Китайская криптография. Анализ проприетарного протокола MMTLS из WeChat

Изображение из документации протокола MMTLS Академическая исследовательская группа Citizen Lab из университета Торонто провела первый публичный анализ протокола шифрования MMTLS на предмет безопасности и конфиденциальности. Это основной протокол приложения WeChat , которым пользуется более 1,2 млрд человек ( 34% мобильного трафика в Китае в 2018 году). Как выяснилось, MMTLS представляет собой модифицированную версию TLS 1.3, причём многие изменения, внесённые разработчиками, привели к появлению слабых мест. Более того, в дополнение к MMTLS используется ешё менее безопасный, тоже проприетарный протокол, содержащий множество уязвимостей, в том числе детерминированные векторы инициализации в AES-GCM и отсутствие прямой секретности. Ниже он упоминается под названием Business-layer encryption.

https://habr.com/ru/companies/globalsign/articles/862300/

#TLS #MMTLS #WeChat #DH #AESGCM #AESCBC #MD5 #HKDF #шифрование #векторы_инициализации

wooohooo there is a new libsodium out! finally with HKDF support! been years without a proper release. kudos to @jedisct1 <3

https://github.com/jedisct1/libsodium/releases/tag/1.0.19-RELEASE

i love this part:
> libsodium can now be added as a dependency to Zig projects.

#libsodium #crypto #hkdf

CLI Client for a Cryptographic Web Application

This is a long one. I write a new client for a real world E2E encrypted file transfer solution.

#aes #cryptography #hkdf #sha-256 #hash #hmac

https://youtu.be/GQBbgmbR1Ck

HKDF is commonly used to derive key material just in time for its application. However, as a cryptography tool, HKDF is severely under documented and lacks prescriptive examples for intended use.

A large-tech blog shared their HKDF application and I identify several issues with its implementation. Inside is an anonymized version with critiques and improvements.

Tags: #cryptography #hkdf #blog #engineering #security

https://cendyne.dev/posts/2023-01-30-how-to-use-hkdf.html