DSA: hacker có thể làm gì với * chỉ * một khóa công khai?

Question

Hệ thống đăng ký phần mềm chia sẻ Tôi hiện đang phát triển nhúng khóa DSA công khai trong chính tệp thực thi và khóa riêng tư nằm trên máy chủ. (Vì mục đích thảo luận, giả sử rằng máy chủ là 100% an toàn, và có không có cách nào cho bất kỳ ai để có được bàn tay của họ trên khóa riêng.)

Bất cứ khi nào chương trình được mua, máy chủ tạo giấy phép cho người dùng bằng cách ký tên của người dùng bằng khóa riêng. Giấy phép đó sau đó được gửi qua email cho người dùng. Khi người dùng nhập tên và giấy phép của họ theo cách thủ công vào ứng dụng phần mềm chia sẻ, nó được xác minh bằng khóa công khai được nhúng trong ứng dụng là giấy phép hợp lệ hoặc không hợp lệ.

Tuy nhiên, nó sẽ là khá tầm thường đối với một người được xác định với đúng "bí quyết" để tháo rời tệp thực thi và truy xuất khóa công khai.

Câu hỏi của tôi ở đây là, họ có thể làm gì với nó? Là một chìa khóa công khai, tự nó, hoàn toàn vô hại? Khóa công khai có đủ thông tin để đảo ngược thiết kế một máy phát điện chính không?

Tâm trí tò mò muốn biết. Cảm ơn trước!

Answer 1

Khóa công khai sẽ khiến chúng không hữu ích. Tuy nhiên, nếu kiểm tra được dễ dàng tìm thấy họ có thể chỉ đơn giản là phá vỡ nó và vá trong một bài kiểm tra luôn thành công mà không bao giờ làm phiền để xác minh giấy phép chống lại khóa công khai.

Answer 2

Giả sử phương thức mã hóa chưa được giải mã đang được sử dụng, khóa chung không thể được sử dụng để xác định khóa riêng. Nó có nghĩa là thực sự công khai; được mọi người biết đến.

Answer 3

Chỉ cần có khóa công khai là không đủ thông tin để làm bất kỳ điều gì hữu ích.

Điều duy nhất có thể thực hiện là ai đó có thể mã hóa tin nhắn bằng khóa công khai chỉ có thể được giải mã bằng khóa riêng. Nhưng nếu khóa riêng chỉ trên máy chủ, điều này sẽ không làm gì cả.

Bất kỳ cuộc tấn công nào khác sẽ yêu cầu tính toán khóa riêng tư, điều này sẽ không được tăng tốc chút nào bằng cách có khóa công khai.

Answer 4

Một khóa công khai của chính nó sẽ cho phép họ giải mã bất kỳ thông tin mã hóa nào được gửi bởi máy chủ. Đó là nó. Đi từ khóa công khai tới khóa riêng là đặc biệt cứng; đó là cách mã hóa khóa công khai hoạt động. (Bằng cách “đặc biệt” tôi ngụ ý rằng nó được thiết kế để chống lại những nỗ lực của chính phủ tài trợ tốt, nếu nó ngăn NSA bẻ gãy bạn, nó sẽ đủ chắc chắn để ngăn chặn Joe Blow.)

Lưu ý rằng nó không 't giúp đỡ với DRM, mà nó âm thanh một chút giống như bạn đang cố gắng để làm. DRM chỉ đơn giản là bị phá vỡ bởi thiết kế; nếu kẻ tấn công có thông tin và chìa khóa để mở khóa nó trong các thiết bị địa phương với anh ta, nó đã được trò chơi trên. Nếu bạn đưa chìa khóa cho kẻ tấn công, nó cũng có thể được công khai vì anh ta chắc chắn sẽ không sẵn lòng giữ bí mật ...

Answer 5

Mật mã không đối xứng, an toàn để cung cấp khóa công khai cho kẻ tấn công. Tuy nhiên, giá trị này, cùng với chữ ký hoặc văn bản mã hóa được tạo bởi khóa riêng có thể được sử dụng trong Trivial Attack để lấy khóa riêng tương ứng.

Answer 6

Điểm chính là loại mã hóa này được thiết kế để bảo vệ nội dung của thư và xác minh tính xác thực của người gửi trong trường hợp này rõ ràng được biết đến với tên người dùng và Nhà cung cấp, v.v.Đẹp hơn nhiều sẽ là bảo vệ một phần của mã với loại mã hóa như vậy mà các bit mã quan trọng vẫn bị cắt xén cho đến khi khóa thích hợp được sử dụng.

Sau khi khóa được sử dụng, người dùng có thể giải mã và sao chép phần mềm. Phần mềm được bảo vệ hoàn toàn hoàn toàn không sử dụng được. Mặc dù không liên quan this là một cách đọc thú vị về bảo vệ mọi thứ.

Answer 7

Khóa công khai được sử dụng ở khắp mọi nơi - biểu mẫu đăng nhập, bảo mật giao dịch ngân hàng, xác thực phía máy khách v.v. Vì vậy, câu trả lời ngắn gọn là bạn không nên lo lắng, khiến nhiều người khác, thông minh hơn đã xem xét vấn đề này và chấp nhận phân phối khóa công khai đến điểm cuối.

Mọi người có thể nói gì từ khóa công khai của bạn? Họ rõ ràng sẽ biết một tên khóa và chiều dài khóa. Tôi cho rằng khóa là một phần của chứng chỉ, cũng có thể chứa một số chi tiết về URL công ty và trang web của bạn.

Câu hỏi của tôi cho bạn là:

1) Tại sao bạn lo lắng về khóa công khai trong tệp thực thi? Bất kỳ trình cracker nào có kích thước nửa sẽ chỉ thay đổi tệp thực thi của bạn để bỏ qua kiểm tra khóa công khai hoàn toàn. Thực tế là mã hóa mạnh mẽ là vô nghĩa khi bạn đang đưa ra một nhị phân cho khách hàng có thể được sửa đổi.

2) Bạn có nhận thức được sự lộn xộn mà bạn có thể xâm phạm không? Không có gì sai khi sử dụng mã hóa khóa công khai để bảo mật một tệp nhị phân, nhưng bạn có thể gặp phải các vấn đề khi hệ thống phát triển. Những thứ như chìa khóa hết hạn, chìa khóa cuộn-overs và phát hành chính (Tôi tin rằng đây là một công cụ bạn đang phát triển để bán) có thể trở thành một nỗi đau lớn. Và, tuy nhiên, bạn vẫn sẽ bị mắc kẹt với thực tế rằng thách thức lớn hơn của bạn là ngăn chặn bánh quy từ chỉ định tuyến lại các nhị phân để tránh kiểm tra an ninh của bạn hoàn toàn.

Answer 8

Tôi không đồng ý rằng khóa công khai không hữu ích. Tôi tạo cặp khóa công khai và riêng của mình và giả sử rằng tôi tìm thấy các bit của khóa công khai trong tệp thực thi. Tôi thay đổi khóa công khai thành khóa công khai của tôi. Bây giờ tôi có thể ký bất cứ điều gì với khóa riêng của tôi, chương trình sẽ chấp nhận nó.