安全与密码学2014eprint.iacr.org
TextSecure 到底有多安全？
How secure is TextSecure?
进阶 · 约 60 分钟读完前置知识：密码学基础、公钥加密与 MAC、安全协议形式化分析
导读
这篇论文对 TextSecure（Signal 前身）的加密消息协议进行了形式化安全分析。结论是：在假设密钥注册安全的前提下，其推送消息协议能实现大部分声称的安全目标；但作者指出其无法证明服务器不会记录投递请求，因此否认性只是理论上成立，并提出了身份误绑定（identity misbinding）方面的疑虑。
HN 关注点：对当时最主流的开源加密通讯工具的独立学术审计结果，以及作者与 Moxie（Signal 创始人）之间关于协议参数的争议。
HN 评论精选
这几条评论里：支持 2 质疑 2
质疑逐条分析论文的三个质疑，认为 MAC 截断安全、参数问题是误会、身份误绑定对聊天协议影响有限
论文提出了三个问题：(A) TextSecure 截断 SHA-2 哈希和 HMAC-SHA2 MAC——MAC 截断极其常见，且是大多数认证加密方案的设计目标，目前没人知道这种截断不安全；(B) 论文作者认为 TextSecure 弄错了 HMAC 的某些参数，但 Moxie 声称这是论文作者的失误，TextSecure 的用法是常规的；(C) 论文大部分篇幅讨论身份误绑定攻击——即 Mallory 能把 Alice 的公钥冒充自己的展示给 Bob，Bob 回复的消息虽 Mallory 无法解密，但 Alice 可能基于内容采取行动。这类问题在公钥密码学中普遍存在，对机器间自动执行动作的协议是真实威胁，但在聊天协议中影响较小；何况其他所有聊天协议的密钥管理问题都严重得多。
tptacek查看英文原文
There are three concerns raised in this paper. The first (A) is that TextSecure truncates SHA-2 hashes and, particularly, HMAC-SHA2 MACs. MAC truncation is extraordinarily common and is a design goal for most authenticated encryption schemes. So far as anyone knows, truncation of SHA-2 hashes and HMAC-SHA2 MACs is completely safe; that is, HMAC-SHA2 isn't somehow less safe when truncated than GCM or Poly1305. The second (B) is that the authors believed TextSecure to have swapped some of the parameters for the HMAC algorithm. Moxie has asserted that this is a mistake by the paper authors, and that TextSecure uses HMAC conventionally. The third (C, and most of the rest of the paper) is an identity misbinding attack. An identity misbinding attack happens when it becomes possible for Mallory to present Alice's public key to Bob instead of her own, and have Bob reply with a message encrypted to Mallory-seeming-Alice. Mallory can't decrypt the message, but because it's encrypted to a key Alice has, Alice might act based on the message contents. Identity misbinding problems are endemic to public-key cryptography. They are a real issue for protocols in which computers chat with each other and take action (like, authorizing an HTTP request) based on identities. They are less of an issue in chat protocols. Of particular importance, contextually: every other chat protocol has much, much worse key management problems. Brian Smith says that this paper has value as part of a formal conversation about the security properties of TextSecure. I'm not qualified to evaluate that statement. I don't see anyone saying the paper has practical import for TextSecure or its users. TextSecure remains the best thing out there, I think.
支持总体评价积极，指出唯一的主要缺陷是服务器可能记录投递请求
总体看起来相当不错。唯一没达标的主要条目是：TextSecure 只在理论上实现否认性——内容否认性有安全证明支撑，但无法证明 TextSecure 服务器不会记录投递请求。
AdmiralAsshat查看英文原文
Seems pretty good overall. The only primary bullet point to "fail" was here: >In conclusion, TEXTSECURE only achieves deniability theoretically. Content deniability is provided due to our security proof but we can not prove that no delivery request will be recorded at the TEXTSECURE server.
支持引用论文正面结论：协议在合理假设下可实现大部分安全目标
论文还写道：如果假设密钥注册是安全的，我们形式化证明了 TextSecure 的推送消息确实能达到大部分声称的安全目标。
cakeface查看英文原文
> Furthermore, we formally prove that - if key registration is assumed to be secure - TextSecure's push messaging can indeed achieve most of the claimed security goals.
质疑质疑对 Google 推送服务的依赖是最大的隐私隐患
我认为最大的问题是 TextSecure 依赖 Google Cloud Messenger 作为 Android 设备唯一的推送通知系统，并依赖 Google Play 商店。像 Google 这样强大的参与者即使看不到加密文本，也可能从其处理的推送通知中检测模式、获取信息。
atenorio查看英文原文
The mayor issue IMHO is the dependency to Google Cloud Messenger as the only available push notification system for android devices and its dependency to Google Play store. I believe an actor as powerfull as Google can detect paterns and learn from the notifications it handles even if the text is encrypted.
相关资源
从这篇论文所有 HN 讨论帖的全部评论里整理出来的链接。
历次讨论
- 2014Hacker News 讨论帖137 分 · 28 评
- 2016Hacker News 讨论帖80 分 · 21 评
同领域还值得读
如何入侵一台已关机的电脑：在 Intel ME 中运行未签名代码
How to hack a turned-off computer, or running unsigned code in Intel ME
这篇 Black Hat 2017 白皮书讨论 Intel Management Engine（ME）的安全问题：如何在 ME 中运行未签名代码，以及攻破处于关机状态的电脑的相关…
安全与密码学2017 · 543 分 · 107 评专业 · 约 40 分钟编辑精选比特币：一种点对点的电子现金系统（2008）
Bitcoin: A Peer-to-Peer Electronic Cash System (2008)
中本聪 2008 年发表的比特币白皮书，提出了无需可信第三方的点对点电子现金系统。
安全与密码学2017 · 536 分 · 394 评入门 · 约 45 分钟编辑精选GPRS 加密算法 GEA-1 的密码分析表明存在故意弱点
Cryptanalysis of GPRS Encryption Algorithms GEA-1 suggest intentional weakness
首次公开了对 GPRS 加密算法 GEA-1 和 GEA-2 的密码分析攻击。
安全与密码学2021 · 487 分 · 107 评专业 · 约 90 分钟编辑精选Signal 消息协议的形式化安全分析
A Formal Security Analysis of the Signal Messaging Protocol
用形式化方法分析 Signal 消息协议（TextSecure）的安全性：作者在多阶段密钥交换模型下，借助自动化证明工具对协议的密钥协商与 Double Ratchet 密钥更新…
安全与密码学2016 · 353 分 · 230 评专业 · 约 120 分钟编辑精选A2：模拟恶意硬件
A2: Analog Malicious Hardware
论文研究如何在芯片设计阶段植入模拟电路形式的恶意硬件后门，使其难以被常规检测发现。
安全与密码学2016 · 315 分 · 94 评专业 · 约 75 分钟编辑精选