encryption

双语

What happens to your private messages under 'Chat Control'?
2 months ago
- 欧盟法律目前不适用于WhatsApp和Signal等平台上的端到端加密消息。
- 一项临时法规允许在2028年之前自愿扫描未加密消息以查找儿童性虐待材料（CSAM）。
- 一项永久性提案“Chat Control 2.0”正在谈判中，可能将扫描范围扩展至加密聊天。
- 检测方法包括哈希匹配（速度快但误报率高）和机器学习（容易出错，尤其是文本）。
- 加密服务上的客户端扫描会在消息加密前进行检查，引发隐私担忧。
- 人工审核员经常错误分类内容，导致虚假报告，尤其涉及青少年互动。
- 替代方案包括针对性的法院授权扫描和从不发送数据的设备端警告。
How Bitwarden Encrypts and Decrypts Secrets
2 months ago
- Bitwarden encrypts all secrets (passwords, usernames, URLs, notes, etc.) on the client before sending to the server.
- The master key is a 64-byte random sequence split into a 32-byte encryption key and a 32-byte MAC key.
- Encrypted secrets are stored in version 2 format: initialization vector (iv), ciphertext, and MAC signature, all base64 encoded.
- Decryption uses AES-256 in CBC mode with PKCS7 padding, and integrity is verified via HMAC-SHA256.
- To decrypt the master key, the client derives keys from the user's email and passphrase using PBKDF2 (600,000 iterations) and HKDF-Expand.
- The author provides complete Python code for both decryption and encryption of secrets.
- The author plans to build a custom client that syncs with a Vaultwarden database but keeps secret management local.
Branch Encryption
2 months ago
- Branch encryption prevents attackers from knowing or inferring program states before they are reached.
- It protects constant data (e.g., passwords) used in comparisons by replacing them with hashed values.
- Encrypted code blocks inside conditional statements can only be decrypted with the correct input key.
- The technique combines hashing for comparison and encryption for conditional code execution.
- An example with JavaScript shows how hashing and XOR encryption can hide a password and secret message.
- Branch encryption is useful for protecting comparison values and associated code or data.
End to End Encryption: Talk for the European Internet Forum at the European Parliament - Bert Hubert's writings
2 months ago
- Backdoored encryption has historically failed, exemplified by the weakened GSM encryption from the Cold War era still being vulnerable today.
- Forcing encryption backdoors creates risks and inequalities, as some entities may get exceptions while others do not.
- Total privacy without exceptions is not viable for a just society; a balance must be struck between law enforcement needs and privacy rights.
- Law enforcement has more data access now than ever before, contrary to claims of a crisis, as seen with cloud providers and metadata.
- Encryption is becoming the default in communications, which challenges traditional police methods but also represents progress.
- Proponents of backdoored encryption should be asked for specific, workable details rather than vague proposals.
- Any solution must respect Article 8 of the European Convention on Human Rights, balancing privacy with the rule of law.
CSAM Regulation Update: Dutch Intelligence agency weighs in - Bert Hubert's writings
2 months ago
- 欧盟委员会和欧盟成员国曾考虑强制消息平台扫描私人信息以查找儿童性虐待材料（CSAM），这将破坏端到端加密。
- 该提案包括目前对已知CSAM进行模糊扫描，并在三年内增加对短信的AI扫描，但这被视为效率极低且风险很高。
- 荷兰情报机构AIVD警告称，在所有手机上安装扫描应用程序会创建一个复杂的系统，对数字韧性造成巨大安全风险。
- 插入扫描层扩大了威胁面，因为图像解析很难确保安全；黑客可能利用CSAM过滤器访问手机。
- 像Facebook/Meta这样的平台将承担安装和维护扫描基础设施的费用，而没有任何经济激励，可能导致安全性不足。
- CSAM法规草案包括情报服务的退出选项，表明承认了隐私风险。
Possible End to End to End Encryption: Come Help - Bert Hubert's writings
2 months ago
- 欧盟委员会正在寻找专家，就“执法部门有效合法地获取数据”提供建议，申请截止日期为9月1日。
- 该倡议旨在平衡执法需求与隐私，尽管批评者指出它倾向于监控，并且缺乏司法和基本权利机构的领导。
- 鼓励具有网络安全、电信、大数据或基本权利等技术背景的专家申请，尽管该职位是无薪的（提供差旅报销）。
- 作者敦促技术专家和民间社会成员加入，以平衡执法视角，并强调加密在数学上的局限性。
- 专家组将运作一年；作者因个人公开活动而拒绝申请，但愿意提供非正式建议。
Kan een Amerikaans bedrijf met encryptie de Amerikaanse overheid buiten de deur houden? - Bert Hubert's writings
2 months ago
- 美国公司可能通过各种方式被迫向美国政府交出数据，甚至无需司法审查。
- 仅靠加密是不够的，因为服务器必须临时访问未加密的数据进行处理，此时美国法律适用。
- 像微软双密钥加密（DKE）这样的解决方案仅推荐用于高度敏感的数据（约5%），并且严重限制功能。
- 系统管理员最终对服务器拥有完全控制权，这使得既防止访问又执行必要的管理任务变得不可能。
- 敏感数据的实际分离往往为时已晚，因为数据敏感性仅在事后才被意识到。
- 诸如机密计算和同态加密等理论解决方案在实际应用中尚不可行。
- 声称使用自己的密钥管理可以让美国政府无法访问美国控制的服务器几乎总是错误的；从非美国提供商处租用更简单、更有效。
Using PGP Keys
2 months ago
- GPG是一个使用IETF规定的PGP标准对数字文件进行加密的程序。
- 加密确保只有授权人员才能读取数据；它被用于HTTPS，其历史可追溯到罗马帝国。
- 密码学有两个主要功能：加密数据以限制访问，以及签名数据以验证完整性。
- GPG的安装因操作系统而异：Debian/Ubuntu通过apt，Windows通过GPG4Win，macOS通过GPGtools或brew。
- GPG使用非对称加密，允许任何人发送安全消息，但只有密钥持有者才能解密。
- 要使用GPG，你需要生成一个由口令保护的密钥对（私钥和公钥），发布你的公钥，并开始签名各种东西。
- 你可以签名Git提交、电子邮件（使用Thunderbird、Kmail等），或加入Keybase进行身份验证。
- 密钥生成需要随机字节，并且似乎运行两次，因为它同时创建私钥和公钥。
My USB Drive Has a Hidden Encrypted Vault
2 months ago
- Phantomdrive 是一款开源U盘，外观显示为8GB，但隐藏了第二个加密分区，通过编辑一个包含 'password:YOURPASSWORD' 的纯文本文件来激活。
- 它使用 CH569 芯片、SD 卡作为存储，并采用 AES-256 加密，固件和硬件设计完全开源。
- 密钥派生函数（KDF）使用 100,000 轮 SHA-256，并带有设备序列号特有的盐，解锁大约需要 3 秒。
- 提供两种 AES 模式：AES-CTR（更快，写入约 9 MB/s，读取约 20 MB/s）和 AES-XTS（更安全，写入约 6 MB/s，读取约 10 MB/s）。
- 固件会监控写入操作以检测密码字符串，并阻止其实际写入磁盘，从而避免意外泄漏。
- 该设备旨在帮助绕过可能强迫解密的主管部门，但无法保护免受被迫透露密码的情况。
Show HN: Ekko – post-quantum E2EE layer for Instagram, WhatsApp, Telegram Web
2 months ago
- 申请一个通用标识以关联社交账号并分享公钥；私钥始终保存在设备本地。
- 后量子加密技术（X25519、ML-KEM-768、XChaCha20-Poly1305）确保现有应用间的消息安全。
- 两种使用模式：基于标识（自动密钥发现）或匿名（手动邀请交换）。
- Ekko作为Instagram、WhatsApp、Telegram等即时通讯软件的上层运行，无需安装新应用。
- 私钥永不离开设备；仅公钥通过Ekko发布。
- 从浏览器开始使用，后续计划集成键盘操作。
- 开源代码确保基础功能永久免费。
Show HN: Hidetext.sh – encrypted pastebin where the server never sees the key
2 months ago
- 无需账户或追踪即可私密分享文本
- 端到端加密，确保安全共享
- 提供文本格式选项，如加粗、斜体和颜色
- 包含'阅后即焚'功能，可销毁内容
Exit Chat Control
2 months ago
- 欧盟《普鲁姆二号条例》允许警方跨机构交换面部图像，引发大规模监控担忧。
- eIDAS 2.0 强制要求2026年前推出欧洲数字身份钱包，并强制浏览器信任国家证书。
- 高级别专家组提议为警方数据访问设计‘合法访问机制’，被批评为大规模监控。
- 罗马尼亚选举因TikTok竞选活动被宣告无效；针对该平台启动《数字服务法》程序。
- 越南要求网络发帖须进行身份验证，将言论与实名身份绑定。
- 英国要求iCloud预留后门；苹果选择取消英国用户加密功能而非妥协。
- 法国在多党反对后否决加密通讯软件中的‘幽灵参与者’机制。
- 欧盟‘保护欧洲’战略包含访问加密通讯的路线图并强化欧洲刑警组织。
- 美国移民海关执法局购买Palantir‘移民操作系统’用于针对移民群体的定向监控。
- 瑞士监控条例提案因Proton等公司反对而停滞。
- 美国要求留学生签证申请人公开社交媒体账号以进行意识形态筛查。
- 欧盟计划2030年前实现国家解密能力，包括对查获数据的AI分析。
- 欧盟试点年龄验证应用，计划2026年底前整合至数字身份钱包。
- 法国强制成人网站实施年龄验证，对未合规网站实施访问封锁。
- 中国推出集中式‘网络空间身份认证’并采用人脸识别，削弱网络匿名性。
- 《欧洲媒体自由法》禁止对记者使用间谍软件，但包含国家安全例外条款。
- 俄罗斯强制智能手机预装国家控制的通讯软件MAX，该软件具备追踪功能。
- 俄罗斯对在线搜索‘极端主义’内容的行为进行处罚，包括通过VPN搜索。
- 超500名科学家联名公开信反对客户端扫描，指出技术不可行性。
- 英国计划强制使用数字身份证进行工作权核查，引发公众反对。
- 欧盟迫于反对撤回强制扫描提案，但以‘自愿’形式重新提出。
- 欧盟出入境系统收集非欧盟旅行者生物特征数据，加强边境管控集中化。
- 联合国网络犯罪公约通过，凭借宽泛定义开启跨境监控可能。
- 欧洲央行推进数字欧元开发，但法律保障措施仍未确定。
- 澳大利亚禁止16岁以下青少年使用社交平台，要求年龄估算并已停用数百万账户。
- 法国将算法监控摄像头‘实验’延长至2030年，扩大监控范围。
- 波兰前部长因飞马间谍软件丑闻在匈牙利获得庇护。
- 俄罗斯在WhatsApp拒绝数据共享要求后封锁该平台。
- 希腊法院在‘捕食者’案件中判决间谍软件供应商有罪，但买家仍无法追溯。
- 法国提议将‘黑匣子’监控扩展至完整URL追踪以进行元数据分析。
- 德法情报机构从Palantir转向ChapsVision以进行AI驱动的警方分析。
- 美国《外国情报监视法》第702条到期但监控仍在既有授权下持续。
- 欧盟议会推进具备条件支付功能的数字欧元，尽管声称非可编程性。
- 欧洲刑警组织预算提案增至30亿欧元并扩大加密与AI领域职权。
- 欧洲议会监督间谍软件的委员会成员手机发现飞马软件，凸显监管失效。
- Mastodon、Nostr、Matrix等去中心化社交网络提供企业平台替代方案，强调用户控制与隐私。
Australian Police seize control of network of encrypted phones
2 months ago
- 警方控制了一个据称被犯罪团伙用于毒品交易、绑架和谋杀的加密电话网络。
- VIP网络以每台2000美元的价格销售定制加密设备，年收入约200万美元，目标客户为悉尼的黑社会。
- 三兄弟因与加密设备相关的罪行被捕并被起诉，这些设备与暴力帮派冲突有关。
- 已识别超过3000台设备，警方通过在该网络发布广播信息警告用户。
- 此次打击行动已扰乱有组织犯罪，帮派成员被捕、被杀或被迫逃亡，包括藏匿海外的高级头目。

encryption

What happens to your private messages under 'Chat Control'?

How Bitwarden Encrypts and Decrypts Secrets

Branch Encryption

End to End Encryption: Talk for the European Internet Forum at the European Parliament - Bert Hubert's writings

CSAM Regulation Update: Dutch Intelligence agency weighs in - Bert Hubert's writings

Possible End to End to End Encryption: Come Help - Bert Hubert's writings

Kan een Amerikaans bedrijf met encryptie de Amerikaanse overheid buiten de deur houden? - Bert Hubert's writings

Using PGP Keys

My USB Drive Has a Hidden Encrypted Vault

Show HN: Ekko – post-quantum E2EE layer for Instagram, WhatsApp, Telegram Web

Show HN: Hidetext.sh – encrypted pastebin where the server never sees the key

Exit Chat Control

Australian Police seize control of network of encrypted phones