To není zásadní změna, proti tomu se lze chránit dobře řešeným zálohováním. Zásadní změna ve fungování ransomware je hrozba zveřejnění ukradených dat, proti tomu již záloha dat neochrání.
To je ale úplná blbost, že zašifrování každých druhých 16 bajtů zkrátí čas zhruba na polovinu. Ve skutečnosti ho nezkrátí skoro vůbec. Úzké hrdlo při šifrování souborů na disku je čtení z disku a zápis na disk - a v popisovaném případě se musí číst i zapsat komplet všechno, vzhledem k velikosti sektoru v násobcích 512 bajtů.Pomohlo by šifrovat až vhodné násobky 512 bajtů (v praxi spíše 4096 bajtů, což je typická velikost clusteru pod NTFS), a to čím větší, tím lepší (ideálně třeba násobky 1MB). Tam už by byla úspora téměř lineární: jaký násobek, tolikanásobná úspora času.
Názor byl 1× upraven, naposled 12. 9. 2022 18:57
Jo jasně. Jsou to břídilové. Mega hackerské skupiny profesionálních hackerů a nedokáží odhadnout jak dlouho trvá projet AES-128 (10 rund) a srovnat to s rychlostí disku. Ještě že tu máme Michala Hanko který nám vše objasní.Jasně že když ten AES pojedete nad každým druhým blokem (AESu, nikoli disku), tak to bude rychlejší. Ne 2x, ale významě. HW akcelerované instrukce použít nemůžete, protože je to moc okaté pro antiviry a dokonce ani nemůžete použít jednoduché (a rychlé) SW implementace ze stejného důvodu. Implementace toho šifrování v těchto škodlivých kódech je brutálně obfuskovaná a ten algoritmus provádí tísíce instrukcí úplně zbytečně jen za účelem, aby bylo těžké zjistit, co to ve skutečnosti dělá. Tisíce instrukcí navíc jinak celkem rychlého algoritmu ale znamená, že to prostě trvá. Tím že tímto molochem šifrují jen (celkem libovolně velkou) polovinu dat to zrychlí znatelně (skoro 2x). Minimální velikost pod kterou nemá smysl jít je velikost bloku, což je pro AES-128, který se v tomto "odvětví" běžně používá, 16 bajtů. To co jsem popsal platí i pro jiné varianty AESu zhruba stejně a samozřejmě stejně tak i pro jiné šifry.
Hackeři to samozřejmě vědí, a také to dělají, jak píšu já. Redaktor zive.cz a ty jsou ti, kteří to neví.Konkrétně, pro představu: na mém nikterak výkonném PC (cca za 11.000 kč bez grafiky) šifruje AES-256-cbc na JEDNOM VLÁKNĚ rychlostí 1.2 GB/s. To je výrazně nad limitem jakéhokoliv normálního SSD - a můj 12-threadový CPU to zatíží na cca 10%. Kdybychom ho zatížili třeba z poloviny, pak jsme na rychlosti šifrování 7GB/s, což už je vysoko nad limitem i kteréhokoliv normálního NVMe SSD.A to nepoužívám žádnou hardwarovou akceleraci. Co se týká obfuskace, tak ta je přece na úrovni vnějšího zabalení kódu. Vnitřní kód se neobfuskuje - a nebo pokud ano, tak určitě ne kvůli tomu, aby ho za běhu neodhalil antivirák, bo to celé rozhodně neběží v ladícím režimu, a žádný jiný zázračný prostředek na koukání run-time na CPU antivirák nemá. Je to jak píšu - úzké hrdlo je jednoznačně rychlost disku, nikoliv rychlost šifrování. Ostatně, snad každý, kdo zkoušel EFS, ví, že zpomalení PC je prakticky neznatelné. CPU se zatíží jen minimálně a disk zapisuje pořád stejné množství dat.Ach jo...
AES 1,1 GB/s je jasne s akceleraci. Bez akcelerace budete na cca desetinove hodnote.Vypnete si v BIOSu AES-NI.
Máte pravdu. Nevypnul jsem ho v BIOSu, ale openssl umí měřit rychlost i s vypnutou akcelerací a ty hodnoty jsou tam cca 5x nižší, v mém případě kolem 250 MB/s.Na tom, co píšu, to ale přece nic nemění: mé SSD zvládne současně číst a zapisovat rychlostí kolem 120 MB/s, spíš míň. To je u velkých souborů, v řádu 2GB/soubor. U malých to pak klesá velmi výrazně až na cca 60-70 MB/s. Pokud uvažujeme tu nejvyšší hodnotu - 120 MB/s, a práce s šifrováním ubyde polovina, jako se píše v článku, pak nárůst celkové rychlosti zpracování bude jen o 19%! Pokud uvážíme reálnější hodnoty u běžných souborů, pak při rychlosti čtení a současného zápisu kolem 80MB/s, máme nárůst celkového šifrovacího výkonu kolem 13,8%.A to se pořád bavíme o zpracování v jednom vlákně. Ransomware přibere třeba ještě jedno, a zatíží tím mé CPU na necelých 20%, a nárůst výkonu při vypuštění půlky bloků k šifrování bude jen 7%! To je asi fakt dost k ničemu.Konečně, stejně je to rozlišování s a bez HW akcelerace zbytečné, jelikož přece fakt nemáme možnost - antivirový software nemá možnost! - monitorovat použití instrukce AESENC napříč všemi procesy. Tím spíš, že ji dnes používá kde co, vlastně skoro všechno. Pak ovšem můžeme klidně počítat s HW akcelerací, a ty výkonnostní zisky z vypuštění poloviny práce se šifrováním tak ransomwaru klesnou pod 2%.
Názor byl 1× upraven, naposled 13. 9. 2022 07:52
Antimalware (nechci psát antivirus) má spoustu metod, jak takové věci odhalí.Takže se třeba vytvářely skryté soubory do každé složky tak, aby se řadily na začátek a konec abecedy. Tyto si antimalware hooknul a čekal na jejich změnu; protože na ně nikdo neměl sahat.Pak se kontroloval, který program jak moc sahá na data, aplikace so projíždí jeden soubor po druhém je sama o sobě podezřelá.A tak dále. Čím víc toho ten ransomware napáchá, tím víc stop po sobě zanechá, a tím dříve může být odhalen.Pokud bude sahat jen na části souborů (a nevím, proč by se měl omezovat na každý druhý bajt nebo tak, já bych šifroval prvních 100 bajtů souboru a pak možná něco někde uprostřed :) ), využije tím méně zdrojů a má šanci být nenápadnější.Primárně jde o to, že při použití AES-NI se zbytek procesoru fláká. Dosáhnete na ten 1GB/s, a přitom to jádro může fungovat téměř plnohodnotně dál, a nežere při tom kdovíjak moc energie. To samé to úložiště, jako virus chcete být nenápadný, ne ho zatížit; byť tady naopak přecházíme od sekvenčního šifrování k náhodnému přístupu, ale zase SSD už je všude, tak to tolik nevadí.Osobně, pokud by bych malware, tak bych asi AES-NI nevyužíval, abych nebyl vidět. Ale ono hrabat na data a nebýt při tom vidět snad ani nejde.Většina úspěšných (ve smyslu zaplacení výkupného) ransomware útoků beztak přichází skrz prolomení nějakého uživatele, většinou s administrátorským přístupem, a ty útoky jsou sofistikované a dobře promyšlené. Takové ty emailové ransomwary jsou jiná kategorie, tam ta úspěšnost útoku stačí úplně minimální, aby se útok vyplatil.
Nesmíte uvažovat o šifrování na domácím počítači. To je z mého pohledu naprosto marginální záležitost. Z čeho mají hackerské skupiny největší "reputaci a vývar" jsou napadené firmy. Takže se pojďme podívat na firemní prostředí, kde máme výpočetní výkon serverů a rychlost optických sítí a diskových polí. Já spravuji optickou síť a disková pole. Bandwidth u serverů okolo 2 GB/s v normálním provoze opravdu není žádný problém. Peaky jsou samozřejmě daleko větší. Server dokáže vytížit pole kolem 5 GB/s naprosto v pohodě (se dvěmi 32Gbs FC HBA). Těch serverů máte ve velké firmě samozřejmě tisíce a polí máte desítky. Takže bavit se o tom, že vy jste schopný generovat load max 120 MB/s je naprosto irelevantní.
Šifrování používám ve svých programech naprosto běžně, a to právě na úrovni těch "rychlých softwarových implementací" a ještě NIKDY mi na ničem z toho žádný antivirák nezařval. A je to nový, právě napsaný software, který ten antivirák z logiky věci nemůže znát. Bylo by fajn, kdybyste nekafral o tom, o čem houby víte :-/ Vymýšlíte si, až se vám od huby práší :(
Kromě toho jsem v životě neslyšel o technologii, která by AV umožňovala mimo ladící režim monitorovat jednotlivé instrukce, používané k (hardwarově podporovanému) šifrování, aby pak mohl antivirák vyhodit alert. Jak se taková technologie jmenuje, poučíš mě?AV SW monitoruje podezřelá systémová volání, ale nikoliv instrukce CPU. Mě fakt fascinuje, jak jsou někteří s bohorovným klidem schopni poučovat jiné o věcech, o kterých vědí ale úplné ho...o.
Rika se tomu offline sken, a funguje to tak, ze antivirak projede binarni kod na ruzne patterny a tak. Kdovijak tomu nerozumim, ale co jineho nez instrukce by v te binarce bylo?
To ano, to určitě může, jenže virus tu svoji binárku též šifruje - co já vím, tak prakticky vždy - a na disku tak žádné paterny nebudou. Ani ve chvíli nahrání do paměti tam (v té paměti) nebudou. A stejně jako nemůže antivirák hlídat všechny použití instrukce AESENC, tak nemůže neustále skenovat celou paměť (ani by mu to nedovolil OS), jestli se zrovna někde v té paměti nedešifroval blok, obsahující instrukce k hardwarové akceleraci šifrování. Stejně, jak jsem psal výše, tato situace nastává skoro pořád, protože dnes skoro každý program někdy něco šifruje či dešifruje, s mírnou nadsázkou.
Potvrďte prosím přezdívku, kterou jsme náhodně vygenerovali, nebo si zvolte jinou. Zajistí, že váš profil bude unikátní.
Tato přezdívka je už obsazená, zvolte prosím jinou.