From: Ahmet Aksoy (ahmetax@axtelsoft.com)
Date: Fri 18 Jun 2004 - 13:35:49 EEST
Sayın Acar,
Uyarılarınıza katılmamak mümkün değil.
Ancak, önceki mesajımda da belirttiğim gibi, amacım sadece bazı bilgilerimi
meraklı bakışlardan uzak tutmaya çalışmak.
Anahtar'dan kastım da dediğiniz gibi "şifre" aslında. Anahtarın kendisini
sanıyorum ki bahsettiğim rutin kendisi üretiyor. Kullandığı anahtarlar da
genellikle 128 bitlik.
Aynı anahtarla şifrelenmiş kayıtların daha kolay çözülebileceği de doğru.
Bunu zorlaştırmak için, gerçeklerinin yanısıra veritabanının içine sahte
kayıtlar serpiştirilebilir diye düşünüyorum.
Ancak son söz yine şu:" Bir kilit varsa, mutlaka onu açacak bir çilingir de
bulunur."
İyi çalışmalar.
Ahmet Aksoy
----- Original Message -----
From: "Can Erkin Acar" <can.acar@pro-g.com.tr>
To: <linux-guvenlik@liste.linux.org.tr>
Sent: Friday, June 18, 2004 11:52 AM
Subject: [linux-guvenlik] Re: Hangi sifreleme yontemini secmeli -2
Ahmet Aksoy wrote:
>Tekrar merhaba,
>Onceki mesajımdan sonra, ufak tefek birkac deneme yaptim.
>Son durum soyle: Sifrelemek istedigim bilgiler zaten boyut olarak pek bir
>sey tutmuyor.
>Sadece bazi memo alanlarini sifreleyecegim.
>Sozkonusu yazilim da zaten genelde kendi kayitlarimi tutmak için
kullandigim
>gunluk notlar, adres bilgileri vb iceren bir tur ajanda.
>Ustelik sifreleyecegim bilgiler de devlet sirri degil.
>Bu nedenle 3DES yontemiyle baslamak pratik gorunuyor.
>
>
Bu noktada, yazilimlarin asla olmedigini, ve sistemlerdeki en buyuk
guvenlik aciklarinin yazilimlarin gelistirilme amacinin ve hedeflerinin
disinda kullanilmasindan kaynaklandigini hatirlatmakta yarar var.
Birgun bu gelistirdiginiz cozumu siz (ya da bir baskasi) daha
onemli/kritik bilgileri sifrelemek icin kullanmaya kalktiginda
muhtemelen yukarida yazili tasarim kriterleri unutulmus olacaktir :)
>TurboPower'in, "TripleDESEncryptStringEx" gibi dogrudan string sifreleme
>ve cozmeye yonelik fonksiyonlari var.(Open source.) Bunlari kullanacagim.
>Kaydi sifrelerken kullandigim anahtar hicbir yere kaydedilmeyecek.
>O kaydi acmak istedigimde gereken anahtari yine ben verecegim.
>
>
Anahtar diyerek 'sifre' bir kelime veya karakter dizisi kastettiginizi
dusunuyorum. Bu ikisinin farkli oldugunu hatirlatmak isterim.
ayni uzunlukta bir 'sifre' ile bir sifreleme anahtarinin icerdigi
entropy (rastgelelik diyelim) cok farklidir.
ornegin 8 karakterlik 'saglam' olarak uretilmis bir anahtar yaklasik
64 bit bir entropy icerirken ve kirmak icin 2^63 ~ 1e19
deneme yapmak gerekecekken 8 karakterlik bir 'sifre'
yaklasik 18-20 bit rastgelelik icerir yani yaklasik 1e6.
Aradaki farka dikkatinizi cekerim.
Size bir algoritma oneremeyecegim, cunku konunun uzmani sayilmam.
Sadece pek cok durumda ayni anahtarla sifrelenmis birden fazla
bilgi bulunmasinin bu bilgilerin kirilmasini kolaylastirdigini hatirlatayim.
Butun bu nedenlerden dolayi, eger bulabilirseniz kendini kanitlamis
hazir bir cozum bulup onu kullanmanizi siddetle tavsiye ederim.
Iyi calismalar
Can E. Acar
--- Outgoing mail is certified Virus Free. Checked by AVG anti-virus system (http://www.grisoft.com). Version: 6.0.699 / Virus Database: 456 - Release Date: 04.06.2004