posługiwał się skrótem MITM) polega na tym, że strony nie komunikują się ze sobą bezpośrednio i nie są tego świadome.… Dowiedz się więcej »
To zadanie to tak na prawdę dwa dwa poprzednie zadania połączone w całość, z tym że tym razem zamiast algorytmu SHA-1 zajmiemy się algorytmem MD4. Pierwsza rzecz, którą należy zrobić to znalezienie opisu algorytmu MD4. Ja skorzystałem z dokumentu RFC1320, który można znaleźć pod adresem https://tools.ietf.org/html/rfc1320. Różnica pomiędzy MD4 a SHA-1, która jako pierwsza rzuca… Dowiedz się więcej »
Po tym jak w poprzednim zadaniu, stworzona została implementacja SHA-1 czas na użycie jej do zaprezentowania podatności tego algorytmu. Zadanie polegać będzie na dodaniu nowej zawartości do danych zabezpieczonych wartością MAC wygenerowaną przy pomocy SHA-1 i obliczeniu nowej poprawnej wartości MAC. Przed przystąpieniem do tego zadania trzeba będzie zmodyfikować implementację algorytmu SHA-1. Można zauważyć, że… Dowiedz się więcej »
Tym razem pozornie mało kreatywne ćwiczenie, żeby nie powiedzieć odtwórcze, ale warto jest się do niego przyłożyć i postarać się jak najlepiej zrozumieć co dokładnie robi algorytm który mamy zaimplementować. W tym zadaniu naszym celem jest implementacja algorytmu SHA-1 i nie wystarczy użyć gotowej implementacji oferowanej przez język programowania, którego używamy do rozwiązywania tych ćwiczeń.… Dowiedz się więcej »
Tym razem bardzo proste ćwiczenie, pokazujące jedną ze słabości trybu CTR – podatność na przestawiania wartości bitów zaszyfrowanej wiadomości. Brzmi to banalnie, bo przecież atakujący nie dowie się dzięki temu jaka była treść zaszyfrowanej wiadomości, ale jak już przekonaliśmy się w ćwiczeniu 16 (https://koltys.info/blog/2020/08/06/cryptopals-zestaw-2-cwiczenie-16/) nie zawsze chodzi o to, żeby odkryć zawartość, czasami wystarczy ją… Dowiedz się więcej »
Nowy, czwarty już, zestaw ćwiczeń zaczynamy od powrotu do AES w trybie CTR. Po raz kolejnym musimy odszyfrować tekst zaszyfrowany wyżej wymienionym sposobem. Zgodnie z tradycją zanim przystąpimy do odszyfrowywania sekretu musimy najpierw przygotować sobie wyrocznię, którą będziemy „atakowali”. Założenia są następujące: Wyrocznie przechowuje sekret, a użytkownik może otrzymać jego zaszyfrowaną postać. Użytkownik może modyfikować… Dowiedz się więcej »