Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cryptography

Cryptography

NIST Menghentikan Algoritma Kriptografi SHA-1

by

Fungsi hash kriptografi yang terhormat memiliki kerentanan yang membuat penggunaannya lebih lanjut tidak disarankan.
Algoritma Hash Aman telah digunakan sejak 1995 sebagai bagian dari Standar Pemrosesan Informasi Federal (FIPS) 180-1. Pakar keamanan di National Institute of Standards and Technology (NIST) mengumumkan bahwa SHA-1 harus dihapus pada 31 Desember 2030, mendukung grup algoritma SHA-2 dan SHA-3 yang lebih aman.
Didukung dengan pernyataan oleh Chris Celi, ilmuwan komputer NIST, disarankan agar segera mungkin bermigrasi ke SHA-2 atau SHA-3. Salah satu penyebabnya adalah keparahan serangan collision untuk merusak SHA-1 di aplikasi lain.
SHA-1 berfungsi sebagai blok penyusun untuk banyak aplikasi keamanan, seperti memvalidasi situs web dengan tujuan mengamankan informasi dengan melakukan operasi matematika yang kompleks pada karakter pesan, menghasilkan string karakter pendek yang disebut hash.
Rencana NISAT pada tanggal 31 Desember 2030 antara lain mempublikasikan FIPS 180-5 (revisi FIPS 180) untuk menghapus spesifikasi SHA-1, merevisi SP 800-131A dan publikasi NIST lain yang terpengaruh untuk mencerminkan penarikan SHA-1 yang direncanakan, dan membuat & menerbitkan strategi transisi untuk memvalidasi modul dan algoritma kriptografi.

Selengkapnya: NIST

Enkripsi email Microsoft Office 365 dapat mengekspos konten pesan

by

Peneliti keamanan di WithSecure, sebelumnya F-Secure Business, menemukan bahwa sebagian atau seluruh isi pesan terenkripsi yang dikirim melalui Microsoft Office 365 dimungkinkan untuk disadap karena penggunaan mode operasi sandi blok yang lemah.

Organisasi menggunakan Enkripsi Pesan Office 365 untuk mengirim atau menerima email, baik eksternal maupun internal, untuk memastikan kerahasiaan konten dari tujuan ke sumber.

Namun, fitur tersebut mengenkripsi data menggunakan mode Buku Kode Elektronik (ECB), yang memungkinkan menyimpulkan pesan teks biasa dalam kondisi tertentu.

Masalah utama dengan ECB adalah bahwa area berulang dalam data plaintext memiliki hasil terenkripsi yang sama ketika kunci yang sama digunakan, sehingga menciptakan sebuah pola.

Masalah ini disorot setelah pelanggaran data besar-besaran Adobe pada tahun 2013 ketika puluhan juta kata sandi bocor dan para peneliti menemukan bahwa perusahaan menggunakan mode ECB untuk mengenkripsi data, sehingga memungkinkan untuk mendapatkan kata sandi teks biasa.

Kelemahan ini kembali disorot pada tahun 2020 ketika ditemukan bahwa aplikasi telekonferensi Zoom yang banyak digunakan menggunakan kunci 128-bit yang sama untuk mengenkripsi semua audio dan video menggunakan algoritma AES dengan mode ECB.

Harry Sintonen dari WithSecure menggarisbawahi bahwa dengan Enkripsi Pesan Office 365, konten pesan terenkripsi tidak dapat diuraikan secara langsung, tetapi informasi struktural tentang pesan tersebut dapat ditangkap.

Penyerang yang dapat mengumpulkan beberapa pesan terenkripsi dapat mencari pola yang dapat menyebabkan bagian-bagian pesan menjadi dapat dibaca secara bertahap tanpa memerlukan kunci enkripsi.

Selengkapnya: Bleeping Computer

Akademisi menemukan bug crypto di 306 aplikasi Android populer, tidak ada yang ditambal

by

Sebuah tim akademisi dari Universitas Columbia telah mengembangkan alat khusus untuk menganalisis aplikasi Android secara dinamis dan melihat apakah mereka menggunakan kode kriptografi dengan cara yang tidak aman.

Dinamakan CRYLOGGER, alat ini digunakan untuk menguji 1.780 aplikasi Android, mewakili aplikasi paling populer di 33 kategori Play Store yang berbeda, pada bulan September dan Oktober 2019.

Peneliti mengatakan alat tersebut, yang memeriksa 26 aturan kriptografi dasar, menemukan bug di 306 aplikasi Android. Beberapa aplikasi melanggar satu aturan, sementara yang lain melanggar beberapa aturan.

Piccolboni et al.

Tiga aturan teratas yang paling banyak dilanggar adalah:

  • Aturan # 18 – 1.775 aplikasi – Jangan gunakan PRNG yang tidak aman (pembuat nomor pseudorandom)
  • Aturan # 1 – 1.764 aplikasi – Jangan gunakan fungsi hash yang rusak (SHA1, MD2, MD5, dll.)
  • Aturan # 4 – 1.076 aplikasi – Jangan gunakan mode operasi CBC (skenario klien / server)

Akademisi Universitas Columbia mengatakan bahwa setelah mereka menguji aplikasi, mereka juga menghubungi semua pengembang dari 306 aplikasi Android yang ditemukan rentan.

“Semua aplikasinya populer: diunduh dari ratusan ribu hingga lebih dari 100 juta,” kata tim peneliti. “Sayangnya, hanya 18 pengembang yang menjawab email permintaan pertama kami dan hanya 8 dari mereka yang mengikuti kami beberapa kali dan memberikan masukan yang berguna tentang temuan kami.”

 
Baca berita selengkapnya pada tautan di bawah ini;
Source: ZDNet