Microsofts WGA er igen omgået

You can't blame a man/corporation for trying - så lang tid de bare var klar over at det kun ville være et spørgsmål om tid (i dette tilfælde en dags tid) før denne sikring ville blive omgået.

Som det er blevet sagt SÅ mange gange før: Ethvert beskyttelses-system (encryption og des lige) kan omgås og det er bare et spørgsmål om tid.

Det er ligesom med sex. Der er kun én måde at være 100% sikker på ikke at få børn og det er at lade helt være.... men det er ingen af os vel interesserede i, så vi tager chancen ;)

Hvor der er en vilje er der en vej !

Nu taler microsoft også om at sætte prisen på windows og office op. Dette skal nok give et opsving til alternativerne.

Men jeg kan da godt forstå at Microsoft prøver at komme piratkopierne til livs - og samtidigt tjene nogle flere penge på de folk som skal ud og købe en ny windows.

Ontopic:

Fuldstændig som #1 og #2 allerede har nævnt, så burde det ikke komme bag på nogen, at det vil blive omgået. Det er kopi-sikring af musik-cd'er om igen.

Offtopic:

#1 Tja, jeg vil nu mene at homoseksuelle kan være 100% sikker på ikke at få børn ved samleje... ;-)

Den nye metode fungerer ved at kopiere et specielt javascript ind i Internet Explorers addressefelt. Scriptet beder computeren om at skippe WGA checket og i stedet gå direkte til de opdateringer man ønsker at hente.

Det eneste man skal gøre er at deaktivere addon'et "Windows genuine advantage" i explorer.

#3:
Tjaaaah.... man ved sgu aldrig i denne gen-teknologiske tidsalder.... har du ikke set "Junior" !? ;)

Ja selvfølgelig kan det omgås men derfor er det ikke spild af tid for MS. De får sikkert det ud af det som de vil, nemlig kommer alle piratkopier som sikkert ellers hæderlige folk har på deres systemer og ikke var klar over var en piratkopi. Eller dem som simpelt hel bliver trætte af de problemer de har hver gang der skal opdateres, kommer ny service pack osv. Eller dem som gerne ville køre en pirat version men ikke er nørdede nok til at kunne komme uden om sådan et check.

#4 Ja, det virker endda også...
Tænk at Micrisoft har selv har lavet en mulighed for at disable deres eget verificerings IE extension. Windows Update registrer endda at Windows Genuine Advantage ikke kører, men fortsætter bare direkte ind på windows update.

Næsten mistænkeligt nemt?

#7 Ja, det er meget underligt, men fair nok :)

Hmm, når man nu alligevel får kastet en XP cd i ansigtet hver gang man køber XP (oem or whatever) hvorfor så ikke bare sende en hardware dongle med? Jeg ved det er blevet brugt før (med en delvis effekt), men med nutidens teknologi kan det vel for pokker ikke være så svært at flikke en USB enhed sammen der indeholder en privat nøgle (der ikke kan exporteres for enheden) og lade al kommunikation mellem MS og ens computer gå igennem denne.
WU har så den offentlige nøgle (til ens egen dongle) og al data fra MS krypteres med denne.
Måden kan uden tvivl forbedres en del (evt. kun kryptere en del af dataene for at spare på ressourcer).

Sure, det giver lidt problemer for brugeren at huske enheden (i hvert fald til bærbare enheder) men hvis de uautoriserede kopier blev ubrugelige så kunne MS jo tilsvarende sætte prisen* ned, win-win :-)

* As if, in a dream world, men på papiret ser det godt ud.

Systemet er jo bestemt til hr og fru danmark der har købt en pc hos Muhammeds PC service som så finder ud af at deres windows er illegal. Det er jo ikke lavet til Single nørd med korte bukser dem ved MS godt at de ikke har en chance mod :-D medmindre det er noget fysiks der skal foretages for at download disse pakker. F.eks. drikke vand, løbe en kilometer, spise andet end pizza, you name it :-D

#1:
Ikke helt korrekt. Så længe en kryptering ikke indeholder bagdøre og Master Passwords er der ingen måde man kan få adgang til nogle data uden password. Dette kan jo gættes med computerkraft, men mit password skal faktisk kun se sådan her ud:
MLUMRv0!+_jv&$9tprNJCDVc

Så kan selv Amerikas secret service godt opgive at få adgang til informationen, selv med deres store computerkraft.

Og ser mit password sådan her ud:
qvtsN<sDW*+4.9QzqV&rVko+?riTqj!*+FO

Ja så bliver det ikke cracket inden for de næste 100 år ;)

Og jo der er faktisk en kryptering som anses for ubrydelig hvis brugt korrekt. OTP (one time pad) kryptering. Denne krypteringsform er meget kraftig, fordi at passwordet er lige så langt som den mængde data der skal krypteres. Jeg krypterer en fil på 1 MB, held og lykke i at knække et password på en million cifre (Jeg er dog ikke 100% fortrolig med hvordan den fungere. Prøv selv at læser mere på Wikipedia.

Arrow

undskyld jeg siger det Arrow..
men du er ret naiv, hvis du tror det kunne holde de næste 100 år, hvis der var nogle der ville bryde det..
måske de næste 100 år, hvis vi brugte 2 år gammel hardware, og ikke skiftede det ud.
meeen.. såden plejer tingene jo ikke at gå, vel ?

og desuden, så bygger din kryptering vel stadig på primtals sjov, og mig bekendt var der en russer der fandt ud af noget smart ved dem, som gør det hele meget lettere at bryde..
meeen.. sats du bare på dine 100 år

Ja sådan går det jo når tjekket kun sker på brugeren maskine.

Jeg synes det er helt fint at kun folk med en lovlig windows-installation kan hente ydelsesforbedrende opdateringer, og jeg ser personligt ikke det mindste i vejen med at man ved opdatering bare sendte sin cd-key (selvfølgelig hashed) til microsoft, som så kontollerede om den var lovlig. Og kommer der mistænkelig mange opdateringer fra en enkeltlicens (+20 om ugen) synes jeg også de ville være i deres gode ret til at lukke den.

Men uhh nej - det kan man jo ikke. For det er jo krænkende for privatlivets fred at ens computer skal sende en (hashed?) cd-key til en anden computer.

#13 Ydelsesforbedrende opdateringer?

jeg har en 100% lovlig installation, hvor er mine ydelsesforbedrende opdateringer? gimme gimme.

så vidt jeg kan se og læse mig til, så er det indtil vidre blot tale om adgang til windows updates website.. der er ikke nogen nye forbedringer af nogen slags, de opdateringer man kan hente er de samme som alle (også ulovlige kopier) kan hente via Automatic Updates)

#14 ja da - ydelsesforbedrende opdateringer. Microsoft deler sine opdateringer ind i to kategorier. Sikkerhedsopdateringer og ydelsesforbedrende opdateringer.

Sikkerhedsopdateringer har alle stadig adgang til - de vil jo meget gerne undgå en ny virus ala Blaster. Og så har de ydelsesforbedrende opdateringer der retter bugs, og optimerer diverse ting.

Så er spørgsmålet : Hvad sker hvis man besøger WU og ikke har en legal Windows ?

Nysgerrig. :-) Nogen der har prøvet det (for en kammerat selvfølgelig, hehe) ?

Man behøver slet ikke bøvle med at smide et javascript ind og omgå det af denne vej.

Man kan blot nøjes med at køre valideringen på en maskine med lovlig windwos, altså hente det lille program der checker det. Programmet giver dig en kode på en 8-9 tegn, som du så paster i en formular på MS' website, og den fortæller at din windows er lovlig.

Men i stedet kan du blot skrive samme kode på en anden maskine, og MS vil nu tro at din maskine har en lovlig XP, uanset om den har det eller ej...

tjaa.. og for alle der ikke nyder at blive tvunget til at bruge Internet Explorer for at holde deres version af windows up-to-date og "sikker", så kan man bruge denne service: http://windowsupdate.62nds.com/

[url=#9]#9[/url] CyRacK

med nutidens teknologi kan det vel for pokker ikke være så svært at flikke en USB enhed sammen der indeholder en privat nøgle (der ikke kan exporteres for enheden) og lade al kommunikation mellem MS og ens computer gå igennem denne.

Ja selvfølgelig kan det lade sig gøre. Spørgsmålet er hvad sådan en dongle kommer til at koste. Hvis det betyder, at der skal lægges 200kr oveni prisen, så vil det nok være en upopulær beslutning. Et andet problem er, at der vil utvivlsomt være nogen, der forsøger at kopiere den alligevel. Før eller siden skal det nok lykkes at få nøglen ud af donglen. Og når først den er sluppet ud, så vil den jo blive kopieret i mange eksemplarer. Så de bliver nødt til at lave nøglerne forskellige og holde øje med kopier.

Så det kan måske bedre betale sig med en nøgle som man ikke forsøger at kopibeskytte på nogen måde udover at opdage for hyppig brug og lukke for den. Donglen har selvfølgelig den fordel, at man ikke kommer til at kopiere den ved en fejltagelse. Det er nemmere, hvis det bare er en nøgle, der ligger på harddisken.

[url=#12]#12[/url] KingGuru

så bygger din kryptering vel stadig på primtals sjov, og mig bekendt var der en russer der fandt ud af noget smart ved dem, som gør det hele meget lettere at bryde..

Du har vel lige som mange andre blot misforstået det resultat der blev offentliggjort for et par år siden om, at primtalstest kunne udføres i polynomiel tid. Det er et interessant teoretisk resultat, men fuldstændig irrelevant i praksis. Man har i mange år kendt til randomiserede primtalsstests, og man bliver ved med at bruge de randomiserede fremfor den deterministiske. De randomiserede tests har en fejlsandsynlighed der er så lille, at den ikke har nogen praktisk betydning. Den deterministiske algoritme er tilgengæld væsentligt langsommere.

Havde man ikke kendt til randomiserede primtalstests, så ville kryptering baseret på primtal ikke have været nær så anvendeligt. Man er jo nødt til at generere sine primtal på en eller anden måde, og det foregår typisk ved at prøve tilfældige tal indtil man finder et primtal. (Der er andre metoder som sideløbende med tallet konstruerer et bevis for at det er et primtal, men de er i højere grad interessante, hvis man skal bevise overfor andre, at det er et primtal).

At faktorisere et sammensat tal i primfaktorer er der mig bekdendt ikke fundet nogen polynomiel algoritme til. Og jeg læser adskillige nyhedsmedier, som ville ryde forsiden den dag det skete.

[url=#13]#13[/url] jpn

For det er jo krænkende for privatlivets fred at ens computer skal sende...

Det er der råd for. Kryptologi er meget andet end kryptering og signaturer. Zero knowledge beviser gør det muligt at bevise, at man har en gyldig nøgle, uden at modparten nogensinde får andre oplysninger om nøglen end at den er gyldig. At opdage to klienter, der bruger kopier af samme nøgle, kan også lade sig gøre. Det er lidt mere kompliceret, men vi regner med at publisere en protokol til formålet indenfor det næste par måneder.

[url=#14]#14[/url] Cream[DONut]

hvor er mine ydelsesforbedrende opdateringer?

Mon ikke bugfixes var en mere passende betegnelse. Nogle bugs kan føre til ekstremt dårlig ydelse i enkelte situationer. I sådan et tilfælde vil et bugfix forbedre ydelsen. Der er andre bugfixes som ikke har nogen sikkerhedsmæssig betydning. Jeg har f.eks. set et tilfælde, i et computerspil (Fifa Soccer tror jeg) hvor det var sådan at alle spillerne blev sorte når det regnede. En opdatering løste det problem. Opdateringen så ikke ud til at have nogen sikkerhedsmæssig betydning, men var alligevel ganske velkommen.

#11 #12
Det geniale ved en onetimepad er, at nøglen er ligeså lang som beskeden og valgt *HELT* tilfældigt.

Det betyder så, at en krypteret har lige store chancer for at dekrypteres til enhver besked af samme længde.

Det er så ligegyldigt om du har uendelige hurtige computere til rådighed - du kan ikke bryde krypteringen uden nøglen.

#20: Det er jo det jeg siger.

#12: Hvem fanden er naiv er os to?

Ifølge Moores lov bliver computerhastigheden til samme pris fordoblet hver 18. måned. En fordobling er jo at gange med to. Tag til sammenligning hver gang du forøger krypteringen med bare et enkelt ciffer. Tager vi alfabetet er det 29 bogstaver (inkl æøåw), det skal så ganges med 2 for store bogstaver er anderledes. Så skal du tager diverse tegn med:
½§! "#¤%&/()=?`´'*^¨~-.,;:_<>\+
31 tegn har du der (inklusiv mellemrum).
Derudover har vi også 10 tal.
Dvs. (29 * 2 + 31 + 10)^L hvor L er passwordets længde. Og kun en key er rigtig. Det kan godt være at computerkraften kan firedobles hvert tredje år, men antallet af mulige kombinationer 99dobles hver gang jeg tilføjer et ekstra ciffer. Dertil skal vi huske at der findes flere tegn (Manuen start -> programmer -> tilbehør -> systemværktøjer -> tegnoversigt).

I en One Time Pad skal du teknisk set kun afslutte din besked med "vi ses", før at krypteringen bliver 941.480.149.401 (941 milliarder) gange så stærk. Selv med princippet om at en fordobling sker 20 gange er det en million gange mere, kan du skam godt vinke farvel til at bryde sådan et password. Medmindre self. passwordet består af en nem kombination (at skrive hejmor 6 gange efter hinanden må anses for ikke at være topsikkert).

Mit password som du mener kan crackes om 100 år er 35 cifre indholdende tegn, tal, store og små bogstaver. Det giver 99^35 = ca. 7034476949995694312872101000000000000000000000000000000000000000000000 mulige kombinationer. Da der teknisk set er en grænse for hvor hurtigere computere kan laves (ned til mindste nanorør engang) tør jeg godt spå at det her password både nu og i fremtiden er ubrydeligt, såfremt alle tal er tilfældigt genererede. Det handler ikke bare om at gætte passwordet når man bruteforcer, computerne skal jo også undersøge om det password de nu afprøver er rigtigt eller ej ud fra checksumme. Jeg tror i meget høj grad at sådan et password ikke bliver brudt. Og konstateres det usikkert forøger vi da bare til 36 cifre og gør derved passwordet 99 sværere at bryde. Og kigger vi i tegnoversigten er der op imod 1000 tegn der kan bruges til kryptering i form af en masse bits. Regn selv ud hvilken form for kryptering det bliver KingGuru, og forsøg endelig at bryde den. Jeg skal da med glæde sende mit brugernavn og password til min netbank til din e-mail i en krypteret .exe fil. Mine penge er skam sikre nok, også i fremtiden.

Arrow

Arrow,
Men med et password så kompliceret tror jeg du bliver nødt itl at skrive det ned :-D

Så er det noget lort den dag huset brænder ned og dit password lå i kage dåsen på emhætten.

#22:
Jeg har ingen problemer med at huske mit nuværende 17 ciffer (lavede det om fra 16). Det ligger meget kært i hånden lige på tastaturet, fordi at jeg har valgt en kombination af ting jeg kan huske, uden at de er afslørende for selve passwordet.

Alternativt bruger jeg mit krypteringsprogram Steganos. Der kan jeg beskytte min 35 ciffer kode med en mindre kode, og gemme den i en billedfil, så mit baggrundsbillede teoretisk set gemmer en krypteret fil med password uden at nogen ved det. Stenografi og Kryptografi i en smuk kombination (kan også bruges på WAV filer) :D

På den anden side når jeg næppe heller ikke at redde min computer ud i tide, så selv om jeg har gemt passwordet bliver der næppe noget tilbage at dekryptere ;)

Arrow

[url=#23]#23[/url] arrow

På den anden side når jeg næppe heller ikke at redde min computer ud i tide, så selv om jeg har gemt passwordet bliver der næppe noget tilbage at dekryptere

Nogen af os har daglig fuldautomatisk krypteret offsite backup. Så når bare jeg kan huske mit password, så kan jeg hente en backup 8km fra hvor jeg bor.