Merge github.com:BetterCrypto/Applied-Crypto-Hardening
authorAaron Kaplan <aaron@lo-res.org>
Mon, 23 Dec 2013 22:14:11 +0000 (23:14 +0100)
committerAaron Kaplan <aaron@lo-res.org>
Mon, 23 Dec 2013 22:14:11 +0000 (23:14 +0100)
49 files changed:
src/DH.tex [deleted file]
src/ECC.tex [deleted file]
src/Makefile
src/PKIs.tex [deleted file]
src/SHA.tex [deleted file]
src/applied-crypto-hardening.tex
src/checkpoint_1.png [deleted file]
src/checkpoint_2.png [deleted file]
src/checkpoint_3.png [deleted file]
src/checkpoint_4.png [deleted file]
src/cipher_suites.tex [deleted file]
src/cipher_suites/architecture.tex [deleted file]
src/cipher_suites/choosing.tex [deleted file]
src/cipher_suites/compatibility.tex [deleted file]
src/cipher_suites/forward.tex [deleted file]
src/cipher_suites/insecure.tex [deleted file]
src/cipher_suites/recommended.tex [deleted file]
src/further_research.tex
src/howtoread.tex
src/img/checkpoint_1.png [new file with mode: 0644]
src/img/checkpoint_2.png [new file with mode: 0644]
src/img/checkpoint_3.png [new file with mode: 0644]
src/img/checkpoint_4.png [new file with mode: 0644]
src/img/howtoread.dot
src/img/howtoread.eps
src/img/howtoread.pdf [deleted file]
src/img/keylengths_com.png [new file with mode: 0644]
src/img/logo.pdf [new file with mode: 0644]
src/keylengths.tex [deleted file]
src/keylengths_com.png [deleted file]
src/practical_settings.tex
src/practical_settings/vpn.tex
src/related_publications.tex
src/reviewers.tex
src/theory.tex
src/theory/DH.tex [new file with mode: 0644]
src/theory/ECC.tex [new file with mode: 0644]
src/theory/PKIs.tex [new file with mode: 0644]
src/theory/RNGs.tex [new file with mode: 0644]
src/theory/SHA.tex [new file with mode: 0644]
src/theory/cipher_suites.tex [new file with mode: 0644]
src/theory/cipher_suites/architecture.tex [new file with mode: 0644]
src/theory/cipher_suites/choosing.tex [new file with mode: 0644]
src/theory/cipher_suites/compatibility.tex [new file with mode: 0644]
src/theory/cipher_suites/forward.tex [new file with mode: 0644]
src/theory/cipher_suites/insecure.tex [new file with mode: 0644]
src/theory/cipher_suites/recommended.tex [new file with mode: 0644]
src/theory/keylengths.tex [new file with mode: 0644]
src/theory/overview.tex

diff --git a/src/DH.tex b/src/DH.tex
deleted file mode 100644 (file)
index 4a869a5..0000000
+++ /dev/null
@@ -1,12 +0,0 @@
-\section{A note on Diffie Hellman Key Exchanges}
-\label{section:DH}
-
-A common question is which Diffie Hellman (DH) Parameters  should be used for Diffie Hellman key exchanges\footnote{\url{http://crypto.stackexchange.com/questions/1963/how-large-should-a-diffie-hellman-p-be}}. We follow the recommendations in ECRYPT II, chapter 16.\cite{ii2011ecrypt}
-
-Where configurable, we recommend using the Diffie Hellman groups
-defined for IKE, specifically groups 14-18 (for MODP, \cite{rfc3526})
-and 19-21 (for elliptic curve DH, \cite{rfc5903}). These groups have
-been checked by many eyes and can be assumed to be secure.
-
-For convenience, we provide these parameters as PEM files. \todo{put
-  them on the server and insert URL here}.
diff --git a/src/ECC.tex b/src/ECC.tex
deleted file mode 100644 (file)
index 9d245c3..0000000
+++ /dev/null
@@ -1,51 +0,0 @@
-\section{A note on Elliptic Curve Cryptography}
-\label{section:EllipticCurveCryptography}
-
-%\epigraph{``Mathematics is the queen of the sciences and number theory is the queen of mathematics.''}{-- Carl Friedrich Gauss}
-
-\epigraph{``Everyone knows what a curve is, until he has studied enough mathematics to become confused through the countless number of possible exceptions.''}{-- Felix Klein }
-
-Elliptic Curve Cryptogaphy (simply called ECC from now on) is a branch of 
-cryptography that emerged in the mid-1980ties.
-The security of the RSA algorithm is based on the assumption that factoring 
-large primes is infeasible. Likewise the security of ECC, DH and DSA is 
-based on the discrete logrithm problem\cite{Wikipedia:Discrete,McC90,WR13}.
-Finding the discrete logarithm of an elliptic curve from its public base
-point is thought to be infeasible. This is known as the Elliptic Curve Discrete 
-Logarithm Problem (ECDLP). ECC and the underlying mathematical foundation are not easy 
-to understand - luckily there have been some great introductions on the topic lately
-\footnote{\url{http://arstechnica.com/security/2013/10/a-relatively-easy-to-understand-primer-on-elliptic-curve-cryptography}}
-\footnote{\url{https://www.imperialviolet.org/2010/12/04/ecc.html}}
-\footnote{\url{http://www.isg.rhul.ac.uk/~sdg/ecc.html}}.
-
-ECC provides for much stronger security with less computonally expensive
-operations in comparison to traditional PKI algorithms (See the Section \ref{section:keylengths}).
-
-
-The security of ECC relies on the elliptic curves and curve points chosen
-as parameters for the algorithm in question. Well before the NSA-leak scandal
-there has been a lot of discussion regarding these parameters and their 
-potential subversion. A part of the discussion involved recommended sets 
-of curves and curve points chosen by different standardization bodies such 
-as the National Institute of Standards and Technology (NIST) 
-\footnote{\url{http://www.nist.gov}}. Which were later widely implemented 
-in most common crypto libraries. Those parameters came under question 
-repeatedly from cryptographers\cite{BL13,Sch13b,W13}.
-At the time of writing there is ongoing research as to the security of 
-various ECC parameters\cite{DJBSC}.
-Most software configured to rely on ECC (be it client or server) is
-not able to promote or black-list certain curves. It is the hope of
-the authors that such functionality will be deployed widely soon.
-The authors of this paper include configurations and recommendations
-with and without ECC - the reader may choose to adopt those settings
-as he finds best suited to his environment. The authors will not make
-this decision for the reader.
-
-
-\textbf{A word of warning:} One should get familiar with ECC, different curves and
-parameters if one chooses to adopt ECC configurations. Since there is much 
-discussion on the security of ECC, flawed settings might very well compromise the 
-security of the entire system!
-
-%% mention different attacks on ECC besides flawed parameters!
-
index 79584c9..ecbcd2e 100644 (file)
@@ -41,7 +41,8 @@ clean:
        rm -f applied-crypto-hardening.aux applied-crypto-hardening.bbl \
             applied-crypto-hardening.blg applied-crypto-hardening.dvi   \
             applied-crypto-hardening.log applied-crypto-hardening.pdf   \
-            applied-crypto-hardening.toc applied-crypto-hardening.markdown
+            applied-crypto-hardening.toc applied-crypto-hardening.markdown \
+                       applied-crypto-hardening.out
        find . -name "*_generated.tex" -exec rm \{\} \;
        rm -rf applied-crypto-hardening/
        rm -rf gitHeadInfo.gin
diff --git a/src/PKIs.tex b/src/PKIs.tex
deleted file mode 100644 (file)
index a5b87ac..0000000
+++ /dev/null
@@ -1,155 +0,0 @@
-\section{Public Key Infrastructures}
-\label{section:PKIs}
-
-Public-Key Infrastructures aim to provide a way to simplify the verification of
-a certificate's trustworthiness.  For this, certificate authorities (CAs) are
-used to create a signature chain from the root CA down to the server (or client).
-Accepting a CA as a generally-trusted mediator solves the trust-scaling problem
-at the cost of introducing an actor that magically is more trustworthy.
-
-The first part of this section addresses how to obtain a certificate.  The
-second part offers recommendations on how to improve the security of your
-PKI.
-
-\subsection{Certificate Authorities}
-\label{sec:cas}
-In order to get a certificate, you can find an external CA willing to issue
-a certificate for you, run your own CA, or use self-signed certificates.
-As always, there are advantages and disadvantages for every one of these
-options; a balance of security versus usability needs to be found.
-
-\subsubsection{Certificates From an External Certificate Authority}
-\label{sec:signcertfromca}
-
-There is a fairly large number of commercial CAs that will issue
-certificates for money.  Some of the most ubiquitous commercial CAs are
-Verisign, GoDaddy, and Teletrust.  However, there are also CAs that offer
-certificates for free.  The most notable examples are StartSSL, which is a
-company that offers some types of certificates for free, and CAcert, which
-is a non-profit volunteer-based organisation that does not charge at all
-for issuing certificates.  Finally, in the research and education field, a
-number of CAs exist that are generally well-known and well-accepted within
-the higher-education community.
-
-When requesting a certificate from a CA, it is vital that you generate the
-key pair yourself.  In particular, the private key should never be known to
-the CA.  If a CA offers to generate the key pair for you, you should not
-trust that CA.
-
-Generating a key pair and a certificate request can be done with a number
-of tools.  On Unixoid systems, it is likely that the OpenSSL suite is
-available to you.  In this case, you can generate a private key and a
-corresponding certificate request as follows:
-
-\begin{lstlisting}[breaklines]
-% openssl req -new -nodes -keyout <servername>.key -out <servername>.csr -newkey rsa:<keysize>
-Country Name (2 letter code) [AU]:DE
-State or Province Name (full name) [Some-State]:Bavaria
-Locality Name (eg, city) []:Munich
-Organization Name (eg, company) [Internet Widgits Pty Ltd]:Example
-Organizational Unit Name (eg, section) []:Example Section
-Common Name (e.g. server FQDN or YOUR name) []:example.com
-Email Address []:admin@example.com
-
-Please enter the following 'extra' attributes
-to be sent with your certificate request
-A challenge password []:
-An optional company name []:
-\end{lstlisting}
-
-\subsubsection{Setting Up Your Own Certificate Authority}
-\label{sec:setupownca}
-In some situations it is advisable to run your own certificate authority.
-Whether this is a good idea depends on the exact circumstances.  Generally
-speaking, the more centralized the control of the systems in your
-environment, the fewer pains you will have to go through to deploy your own
-CA.  On the other hand, running your own CA maximizes the trust level that
-you can achieve because it minimizes external trust dependencies.
-
-Again using OpenSSL as an example, you can set up your own CA with the
-following commands on a Debian system:
-
-\begin{lstlisting}
-% cd /usr/lib/ssl/misc
-% sudo ./CA.pl -newca
-\end{lstlisting}
-
-Answer the questions according to your setup. Now that you have configured your basic settings and 
-issued a new root certificate, you can issue new certificates as follows:
-
-\begin{lstlisting}
-% cd /usr/lib/ssl/misc
-% sudo ./CA.pl -newreq
-\end{lstlisting}
-
-\subsubsection{Creating a Self-Signed Certificate}
-\label{sec:pki:selfsignedcert}
-If the desired trust level is very high and the number of systems involved
-is limited, the easiest way to set up a secure environment may be to use
-self-signed certificates.  A self-signed certificate is not issued by any
-CA at all, but is signed by the entity that it is issued to.  Thus, the
-organizational overhead of running a CA is eliminated at the expense of
-having to establish all trust relationships between entities manually.
-
-With OpenSSL, a self-signed certificate may be created with this command:
-
-\begin{lstlisting}
-% openssl req -new -x509 -key privkey.pem -out cacert.pem -days 1095
-\end{lstlisting}
-
-The resulting certificate will by default not be trusted by anyone at all,
-so in order to be useful, the certificate will have to be made known a
-priori to all parties that may encounter it.
-
-
-\subsection{Hardening PKI}
-\label{sec:hardeningpki}
-In recent years several CAs were compromised by attackers in order to
-get ahold of trusted certificates for malicious activities. In 2011 
-the Dutch CA Diginotar was hacked and all certificates were
-revoked~\cite{diginotar-hack}. Recently Google found certificates
-issued to them, which were not used by the
-company~\cite{googlecahack}. The concept of PKIs heavily depends on the
-security of CAs.  If they get compromised the whole PKI system will
-fail. Some CAs tend to incorrectly issue certificates that were designated
-to do a different job than what they were intended to by the CA~\cite{gocode}.
-
-Therefore several security enhancements were introduced by different
-organisations and vendors~\cite{tschofenig-webpki}. Currently two
-methods are used, DANE~\cite{rfc6698} and Certificate
-Pinning~\cite{draft-ietf-websec-key-pinning}. Google recently proposed
-a new system to detect malicous CAs and certificates  called Certificate 
-Transparency~\cite{certtransparency}.
-
-% \subsubsection{DANE}
-% \label{sec:dane}
-
-% \subsubsection{Certificate Pinning}
-% \label{sec:certpinning}
-
-
-
-% This section deals with settings related to trusting CAs. However,
-% our main recommendations for PKIs is: if you are able to run your
-% own PKI and disable any other CA, do so. This makes sense most in
-% environments where any machine-to-machine communication system
-% compatibility with external entities is not an issue.
-%% azet: this needs discussion! self-signed certificates simply do not
-%% work in practices for real-world scenarios - i.e. websites that
-%% actually serve a lot of people
-
-% A good background on PKIs can be found in
-% \footnote{\url{https://developer.mozilla.org/en/docs/Introduction_to_Public-Key_Cryptography}}
-% \footnote{\url{http://cacr.uwaterloo.ca/hac/about/chap8.pdf}}
-% \footnote{\url{http://www.verisign.com.au/repository/tutorial/cryptography/intro1.shtml}}
-% .
-
-% \todo{ts: Background and Configuration (EMET) of Certificate Pinning,
-%   TLSA integration, When to use self-signed certificates, how to get
-%   certificates from public CA authorities (CACert, StartSSL),
-%   Best-practices how to create a CA and how to generate private
-%   keys/CSRs, Discussion about OCSP and CRLs. TD: Useful Firefox
-%   plugins: CipherFox, Conspiracy, Perspectives.}
-
-
-% ``Certificate Policy''\cite{Wikipedia:Certificate_Policy} (CA)
diff --git a/src/SHA.tex b/src/SHA.tex
deleted file mode 100644 (file)
index fb88353..0000000
+++ /dev/null
@@ -1,21 +0,0 @@
-\section{A note on SHA-1}
-\label{section:SHA}
-
-
-In the last years several weaknesses have been shown for SHA-1. In
-particular, collisions on SHA-1 can be found using $2^{63}$ operations, and
-recent results even indicate a lower complexity. Therefore,
-ECRYPT II and NIST recommend against using SHA-1 for generating digital
-signatures and for other applications that require collision resistance.
-The use of SHA-1 in message authentication, e.g. HMAC, is not
-immediately threatened.
-
-We recommend using SHA-2 whenever available. Since SHA-2 is not
-supported by older versions of TLS, SHA-1 can be used for message
-authentication if a higher compatibility with a more diverse set of
-clients is needed.
-
-
-Our configurations A and B reflect this. While configuration A does not include
-SHA-1, configuration B does and thus is more compatible with a wider range of
-clients.
index 1b5857d..371d1eb 100644 (file)
@@ -190,8 +190,7 @@ morekeywords={__global__, __device__},  %
 \newcommand{\HorRule}{\color{darkblue}%                        % Creating a horizontal rule
                                                                                \rule{\linewidth}{1pt}%
                                                                        }
-% \usefont{OT1}{phv}{b}{n}
-% \usefont{OT1}{phv}{b}{sl}
+
 
 \pretitle{\vspace{-30pt} \begin{flushleft} \HorRule 
                                \fontsize{36}{36}  \color{darkblue} \selectfont 
@@ -219,7 +218,7 @@ morekeywords={__global__, __device__},  %
 
 \setlength{\parindent}{0cm}
 
-\postauthor{\footnotesize \usefont{OT1}{phv}{m}{sl} \color{Black} 
+\postauthor{\footnotesize  \color{Black} 
 \\ \vskip 0.5em  (University of Vienna, CERT.be, KIT-CERT, CERT.at, IAIK, coretec.at, FH Campus Wien, VRVis, MilCERT Austria, A-Trust, , Runtux.com, Friedrich-Alexander University Erlangen-Nuremberg, azet.org, maclemon.at)
                                        \par\end{flushleft}\HorRule}
 
diff --git a/src/checkpoint_1.png b/src/checkpoint_1.png
deleted file mode 100644 (file)
index 88f5266..0000000
Binary files a/src/checkpoint_1.png and /dev/null differ
diff --git a/src/checkpoint_2.png b/src/checkpoint_2.png
deleted file mode 100644 (file)
index 0323e29..0000000
Binary files a/src/checkpoint_2.png and /dev/null differ
diff --git a/src/checkpoint_3.png b/src/checkpoint_3.png
deleted file mode 100644 (file)
index e6bbe0a..0000000
Binary files a/src/checkpoint_3.png and /dev/null differ
diff --git a/src/checkpoint_4.png b/src/checkpoint_4.png
deleted file mode 100644 (file)
index b5d2a24..0000000
Binary files a/src/checkpoint_4.png and /dev/null differ
diff --git a/src/cipher_suites.tex b/src/cipher_suites.tex
deleted file mode 100644 (file)
index a03e33f..0000000
+++ /dev/null
@@ -1,34 +0,0 @@
-
-\section{Cipher suites}
-\label{section:CipherSuites}
-\todo{team: section \ref{section:CipherSuites} is currently a bit messy. Re-do it}
-
-
-\subsection{Architectural overview }
-\label{subsection:architecture}
-\input{"./cipher_suites/architecture.tex"}
-
-
-\subsection{Forward Secrecy}
-\label{subsection:PFS}
-\input{"./cipher_suites/forward.tex"}
-
-
-\subsection{Recommended cipher suites}
-\label{section:recommendedciphers}
-\input{"./cipher_suites/recommended.tex"}
-
-
-%\subsection{Known insecure and weak cipher suites}
-%\input{"./cipher_suites/insecure.tex"}
-
-
-\subsection{Compatibility}
-\label{subsection:compatibility}
-\input{"./cipher_suites/compatibility.tex"}
-
-
-\subsection{Choosing your own cipher suites}
-\label{section:ChoosingYourOwnCipherSuites}
-\input{"./cipher_suites/choosing.tex"}
-
diff --git a/src/cipher_suites/architecture.tex b/src/cipher_suites/architecture.tex
deleted file mode 100644 (file)
index e4e8bca..0000000
+++ /dev/null
@@ -1,54 +0,0 @@
-%%\subsection{Architectural overview }
-
-This section defines some terms which will be used throughout this guide.
-
-
-A cipher suite is a standardised collection of key exchange algorithms, encryption 
-algorithms (ciphers) and Message authentication codes (MAC) algortihm that provides
-authenticated encryption schemes. It consists of the following components:
-
-\begin{description}
-
-\item{\it Key exchange protocol:}
-``An (interactive) key exchange protocol is a method whereby parties who do not 
-share any secret information can generate a shared, secret key by communicating 
-over a public channel. The main property guaranteed here is that an 
-eavesdropping adversary who sees all the messages sent over the communication 
-line does not learn anything about the resulting secret key.'' \cite{katz2008introduction}
-
-Example: \texttt{DHE}
-
-\item{\it Authentication:}
-The client authenticates the server by its certificate. Optionally the server 
-may authenticate the client certificate.
-
-Example: \texttt{RSA}
-
-\item{\it Cipher:}
-The cipher is used to encrypt the message stream. It also contains the key size
-and mode used by the suite.
-
-Example: \texttt{AES256}
-
-\item{\it Message authentication code (MAC):}
-A MAC ensures that the message has not been tampered with (integrity).
-
-Examples: \texttt{SHA256}
-
-\item{\it Authenticated Encryption with Associated Data (AEAD):}
-AEAD is a class of authenticated encryption block-cipher modes
-which take care of encryption as well as authentication (e.g. GCM, CCM mode). 
-
-Example: \texttt{AES256-GCM}
-
-
-
-\begin{figure}[h]
-\makebox[\textwidth]{
-\framebox[1.1\width]{ \texttt{DHE} }--\framebox[1.1\width]{ \texttt{RSA} }--\framebox[1.1\width]{ \texttt{AES256} }--\framebox[1.1\width]{ \texttt{SHA256} } }
-\caption{Composition of a typical cipher string}
-\end{figure}
-
-\item {\textbf{A note on nomenclature:}} there are two common naming schemes for cipher strings -- IANA names (see section \ref{section:Links}) and the more well known OpenSSL names. In this document we will always use OpenSSL names unless a specific service uses IANA names.
-
-\end{description}
diff --git a/src/cipher_suites/choosing.tex b/src/cipher_suites/choosing.tex
deleted file mode 100644 (file)
index b31a23b..0000000
+++ /dev/null
@@ -1,248 +0,0 @@
-%%\subsection{Choosing your own cipher suites}
-%%\label{section:ChoosingYourOwnCipherSuites}
-
-\todo{ Adi...  you want to describe how to make your own selection of cipher suites here.}
-
-%%SSL/TLS cipher suites consist of a key exchange algorithm, an authentication, a
-%%stream cipher (or a block cipher with a chaining mode) and a message authentication
-%%mechanism.
-%% ^^ commented out due to duplication (see previous section on architecture) - azet
-
-Many of the parts in a ciphersuite are interchangeable. Like the key exchange
-algorithm in this example: \texttt{ECDHE-RSA-AES256-GCM-SHA384} and
-\texttt{DHE-RSA-AES256-GCM-SHA384}.  To provide a decent level of security, all
-algorithms need to be safe (subject to the disclaimer in section
-\ref{section:disclaimer}).
-
-Note: There are some very weak cipher suites in every crypto library, most of
-them for historic reasons or due to legacy standards. The crypto export embargo
-is a good example\cite{Wikipedia:ExportCipher}.  For the following chapter
-support of these low-security algorithms is disabled by setting
-\texttt{!EXP:!LOW:!NULL} as part of the cipher string.
-
-\todo{Team: do we need references for all cipher suites considered weak?}
-
-\subsubsection{Key Exchange}
-
-Many algorithms allow secure key exchange.  Those are RSA, DH, EDH, ECDSA,
-ECDH, EECDH amongst others. During the key exchange, keys used for authentication
-and symmetric encryption are exchanged. For RSA, DSA and ECDSA those keys are derived
-from the server's public key.
-
-\todo{explain this section}
-
-\begin{center}
-\begin{tabular}{llll}
-    \toprule
-          & \textbf{Key}  & \textbf{EC}  & \textbf{ephemeral} \\ \cmidrule(lr){1-4}
-   RSA    & RSA           & no           & no                 \\
-   DH     & RSA           & no           & no                 \\
-   EDH    & RSA           & no           & yes                \\
-   ECDH   & both          & yes          & no                 \\
-   EECDH  & both          & yes          & yes                \\
-   DSA    & DSA           & no           & no                 \\
-   ECDSA  & DSA           & yes          & no                 \\
-\bottomrule
-\end{tabular}
-%\\
-%\\
-%disabled: \texttt{!PSK:!SRP}
-\end{center}
-
-\textbf{Ephemeral Key Exchange} uses different keys for authentication (the server's RSA
-key) and encryption (a randomly created key). This advantage is called ``Forward
-Secrecy'' and means that even recorded traffic cannot be decrypted later when someone
-obtains the server key. \\
-All ephemeral key exchange schemes are based on the Diffie-Hellman algorithm and require
-pre-generated Diffie-Hellman parameter (which allow fast ephemeral key generation). It
-is important to note that the Diffie-Hellman parameter settings need to reflect at least 
-the security (speaking in number of bits) as the RSA host key. \todo{TODO: reference!}
-
-
-\textbf{Elliptic Curves} (see section \ref{section:EllipticCurveCryptography})
-required by current TLS standards only consist of the so-called NIST-curves
-(\texttt{secp256r1} and \texttt{secp384r1}) which may be weak because the
-parameters that led to their generation weren't properly explained by the
-authors\cite{DJBSC}. \\ Disabling support for Elliptic Curves leads to no
-ephemeral key exchange being available for the Windows platform. When you
-decide to use Elliptic Curves despite the uncertainty, make sure to at least
-use the stronger curve of the two supported by all clients
-(\texttt{secp384r1}).
-
-
-Other key exchange mechanisms like Pre-Shared Key (PSK) are irrelevant for
-regular SSL/TLS use.
-
-\subsubsection{Authentication}
-
-RSA, DSA, DSS, ECDSA, ECDH
-
-During Key Exchange the server proved that he is in control of the private key
-associated with a certain public key (the server's certificate). The client
-verifies the server's identity by comparing the signature on the certificate
-and matching it with its trust database. For details about the trust model of
-SSL/TLS please see \ref{section:PKIs}.
-
-In addition to the server providing its identity, a client might do so as well.
-That way mutual trust can be established. Another mechanism providing client
-authentication is Secure Remote Password (SRP)\todo{reference}. All those
-mechanisms require special configuration.
-
-Other authentication mechanisms like Pre Shared Keys aren't used in SSL/TLS.
-Anonymous sessions will not be discussed in this paper.
-
-\texttt{!PSK:!aNULL}
-
-\subsubsection{Encryption}
-
-AES, CAMELLIA, SEED, ARIA(?), FORTEZZA(?)...
-
-Other ciphers like IDEA, RC2, RC4, 3DES or DES are weak and therefor not recommended:
-\texttt{!DES:!3DES:!RC2:!RC4:!eNULL}
-
-\subsubsection{Message authentication}
-
-SHA-1 (SHA), SHA-2 (SHA256, SHA384), AEAD
-
-Note that SHA-1 is considered broken and should not be used. SHA-1 is however the
-only still available message authentication mechanism supporting TLS1.0/SSLv3. Without
-SHA-1 most clients will be locked out.
-
-Other hash functions like MD2, MD4 or MD5 are unsafe and broken: \texttt{!MD2:!MD4:!MD5}
-
-\subsubsection{Combining cipher strings}
-%% reference 'man ciphers' and 'openssl ciphers' and show some simple examples
-%% VERY IMPORTANT: hint at the IANA-list and the differences in implementations
-
-\todo{ Adi...  The text below was simply the old text, still left here for reference.}
-
-%%% NOTE: we do not need to list this all here, can move to an appendix
-%At the time of this writing, SSL is defined in RFCs:  
-%
-%\begin{itemize}
-%\item RFC2246 - TLS1.0                
-%\item RFC3268 - AES           
-%\item RFC4132 - Camelia               
-%\item RFC4162 - SEED          
-%\item RFC4279 - PSK           
-%\item RFC4346 - TLS 1.1               
-%\item RFC4492 - ECC           
-%\item RFC4785 - PSK\_NULL             
-%\item RFC5246 - TLS 1.2               
-%\item RFC5288 - AES\_GCM              
-%\item RFC5289 - AES\_GCM\_SHA2\_ECC           
-%\item RFC5430 - Suite B               
-%\item RFC5487 - GCM\_PSK              
-%\item RFC5489 - ECDHE\_PSK            
-%\item RFC5932 - Camelia               
-%\item RFC6101 - SSL 3.0               
-%\item RFC6209 - ARIA          
-%\item RFC6367 - Camelia               
-%\item RFC6655 - AES\_CCM              
-%\item RFC7027 - Brainpool Curves              
-%\end{itemize}
-
-%\subsubsection{Overview of SSL Server settings}
-%
-%
-%Most Server software (Webservers, Mail servers, etc.) can be configured to prefer certain cipher suites over others. 
-%We followed the recommendations by Ivan Ristic's SSL/TLS Deployment Best Practices\footnote{\url{https://www.ssllabs.com/projects/best-practices/index.html}} document (see section 2.2 "Use Secure Protocols") and arrived at a list of recommended cipher suites for SSL enabled servers.
-%
-%Following Ivan Ristic's adivce we arrived at a categorisation of cipher suites.
-%
-%\begin{center}
-%\begin{tabular}{lllll}
-%\cmidrule[\heavyrulewidth]{2-5}
-%& \textbf{Version}   & \textbf{KeyEx} & \textbf{Cipher}    & \textbf{MAC}       \\\cmidrule(lr){2-5}
-%\cellcolor{green}prefer  & TLS 1.2   & DHE\_DSS   & AES\_256\_GCM   & SHA384        \\
-%    &   & DHE\_RSA   & AES\_256\_CCM   & SHA256        \\
-%    &   & ECDHE\_ECDSA   & AES\_256\_CBC   &       \\
-%    &   & ECDHE\_RSA &   &       \\ 
-%    &   &   &   &       \\
-%\cellcolor{orange}consider    & TLS 1.1   & DH\_DSS    & AES\_128\_GCM   & SHA       \\
-%    & TLS 1.0   & DH\_RSA    & AES\_128\_CCM   &       \\
-%    &   & ECDH\_ECDSA    & AES\_128\_CBC   &       \\ 
-%    &   & ECDH\_RSA  & CAMELLIA\_256\_CBC  &       \\
-%    &   & RSA   & CAMELLIA\_128\_CBC  &       \\
-%    &   &   &   &       \\
-%\cellcolor{red}avoid   
-%& SSL 3.0   & NULL  & NULL  & NULL      \\
-%    &   & DH\_anon   & RC4\_128   & MD5       \\
-%    &   & ECDH\_anon & 3DES\_EDE\_CBC  &       \\
-%    &   &   & DES\_CBC   &       \\
-%    &   &   &   &       \\
-%\cellcolor{blue}{\color{white}special }
-%&   & PSK   & CAMELLIA\_256\_GCM  &       \\
-%    &   & DHE\_PSK   & CAMELLIA\_128\_GCM  &       \\
-%    &   & RSA\_PSK   & ARIA\_256\_GCM  &       \\
-%    &   & ECDHE\_PSK & ARIA\_256\_CBC  &       \\
-%    &   &   & ARIA\_128\_GCM  &       \\
-%    &   &   & ARIA\_128\_CBC  &       \\
-%    &   &   & SEED  &       \\
-%\cmidrule[\heavyrulewidth]{2-5}
-%\end{tabular}
-%\end{center}
-%
-%A remark on the ``consider'' section: the BSI (Federal office for information security, Germany) recommends in its technical report TR-02102-2\footnote{\url{https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/TechnischeRichtlinien/TR02102/BSI-TR-02102-2_pdf.html}} to \textbf{avoid} non-ephemeral\footnote{Ephemeral keys are session keys which are destroyed upon termination of the encrypted session. In TLS/SSL, they are realized by the DHE cipher suites. } keys for any communication which might contain personal or sensitive data. In this document, we follow BSI's advice and therefore only keep cipher suites containing (EC)DH\textbf{E} (ephemeral) variants. System administrators, who can not use forward secrecy can still use the cipher suites in the ``consider'' section. We however, do not recommend them in this document.
-%
-%%% NOTE: s/forward secrecy/perfect forward secrecy???
-%
-%Note that the entries marked as ``special'' are cipher suites which are not common to all clients (webbrowsers etc).
-%
-%
-%\subsubsection{Tested clients}
-% 
-%Next we tested the cipher suites above on the following clients:
-%
-%%% NOTE: we need to test with more systems!!
-%\begin{itemize}
-%\item Chrome 30.0.1599.101 Mac OS X 10.9
-%\item Safari 7.0 Mac OS X 10.9
-%\item Firefox 25.0 Mac OS X 10.9
-%\item Internet Explorer 10 Windows 7
-%\item Apple iOS 7.0.3
-%\end{itemize}
-%
-%
-%The result of testing the cipher suites with these clients gives us a preference order as shown in table \ref{table:prefOrderCipherSuites}. 
-%Should a client not be able to use a specific cipher suite, it will fall back to the next possible entry as given by the ordering.
-%
-%\begin{table}[h]
-%\centering\small
-%    \begin{tabular}{cllcccc}
-%    \toprule
-%    \textbf{Pref}   & \textbf{Cipher Suite}                            & \textbf{ID}   & \multicolumn{4}{l}{\textbf{Supported by}}\\ 
-%    \cmidrule(lr){4-7}
-%                    & \textbf{OpenSSL Name}                            &               & Chrome & FF   & IE   & Safari \\
-%    \cmidrule(lr){1-7}
-%    \phantom{0}1    & \verb|TLS_DHE_RSA_WITH_AES_256_GCM_SHA384|     & \verb|0x009f| & \no    & \no  & \no  & \no    \\
-%                    & \verb|DHE-RSA-AES256-GCM-SHA384|                      &               & &&&\\\rowcolor{lightlightgray}
-%    \phantom{0}2    & \verb|TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384| & \verb|0xC024| & \no    & \no  & \no  & \yes   \\\rowcolor{lightlightgray}
-%                    & \verb|ECDHE-ECDSA-AES256-SHA384|                      &               & &&&\\
-%    \phantom{0}3    & \verb|TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384|   & \verb|0xC028| & \no    & \no  & \no  & \yes   \\
-%                    & \verb|ECDHE-RSA-AES256-SHA384|                        &               & &&&\\\rowcolor{lightlightgray}
-%    \phantom{0}4    & \verb|TLS_DHE_RSA_WITH_AES_256_CBC_SHA256|     & \verb|0x006B| & \yes   & \no  & \no  & \yes   \\\rowcolor{lightlightgray}
-%                    & \verb|DHE-RSA-AES256-SHA256|                          &               & &&&\\
-%    \phantom{0}5    & \verb|TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA|    & \verb|0xC00A| & \yes   & \yes & \yes & \yes   \\
-%                    & \verb|ECDHE-ECDSA-AES256-SHA|                         &               & &&&\\\rowcolor{lightlightgray}
-%    \phantom{0}6    & \verb|TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA|      & \verb|0xC014| & \yes   & \yes & \yes & \yes   \\\rowcolor{lightlightgray}
-%                    & \verb|ECDHE-RSA-AES256-SHA|                           &               & &&&\\
-%    \phantom{0}7    & \verb|TLS_DHE_RSA_WITH_AES_256_CBC_SHA|        & \verb|0x0039| & \yes   & \yes & \no  & \yes   \\
-%                    & \verb|DHE-RSA-AES256-SHA|                             &               & &&&\\\rowcolor{lightlightgray}
-%    \phantom{0}8    & \verb|TLS_DHE_DSS_WITH_AES_256_CBC_SHA|        & \verb|0x0038| & \no    & \yes & \yes & \no    \\\rowcolor{lightlightgray}
-%                    & \verb|DHE-DSS-AES256-SHA|                             &               & &&&\\
-%    \phantom{0}9    & \verb|TLS_DHE_RSA_WITH_CAMELLIA_256_CBC_SHA|   & \verb|0x0088| & \no    & \yes & \no  & \no    \\
-%                    & \verb|DHE-RSA-CAMELLIA256-SHA|                        &               & &&&\\\rowcolor{lightlightgray}
-%    \phantom{}10    & \verb|TLS_DHE_DSS_WITH_CAMELLIA_256_CBC_SHA|   & \verb|0x0087| & \no    & \yes & \no  & \no    \\\rowcolor{lightlightgray}
-%                    & \verb|DHE-DSS-CAMELLIA256-SHA|                        &               & &&&\\
-%   \bottomrule
-%    \end{tabular}
-%\caption{Preference order of cipher suites.  All suites are supported by OpenSSL.}
-%\label{table:prefOrderCipherSuites}
-%\end{table}
-%
-%Note: the above table \ref{table:prefOrderCipherSuites} contains Elliptic curve key exchanges. There are currently strong doubts\footnote{\url{http://safecurves.cr.yp.to/rigid.html}} concerning ECC.
-%If unsure, remove the cipher suites starting with ECDHE in the table above.
-%
-%
-%Based on this ordering, we can now define the corresponding settings for servers. We will start with the most common web servers.
diff --git a/src/cipher_suites/compatibility.tex b/src/cipher_suites/compatibility.tex
deleted file mode 100644 (file)
index d8621fd..0000000
+++ /dev/null
@@ -1,2 +0,0 @@
-%%\subsection{Compatibility}
-\todo{write this section. The idea here is to first document which server (and openssl) version we assumed. Once these parameters are fixed, we then list all clients which are supported for Variant A) and B). Therefore we can document compatibilities to some extent. The sysadmin can then choose roughly what he looses or gains by omitting certain cipher suites.}
\ No newline at end of file
diff --git a/src/cipher_suites/forward.tex b/src/cipher_suites/forward.tex
deleted file mode 100644 (file)
index e7a9ab6..0000000
+++ /dev/null
@@ -1,8 +0,0 @@
-%%\subsection{Forward Secrecy}
-Forward Secrecy or Perfect Forward Secrecy is a property of a cipher suite 
-that ensures confidentiality even if the server key has been compromised.
-Thus if traffic has been recorded it can not be decrypted even if an adversary
-has got hold of the server key
-\footnote{\url{http://en.wikipedia.org/wiki/Forward\_secrecy}}
-\footnote{\url{https://www.eff.org/deeplinks/2013/08/pushing-perfect-forward-secrecy-important-web-privacy-protection}}
-\footnote{\url{http://news.netcraft.com/archives/2013/06/25/ssl-intercepted-today-decrypted-tomorrow.html}}.
diff --git a/src/cipher_suites/insecure.tex b/src/cipher_suites/insecure.tex
deleted file mode 100644 (file)
index 585af09..0000000
+++ /dev/null
@@ -1,17 +0,0 @@
-%%\subsection{Known insecure and weak cipher suites}
-%\todo{PG: please write this section. List all known broken, obsolete, weak and insecure cipher suites . Or even better: find the best site which keeps track of outdated cipher suites and simply reference it. We do not want to maintain such a list ourselves!}
-
-%%Ciphers with 112bit or less are considered weak and aren't recommended. Note that \texttt{3DES} provides only 112bit of security \footnote{\url{http://csrc.nist.gov/publications/PubsSPs.html\#800-57-part1}}.
-
-%% comment Florian:
-%% Please do not consider ciphers with a 112 bit key as weak. I think it is
-%% fine to do not recommend 3DES, but we should not claim that it is weak.
-%% In particular, 3DES with an effective keysize of 112 bits is still
-%% recommended by NIST and by ECRYPT2 for medium-term protection until 2030.
-
-
-%One special remark is necessary for 3DES: here we want to note
-%that it theoretically has 168 bit security, however based on the NIST Special
-%Publication 800-57
-%\footnote{\url{http://csrc.nist.gov/publications/PubsSPs.html\#800-57-part1},
-%pages 63 and 64}, it is clear that 3DES is only considered 80 bits / 112 bits.
diff --git a/src/cipher_suites/recommended.tex b/src/cipher_suites/recommended.tex
deleted file mode 100644 (file)
index dd84b85..0000000
+++ /dev/null
@@ -1,166 +0,0 @@
-%%\subsection{Recommended cipher suites}
-
-In principle system administrators who want to improve their communication security
-have to make a difficult decision between effectively locking out some users and 
-keeping high cipher suite security while supporting as many users as possible.
-The website \url{https://www.ssllabs.com/} gives administrators and security engineers
-a tool to test their setup and compare compatibility with clients. The authors made 
-use of ssllabs.com to arrive at a set of cipher suites which we will recommend 
-throughout this document.\\
-
-\textbf{Caution: these settings can only represent a subjective
-choice of the authors at the time of writing. It might be a wise choice to
-select your own and review cipher suites based on the instructions in section
-\ref{section:ChoosingYourOwnCipherSuites}}.
-
-
-\subsubsection{Configuration A: Strong ciphers, fewer clients}
-
-At the time of writing we recommend the following set of strong cipher
-suites which may be useful in an environment where one does not depend on many,
-different clients and where compatibility is not a big issue.  An example
-of such an environment might be machine-to-machine communication or corporate
-deployments where software that is to be used can be defined freely.
-
-
-We arrived at this set of cipher suites by selecting:
-
-\begin{itemize}
-\item TLS 1.2
-\item Perfect forward secrecy / ephemeral Diffie Hellman
-\item strong MACs (SHA-2) or
-\item GCM as Authenticated Encryption scheme
-\end{itemize}
-
-This results in the OpenSSL string:
-
-\begin{lstlisting}[breaklines]
-'EDH+aRSA+AES256:EECDH+aRSA+AES256:!SSLv3'
-\end{lstlisting}
-
-%$\implies$ resolves to 
-%
-%\begin{verbatim}
-%openssl ciphers -V $string
-%\end{verbatim}
-
-
-
-%\todo{make a column for cipher chaining mode} --> not really important, is it?
-\begin{center}
-
-\begin{tabular}{lllllll}
-\toprule
-\textbf{ID}   & \textbf{OpenSSL Name}       & \textbf{Version} & \textbf{KeyEx} & \textbf{Auth} & \textbf{Cipher} & \textbf{MAC}\\\cmidrule(lr){1-7}
-\verb|0x009F| & DHE-RSA-AES256-GCM-SHA384   & TLSv1.2          & DH             &  RSA          & AESGCM(256)     & AEAD         \\
-\verb|0x006B| & DHE-RSA-AES256-SHA256       & TLSv1.2          & DH             &  RSA          & AES(256) (CBC)  & SHA256       \\
-\verb|0xC030| & ECDHE-RSA-AES256-GCM-SHA384 & TLSv1.2          & ECDH           &  RSA          & AESGCM(256)     & AEAD         \\
-\verb|0xC028| & ECDHE-RSA-AES256-SHA384     & TLSv1.2          & ECDH           &  RSA          & AES(256) (CBC)  & SHA384       \\
-\bottomrule
-\end{tabular}
-\end{center}
-
-
-\textbf{Compatibility}
-
-Only clients which support TLS 1.2 are covered by these cipher suites (Chrome 30,
-Win 7 and Win 8.1 crypto stack, Opera 17, OpenSSL $\ge$ 1.0.1e, Safari 6 / iOS
-6.0.1, Safari 7 / OS X 10.9).
-
-
-
-\subsubsection{Configuration B: Weaker ciphers, more compatability}
-
-In this section we propose a slightly weaker set of cipher suites.  For
-example, there are some known weaknesses for the SHA-1 hash function that is
-included in this set.  The advantage of this set of cipher suites is not only
-the compatibility with a broad range of clients, but also less computational
-workload on the provisioning hardware.
-\\
-
-\textbf{All further examples in this publication use Configuration B}.\\
-
-We arrived at this set of cipher suites by selecting:
-
-\begin{itemize}
-\item TLS 1.2, TLS 1.1, TLS 1.0
-\item allow SHA-1
-
-\todo{AK: Note that SHA1 is considered broken but if we are in DHE, we might get around it as long as you can not calculate a SHA1 collision ``live'' on the wire}
-
-\end{itemize}
-
-This results in the OpenSSL string:
-
-\begin{lstlisting}[breaklines]
-'EDH+CAMELLIA:EDH+aRSA:EECDH+aRSA+AESGCM:EECDH+aRSA+SHA384:EECDH+aRSA+SHA256:EECDH:+CAMELLIA256:+AES256:+CAMELLIA128:+AES128:+SSLv3:!aNULL:!eNULL:!LOW:!3DES:!MD5:!EXP:!PSK:!SRP:!DSS:!RC4:!SEED:!ECDSA:CAMELLIA256-SHA:AES256-SHA:CAMELLIA128-SHA:AES128-SHA'
-\end{lstlisting}
-
-\todo{make a column for cipher chaining mode}
-\begin{center}
-\begin{tabular}{lllllll}
-\toprule
-\textbf{ID}   & \textbf{OpenSSL Name}       & \textbf{Version} & \textbf{KeyEx} & \textbf{Auth} & \textbf{Cipher} & \textbf{MAC}\\\cmidrule(lr){1-7}
-\verb|0x009F| & DHE-RSA-AES256-GCM-SHA384   & TLSv1.2          & DH             & RSA           & AESGCM(256)     & AEAD         \\
-\verb|0x006B| & DHE-RSA-AES256-SHA256       & TLSv1.2          & DH             & RSA           & AES(256)        & SHA256       \\
-\verb|0xC030| & ECDHE-RSA-AES256-GCM-SHA384 & TLSv1.2          & ECDH           & RSA           & AESGCM(256)     & AEAD         \\
-\verb|0xC028| & ECDHE-RSA-AES256-SHA384     & TLSv1.2          & ECDH           & RSA           & AES(256)        & SHA384       \\
-\verb|0x009E| & DHE-RSA-AES128-GCM-SHA256   & TLSv1.2          & DH             & RSA           & AESGCM(128)     & AEAD         \\
-\verb|0x0067| & DHE-RSA-AES128-SHA256       & TLSv1.2          & DH             & RSA           & AES(128)        & SHA256       \\
-\verb|0xC02F| & ECDHE-RSA-AES128-GCM-SHA256 & TLSv1.2          & ECDH           & RSA           & AESGCM(128)     & AEAD         \\
-\verb|0xC027| & ECDHE-RSA-AES128-SHA256     & TLSv1.2          & ECDH           & RSA           & AES(128)        & SHA256       \\
-\verb|0x0088| & DHE-RSA-CAMELLIA256-SHA     & SSLv3            & DH             & RSA           & Camellia(256)   & SHA1         \\
-\verb|0x0039| & DHE-RSA-AES256-SHA          & SSLv3            & DH             & RSA           & AES(256)        & SHA1         \\
-\verb|0xC014| & ECDHE-RSA-AES256-SHA        & SSLv3            & ECDH           & RSA           & AES(256)        & SHA1         \\
-\verb|0x0045| & DHE-RSA-CAMELLIA128-SHA     & SSLv3            & DH             & RSA           & Camellia(128)   & SHA1         \\
-\verb|0x0033| & DHE-RSA-AES128-SHA          & SSLv3            & DH             & RSA           & AES(128)        & SHA1         \\
-\verb|0xC013| & ECDHE-RSA-AES128-SHA        & SSLv3            & ECDH           & RSA           & AES(128)        & SHA1         \\
-\verb|0x0084| & CAMELLIA256-SHA             & SSLv3            & RSA            & RSA           & Camellia(256)   & SHA1         \\
-\verb|0x0035| & AES256-SHA                  & SSLv3            & RSA            & RSA           & AES(256)        & SHA1         \\
-\verb|0x0041| & CAMELLIA128-SHA             & SSLv3            & RSA            & RSA           & Camellia(128)   & SHA1         \\
-\verb|0x002F| & AES128-SHA                  & SSLv3            & RSA            & RSA           & AES(128)        & SHA1         \\
-\bottomrule
-\end{tabular}
-\end{center}
-
-\textbf{Compatibility}
-
-Note that these cipher suites will not work with Windows XP's crypto stack (e.g. IE, Outlook), 
-%%Java 6, Java 7 and Android 2.3. Java 7 could be made compatible by installing the "Java 
-%%Cryptography Extension (JCE) Unlimited Strength Jurisdiction Policy Files"
-%%(JCE) \footnote{\url{http://www.oracle.com/technetwork/java/javase/downloads/jce-7-download-432124.html}}.
-We could not verify yet if installing JCE also fixes the Java 7
-DH-parameter length limitation (1024 bit). 
-\todo{do that!}
-
-\textbf{Explanation}
-
-For a detailed explanation of the cipher suites chosen, please see
-\ref{section:ChoosingYourOwnCipherSuites}. In short, finding the perfect cipher
-string is impossible and must be a tradeoff between compatibility and security. 
-On the one hand there are mandatory and optional ciphers defined in a few RFCs, 
-on the other hand there are clients and servers only implementing subsets of the 
-specification.
-
-Straight forward, the authors wanted strong ciphers, forward secrecy
-\footnote{\url{http://nmav.gnutls.org/2011/12/price-to-pay-for-perfect-forward.html}}
-and the best client compatibility possible while still ensuring a cipher string that can be
-used on legacy installations (e.g. OpenSSL 0.9.8). 
-
-Our recommended cipher strings are meant to be used via copy and paste and need to work
-"out of the box".
-
-\begin{itemize}
-\item TLSv1.2 is preferred over TLSv1.0/SSLv3 (while still providing a useable cipher
-      string for SSLv3).
-\item AES256 and CAMELLIA256 count as very strong ciphers at the moment.
-\item AES128 and CAMELLIA128 count as strong ciphers at the moment
-\item DHE or ECDHE for forward secrecy
-\item RSA as this will fit most of todays setups
-\item AES256-SHA as a last resort (with this cipher at the end, even systems with
-      legacy distributions of OpenSSL will work out of the box. Forward secrecy
-      will not be available. On systems that do not support elliptic curves, that cipher
-      offers support for the Microsoft crypto libraries that only support ECDHE. \todo{what does that mean?! inconclusive!}
-\end{itemize}
-
-\todo{Adi: review "justification" when next section is written}
index fcb7f47..767dc54 100644 (file)
@@ -26,6 +26,7 @@ The following is a list of services, software packages, hardware devices or prot
 \item BGP / OSPF 
 \item SILC
 \item LDAP
+\item seclayer-tcp
 \item Commerical network equipment vendors
 \end{itemize}
 \end{minipage}
@@ -37,6 +38,8 @@ The following is a list of services, software packages, hardware devices or prot
 \item rsyslog 
 \item v6 spoofing (look at work by Ferndo Gont, Marc Heuse, et. al.)
 \item tinc
+\item racoon
+\item l2tp
 \item rsync 
 \item telnets 
 \item ftps 
index 20d2a97..5cffeb2 100644 (file)
@@ -6,22 +6,16 @@ This guide tries to accomodate two needs: first of all, having a handy reference
 System administrators who want to copy \& paste recommendations quickly without spending a lot of time on background reading on cryptography or cryptanalysis can do so, by simply searching for the corresponding section in chapter  \ref{section:PracticalSettings} (``Practical recommendations''). However, for the quick copy \& paste approach it is important to know that this guide assumes users are happy with \textit{cipher String B} which is the baseline and most compatible recommendation that the authors came up with. \textit{Cipher string B} is described in \ref{section:recommendedciphers}.
 \textit{Cipher String B} covers the most common use-cases (such as running an e-commerce shop, a private homagepage, a mail server, $ \ldots $)
 
-
 \vskip 0.5em
-
 While chapter \ref{section:PracticalSettings} is intended to server as a copy \& paste reference, chapter \ref{chapter:Theory} (``Theory'') explains the reasoning behind \textit{cipher string B}. In particular, section \ref{section:CipherSuites} explains how to choose individual cipher strings. We advise the reader to actually read this section and challenge our reasoning in chosing \textit{cipher string B} and to come up with a better  or localized solution.
 
-
 %We start with some general remarks in sections \ref{section:DH},\ref{section:EllipticCurveCryptography},\ref{section:keylengths} on 
-
-
 %If you are a system administrator and want to quickly update your services, jump right to section \ref{section:PracticalSettings}. However, we recommend that you take some time and first read through the theory part (chapter \ref{chapter:Theory}), especially section \ref{section:CipherSuites} on how to choose your own cipher string and then adapt the settings in section \ref{section:PracticalSettings} to your own needs.
-
 \vskip 1.5em
 
 \begin{figure}[h]
   \centering
-  \includegraphics[width=0.55\textwidth]{img/howtoread}
+  \includegraphics[width=0.65\textwidth]{img/howtoread}
   %\caption{Screenshot of \url{http://www.keylength.com} for 128 bit symmetric key size equivalents}
   \label{fig:howtoread}
 \end{figure}
diff --git a/src/img/checkpoint_1.png b/src/img/checkpoint_1.png
new file mode 100644 (file)
index 0000000..88f5266
Binary files /dev/null and b/src/img/checkpoint_1.png differ
diff --git a/src/img/checkpoint_2.png b/src/img/checkpoint_2.png
new file mode 100644 (file)
index 0000000..0323e29
Binary files /dev/null and b/src/img/checkpoint_2.png differ
diff --git a/src/img/checkpoint_3.png b/src/img/checkpoint_3.png
new file mode 100644 (file)
index 0000000..e6bbe0a
Binary files /dev/null and b/src/img/checkpoint_3.png differ
diff --git a/src/img/checkpoint_4.png b/src/img/checkpoint_4.png
new file mode 100644 (file)
index 0000000..b5d2a24
Binary files /dev/null and b/src/img/checkpoint_4.png differ
index 55a836b..557aa61 100644 (file)
@@ -1,4 +1,6 @@
 digraph {
+//ranksep=".9 equally";
+//rankdir="LR";
 start [label="Start"];
 
 start -> intro; 
@@ -6,19 +8,22 @@ start -> intro;
 intro [shape=box, label="Introduction"];
 intro -> decision;
 
-decision [shape=diamond, label="I just want\nto copy & paste?"];
+decision [shape=diamond, label="No time\nI just want\nto copy & paste?"];
 Practical [shape=box, label="read chapter: Practical recommendations"];
+Practical2 [shape=box, label="re-read chapter: Practical recommendations"];
 Theory [shape=box, label="To understand why\nwe chose certain settings,\n read the chapter 'Theory' first"];
 
 decision -> Practical [label="Yes", labelfloat="Yes", labeldistance=2];
 decision -> Theory [label="No", labelfloat="Yes", labeldistance=2];
-Theory -> Appendix;
-Practical -> Appendix;
+Theory -> Practical2;
+//Practical -> Appendix;
 Practical -> Theory [constraint=false];
+Practical2 -> Appendix;
 
 Appendix [shape=box, label="Appendix: references, links"]
 
 { rank=same; decision; Practical }
-{ rank=max; Theory; Appendix }
+{ rank=same; Theory; Practical2 }
+//{ rank=max; Theory; Appendix }
 
 }
index 9105bec..4b790e4 100644 (file)
@@ -2,7 +2,7 @@
 %%Creator: graphviz version 2.34.0 (20131122.1926)
 %%Title: %3
 %%Pages: 1
-%%BoundingBox: 36 36 550 360
+%%BoundingBox: 36 36 550 464
 %%EndComments
 save
 %%BeginProlog
@@ -179,239 +179,255 @@ def
 %%EndSetup
 setupLatin1
 %%Page: 1 1
-%%PageBoundingBox: 36 36 550 360
+%%PageBoundingBox: 36 36 550 464
 %%PageOrientation: Portrait
 0 0 1 beginpage
 gsave
-36 36 514 324 boxprim clip newpath
+36 36 514 428 boxprim clip newpath
 1 1 set_scale 0 rotate 40 40 translate
 % start
 gsave
 1 setlinewidth
 0 0 0 nodecolor
-111 298 27.42 18 ellipse_path stroke
+111 402 27.42 18 ellipse_path stroke
 0 0 0 nodecolor
 14 /Times-Roman set_font
-97.5 294.3 moveto 27 (Start) alignedtext
+97.5 398.3 moveto 27 (Start) alignedtext
 grestore
 % intro
 gsave
 1 setlinewidth
 0 0 0 nodecolor
-newpath 154 242 moveto
-68 242 lineto
-68 206 lineto
-154 206 lineto
+newpath 154 346 moveto
+68 346 lineto
+68 310 lineto
+154 310 lineto
 closepath stroke
 0 0 0 nodecolor
 14 /Times-Roman set_font
-76 220.3 moveto 70 (Introduction) alignedtext
+76 324.3 moveto 70 (Introduction) alignedtext
 grestore
 % start->intro
 gsave
 1 setlinewidth
 0 0 0 edgecolor
-newpath 111 279.94 moveto
-111 271.81 111 261.88 111 252.7 curveto
+newpath 111 383.94 moveto
+111 375.81 111 365.88 111 356.7 curveto
 stroke
 0 0 0 edgecolor
-newpath 114.5 252.44 moveto
-111 242.44 lineto
-107.5 252.44 lineto
+newpath 114.5 356.44 moveto
+111 346.44 lineto
+107.5 356.44 lineto
 closepath fill
 1 setlinewidth
 solid
 0 0 0 edgecolor
-newpath 114.5 252.44 moveto
-111 242.44 lineto
-107.5 252.44 lineto
+newpath 114.5 356.44 moveto
+111 346.44 lineto
+107.5 356.44 lineto
 closepath stroke
 grestore
 % decision
 gsave
 1 setlinewidth
 0 0 0 nodecolor
-newpath 111 168 moveto
-0 130 lineto
-111 92 lineto
-222 130 lineto
+newpath 111 272 moveto
+0 219 lineto
+111 166 lineto
+222 219 lineto
 closepath stroke
 0 0 0 nodecolor
 14 /Times-Roman set_font
-81 133.8 moveto 60 (I just want) alignedtext
+88 230.3 moveto 46 (No time) alignedtext
 0 0 0 nodecolor
 14 /Times-Roman set_font
-63.5 118.8 moveto 95 (to copy & paste?) alignedtext
+81 215.3 moveto 60 (I just want) alignedtext
+0 0 0 nodecolor
+14 /Times-Roman set_font
+63.5 200.3 moveto 95 (to copy & paste?) alignedtext
 grestore
 % intro->decision
 gsave
 1 setlinewidth
 0 0 0 edgecolor
-newpath 111 205.7 moveto
-111 197.81 111 188.06 111 178.24 curveto
+newpath 111 309.81 moveto
+111 302.1 111 292.49 111 282.44 curveto
 stroke
 0 0 0 edgecolor
-newpath 114.5 178.04 moveto
-111 168.04 lineto
-107.5 178.04 lineto
+newpath 114.5 282.3 moveto
+111 272.3 lineto
+107.5 282.3 lineto
 closepath fill
 1 setlinewidth
 solid
 0 0 0 edgecolor
-newpath 114.5 178.04 moveto
-111 168.04 lineto
-107.5 178.04 lineto
+newpath 114.5 282.3 moveto
+111 272.3 lineto
+107.5 282.3 lineto
 closepath stroke
 grestore
 % Practical
 gsave
 1 setlinewidth
 0 0 0 nodecolor
-newpath 506.25 148 moveto
-261.75 148 lineto
-261.75 112 lineto
-506.25 112 lineto
+newpath 506.25 237 moveto
+261.75 237 lineto
+261.75 201 lineto
+506.25 201 lineto
 closepath stroke
 0 0 0 nodecolor
 14 /Times-Roman set_font
-269.5 126.3 moveto 229 (read chapter: Practical recommendations) alignedtext
+269.5 215.3 moveto 229 (read chapter: Practical recommendations) alignedtext
 grestore
 % decision->Practical
 gsave
 1 setlinewidth
 0 0 0 edgecolor
-newpath 222.04 130 moveto
-231.68 130 241.5 130 251.29 130 curveto
+newpath 222.04 219 moveto
+231.68 219 241.5 219 251.29 219 curveto
 stroke
 0 0 0 edgecolor
-newpath 251.47 133.5 moveto
-261.47 130 lineto
-251.47 126.5 lineto
+newpath 251.47 222.5 moveto
+261.47 219 lineto
+251.47 215.5 lineto
 closepath fill
 1 setlinewidth
 solid
 0 0 0 edgecolor
-newpath 251.47 133.5 moveto
-261.47 130 lineto
-251.47 126.5 lineto
+newpath 251.47 222.5 moveto
+261.47 219 lineto
+251.47 215.5 lineto
 closepath stroke
 0 0 0 edgecolor
 14 /Times-Roman set_font
-230.75 136.8 moveto 22 (Yes) alignedtext
+230.75 225.8 moveto 22 (Yes) alignedtext
 grestore
 % Theory
 gsave
 1 setlinewidth
 0 0 0 nodecolor
-newpath 203 53.5 moveto
-19 53.5 lineto
-19 .5 lineto
-203 .5 lineto
+newpath 203 127.5 moveto
+19 127.5 lineto
+19 74.5 lineto
+203 74.5 lineto
 closepath stroke
 0 0 0 nodecolor
 14 /Times-Roman set_font
-56.5 38.3 moveto 109 (To understand why) alignedtext
+56.5 112.3 moveto 109 (To understand why) alignedtext
 0 0 0 nodecolor
 14 /Times-Roman set_font
-39 23.3 moveto 144 (we chose certain settings,) alignedtext
+39 97.3 moveto 144 (we chose certain settings,) alignedtext
 0 0 0 nodecolor
 14 /Times-Roman set_font
-27 8.3 moveto 168 ( read the chapter 'Theory' first) alignedtext
+27 82.3 moveto 168 ( read the chapter 'Theory' first) alignedtext
 grestore
 % decision->Theory
 gsave
 1 setlinewidth
 0 0 0 edgecolor
-newpath 111 91.96 moveto
-111 82.82 111 73.04 111 63.95 curveto
+newpath 111 165.77 moveto
+111 156.36 111 146.75 111 137.94 curveto
 stroke
 0 0 0 edgecolor
-newpath 114.5 63.67 moveto
-111 53.67 lineto
-107.5 63.67 lineto
+newpath 114.5 137.66 moveto
+111 127.66 lineto
+107.5 137.66 lineto
 closepath fill
 1 setlinewidth
 solid
 0 0 0 edgecolor
-newpath 114.5 63.67 moveto
-111 53.67 lineto
-107.5 63.67 lineto
+newpath 114.5 137.66 moveto
+111 127.66 lineto
+107.5 137.66 lineto
 closepath stroke
 0 0 0 edgecolor
 14 /Times-Roman set_font
-111 69.3 moveto 18 (No) alignedtext
+111 143.3 moveto 18 (No) alignedtext
 grestore
 % Practical->Theory
 gsave
 1 setlinewidth
 0 0 0 edgecolor
-newpath 338 111.98 moveto
-297.47 96.99 237.56 74.82 189.47 57.03 curveto
+newpath 343.72 200.88 moveto
+300.85 182.67 232.23 153.51 180.58 131.57 curveto
 stroke
 0 0 0 edgecolor
-newpath 190.61 53.72 moveto
-180.02 53.53 lineto
-188.18 60.29 lineto
+newpath 181.72 128.25 moveto
+171.15 127.56 lineto
+178.98 134.69 lineto
 closepath fill
 1 setlinewidth
 solid
 0 0 0 edgecolor
-newpath 190.61 53.72 moveto
-180.02 53.53 lineto
-188.18 60.29 lineto
+newpath 181.72 128.25 moveto
+171.15 127.56 lineto
+178.98 134.69 lineto
 closepath stroke
 grestore
+% Practical2
+gsave
+1 setlinewidth
+0 0 0 nodecolor
+newpath 499 119 moveto
+239 119 lineto
+239 83 lineto
+499 83 lineto
+closepath stroke
+0 0 0 nodecolor
+14 /Times-Roman set_font
+247 97.3 moveto 244 (re-read chapter: Practical recommendations) alignedtext
+grestore
 % Appendix
 gsave
 1 setlinewidth
 0 0 0 nodecolor
-newpath 469.25 45 moveto
-298.75 45 lineto
-298.75 9 lineto
-469.25 9 lineto
+newpath 454.25 36 moveto
+283.75 36 lineto
+283.75 0 lineto
+454.25 0 lineto
 closepath stroke
 0 0 0 nodecolor
 14 /Times-Roman set_font
-306.5 23.3 moveto 155 (Appendix: references, links) alignedtext
+291.5 14.3 moveto 155 (Appendix: references, links) alignedtext
 grestore
-% Practical->Appendix
+% Practical2->Appendix
 gsave
 1 setlinewidth
 0 0 0 edgecolor
-newpath 384 111.87 moveto
-384 96.41 384 73.42 384 55.41 curveto
+newpath 369 82.82 moveto
+369 72.19 369 58.31 369 46.2 curveto
 stroke
 0 0 0 edgecolor
-newpath 387.5 55.22 moveto
-384 45.22 lineto
-380.5 55.22 lineto
+newpath 372.5 46.15 moveto
+369 36.15 lineto
+365.5 46.15 lineto
 closepath fill
 1 setlinewidth
 solid
 0 0 0 edgecolor
-newpath 387.5 55.22 moveto
-384 45.22 lineto
-380.5 55.22 lineto
+newpath 372.5 46.15 moveto
+369 36.15 lineto
+365.5 46.15 lineto
 closepath stroke
 grestore
-% Theory->Appendix
+% Theory->Practical2
 gsave
 1 setlinewidth
 0 0 0 edgecolor
-newpath 203.24 27 moveto
-231.67 27 260.09 27 288.51 27 curveto
+newpath 203.21 101 moveto
+211.75 101 220.28 101 228.82 101 curveto
 stroke
 0 0 0 edgecolor
-newpath 288.56 30.5 moveto
-298.56 27 lineto
-288.56 23.5 lineto
+newpath 228.83 104.5 moveto
+238.83 101 lineto
+228.83 97.5 lineto
 closepath fill
 1 setlinewidth
 solid
 0 0 0 edgecolor
-newpath 288.56 30.5 moveto
-298.56 27 lineto
-288.56 23.5 lineto
+newpath 228.83 104.5 moveto
+238.83 101 lineto
+228.83 97.5 lineto
 closepath stroke
 grestore
 endpage
diff --git a/src/img/howtoread.pdf b/src/img/howtoread.pdf
deleted file mode 100644 (file)
index b68e294..0000000
Binary files a/src/img/howtoread.pdf and /dev/null differ
diff --git a/src/img/keylengths_com.png b/src/img/keylengths_com.png
new file mode 100644 (file)
index 0000000..202e5db
Binary files /dev/null and b/src/img/keylengths_com.png differ
diff --git a/src/img/logo.pdf b/src/img/logo.pdf
new file mode 100644 (file)
index 0000000..d9fbade
--- /dev/null
@@ -0,0 +1,318 @@
+%PDF-1.3\r%âãÏÓ\r
+1 0 obj\r<</Metadata 2 0 R/Pages 3 0 R/Type/Catalog>>\rendobj\r2 0 obj\r<</Length 11365/Subtype/XML/Type/Metadata>>stream\r
+<?xpacket begin="" id="W5M0MpCehiHzreSzNTczkc9d"?>
+<x:xmpmeta xmlns:x="adobe:ns:meta/" x:xmptk="Adobe XMP Core 5.5-c014 79.151739, 2013/04/03-12:12:15        ">
+   <rdf:RDF xmlns:rdf="http://www.w3.org/1999/02/22-rdf-syntax-ns#">
+      <rdf:Description rdf:about=""
+            xmlns:xmp="http://ns.adobe.com/xap/1.0/"
+            xmlns:xmpGImg="http://ns.adobe.com/xap/1.0/g/img/"
+            xmlns:xmpTPg="http://ns.adobe.com/xap/1.0/t/pg/"
+            xmlns:stDim="http://ns.adobe.com/xap/1.0/sType/Dimensions#"
+            xmlns:xmpG="http://ns.adobe.com/xap/1.0/g/"
+            xmlns:dc="http://purl.org/dc/elements/1.1/"
+            xmlns:xmpMM="http://ns.adobe.com/xap/1.0/mm/"
+            xmlns:pdf="http://ns.adobe.com/pdf/1.3/">
+         <xmp:CreatorTool>Adobe Illustrator CC (Macintosh)</xmp:CreatorTool>
+         <xmp:CreateDate>2013-12-23T22:15:35+01:00</xmp:CreateDate>
+         <xmp:ModifyDate>2013-12-23T22:15:35+01:00</xmp:ModifyDate>
+         <xmp:MetadataDate>2013-12-23T22:15:35+01:00</xmp:MetadataDate>
+         <xmp:Thumbnails>
+            <rdf:Alt>
+               <rdf:li rdf:parseType="Resource">
+                  <xmpGImg:width>256</xmpGImg:width>
+                  <xmpGImg:height>44</xmpGImg:height>
+                  <xmpGImg:format>JPEG</xmpGImg:format>
+                  <xmpGImg:image>/9j/4AAQSkZJRgABAgEASABIAAD/7QAsUGhvdG9zaG9wIDMuMAA4QklNA+0AAAAAABAASAAAAAEA&#xA;AQBIAAAAAQAB/+4ADkFkb2JlAGTAAAAAAf/bAIQABgQEBAUEBgUFBgkGBQYJCwgGBggLDAoKCwoK&#xA;DBAMDAwMDAwQDA4PEA8ODBMTFBQTExwbGxscHx8fHx8fHx8fHwEHBwcNDA0YEBAYGhURFRofHx8f&#xA;Hx8fHx8fHx8fHx8fHx8fHx8fHx8fHx8fHx8fHx8fHx8fHx8fHx8fHx8fHx8f/8AAEQgALAEAAwER&#xA;AAIRAQMRAf/EAaIAAAAHAQEBAQEAAAAAAAAAAAQFAwIGAQAHCAkKCwEAAgIDAQEBAQEAAAAAAAAA&#xA;AQACAwQFBgcICQoLEAACAQMDAgQCBgcDBAIGAnMBAgMRBAAFIRIxQVEGE2EicYEUMpGhBxWxQiPB&#xA;UtHhMxZi8CRygvElQzRTkqKyY3PCNUQnk6OzNhdUZHTD0uIIJoMJChgZhJRFRqS0VtNVKBry4/PE&#xA;1OT0ZXWFlaW1xdXl9WZ2hpamtsbW5vY3R1dnd4eXp7fH1+f3OEhYaHiImKi4yNjo+Ck5SVlpeYmZ&#xA;qbnJ2en5KjpKWmp6ipqqusra6voRAAICAQIDBQUEBQYECAMDbQEAAhEDBCESMUEFURNhIgZxgZEy&#xA;obHwFMHR4SNCFVJicvEzJDRDghaSUyWiY7LCB3PSNeJEgxdUkwgJChgZJjZFGidkdFU38qOzwygp&#xA;0+PzhJSktMTU5PRldYWVpbXF1eX1RlZmdoaWprbG1ub2R1dnd4eXp7fH1+f3OEhYaHiImKi4yNjo&#xA;+DlJWWl5iZmpucnZ6fkqOkpaanqKmqq6ytrq+v/aAAwDAQACEQMRAD8A71d3c1zMZJCTU/CvYDwG&#xA;ZIFOqnMyNlQyTFDvqemoxR7uFWU0ZTIoIPuCcPCUWFv6W0v/AJbIP+Rif1x4T3I4gjdM8y6ZaTr6&#xA;moW6Wx/vS8yBQP5iSaCmQnjJHJvwZalV7J3H5y8oSOsceuae7saKi3UJJPsA2U+HLuLsOMd6cddx&#xA;kGTsVdirsVdirsVdirsVdirsVdirsVdirsVdirsVdirsVdirsVdirsVdirsVdirsVYTmW6hjfny/&#xA;ntdGWOBijXMgjdhseHEkivvQZbhjZaspoMA0vTLvU7+GxtFD3E5ooJoAAKsxPYKAScypSERZaIQM&#xA;jQTTUfKv1ewmvrHULbU4LUqt59XLcoi5opowXkhO3IZXHLZoim2eChYIlXNjd5/vJN/qN+rLSww/&#xA;WGM5F2L6I/InWL6/8oy293IZRYXBgt3Y1IiKK4Sp/lLGntt2zX6qIEnLwmwyTW/Nkum+a9D0JbZZ&#xA;U1f1ec5Ygx+ktdloa1+eVxx3EnuZGVEBkeVM3Yq7FUEdb0oauujm4X9JtEZxbCpb0gacjQUG/icl&#xA;wmr6IsXTtY1rS9GsXvtTuFtbRCA0r1O56AAAkn5YxiZGgpIHNFxyJJGsiGqOAynxBFRkUrsVdirs&#xA;VdirsVdirsVdirsVQGo67pGm3Nna3tysNxqEnpWURBLSPUCigA93G+SESeXRBICPyKXYq7FXYq7F&#xA;XYq7FXYqwnMt1DEvzH/45tr/AMZv+NTl+Dm05uSH/KG0t7nzNcLPGJFWylKhunxOkZ+9XIx1ZqPx&#xA;bNAAZn3M0l0yxHlvzQ36Hh04wJdwRNEpUyxwx845NwtRyodtsxhI8Ud75OaYDgn6a5vDbz/eSb/U&#xA;b9WbIuqw/WGM5F2L3r/nHr/lG9S/5jP+ZSZgavmHKwcl35qHWB558pjRii6m/wBYjtnkHJEZ+Kl2&#xA;Hgikt9HQ44K4DfJcl8QpQ8zy+f8AyI1nrk2vPrumNMsN/ayxLHTkCfhALUrQ0IIoadRhhwZNqool&#xA;xR3u0189ebNYl8xab5W0K/i0s3kP1q81Wbj+7hPLiqB6b0X57jcb5HFjFGRFspyN0EtGt+YPKnmb&#xA;R4Z/MieY9I1adbW4VvTEkLsQquOLOQPir133FOhyXCJxO1EMbMSN7S1/LnmtvzUaxXzM66idOMw1&#xA;P6qhIi5/3Ppc6f7KuS44+HdbWjhPFzRf5xaLr9t5OtZbvXGvIbcxQ3UBgVBPMXYicsGPGgIHEYNP&#xA;IGWwTlBrmyS3fXfJ/lfUNb1jW21qKK2ja0tngWARyH4UXkrMSGZ1Byo1OQAFM94iybY3ZR+d9U0Y&#xA;a3L53hs9SuIxc2+lp6QiUEckjf4tiRsQVNO9ctPCDXDswHERdq2ofmNrtx+VNt5jt3Ftqkd0kFwy&#xA;qCjlGIb4TXZxSuAYQMldFOQ8NptCfOnlrTNQ80+ZdXF8EtGcaNGgSKOd2X01DjqATxO335A8MiIx&#xA;HxZbgWSgNB0H8yvMOkRa7c+apNNmvlE9rZQwAxLG26cviXZh7HbrXJSnCJqrRESIu1bzzrnnXS9a&#xA;8raRpd+j31/E9vcySRp6UkxCx+sygbcSxcAbex6YMUYkEkLMkEAKfmXTvzC8t+TrvUl8xy399bTx&#xA;zyH0kCiAjjInFg/R2DdthhhKEpVSyEgObIfMPnSKH8uJfM1m4R7i0VrXoSs09EUd6mN23+WVwx+v&#xA;hLOU/TbENX8wfmBp/wDgzT7a+D6rq9vILozopT1ZyODOAv8AugSdv5e+XRhA8RrYNZlIUqeaj+YX&#xA;keK315vMDa3Y+ssd/aTQrGKP/LQvQEilRSm3XBDgntVLLijvdoL8yNO1m585+VrmHWmEOq3JbSR6&#xA;C/6FX0PiHxfvORYNvTpksJAiduSMgNjdkfmjW/MnkvypHbvqP6b1/Urr6vY3MkKxcA6j/dYLK3Ej&#xA;ap6tvtlUIxnLlQDORMR3lLta0f8ANDy5pB8wJ5lOpz2a+tf6dJEPRKdZOBruFHsu24p0yUZQkaqk&#xA;ESAu3oXlvXIdc0Gx1eJeCXcQkKH9lujrX/JYEZjzjwmm2JsWrandywRxpCB68zcI69vfGItryzMR&#xA;tzKGuE1Szj+s/WPXC7yRlaCh8MkKOzXITgLu115e3JltPqrAC4U0DDbcChPyrjGI3tcmQ2OHqtmm&#xA;v7VUg9UTXNw1EYigUd/14gA7rKUo7XZKy8XU7OD1zd+oagFCgpvhjR2pGTjgLtKruxuLaUoyErX4&#xA;XA2IywSBcWeMxLCvzHB/Rtrt0nof+AOZGDm42bkwax1G90+4FxZXD204BAkjYq1D1FRmTIA82mBk&#xA;DcUbcebPMlzA9vPqlzJDKCskbSsVZT1BFemQGOA6BtOTKRRJY5qd5FHA8QIaRxx4jsD3OTJTgxni&#xA;spDgc171/wA49f8AKN6l/wAxn/MpMwNXzDlYOSK/MPULLTvzF8n3l7Mtvaw/WTLM+yqCoUE/ScGE&#xA;EwkAszUgg/zW8z6V5h0208r+X7iPVNS1C5jNLYiVERampdagGvXfYVrksEDE8R2CMkgRQS/zzomg&#xA;6V+YOkXXmKD1/Ll1ZraPKeYVJYVKKW4fF/Kevj4ZLHImBrmiYAkL5Mh03TPyUi1nTk002b6nJKr2&#xA;PoTyykSx/vFrR2VTVdg3U7ZWTlo3yZgQvZD6tq2n6R+dcFxqU6WltPpQiSeZgkfIuxFWOwHwEb4Y&#xA;xJxbd6Canv3K35w3lpqv5ayX+nSrdWf1iJhPGaoQshjJB/19sGnFTopym4q3mjUtJ81/l9faVod7&#xA;De6gbKK6+qxMGkCwSRyMpUbhvg40O9cEImM7PK1kRKNBjflK1/JS+8u2s+pR2ltqMUSpfxXE8sTm&#xA;ZAA7Kpccgx+IcctyHKDtyYR4K3RX5iQ+Wo/ykjfy0qrpE93HJDx50J5MrH958Q+Jab5HEZeJ6uaZ&#xA;1wbM2/MrSbnVfI2rWVspedolkjQdWMMiy8R7nhtlOGVSBbMguJSXyJ+ZPlN/KFgl9qUFld2FvHb3&#xA;ME7hHrCoTkqn7YYCvw5PLhlxGgxhkFJd5wvrS/8AP3kK9s5BNa3JeWGUVAZG4EGhoR8jksYqEgUS&#xA;NyD0y8tYLy0ntLhedvcRtFMh/aR1KsPpBzGBo23EPBtNttQuL7T/AMsrsM8VhrEs87HYGziX1AN+&#xA;z8nYfMZnkgAz8nGH83zZd+Zt9aWP5geTbu8lWC2heVpZX2VRyTc5ThFwkzyGpBZ+a3mnSdc0a38s&#xA;6Bcxarqep3EQVLVxKqKjcqs6EqNwPoqccEDE8R2AXJIEUGvzK9DSdc/L+S5kCWmn3DJPcNsqhDbj&#xA;kfoUnHDuJLk2Ib/NfULPUtH07XtFuItTg0DUY5LwW7iRVBAapZSRSoUfTjgBBIO1hchsWOiY+c/z&#xA;J8oT+RtQaz1GK4uNRtZLe3tEYeuGnQp8cf2k48qnl4ZHHhlxCxyTPIOFOfIugz23kLSdNvg0Uywi&#xA;SROjKZGMnEg9xzocjkn6yQvh3GimuqxmBbOZQWjtWAbueO3/ADTkYG7a8wrhPcv1HULRrFxHIsjS&#xA;jiiKanf27YIxNpy5Y8Ox5odomiuNLjbZlB5D32yV7FgRRgFXVW9C9tLlv7tSVc+FcENwQyzGpArN&#xA;bvbWSzEcciyMzA0Ug0A8aYccTaNRkBjQKMv7yeABIIHlkYbMFJUfMjIRjbbkmRyFsY1nyfd6/ZTQ&#xA;3RELufUilfciQA8TxHbeh9svjmETs4Z00p/U8uuvyL8+SzszS2Um9AwlcCnagKZkfmotsdOYigon&#xA;8hvPIFeVmfb1m/5ox/MwT4MmCarpWoaVqE2n6hC1vd27cZI27eBB6EEbgjrl8ZAiw1kUyTyj+WOu&#xA;eabP63pt1ZiJX4TpJIwkjPbmiox+IbjxyrJmEebOOMyfQPkjyhaeVNBj0uCQzOXM1zORT1JWABNN&#xA;6ABQB8swMuTjNuVCPCKTPU9F0jVYhFqVlBeRruqzxrJxPivIGn0ZGMiOSSAeajpXlry9pLs+mabb&#xA;WcjijyQxKrkeBYCtPbGUyeZURA5Iq/06w1G1e0v7eO6tpPtwzKHQ06GjV6YASOSkWgdJ8peWdHlM&#xA;2maZb2sxqPWjjHOh6jmfip7VyUskjzKBEDkqav5a0DWWibVNPgvGhr6TSoGKg9QD1p7YIzMeRSYg&#xA;81YaNpC6adLWygXTSpQ2YjUQ8SakcAOPXfHiN31WhyUNI8seXtHZ30vTrezkccXkijVXK1rQt9ql&#xA;R0rjKZPMqIgckNd+R/J95eG8udGtJbliWeRol+JjuS4pRj88kMsgKtBgO5MbnSNKurNbG6soJ7JK&#xA;cLWWJHiHH7NEYFdu22QEiDaaCLwJSS48j+T7m9a9n0a0luXJZ5GhQ8mJqSwpQn3IywZZVVseAdyY&#xA;SaRpMk1tNJZQPNZ7WcjRIWhH/FZIqnT9nIcRTQdq+oPp+mXF6ltLePAhdbWBS8shH7KKOpwxFmlJ&#xA;oMK8gaVqupeY9V87azYtp898q22nWUoIeOBAoLsCAatwWhoO/YjLssgIiIa4Ak2VL8wtBuNU88+V&#xA;C2nve6bG0q3zek0sKqxX+9NCqg++HFKonfdZxuQZjpHlby5o8jy6XptvaSyAh5IkAcgmtOXWntlM&#xA;pyPMsxEDkr6touk6vbC11O0ivIA3NY5VDAMNuQ8Dv1GCMiOSSAebtO0PRtNtntdPsYLW3kr6kUUa&#xA;qrVFDyAHxbeOJkTzUABAWnkbyfaXgvbbR7SK5BDJIsS/Cw6FBSin5ZI5ZEVaBAdyeZWycyqwKsAQ&#xA;diD0xVQjsLON+aQqrDoadPlhMiwGOI5BUaGJ3V2QF0+wxG4+WNsjEFTvpEjgJkhM6EgMijlt40wx&#xA;G7HIQBuLSmZYrlBb2Vo0XNgZJGWgAHvvlg23JcWVS2iKT3KXNdirsVdirCPzN/5V19ST/FfD6xx/&#xA;0X0q/XKV/wB18fi41/m+GuX4eO/S15OHq8V0D9Kf4mX/AJV59f8AWof770uXp1H99x/dcK9ee1cz&#xA;ZVw+unHjd+l9LaT+kv0Xa/pPh+kfST636X2PVp8XH2rmslV7cnLHLdF4EuxV2KuxV2KuxV2KuxV2&#xA;KuxV2KuxV2KuxV2KuxV2KuxV2KuxV2KuxV2KuxV2Kv8A/9k=</xmpGImg:image>
+               </rdf:li>
+            </rdf:Alt>
+         </xmp:Thumbnails>
+         <xmpTPg:NPages>1</xmpTPg:NPages>
+         <xmpTPg:HasVisibleTransparency>False</xmpTPg:HasVisibleTransparency>
+         <xmpTPg:HasVisibleOverprint>False</xmpTPg:HasVisibleOverprint>
+         <xmpTPg:MaxPageSize rdf:parseType="Resource">
+            <stDim:w>612.000000</stDim:w>
+            <stDim:h>792.000000</stDim:h>
+            <stDim:unit>Points</stDim:unit>
+         </xmpTPg:MaxPageSize>
+         <xmpTPg:PlateNames>
+            <rdf:Seq>
+               <rdf:li>Cyan</rdf:li>
+               <rdf:li>Magenta</rdf:li>
+               <rdf:li>Yellow</rdf:li>
+               <rdf:li>Black</rdf:li>
+            </rdf:Seq>
+         </xmpTPg:PlateNames>
+         <xmpTPg:SwatchGroups>
+            <rdf:Seq>
+               <rdf:li rdf:parseType="Resource">
+                  <xmpG:groupName>Standard-Farbfeldgruppe</xmpG:groupName>
+                  <xmpG:groupType>0</xmpG:groupType>
+               </rdf:li>
+            </rdf:Seq>
+         </xmpTPg:SwatchGroups>
+         <dc:format>application/pdf</dc:format>
+         <dc:title>
+            <rdf:Alt>
+               <rdf:li xml:lang="x-default">logo</rdf:li>
+            </rdf:Alt>
+         </dc:title>
+         <xmpMM:RenditionClass>proof:pdf</xmpMM:RenditionClass>
+         <xmpMM:DocumentID>uuid:178270f0-023d-7749-b077-938b8e567aba</xmpMM:DocumentID>
+         <xmpMM:InstanceID>uuid:2e0e9d1b-4160-e94a-ba78-00e95a7996b2</xmpMM:InstanceID>
+         <pdf:Producer>Adobe PDF library 10.01</pdf:Producer>
+      </rdf:Description>
+   </rdf:RDF>
+</x:xmpmeta>
+                                                                                                    
+                                                                                                    
+                                                                                                    
+                                                                                                    
+                                                                                                    
+                                                                                                    
+                                                                                                    
+                                                                                                    
+                                                                                                    
+                                                                                                    
+                                                                                                    
+                                                                                                    
+                                                                                                    
+                                                                                                    
+                                                                                                    
+                                                                                                    
+                                                                                                    
+                                                                                                    
+                                                                                                    
+                                                                                                    
+                           
+<?xpacket end="w"?>\rendstream\rendobj\r3 0 obj\r<</Count 1/Kids[5 0 R]/Type/Pages>>\rendobj\r5 0 obj\r<</ArtBox[52.0 351.72 559.442 439.0]/BleedBox[0.0 0.0 612.0 792.0]/Contents 6 0 R/LastModified(D:20131223221535+01'00')/MediaBox[0.0 0.0 612.0 792.0]/Parent 3 0 R/PieceInfo<</Illustrator 7 0 R>>/Resources<</ExtGState<</GS0 8 0 R>>/Properties<</MC0 9 0 R>>>>/Thumb 10 0 R/TrimBox[0.0 0.0 612.0 792.0]/Type/Page>>\rendobj\r6 0 obj\r<</Filter/FlateDecode/Length 7607>>stream\r
+H\89ìWÍ\8e&I\r¼\7fOQ/ðå¤\9dÿW\16\89\v\1c\10\aΨµ\80D\ fÒ.'Þ\9e\88pVÕÌô\f\f#Áj\ 5\97îÏUY\99v8\1cv¾ûõ\1fþþý\8fÇ»ß|\97\8f_üò»ãñÃ#\1fcùÑÍ\8f'\7füøýã÷Ç_\1f9õ#§zdýýËãݯ~\97\8f?ýíñÃa|\86¿6=Í6çQsNfu\1d\1f|õþñ´´ð"\1fÏ\92Ú\9aÇ3§Öúñ¬i\96\ 3/û8^\1eÏ\9er\87éiðiO«\r.)\rÖHÍ*\1f\96i\»m·Tó<^ùñhK\ ffmdzá\1fß{²Q¸Ë\18&³ $|_R_C\ fºñEj3\96\ f§CµØi½<,9\9f\86YRõ8gô~´\94\v,[\8c\1cK{ê\95öH\vÿGª\r»ZM«ÏËÊiYÁÚm¯Tºãe±Æ0\17Ü\19ص3X`Ä=\aöFD\8eH\ 1\80\eãÉ­áôá\95\98Z&(-\99OÆbu\1cÀ­\v[\ 6¼\9dÎ\80»a¡§º\1aM\1fóÀ\8aæJa&0æÉ\ 1\855 Ý\98º@zÛ¯§\8d\ 4ÂE\99>Úm¿\ e*¤>\17]6${c[\90Ö\ 1O\ø#\11ø¬\0¶~úU\91*n|ÿ~yT¤É¶\85\83Á\v\a²~,8adâ s\8c  #ìb\19"¨¹\88\ 2¹^\16a\8fl\9e\ fz2,¶dÊ5(\8b\b\bZLlHìseê[jø\8f/;pó\9eæª'Ч\89 \809Év¾\a\16Ëdv$ë9\93Ë°1\ 5tN9/í=\90¾'<)C¦\11®\9d\87§\ 3\ 2ç\a\7f~üññÛ\ fÊÍ\rXÖúÙr\ 3º(\82L\9e8\19\82âµND:°}²DV\14\9d\99É(*X\93îòüIo­/ý\eÁk;­×ÓÂÊJFæZ´Ia¦¦ò0\8d\a å\f     §ç\ eð,\8f\8bg\88ÞYÞ^\94\96÷\8f\85â\8fp\97wæZR\0\8fá\1a\10j\81»\97©}\17ý\86=ÀcOY´G4@?_¿Ä2ïýz@4J\8dï²4bå8d\8d­)#l-\9b8¥É##<Ì\97ÍàF\16|ÈXV\82I¿©\f\aj0(rbZ\95\1a̵kkQ^p v,â\ 2ÿOåå´±_$è|\12UÅï\95\8bZ\84r\8c±P\ 46Ö)\89¬\8fIÆ"TÄ\12\85\83\ 4\0ÿ³¤ fp",¨\1fT\12bâ¬Åµøwø\90\96\94:¶nH\87°¯dª\97"Ĺh\ 2Ç\81b·UX\91\93\15 *\9f¹µÔ<R½J0¤\19\v\ eß\ 2û\fzm#\80W\1dÓ\9c\80±©2\9b\v÷\ 2\16mÙ$8K\87³\9e(jûÁëý\0Ú>:·a\92\ 1\83P8£\v{\ 4\13õ\aÅ\15è\90\~\ 5N\b\90b\ fV»K\16rÖiئ\ f=XU\ 2ìlRH}g¨\88\17k\92\ 2SCP\7fAÐÈ@\19\9b;kQrwC¡E=\1e^.\eé\18->e\83©ô\9e\eÏ\12Í`ìö\93Y&ìдÐ<&ÔiÊæþòF0P\ 6Ð
+\88k.\ 4ÜoÁ¨ò2\ 3ÄøÅʨ°\16NgÒ)ñ§ÅU\0­\15ûðç3\bu.úÔ\84S\84ÿ¶]íz%yL\95b\82m\85\02~ñf¨ÇÃ\9bB:p¶`ñ\16 \8eR\98n\97\89Õì%õ~\8f\8e¯>\rÍ\80H\81\ 5µÆÛì\84\9cêßµ7Xk\9c5ZÈ<=\19\1aK¨Ä]\153·P\80\98Ù#f-@ë\86ÎY\ f\ eÀ\1ch!ê\94ìw \8e¸\0W\8cÌ-Yi\87ç\83\f*YÀmÎo\8b5¥ùeÛC]\89[ó)|V7B¦UÊ!À\947Ë,vQ\rhÎ<.ËÔÑ^vb¯¼äûç\e\9eTÄ;×ÿyò5<ñõ¯\88¢\15_fJû93e¢A\18\ 6±/\8c ý\7fi\ 4\19ß:\82Ô\9fz\ 4Y\9f\8c ëÍ\b²þÉ\b2ÿ;\13\bTàK#Hÿº\11Ä¿m\ 4±\9fr\ 4)\9f\8e óß\e\7fh\ 4\99ß6\82\14\9c¸\8f\18ûP/\98B4\r\\99XH¸åv^*\97´¡¬µ\r¡`ù4\81\11E\ 6÷ÞExk\13Õfn\91\1cÞ\8e°1 xÖ6\90vZ%\8b¢¥©H·Í²s
+ÝÓj\94ë\9b'\15ç\9alt\9dRo{éÆ\88Ô´\1af¿\8dPj\ 4\95Å\ 2f\ fAU¥\9cå\8a­g\8bئö\9c\ 2\90-\85Aý0\94Ú\ 1\fö»\f\ræ\1eèÙHk¶Ó©ÏÀ_3%\12U5 gÎØ?¿\b½!\9cºd\ 3×^»D\v,_s»\19`Vjâ©YÐI\ 1\9fV(T\17'â5+C\r\15\r±Gi\10\14ö\1e­¦\9ev¹AáCCÍ\8b\ 2ãy©0ÌÐ\16÷ZgÞ)ê«Åä0;Õ¿ç c16\86È/¹:DÏ=\94gDgäP»Ml$\8fO{\bQm\f4\9då\14\8ed\ 2ãrºLé\85À;©\85\0Ù!Ðy[¿x·-\95¼ñ2µßb\8e\80\0°Ks\80\ 1ÌYkM\r\8fIG\8dbãiâ1î\1f0ÊR1\93þè"ä\8b\b±\02§%\8e\1dü\12\14rº"e\98\\$µ\94=\80ɦW)\8d  ÁoÎV\95¹,¦à\8aZ-\a\820^T\ 1^ü| x2ð`©3ûÛ¼@<mö%IÞBQ. :eu(\1a\80\8c8a\17¸\ 4\0k¨åD\96¡~¼4²`÷8\9d¨Îòa\8b\rôÙÓ\ 3\ e/\83­¡Ö¶©\87\98L½r×'Ü!|1Y\84!\b\ 6R¶ßAî\1a\10ñ\8bsC«r\14­\90]¨M\91\9f}ý<\19ý        ¿»\18ñ¦ê\1a\86Ù̪û
+Õk?\ 3Õ+?3Õ\eXµP³¸\96a*ðyã¯\9azJ\v9­«\88.\13ÕCé\81÷¯{4\84\0\15\8dõ¬¨Û\8cAbg\82W£B%eÒ}O3¢â:v\8bæHeÑt«\91ñð\8fw\ f(äºÆ\83¬#¤\80\1aõ\90n)`U²\87\84\v\ 4\0\$T1\ 3J8Æ\8cæîKsñ*ÑÀÙò\91Û:NKäïc]o!6-¦\88æ*\94Ñwï÷\12úµx\8bÛn½ò\81´\v\ f\1c5\8dÝ\96\r\99%ÌZ/K©.þÁkæ#¦ÓÁÓJò=\1fÕ\1d\87i\98ÅWC\97\86RBaysãLߺ\86³ºÚ\9em;4íLËÖÚÓü\94\16\98\8bAC\12ïs\97\17N\97\99\1eu×QÍåî¼[\15Göh{ì\8d=æíÝ)!et\18º6-P\93Í!Icb̳jK®KÑÐ¥3F7\1e\13£XÕðÊüÙÎ\1f«\aÿò=ªm      ¹'9j\91]öæ\1f»\17<h\9acI£éq§Zä\ 2ñ\9f\9cäZ\11\eG_\97E®QÑ·½tÕÅ$ËA\18ÿàé\9eb\11l3-Ì-¦kãàÞ\95×99G®%À\96ÂbR%zYuÜÈظ\19\0ô¬
+gÏf\95\baNô\12éb×\15.®#\94^6ö÷\8fÍ×0Å\809Ô-Yo²yw¸md͸§Ga´ÂqBÑP\9cê.X1\91\1f"\8e¬ád\8dºï/,ÓvÝl\90¹±\r\1c]\18JÆmdß\92HWÝ0\86G?_ì\97#«é4\10á´\0ú\94D_\ f\82òjpU\ 5ÑQtÜI\93\ 1Âr\8f­3\87/ä·Cn°\8d\95\98Ô\vN</\93»ðwBy·4C¢\8a\99\94ß&cã\86º\96Ve@·'\8c\e\1dÁâ\10²ô¼Ñ\86ø~tãÕÕð|ϱcèã5Eî\96c¯Ý°ZT37wõ6gGõ®\ 1îª\1cô\88ùA%\15ÈÍ\8c\ e\15\f¸\9f¼©sÈdag¨¹pVñ»Î«nFY\9aÍ_\b7W©}u^4yÔiq\15\80nå£\9fÏHö¹èS\13GóÊwÛÀ\1e\85\8fôL!\8fgL\92\9a\7fÓ\9dKwÕ!@áMa\8e\9bZa?\190Ý.óE­\88céù\1eÅË©\0¦³¥4ÍB4³K\1c0íõ\80Ó\ eNe-Àmôd\84î4\95\820\12\1a4òì\11³\16@PQ>\9câ\94\euC\91fÚK\16=ð9\89\80WMR\99w   \98\r\15Ì\868nóåÁi¡_6¤[-ki\86\80ÓÕåHU\99ÁCÎ8`\98e\ e#ºß\ 2Î\99Çe\99\86×\97\9dÙ+1ùþù\86(\95²\fÒ\95©\19¿ÝDÉ\92}\14\b\92\15\12¼:ǶZÇ=O!oĺé\1fÂcðDxp\ 4­âòÒ\80²\v\ 43\85Sb\b&\a)\10#¶º[Ú?Ø/\9b\1cËq\1c\bïû\14}\81,\88ú×yjÙ5÷ßND\90\92í\97®\ 6\ 6³i`f\95ïKÛ\92H\91A\92>õîÁ
+s´«ó\86\ 6â\10\1c\13\ e(\10\9aù»uêv²ÊyG\ e:$¿ÿ¬  ªéú©n\90(D\14®o¨Ñ«&áAà¨^LNB\1c\19\ 6î\84J\8dk-ø
+õ¿ù®£°±§Z²ùg\8f\8fÆ\0§\98h­8bå\bêY\14ÍV©\87m*\ 4\8e\1dÇ\f/naDúÓÏ\1fb\8f6©y}Ö/\9c\8aw\81\ 4\80n VÕJ±83g4¨"ûP\r8·LJ1§ J':\19ßÔ\7fët¥\9cg0#\ fY\9dÙ>pÔ¨\DU\vÿm|\b»q\87Ì âº\r1PS¤í\8b\84\9e^É1ô°ä\ eÎ<\ 5WHE\82°¢92Å\ 3
+\8aqt­\1cÚL³       \94\9eͳ\ 3­\8f\9f_n5>IL\177\9b\89©\9b\ 1à\8cj«ÜpV\8d\1cU\ 3\7f#n\1c\18bs^\ f\8b×\88°\9dýc×:l\ 6åÏêS\17\8dg\81¦\98Èz;mè6?º÷¯\18úP\ 6p5_tÀÜ9ÈöÐüfûR\92V\9f\ 1ÔÝÊ\ 3ûÒ\7f*Yá7\ 6Ã\ f¦ì_÷Ô\1dTOL\8dLÝÊй¥®©\ eáSÞ\rüÅRÌ+E\8b[ª7L4Ü\90\12س{7ÁΩ¨\7fâoÊH\1d\9bXÿ\ 2"ÝËYªë\ 6|\13ï\84}sÿ\9d¼ãR\96jºõ׿\98+3V\82Ù-ù½¨SÆ.,ÇÜüë~®¯}0?r LñoÜƳ\9c\9b\1f[¥}\80t<{óåÂ\ e\19)õæËÿZ\ 6×ÿeð\7fB\ 6×\7f&\83\7f£\82ý\9f¤\82ÿ\ 4\11¼Rµ\15.ÈT]\1c|\98~g\84åX(ÕSs Û; Ñ\10\17\10\aõß\966ò,|ϲò´6Í]ѨK\rdaUÖvÉËÊ2¯°SÜ\12°\19­dÎÞ¥W\1f\ 6¾ý\aN\85Ñd8²Ô\8b\11(\85ÇZ­:öd\17\b³8\8fAP*\13¸0\ f0WÀÓ\1cßbº\98ZÕ]ZÑ\8csÂaó¨\8bqà \89\84\19tǸƢ\82h¼ñcýüÖ3¶J/Á\13\98e!\ 5ëv\ 3\98K2¥\16WDí\87\ e³9\1d\94A¯¦íV\850\88\16îh\88\1dÆ\9e7wÓ\98Fb;\8brðë\ f\ 6(\10199\8f6Ü.\80é\rm,ñ[ö´ý\84Q\a\1dȼ¸ÎÔÑd°T\88ð&¶ÆS&íT\8fÚ¨\94¼¦~\bÁ\|ø".-
\8bÒ¨ð·!OÜ\ 6­È\1c\87h³, ¢è>c(á2ªJm\ 4\1e\ f\92\1e\95;!49\14ühªÒ³4Ï!z8A\8e\14~eey?ùÄ»fç縪\7f\1d\9c2\15!Åú$I\98ëh#J¥,ïÒfe9^\86.râ\88\ 1       )0Ö¦s\84ý4R\94\95\83*ÂA­h¡aá'\8d\1eÜ\11ÓDö\8d\12ÿÒ\7fæz²óJ¥Ù«Ý/~^WÕ?fSñ¬®k¶´Yé^ßZZ.\eY2\87R\93\95ê\93©·=áá»QêÕúaĨùÚ³°£a!ÔÒÅ{\1eËþm®\14æEåe\9eâ\12\11\87©\89R\9dr&ßaâC$Q¡é=\18Öv\1fD\9fhªd¬4\1aÅñ\ fÁ=\Þ°tÀnl\ 2]\98~\ 1\17Æ~\88iVÀ\9c\95ѽH»\97VQÁ\85*³©Âåz\8a´rd×Ã+H~\9c\aqZ\8e¼\97¼I\99S\ 4\8e<4X\9d\92Ú\12\ 4\aê%¢`\96C\9aoõnp\87g¢0\18\v\8a\8c9\95ÍìÊ\949T5\14.Óæ\93\95°KÁ|\84\fÐÕàZ\ 3\11\86M/òjÑ*°!\85\7f\16÷_8Fá\92\88(^\1d¿Âúì~"\ 4XJÛ\91\a3Í{lü½wÙ\96\10²\1d\19UVc¹\19\8fÎ\10\91\90¨Üøë\19\94\90\f\ f¬\8eE®L\92³(àüóF\ e­<(\9eyp$8N¸DÓ\1e\94E8·P\81ó\1dM\8a\9f\1a:\18bnO\8c\97ý|aÊ¡ø´i[Æ÷\e\ e_ÉÍ6ï\1døç\81±ÍÒ\99r84Ëc9>Í\b'bq·ä¢O3\8aß\eR\83ñ§ûÂÙÏ\94Ã3Ù\1f®xwj\9fbñîÒ\81KñwUÑñÇ\ f\LN,±îA?¢:-ü\99õ\15\8b°\86u¥:Úz`ìê-H-±p×!jø´¸OY:\84n\0«¼P¶6{À&9¸åùD?BõPCq\7f¢¿\ÝÖ\16¦×¬3´¸É\83û©öí\11Ñ´\83\98\ 3«Ìéµ¼¢n\92éì¤Sô¸º\83ñ´kÛ\91âi×>#\a\ e-<êF\99;ú;N\7fyoä\1dÑL\1f\18ûz\90Ìü\eÔ!gý@·^æÍ0/ \9ex\8aÎð)['àJ\1fè.nºô\95\9f4\82t\9e\15W×LÛ°Ú8úB\9b\96×K{¢Ûݲ¨<)Î\9eU\8a¶4\1d\8cãf\7fy|`\7fà\1a\7f\83\16¹ñ\e\1du\f\89q\f\15\85=1_\8e\ 2öù\8eZªìûøÀ¤¾£\84*Ö%?¢A¾"\ 4\95WTߤAã\81\91\97C+×Ð\11\ 5¹é¢NF\0[yÅê8Ç+R\92ìÇÎ\80Ma\81{®Çõz·\86Ì\vIR¯\86ʺ\1e\18\12¤.\12MJ¾ä\8b#bèU\95\ 13ÊÉÁ\10·¬o9è¸Äê\14sÜÔÙN\12°Ê\13C\9ess\8cä:X£Fø·¡\93\99+s\\89R´D!~êÎ\81c\97<Nq?¢à\99^ÝÅ1-M\84\16\8a\9bº?\8d\ 3§êO#ÛÔxf\153´¼l\1eôv®-\98Ý\1eX\15E\85^\9fç¹\82\97\ eRR°eó9wss®\9bµ]ÙË\85ÍeÆv¹ªãª)\8e#\7fæ(J¬]IÛ×\12ï\97"·ìÓ\16·µÊÁªm¾Ü\88íª[³\ fSýõ&\97³Z$íÖ,voE§mÛ9ÍOÓJpOþ\)\16\15C\1cë«ý\ 6·î<\98¿\9cab?Æ£8\8e7üÎÛ\88õfö÷G\983»¿¿Í\89·gP\9cöðè765\82××\14ÆÛâæMôÙÜ|è8\873M\çì\14°~³Í%ë²Ý\141\97o(Kùæ;ó>æÎ~\93áë\17\1e\eónàÜ\1dÅéºYóJ{.þ;77>\ 2Å\,ïì¾ô¸â\98q\8b:\93\8fîÜ#Ìlý\86K½E5Ø\93\1eì\19[¶«\87»¾lkF+·¤ráº\92\8eRe·¤|á²nIl\9a®$\a¯|\13\ 1(R\bÊ\8aïWhÆè\9bÛ\93CbZÜõ\1aO\fA\92>}å­9öJÕ.\9dã\ fw\95Ëà\eÏvDSØïhi\
+«#ÌK\80ï\\82ë¼äû\8d½Ô¹Ú\8bç\93g¿\8aÃ\vçT¯ZòÆ^â¼ôÜ9Î\9b˸
+\97x>Ù\v\8c×9Ýø<Uð\86\1e\97\f\90r\95PòêW\85}a\ 6Ü)Èw\ eôÓ¶½Ü7.vµ\ 2âüä\9a¯FB\\9eÜìê;ÄùÉýêRn87\8e«Å\11Ï'\8fz5HâöäyµSBûàvu_âþäuµno\98¯¾O\®¶PÜ®®Qܯ¦òÆm\1fv\8dW>®\ó\8dÙ\1c_«%\97ôâÃ\ 4Ä৿j§[\ fCv+ÿ\82>¦¬s   s<y¬kÂ\10Ï'·y\rAo\×5Q\89ç\a\97k\0{c\1f\ 4\1dçÛð'®O¶y\8d\8a¯l× ©\8c©×\1cúÂ\94ì3Ô¾q÷¡×ì\83wþk²«[ï¾q\95\86\97~°Go¿áì\¶@\98\8e³½»ñèIrN¶åO\1cuíÆ[\1eý¶/uuÜI µ½ss¶ýyÕåä\1d\8aVt¹y\1eµWàæ³Ý'ënòÖ\8b\ fLK§É¥Ü*\r;Ö]y\86ï¶\8dMr5\15ÿ\81m×5\9dý|\to¶\1dý\8duRÛâ²1(ùZ§\9enn»Þêdf§\1cËíiõßp\97eiæ\ fÞß7y&õh$W\91m©Õ\ fÞíCö÷ë;ºgRÞÍ\88ëI²úÁ±Ú\1c~\9ad\17§øÙÿ¼½È*\98\Âð\b½\12òÂG9\1eÐ\93ìç\1f\ f\fs\a1\1fëç\ 3\97p»^Ëö6÷µ=¨éá8­Ê\83ôl\9dÐ#\8e\13ÉùAU\ fwÒ1K8+ÌWÌÚf\8cõ\8eÈ-Èi:\r\0\ f<ó©ï¤Ý|P»\80»b ç\ 3­ò\8etÙ²S½¸é:¢÷Ä\8aûOrk`~`ÕË{áZÇ\ 3Ñisr  s*ê\1f°F\96°3`Ñ
\1at    ¸åà\13;¿µ\1cö±+±+ázâR¶\e)ø   Õ×ò&{`\13\86\13ûà6{Ù¾H±Ê0¾¸\ 5ddnQzäô(\ fBá2\95ZGh\14z\93¼?E\8b\ 3Ü}ØL\·n©\99FSÚ¾\8dYx\84¶kÂÔÊm7I\9c!Ѳm!\9a\83ßöðÂä    û~u%\1eqìW\97Ñ\81c¯»2¿\1cû\10\9c>\99vûé¿é.sÝH\9a#\bûó\14´\ 5\fQWÖaÿ\90)CÏ0\80 @\Cïï("²²º\87¤°Àr¾î®3¯ÈÆ©¦Å[\13Æñhý¬\19\1cµ\89£Â×äB+\fGg`¨i\8fúé\ 6¯È      ý\83"\7fn\84\81¼*l\1cD7)\10[cE\v2\92ÅP\14:ÆC\f­ü¶Ö\18Z¹l=Ë
+\9bw_U¹»\84Î\8c·»/\8d©Ì/"\16êgláǽ\97û\96G>' yõ¬Ê\804ö¹\16\9e6Âu­|'.²\8e-º0ÂdÁ\8d¸r $\ep\1c³òm¸:\935(äÜ\84\9c«W \9c\9dCK$ÇÙ\885´É\84y\81!A¿câ:-2Ó@±©\8a~Gãºm]±R?-tÂÐP\e3\ 2\90ßF\13Ò\e\97é\11Wtôzé9F}½ä¡!ü«Öv,\'äC\9b\8c\r7};Cqc\8aúyÒT^7ª\93û[ýt\ 2õ\rµÁãݵõ7\84g4ù\90gh\98\ 5Ø\8f>\13®¨\fp\81¦&ÖÑø6ÛÿAQ\84kÖ:7µ2\80å(\f8\ 1°\85\0\98\1c»u\13ë§>^ñ\16åô\86S\9bªÙ\ 2ó\e6~\ëø\1d     ¶\1c\ 6ôDS\87à\98ôéÚ"¤\e\ fÐò\1eÙ¹J«»¤\9b£ýJº\88Ö7¶Îí¶1\ 3ó\eúÇq6\9dÔB\89¸­,dV1^\8bmÝPR\13íýeã2V·VaU"îeXÑ\80~ßI¡M¬\eë\146Ç9ëýí¦=t\8cqMÌF§^ËR\8däkSÀ<Ï\8eÙd\8cë8ì)ì:lÒ\85\9d\9b æo×=ýÀÚÛuÇIÖ\ f\ 3\90Ú\8dèUÇr.¯\8fY\932Ï1z\92\82?.áZï8L\928;Îô\8e\94\89ýøaR¢½\91\8cî\1eL*7ÊÉ\8eï'I³\b\8c´ãÏ£\86\9dB;!õ\83F?±ø\9dªvæQ\9c\94 #ÄAËNü'ÝR$\87$m\14\99\83Tndi\9e\9cCZwj-\92\15Án0ÖIqô\8evò_ÚyU¹\110OÚ¤n-'§&ý\8d\84Kw,'\eÃU#OS\83Î\93ÃAÊ­\9eàéàù$\7fx\7f²S\19@e\9d²\91Ô\99DM!\95;©hx5bHµSª²z\86¨cY%:\8a\1ccqE\ 1\ 4ôv\8a#\95æ:\95\931\NYÍò\93¨¹ lQ\8e    ý\ 6\12\1e^ÅAÒ\ e^âA­\9còO\9aG\ex\ 2   á@êGUdyRH\8e ×#\87θq\94\8c«ß\909¤z4\10éè#n¥\87v\8a]º®â ¤ÁÚÞ\89Ô\8e+²8k\8aÕò\94\8eÛ_J\e»¿\92î\90Ê\91\83¼æ*­èS&)a\17\924\88ÈÆ1\16%hy£m:+R«ã\8dú¶¸tí\1eV¦Dï^N\9a×\15q\96\ 2Ûb\19\1e¥\ 6Â\85ô\ fROà\9a\9b~9\8f '\8d;µ|´;½Û$ìÇ\eõ\1d\aëô\0Ie5\1a\84\1fä­Å*¿\91Ùi;X;º\1a\94_)\8bÒ\eyP¯¡\8e'¿Ñ\8e÷®Öh¿Òb%×7Ú\99¡¶Ópý \Noö\9dú:]Üwèêèn¿ÓÎ\86½5õ\89uS½SQ\87Ùú¦\eØâavªÙ\90w~\1dêiw¦4oZ»\eѼßmõ\17jKÝî67ÛÙ\eá4édß\86(K\9fÛ\13Þ!sÔl¿Q\85@grµ7ò\19+\97\9eû8,\9a\9c\7f\8a\8fÖZ»V5Ò®¢ß¨\89¶Ó\17í¤¯ß(OÑ^!\eÇõ½B.¢¨©¥\8a\ 4L±4J}#ß3\8b6(Ù\em\19\91\8c\161\\9bd\ 2Ï\9a\90O\12þ½\1e\13¯ûÇB5\98\1f\7f@ì'&"xâ\19Ü|B\93Wÿ9dö×Cð´O\15\13\87\ e\96¿\17.pà\1agÀëñ\R\ 6\9b)óüRö\83gÎêi÷D\aµ\bFoö\1d|\1dæ\82\984{±æ®×\aVZ\bZ\1ehùÂ\8eMùG8¿c.ê=\9fÓ©É\ 5\9e8\ 2\1eæ\8eL78\93!õ!Ä\86ê9ZPF\ eî\v¹kËÒM¯GV1Ú\b\9d\80\93ïa¦Rtæ\1cÒW{Á)«ì½8ø>ÝHvvýï\aî\89··¤\rÿ<\1a/~m¡\18 O}æwÒåQ\96T­ÖT\97\ 64]Æ\99\90ð¹\7f\96äܤø]?eö®\93:½¢£\8b·P4\88Ø=ðÙäÇgV^ Ó¶/É#à\ e|3\eâ¸×ñâ¼Z\0\95v±îþy\14HD\1cÖñ+\10æRK0\96\9e,>ð\13\1cï\99\17âŸ$up Ý\8bÝ®\9d't0È@\1ea?yâH,\93ä1²x\92\v\v\85ü\f6\9d\bÔg©R\98üÒ
+\16-\ 6    \a.Ð+¸©g\19øN×\817,ÁükpQ½I\9c\81×?.\86ëtÓµì'XªUÉüý\0k2_r\8dDÝ¢ky¿³×ã_\7f\93I\1d\ 6m\8c}üÿ\9fÇ\7f?²ò\0ÌT&7\b½\8dÛ[¬\8c¯?\ f¾úóÈlz\91mXö\17²>\7fâ£\ 1\a\85M\aö\16\84\8b¤\10~=âAí\8cæ&ñïq±\14\ e\98\87·d¸_\93I¸BàëÑѬ]üõ0é\9a\89\9ahÀAºÊ׳³\9e+=õÊ\94d\b_ù¢ñÚûR»R\98¯ñv övÞ
+/\9bá\8c\a\1dj\1aH\7f~\8eªú[\92»
+\90+¾xþ\8eóè\81ícLG(!:\9afw|aÛr¼Í¸¬eL\82\13I³)Ë­é;·\95·#Îêç6Ä\8c\18Î\12ç¦ÛqÛ×==+Ïu»¨g+Ê-gHkRÍO\83yÑ9Ê" d\9e)/lU\1aàiȵ´H£|\837\1aL\89\vyV$ENÇ2"G¯SÝÁ³áÅÊú\802\91<\99\8dk÷       7û©è\15ñäë!¯¹\1e¤\ fîB\ 5\99ù^\88úí±ªT\9fôÓ»¿öÆIѪ2üÂS\8d\ 2È=\15çe\97\90>:=n{j9t<õ<@\84继\9e\aLݪQþ@VóÔ0º\1d,pÙE\93Ä\ 3úã\94p\8e\a\88GS>¤¶§\17hüÀ½W9 ¥>ÆWµOt\9a\ eCÂ¥X\11\a*\87\1aMÕÅ\81\fÀR\9cÔ\10<\a¬Él\85\96+;\96±än\ae\bÔÏ2ö\ 3\15¸Õ\86¦®Iµyèó¦^\80®¡\1di#Ì`.ܸÑU¨\fˤçÃ2\83\ f­:\95¡v B¥\ 5à\vÐ\a\98\99'\82ɬªêÍÄ\bÅv©*(r\bÓ8nô|\b\a<¿¿¸ýD\8fÜ\ f\8e[ÙP\8fu1Eθ;Þþûu=Ù\ e8X|ÒVBr·¿ÿã¯\ füù\9f\0\ 3\0D]è\ 6\rendstream\rendobj\r10 0 obj\r<</BitsPerComponent 8/ColorSpace 11 0 R/Filter[/ASCII85Decode/FlateDecode]/Height 99/Length 255/Width 76>>stream\r
+8;Z\r_%":)$q1ulKMP;$;_elR1/*K!lP'aq8P0Xrl)FUl=ck7G?9S@B&4-XGKFm_+
+`(+$=)3nCIh-&9B%WbIo]3Zp=EK[u)3^Fjc&3&<lH<dp7099@a?#NUn8VKauOM-&8
+o&?gQ.(#4o??RMn1MeX`^\=g:I&b`rp6V-l-fqFKpo]&3H9b'Tl6W_'!1966O4lBs
+D#6K,3kWW+f.DiC.l,_m`MLCW1X_IqT/(dkKFgHU+bUEtF$'[-J40GG~>\rendstream\rendobj\r11 0 obj\r[/Indexed/DeviceRGB 255 12 0 R]\rendobj\r12 0 obj\r<</Filter[/ASCII85Decode/FlateDecode]/Length 428>>stream\r
+8;X]O>EqN@%''O_@%e@?J;%+8(9e>X=MR6S?i^YgA3=].HDXF.R$lIL@"pJ+EP(%0
+b]6ajmNZn*!='OQZeQ^Y*,=]?C.B+\Ulg9dhD*"iC[;*=3`oP1[!S^)?1)IZ4dup`
+E1r!/,*0[*9.aFIR2&b-C#s<Xl5FH@[<=!#6V)uDBXnIr.F>oRZ7Dl%MLY\.?d>Mn
+6%Q2oYfNRF$$+ON<+]RUJmC0I<jlL.oXisZ;SYU[/7#<&37rclQKqeJe#,UF7Rgb1
+VNWFKf>nDZ4OTs0S!saG>GGKUlQ*Q?45:CI&4J'_2j<etJICj7e7nPMb=O6S7UOH<
+PO7r\I.Hu&e0d&E<.')fERr/l+*W,)q^D*ai5<uuLX.7g/>$XKrcYp0n+Xl_nU*O(
+l[$6Nn+Z_Nq0]s7hs]`XX1nZ8&94a\~>\rendstream\rendobj\r9 0 obj\r<</Color[20224 32768 65535]/Dimmed false/Editable true/Preview true/Printed true/Title(Ebene 1)/Visible true>>\rendobj\r8 0 obj\r<</AIS false/BM/Normal/CA 1.0/OP false/OPM 1/SA true/SMask/None/Type/ExtGState/ca 1.0/op false>>\rendobj\r7 0 obj\r<</LastModified(D:20131223221535+01'00')/Private 13 0 R>>\rendobj\r13 0 obj\r<</AIMetaData 14 0 R/AIPDFPrivateData1 15 0 R/AIPDFPrivateData2 16 0 R/AIPDFPrivateData3 17 0 R/AIPDFPrivateData4 18 0 R/ContainerVersion 9/CreatorVersion 17/NumBlock 4/RoundtripVersion 17>>\rendobj\r14 0 obj\r<</Length 1022>>stream\r
+%!PS-Adobe-3.0 \r%%Creator: Adobe Illustrator(R) 17.0\r%%AI8_CreatorVersion: 17.0.2\r%%For: (Eva) ()\r%%Title: (logo.eps)\r%%CreationDate: 23.12.13 22:15\r%%Canvassize: 16383\r%%BoundingBox: 52 351 560 439\r%%HiResBoundingBox: 52 351.720092773438 559.442123413086 439\r%%DocumentProcessColors: Cyan Magenta Yellow Black\r%AI5_FileFormat 13.0\r%AI12_BuildNumber: 261\r%AI3_ColorUsage: Color\r%AI7_ImageSettings: 0\r%%CMYKProcessColor: 1 1 1 1 ([Passermarken])\r%AI3_Cropmarks: 0 0 612 792\r%AI3_TemplateBox: 305.5 396.5 305.5 396.5\r%AI3_TileBox: 26.5 16 585.5 799\r%AI3_DocumentPreview: None\r%AI5_ArtSize: 14400 14400\r%AI5_RulerUnits: 2\r%AI9_ColorModel: 2\r%AI5_ArtFlags: 0 0 0 1 0 0 1 0 0\r%AI5_TargetResolution: 800\r%AI5_NumLayers: 1\r%AI9_OpenToView: -271 711 1 1157 618 26 0 0 78 132 0 0 0 1 1 0 1 1 0 1\r%AI5_OpenViewLayers: 7\r%%PageOrigin:0 0\r%AI7_GridSettings: 72 8 72 8 1 0 0.800000011920929 0.800000011920929 0.800000011920929 0.899999976158142 0.899999976158142 0.899999976158142\r%AI9_Flatten: 1\r%AI12_CMSettings: 00.MP\r%%EndComments\r\rendstream\rendobj\r15 0 obj\r<</Length 5090>>stream\r
+%%BoundingBox: 52 351 560 439\r%%HiResBoundingBox: 52 351.720092773438 559.442123413086 439\r%AI7_Thumbnail: 128 24 8\r%%BeginData: 4936 Hex Bytes\r%0000330000660000990000CC0033000033330033660033990033CC0033FF\r%0066000066330066660066990066CC0066FF009900009933009966009999\r%0099CC0099FF00CC0000CC3300CC6600CC9900CCCC00CCFF00FF3300FF66\r%00FF9900FFCC3300003300333300663300993300CC3300FF333300333333\r%3333663333993333CC3333FF3366003366333366663366993366CC3366FF\r%3399003399333399663399993399CC3399FF33CC0033CC3333CC6633CC99\r%33CCCC33CCFF33FF0033FF3333FF6633FF9933FFCC33FFFF660000660033\r%6600666600996600CC6600FF6633006633336633666633996633CC6633FF\r%6666006666336666666666996666CC6666FF669900669933669966669999\r%6699CC6699FF66CC0066CC3366CC6666CC9966CCCC66CCFF66FF0066FF33\r%66FF6666FF9966FFCC66FFFF9900009900339900669900999900CC9900FF\r%9933009933339933669933999933CC9933FF996600996633996666996699\r%9966CC9966FF9999009999339999669999999999CC9999FF99CC0099CC33\r%99CC6699CC9999CCCC99CCFF99FF0099FF3399FF6699FF9999FFCC99FFFF\r%CC0000CC0033CC0066CC0099CC00CCCC00FFCC3300CC3333CC3366CC3399\r%CC33CCCC33FFCC6600CC6633CC6666CC6699CC66CCCC66FFCC9900CC9933\r%CC9966CC9999CC99CCCC99FFCCCC00CCCC33CCCC66CCCC99CCCCCCCCCCFF\r%CCFF00CCFF33CCFF66CCFF99CCFFCCCCFFFFFF0033FF0066FF0099FF00CC\r%FF3300FF3333FF3366FF3399FF33CCFF33FFFF6600FF6633FF6666FF6699\r%FF66CCFF66FFFF9900FF9933FF9966FF9999FF99CCFF99FFFFCC00FFCC33\r%FFCC66FFCC99FFCCCCFFCCFFFFFF33FFFF66FFFF99FFFFCC110000001100\r%000011111111220000002200000022222222440000004400000044444444\r%550000005500000055555555770000007700000077777777880000008800\r%000088888888AA000000AA000000AAAAAAAABB000000BB000000BBBBBBBB\r%DD000000DD000000DDDDDDDDEE000000EE000000EEEEEEEE0000000000FF\r%00FF0000FFFFFF0000FF00FFFFFF00FFFFFF\r%524C45FFAFAF84AFA8AF84AFA8AF84AFA8AF84AFAFFD6EFFA8AF84AF84AF\r%84AF84AF84AF84AF84AF84AFA8FD6DFFAF84AFA8AF84AFA8AF84AFA8AF84\r%AFA8AF84AFFD6DFF84A984AF84A984AF848484A9848484A9848484A9A8A9\r%A8FD69FFAF84AFA8AF84AF8460595A595A595A595A596053532F5353A8FD\r%67FF84AF84AF84AF845A2F592F5A2F352F5A355935592E532E532EA9FD66\r%FFAFA8AF84AFA8842F5A595A35847E5A355A595A53532F532E537DFD04FF\r%7EA9FD60FF84AF84A984AF59592F5A2F84A8AF84592F5A355328532E5328\r%7EFFFFFFA928A9FD0EFFA8FD04FFA8A8FD29FFA8AFFD20FFAFA8AF84AFA9\r%84355A355AA95A59FF5A5A595AFD04532F537DFFFFFFA953A8FD0DFF7D7E\r%FD04FF2FFD2AFF537EFD20FF84AF84AF84AF5A59355A7EFF84A9A9842F5A\r%35532E532E53287EFD04FF2FA87E7E84FD04FFA85984A9FF845953A8A8FF\r%59537DA8A9FFA8847DA8FFFFA8A9A87EA8FFA8847D7EA8FFA8FF7DA8A8A8\r%FD04FF7EFFA8FF7E7E84FFAFA82E7D7EFFFFFF7E7E7EFD09FFA8AFAFFFFF\r%FFAFFFA8FFFFFFA8FFAFFFAF84AFA8AF8484355A2FA9FFFFA8FF8436355A\r%53532E532F537DFFFFFFA8535359535384FFFF7E2F592E59FF7E2E53537E\r%A8532F5353FFFF532F7D2E7EFFA953532EA8FF532E7E2FA8A95353537D7E\r%2FFFFFFF7E53A859535953537EFFFD045384FF59FD0453FD07FFA9AFA8AF\r%AFFFFFAFA9AFA8FFA8AFA8AFA884A984AF84AF595935357EFF7E84FFA82F\r%592F532E532E53287EFFFFFFA9287DFFFF5353FFA828A9FFFF2884FF7D53\r%FFFFFF7E53A8FFFF7D53FFFFA828FFA82F7DFFFF7E2EA9FFFFFFA9287DA8\r%FFA82F7EFFFF537DFF287DFFFF5353A8FF28A8FFFF7D2FA8FFA82F7DFD05\r%FFA8AFAFFFA8AFAFFF84AFAFFF84AFAFFFA8AFAF84AFA8AFA884355A35A9\r%FFFFA8FF8436355A53532F5353537DFFFFFFA853A8FFFFA92FFF7D59A8A9\r%A8597DFF597EFFFFFFAF2FFFFFFF537EA8FFA853A8FF53FFFFFF537EFD04\r%FFA853A8FFFFFF537EFFFF2FAFA953A8FFFFFF2FAFFF5384FFFF7E53FFFF\r%FF7D59FD05FFAFAFFFFFFFA9FFFFAFFFFFFFAFFD04FFA884AF84AF84AF59\r%5A355959AFA8AFA884355935592E532E53287EFFFFFFA92EFFFFFFA853A8\r%7D2E5353532E84FF7D53FFFFFF8453A8FFA8532F532F532FA9A853FFFFA8\r%537EFD04FFA92EA9FFFFFFA82EFF7E53FFAF2EA9FFFFA853A8FF2EA8FFFF\r%537EFFFFFF7E2FFFA8AFAFFF84FD04FFAFA8FF84FFFFFF84FFFFFFA8AFAF\r%A8AF84AFA884355A595A355A595A355A595A2F532F532E537DFFFFFFA853\r%A8FFFFA92EFF5959A9FFA9FFFFFF597EFFFFFFA92EFFFFFF2E84FFFFA8FF\r%FFA92FFFFFFF2EA8FD04FFA953A8FFFFFFA953A87E59FFA953A8FFFFFF2E\r%A9FF537EFFFF5959FFFFFF7D53FFFFA8FFFFAFAFFFFFFFA8AFFFAFAFFFFF\r%AFFD04FF84A8AF84A984AF59592F5A35592F5A35592F5A2F5328532E5328\r%7EFFFFFFA92EFFFFFF7D53FF7E2EFD06FF7D53FFFFFF8453A8FFFF5353FD\r%05FF8453A8FFFF5353FD04FFA92EA8FD04FF535953A8FFAF2EA8FFFF7E2F\r%A8FF2EA8FFFF5353FFFFFF5953FD05FF84AFFFFFFFAFA8FF84FFFFFF84FF\r%FFFFA8A9FFAFAF84AFA984355A595A595A595A595A59532E5353532F537D\r%FFFFFFA8537EFF84537DFFA95359FFA87EA8FF7D53A8A9FFFF2EA8A8FF7E\r%537EFF8484FFA92FFFFFFF7E537EFF7EA9A953A8FD04FFA92F53FFFFA953\r%7DFFA85359FFFF5359FFA9AF2E7EFFA82EA8FD06FF84FFFFFF84FFFFAFAF\r%FFFFAFA8FFFFAF84FFFFAFFFA8AF5A3535592F532F592F532F532E532E53\r%2E53287EFD04FF53532E5359FFFFFF7E532E5353FFFFA92E5353FFFF5928\r%5384FF59532E5359FFA853A8FFFFFF53532E537EFF53A8FD05FF5353FFFF\r%FF2E532E5359FFFFFF7D2F2E7EFF842E532E7EFD07FFAF84AF84AFFFFF84\r%FFFFFFAFAF84AFA8AFFD04FFAF84A935592E532F532E532F532E532F532E\r%532F53A8FD05FFA9A9A8FD05FFA9A9A8FD05FFA8FD04FFA9A8FFFFFFA8A9\r%A9FD09FFA8A9AFFD09FF2FA8FFFFA85384A9A8FD05FFA8AFFD04FF84FD0B\r%FFAFFD0DFF84FFFFA8AF84A984842E2F28532E2F28532E532E532E532853\r%7DFD37FF7D53A8FFFFA928A9FD0AFFA9FD17FFAFFFFFFFA8AFFFAFAF84AF\r%A9FFFFAFA8A9A8A9A8A9A87D2E532F537EAFA9FD37FF7D2F7EFFFFFFA853\r%A8FD23FFA8AFA8AFAFFFFFA8FD0DFFA85328532E7DFD39FFA984FD05FF84\r%FD23FFAFFFA8AFA8FD13FF7E2E532E59A8FD7BFFA97D59282F7EFD66FFFF\r%%EndData\r\rendstream\rendobj\r16 0 obj\r<</Filter[/FlateDecode]/Length 12964>>stream\r
+H\89ÜWërÛ¸\15î\vè\1dÐé¤cϬe^D\91t~I¾$n|ÑH\8e\9bÝ4£\81HXÂ\1a\ 28\0(G~\9e>C_ /Ö\ 3ÞDË\96Ämvë¤ò\8c,âÜ¿\83\9b?\ fF\a½XLÈ\81Û¶PëÍ\9bcI°\16ò\be§è\9c±Tii\8eö\86ûÈöÛ\160õÎ\83qÁxK¤¢\82\1fe¤¶\ 3Ä3#½wºÀûho\1f\9eo¨f\ 4N\98\98\8a6IÔ~i\ 5ÄN°\ 6\92ã¶m§m»Èq\8e\901_`¥è#\10í®\e¸pÖ\17)\8f)\9föÅ×#ä9Èõläu-ÔqC ¾§C¢^`iû\8ee\85\8eï»\1d7@\9e\17¶;\1dÇvÜ\8eíZA·\10>\11Q:'\\ f¤\88\88\82      ©\8eÐñ\12st\89§@ÁègÂ\98x@}\86£û\16\0à\8dÏ(#\10ë\1ckd»\ 6\96Þ¹í\8cû)eñU:\9f\10@ÁéÚæØ\1dg*?*Ð\ 5jÍosì\8fÏçp2"Z\83Ó`Ð@{|ùó\87º\1f\0@ñ·÷y\0\98\100(ï       ÿ²_h\96"1'F\1cþº¶\83üÐÉi7d\9e0@8Ãõ¼¶\87Ü°k¾W¿\vN\88%ãr\fÙî"/0\1c~\18æô\15BdAÉÃ\11º\12\9cä0ô¤\1eå\89êt,+ÿÎ)Ã\94\11ù\91S\r¾e\1e\859\ e\97"&¬8ÊäÏ\18\9e\16þ\83\82ÕwÎp\83å\94hH¯`©Î®ZPZ\0\9c\92\98dÙ¹\81ë\84ð\eq\9bùxàø6òí\f=Ûó\ 1\9b\0âËÔû\ 1äÌ©,Ú«ï\±Qc\94\94Ú}ÈÌ\0ru-é\94ò£Â7\7füNÒx\95?ßAAþ\95¹ß\ 6?ÍǶC\aî`Øô$Ì>~×ö\ 2»ã49Éc\a\18µ&¼À\ 2îâñeínYíË\ 1DqÊãc17¹T¦¨\b\84\ 3×\rj3§U¿3
+\88§I\8eHö<\86´\ f$åFgë*£\ 4ã\ 1K\81ôN\8a49çw¢µ\97w\ eðF\12\94\13¡\13d\8fåÿ6¦ÉþVé\13r\a¥µ\12ÏOßÿÃq}Æ\b?ø%UX?ÎE\9c\9eò\ 5a"!\bó\18ý\1dËd·\81\ 1Ã\1cK\94\9d\97úëZÑ9×Dâ{M\17h\8eÁ$0]Ð\ 5\bb\88¿\81~¸7 \89t&\92±<µµ\8d¡FÚmè\16\18\85\84
+\8cÑõäWx\0\ 5W8\9aMÉ#¡Ñ\8c\13M\14êCSª,×zz\e'»âÀz\ 6]\8fðXU
+z|Ê\8cî\94O\9f¥Â`\94³ïv}\14\99\v+Q_¦j\86n\84`\95\89QB\1e)f    å\8a°5\13\85X&e\84¾#C\83L\80\1c¶çæ.\ 1y"_´\ 6\8dð»´\ 4Ü\9b­\98\8bõ\83Ø8Æ\8cÑ©ÄÉ\8cF/\99ùPÐï(yÑZ.ÿ[nÝr>\11\8cªùê²ÕN\ 6Xj\1a12ZB\9eæ\8d\13\8eNc
+\85»¡§lå\19=`\1dÍ.èDbIÉÖú4©¸£<\86\9a\19¥T\93Ê\82\81ÄL\8f)QD?jhóЦ³hôì,\13\18Uz½1\f\94úÈ88Ø>KÂ\9cb6
+½dDµ\ e?pñÀ³\atÔÚû<ÒÐà±\8c¿ì£Ã+<'è§Öá\88Â\92CJ\1e\v]·¬b®ßïa«\9cñ\1fZåna¡OKxø\eüø\15\8e\1e\90m¡Kôù\8b\85b8þ4l\99UàSÜ:ÌZ=zÛB\870\8eà\7fæ"Ä´rpg\94\ 3\18\1d\90\93Ì\8bÁ¤µi\973>©Ö³\ro\10µ\ 6ýÊH©ë·`xA\95~\ 2ܳ 2\8eÿ&[¶\95\93òKmÔü©8\ 6Ek\87\e\94\17Î\96Û%¼\ràÖ\9bñaù\fù4O42k\1f\96ËüùÓåÅ\15l\90/\12ߢ½¯sÆ\81|\0¥ é$\85é·\ f×\ 4X{Râÿ\8d\8aßA\7f\8d+\9aAÿ\93f\ 11<\ e:\84ÍdE5_z\99\90\9cº÷W®Æ\v,Õ[¨\90\11hçÓ§¬\vÌÒ\92×\9c«\r|\1cª+g+<QO\9e~Pt&4{?´\e\80\ 3 Âö{\95Á°\e¡:÷O¯\e#\87\ 6ñ1\11Ý\93¸Il%çï\94þo\8cÞÞ\1a}£¼R<a¤ÉÅß\99ÉW.ô\bV<1ÿ£JýGêbG\8bÆÁ\19ÖæWù\8f»\87G°HÁâbf\1e´\8e¦×ñ\ f¯\vðå;råÿ¡JÕÝÃw<\8d\f\14£Ñ\8fÞ\8b\ 1\83\10n\ er"4ôé\vr§¯%\85}·I\96\9f˼nOö,¿Ýé8¶ãvl×
+ºèpHð\96\98\1fh¬gM\ 2-\18_7ºÀo;~\18Z¾ãt½®ãí\8anFètÖ¤QV\9c¯\9c=gWD_\eµ\9e×\8eÃõì¶ïXVèø¾Ûq\83]Q-\9bDµü.\16\82¬\13\8eD*#Ò\17)\8f_}#\80¹õÚ.Ì\89Æ1,HßêGø\8d~ü%\16Q:'¼QÅ×\983\f,«°Þ;·-tÇàr\11N$\92Xi"\ f\16$ÒB¢        f\98G¥ÁÏ\97TkF$A½ô\8eýû_*åÓ/`ü#§\11Ø+}\0\8d6:)Ì!Ø\97Ò\ 4\9dU\ 6\ 6\92(¢Ñê­Ôö¬²`zç!º$j\86\86\99\17ô\11\9b\1aFC¢\ 4KÍÏ¢Þ¬'\12שNR½C¦\16î3ç.0\9f¦xJÐ@$iR\ 4kûm«íÔ ½ï\9d\9f¥\8c\95²·D*Ð\ eÔ\ Sµç\ 1P\12À\8f.È;Iã±\19\97g8"=>eeg·C\a\ 50¹r\99\81 \\9b\9c?\93\1dé,\9c\8ca\97\9d¡éék\86:\81µ\89ý\96\92\a\bì\84*½Êq×ó\¯\80êEýC\12\97£w«\1f×     \8e¨^\96\15\f4¥Ϯãwým>¼\93\84¬Òú²\13gL\by}w§H\81\9b\17Xm+ÿ8¶·\1dÄÓ¯zU)\eY\8f  cÇÐ\14«Ä\ 4~g\83Û\9975·\e:cnNÝ\97Í\98çáÖ1ß\86bÆݯ:\89\ 6NãA\95ò\9d*+Ng³§ï\ 5Ô¨àïk\e\88»\91Ù@<¢\8fdWøÙFZ\8fÞÙàæMÕ_\9d®coJ\97Q÷$[a`oa]!i\95K7´\99n­«b®)Â\8cbõÔ=Ó¾´Ä\%\18ÆB´DSÐ\89T\15q]\9f\8dÊ\16\8e(ô6¬  \82×Q\1eC\r?c\ eQ\82\13°«è<eøI\17¬ôÕ»¾H5£\9c ¥¥¸/÷\vk[\r®b^_µÊö\11 &׬αºÏ\8fü\12\818¡íµ\17\16\95\88òbT\v}\82ãxM\19À¹záì\9dÃLÒ¢\1a\ 2Ûñ»ç"º\87\98\ 1nQ6üMÑÂpÓÍÀÓä«®B©Ò\8b¥\9e\b,c\ 4x\bY.¾\1d'ØÈ\83\1cHlúBC~\81Õ\86\10ª{º\93WVÍ{\97\ 3\15çN\9d+Ww*­¹jwÝÀ­xË\99z\8cù\ 2«UÁÛOÒ\97m\ erAÐ\r\0\8dNcªñ\84²ªäË\ 4\1eK\91ô$Á½,\87ÏVåõëZÙ8W½Âá\13r\87S¦W+\8a\1fÀ«¥ï\87Ýõ)6La\1dº\96tJ×Ö\f\98ª    ÃËK,\8b\v¿÷\v¡Ñ\8c\9bþ        ÿ\91ý|oª­DU\9fë\r\8b\ e²jÖ\87\84Ý\88an9\9f§BÑjSpJgüÐi,d¯-­%\1a\19t¥Â\ 3ϲv\8dr0\83ÍC6\12n1§j\ 6ñÕV\98­\8de\0\e'¹¥\8aæ¹5\vP}iòÃÝKÓJÏ\8dHjv\eo]+\ 5}¡µ\98×ut}çÉèÎ\946Ñ÷\12\12~\b¯\8eaþ  Âÿ\90^mkm#Iø      x\ay3Lð\ 2ò\19\9b\10ÈØ\18\833\9c\82YH\18\12Ò\92Ú¶bY­í\96!ð<û\fsµwy±­n\1dmK-\99½È÷\11«Î]õ×_Õ\9aÒªU\9aYÖøÊ\11Áñí\18§\a©u\8dº´o\eøç\0ëÄöç»U¯\85ùTÊÍV®\b¢ú¼6\84\9eIY\86\8ah\9fônHS\v«óÿõPhæ\95-\14ê/uP³Y   ß¼Ùªçë n.©\81*);É °\92<bê\0¾¸L® [¦\ 3@=u,ü\13Ð\7f\ 4¨\10nW\88M'ÔÀÆò¾WJçÄ\9dû<wÎ\ 1jÁf>¦È0ùÞE¶áßw²\8bÎS:å+\150H(  Ä_T\9a÷TQ\8e.\a+»ò´²}Åvÿ\0=â3X\ f&\94*ÀH\96@\85\12Jã·l  \8aNMmæbVúA4U¼\ f²,4o-:=\97\14àX\ 5Ö8\8aÖE¢]61\1d\rz0XAË+gQ#\88 \87ñ èùi\\94¢\18ú\8fa^\ 3*\97\ 4\92`\85\17®|p¢|$Zß\1e\12\85W7\89gsòÇ       v\9b\13ì$:\f\99\13\84ÂqXºGmä$\91\10nçÂ'|\838[^\16;ä#uè\8fÔU|¤â²¢Ùs\89î*6\89æY1m1¯|\85ûUÛøëÌt]\0ZhæÙк¯Öªlf\8f¾\16£N
+\83ë\85\93/h\95«Ì±\ f\9f\97yÁ],@H9µ ×!\ 3Î\17\8a0/\89¤¼X§eGÍÆB´Þ\ 5\81·\ 4ÒÙAÐÿz\ 2\9d\9c3·ø\90\81A?»\85üã.= \89Ï\fHØè`{æ¾`øahÚ&¦®|Hù\94`apù½âr<ÃËnï\ 12tf.|\ 6L¼¤dhZ\98+^\12ËÔ\9f\17ÒYÐ\8fo\a*\12Ü~ô\12Ôâ   
+<MÒ¯pÿg\ 4N­1%SÜ%O6C¼Ã\97p\¢\1fpþ¾eÍà8Eà\9e\13\7f¨Ë!r<úo.>\\92\9d\8e\85±\ 10?        \eË[\ 1©²°öÓñ*\90¼¦æ\94S|\96\v`\837¹Dî8o\18|ïç\95\15¬,»%\80\rÙ\ 6`|^³\1e\81        Æº\ 3à\89ù¦\9c\r\95·±WÙ\ e̾ý
+8\8d\99\ 2\18k(°\8b\95à\ 36mh"Ð\80Õb+\1a6§ÊÀ\11G\11µ\15ø\bm\16·×\85e`*Èb
+D²Ý%\13q!ªÊ\r¦O\18(¤­\fÀ88`X9\8a\9bÞRà{øUñì0ç×\7f \839hÆ\9c(ðRâ7î~ª\9c¢g\ 2óBÉ\88¢éTy\ 2í\17Ué¨Jßîbf\8e\88Bä0\14Êô×ßú\98ÿ!lð\7f\10Õè×\7f\81\18\8cp\10%\ 4Ä^\9e°>\11\ 2^(3[Ã\13ds\ 4\9a¯eÀ½NM'ßÌ\84x\95ÝÀ\87Ä"´\83¨|\82ê"\ 4¢\8bvÈöÏ÷\18\8c-kÓ\1c\11À²\8bM\90\12H\ f§\ 1Rɪ7\96Èq2"­      A<u¼¥\93í¾\a\10x\8bµ\e\13?å+\ 1rýó#[ü\98\83,4Çõx6ÕldZ9\10M<]\ 4ª\7f\9aÁE'hq^µE,®VS¶A\92r\7f
+OÒÖ\80\92xÊ;YªAg\80»X¼+h}\9a¡¨¢ÕF¦ÃkØw\ 3óE¾(½' èyõjÎk­VÌyÝUjÉ5W.å\82Ò
+\95ä\9aù\v\99´ñ£\bëÒrrÝô\92ÔsyM,\8c\14W8TbÊQèúÙ      \98§Êß.}3\ 6\9bÿ\16GKwG¦p1\1c\ 2Ìô B\80Å'B'Ñf_Mïêµ\ eCF³\9aZ|ýW¤\o0Ó¸*±Ý+À>9N{\90êñK\80k\9b9\88b; ¤\v×ï¿\83ÛA¾*ãFá»\87ì\11O\16L5)ó]Å£É>\8f7_xø¶²ÄS\e©úg\98\8d³´³Y¶Î¯@Ý¿\ 2
+L©âNL\19ñã\16ñã6·?â\9f?,~þ¤¸JÒsÃ+L>_\1e\85\94\ 5\92\85\86Ç\92½k¥oë@× \12ñ\93E¦ç¯\f\eHÐ*jÀ°àª\10O\17WÉIécÚQ¿åÔM9Ñ^a\ 3²æ·QÐq¯Óí\ 3µvÍ!\90ü\95¬\0\8f\ 3:K\9f£Ð÷\94\røà\ráax¶\86ýÒ!\ 4\ 6é\12^Éá_\1eñ15\8d\87Á\98<\9d\98\86o¢Ô5\85\12¢ÏÊ;¥tNÜ+¬\138%\8cÔ®ûA4U3Ý)âK s\0\9dÑt¢j\9cÖ\92áP\9d1\1c°\&\81J¡4å¤\95+i1|LÄ\87y\1f\vâK\11\ráÆ1,\87\ e\ 1F%SòÓQ9Z¤Ûq\18\94\81\17N"Â\ 3cî³%Ùê^8SbHdx,bÞ\\ fHÒ=\82$q\8c\994j0å\12[n\84c\9d\80:hÇÜ\ fE£Å\99ê:¤\ eR9\e\8f\10ïØ\8cÒb\eÁ³\e¹\ 3t\89ä=EéX\80
+¯Ø\8f\ eg3G4VÈO*IÂÔ L\rV\ 2\93ì\ e!8W\8aj\82\94>U9\v\8b\1f­Y\93\94ñ\9e¢`º\84\85p¤003G\1e\ 5\1dN\12\ 5\90CÌC ôtCQ\8dÌì\0l2\90\96ëD/\98X Ýq¨:&\82Â¥Ç)¤\Nº²L=e\9a²¨\1a\81\83Ä\90i¸c?Ëî\8cêcå\9abS\ 3.aà¡iòqåÉs#sÉ'\86\12À\90C\ 2ìl4\9b\89\9d\ 4æL~^Ä»¨Ò\92\8bF\13Ñ*'ÎD$\1aGù,³ñ±O{ÒØ\95±Ñ\1f\(\87\ 4¹°\ 4\1f«
+\90Úuå~ãè°\7f_\94\97\10FÌ¡ó-\9c5bahI=\f\ 3Æf\8e\0̧±éb\19zyh1³uY¦ÔPáÖ£\16rÔÇÜ!F\8f\92\ 2\ 2~Oȹ*\80ºUáð\8fdBܱÎé¥\86¨\ 4ñÀ\18\f\rÇÆ9d\94g<N߯âá<\ e­O\9f'\19\ 1R\8f\88Å0­ÙH®\8c\86,dëñã(I\8a.ò¨Äá\83L\86ÀGÆ\84¾ø\83\97\10fÊm\89,\1c\98\fÓ\1e\12É\ 6r¼ý\13ÕXÜgI)\8cò¤à½.\rº8åXäo;F\ 6l^I\ 3ð<]Ó
+ÉI-¥ãð#¶2\ 2\12}.g\8bl¦±\0\eä\b ¦\10Ù6    \0/9G\1e\91\85\83¦LË\91é\8e\15\1cJ\8dÝF\1aÌÅÁ_\1e s-Õq\f¾Q¬\bí7þ\1a¸È6\1052(\8e\1e^\19Ñ\15ÒªWÓâ\8a£jÒÜñh`=¡\99åBP¹\13Ðg\f°?ÔȲÌY@Î[K\94Ç\93\97ïB\9e\9d\17\86äô\ 1\19?\ 6ß\90ZM~BÞ\87      ý\8ccO\99\82T\11\ePJ©=\18\8f-#gá\1d¨\8fkºÁâÊ£áy\90ó5Î\188üzDÌBº\ f­ÍjZÃ\13jb ws@\92\ 2ët$\9d\9e\bÒ\89;\ e\9e?s\1e\1f\17BºÍd\ 4:\88Ì·³§l´û\95\8a\v ´\ 39¥kê\91\95\ e!\96\90k(]¢Ï¦P\0åÒü\89­KL\87X_\98\9fSÄÜ6\ 5Z\vÓÚï\ 6nJçĽÂ:¡\ 6\90\16ñÓÚz»¿ûpd\e\81Í.r\11ÿ±RyèÀ\ 6³¯a_\aßÖJü÷ø/Ê;¥Ô\1e\1cöû­F\17óFàV7\ f\1aß\9b\9b\1fn´R¹´y¶½ùaìÖø_ÕúûOïjá\87Oá_âÃ^íõÛé\ ew\8f''o®öQwXþr\10~­nî_í\8c\vÅÚÉ~a»ôöjm½°y0y_(\9eßí\16¶Æ&|ú>T\v\9b³w\83ÂÖÙçna»|V-\97ö¿l\b÷\8dÂañS\9d\19\ 4×\9dÔ?\|?¨uZµÖÎÝÎôîýö÷\1eiÞÖÊFôµ|ò\80\ f×Ö)=Ø×Ú[ÎùÇ?þÜe\a­\93÷·j\8fÜÕo\8eèý]¹{×ûrÝÛoïë\95\7f\9b¶ï¥öÛj©Ażä(­\17¶n¾õ\vÛ­íVaSW\a\16ÿí¨°õ`4
+Esb\15\8anÇä©\15ã©Õ·®Ê¥úà*ôì%~à\14ß;\90ÕÇéÚº\9f\17ºêø\7f}ÿøA$¬\96Xãßð×ÀY\12\81"°VϾ®nì~ù­lü^\11I^DOBïÙ¨¥ÖN[³Í\83ãÂïà%¬2\98m\1d×n÷Þ\fá¿Ç\16h\7fé\ 6á\9d2J÷Ø\1dýºwyÁãö¢\8d;=®Ü×?\8f\92\9c»|\1duN"·\vNwª?J\85\1aýVÚ¼MvzÞ)¾ù\97c\9d
+§kë\v\9bo;\9d4§'\a\9f\9aöM²Ózñóæ\9e~q\96ätm\9dý£÷­\1e¹]pZîuþÇzu®¥\ e\ 4Ñ'à!()ô@P/(à\ 5B\90"H\13¤ Wl¨ô÷¿»éÙì&Aý\13ýØdÏÌ\99\9933µk\ 2è¹?ðµ\vf        Ã)W~¾íH  Ç\10_}¢÷\8aNTg],¨XIv\89ô&\1frÝG       \14¤ýBÐAa½\îïwãc®\ ea\83Ö¨²C~ô\91\b\ 2ÐÔ\1aM¥I\9dSém1\f\ 2zvö9ÛH \1e
+\81\85 ³Ýäõ«K\0½\9e\9f_\94\ 3       ,è4ÿØÆ\81z()ª\ 1\9e½\1cã|Ýí®¼\93½ÿuÙÆ\83Þ\15\83¹mà³\8e\ 3\r_~dr\12(TKÔ×s¿\7f{|¸À\83¦\86#®\»jaA}åÏ4\95º-Ý! \8aÂpåõ[\95@ð¹\9fn4\97"      tÉ\89\a¼§·÷\1cµ\8a÷;\1e
+À^lТaÄ\19¯\80\ e£,\ 2z¶]\ 1Í\92@\85ñªl\ 2}Èqõ\9b4\ fAC:(@\91}­¬¶\17©B>\85\ 3åê\9fÏK"è\9f\860]\90@§\ó£     }1Ã* 5æ¡\16\ 3½\e\vÚið\17Dк\98ª¥\10P\88\8eR\÷¦\13$\80\1e\ f\9dº8ºÀ\82ö¹Ã\e\11´»¼\8d¿J\1d\19çëè\86ëO\99\1c\1e´\9efú¬÷6\8f\ 5½\8föi\ 4TBQ`ïÿ²\97~\12è\e÷\10ÉNñ ·7Ëwï¿\10\8b\ 5\9d,|\0\85èë*óÁT   ã<7\9dþMáA\9baß&\ 4jR\a\ 5]L\87\a,\11Ô7\9c\86âxÐ+¯w·+·V\104l)\9a\1a0æûsõ\ fÀf¶¨*\1d\13_}\ 5t\95\ e! ÛÙÅçN\ 2M29¶bî4­pf}\10 hD\ 2Õú¾\«Ý8Õ|k´\ 1èõ\1e%X¸Ýp
+è!\1f\eÅ\ 5frÑ$'\87LÕ,\ f\93\ 5¡W\86°1Ä×Ýñ\91ò2Köb\b@ËGT
+³ñè½\f\9aOÔ¢\b¨¯[íÊòÀç{õ:ìb:lòðåM\16\ fÿ (g!¸Ï\8fß\a¥«\10\0­zQzw;!¬¶·Ö§eºð&Ó7ÏÄs/ÿï&J<\rç²ë\ f\9bÓ\16½Ó\94ßzΠWO\11õë\8e¥-ׯ+#õ´\8fv\15®ÞîÎ\90SS&×\9f\1eÿ\91¿nx?^lNS\81\18ñ\14D¿y\½\93¿îôÓi\9bÓW¡@>í¶×M\9d1Ëùî\10IªMM\1cZå±w±UOÇh\99\97â\11951v\1fh\ 5È_ß\9f\8fY\9bÓÊk\89x
+\18{8\e\85É_OVl\93|:eS\ 3\9bÓ\97éRgÌr\ eÚ{.Gü:\91êGçäÓlì¹gÃX¢\90N¥È_ßæø5ù´¹Í\Ú0\96¡7ë\19ñÜK\87\8bgêél\87\9e\ 6\1a¹\95zº@\95Ï\9bäJ\9f:c\96óðU²^"~\1d¾ºl\97ͧ\eÛÕ\8cV¦qu9k|Ù®f\95l·´J\14\vñê}É¿¬vJùp§û'ê¥\8fà?±u\1d?0Åò`\~\ 2ÝÀW\92>\ 3\17ø\19]-\eúBê\8f¿e\17A\90\ 2>\ 1t\83|Û¤\9b;_\92ɶ¢Ê²Ó\1f\f\9eæü<#-\92ò²\93)\8e\86ƾ\1foüùbÀV:8Jë\ e ãù
+\a
+ºA&A\ 4åÊ\¨\81\ 3\95¦q°î\´\83\13½G\98@\87c"(\18\8c7<\19Tô?ôL\99lôõÜÏÜ,b/*¨øa\ 4½ò\ 6\8d ©NÀHoë,i\0}¢i¿\ 4ªLã{æ\82ÖÓ\947\81\9e½\ 6Ùüè\ 3\ f\9a
+NÈ ¾ò<fêû\1a¬B0Ø\1d\b ç~¸;<\12@\873\1c¨´\8bAX1p\8eóU!\18ì\ e\ 4P0X\80ydN\ 2mK Z&#\ 4ßÖúdP8\8f\98S)\0O#Ú\7fQeÔ
+eãhô   oòEÎÅ\8dÜc(ó\97ø\9e\87Òß\94F5]/\80×Ã\94ü\8dµp\19\89\9d\12x\97r?\97\16\aÅ$\93çn -¼Ì¬ö\19¬Ê\88\101<\8aÑP\11P\94øRT\89\ fÜÁßÚz5\ 1\82áÂz\7f\0þ\ 3j"z\ 5  \19\11&\0ßkÁ]ì\91\86\vÙ1¤\ 2È#´\ 2 »\ 1æ\9e\8dúJçZºB\17=®zFQú#·a\9fºÊ´\rnQÔR\7f\1d\18\95_R\ 1\92\9aÉ\85øë²DÁ\87_c'd\94cÕ]àÁ¨\94\98\a\98\8a\1a}\83É9\81R\1e\91Æ\1a1ÊjRyok\92?\11é%" ^À\9f\91Ä(`bXÒ,k\1aHϳB\8dHºB¹ô\98\ fJÐø â\9f¢É\92\87|à²V×R\84à\1f|8Å\8fñ!ñÓ6\vS\ 4a}Þ\e7"\8c\7fpðu\e?\90\11ä\96ïËþ)da¯òPÊeûÕ½Óe®\92}\9d\10&{\11á\1dúò\8d̺\8c¹¨\1c\9dw\90c6ÌÏv¿S9À\97çblô]²\10é\11ƹ\90Yz\ 4Iz¤LV\ 14ÿO\8cÆ0²3\11¨\19¬\12èQÄgÙ\8aÑòPfå\ eسJßØX3;2@Ù\e\11\8d;\96X\95S!99\16j8á&TejMp-êC\ÃW¥\83kùÌ]Ã\89èÇ -Õ\90d\b@±²¼ÑjÌÎ+±F+ÑÇ$»0.Eu\87LÑ?É!¸
+\1aó\+CS\9eÓðÑVú\8b5ɧ\ 2÷\9cð\rO"\ 6G\8bAǬÄD
\926ÙF\u=³%_VxHW\89WIÓ\85ÝeHÝÍ}bØ\we´åc|ö¸«»Eòh_wñ7\7f&"=\14\r\14½´\9e\16ÆL\ 6\86Î|Î\ 1\95\1em¹û\84þ.\ 4Ln\94\11\r4ÄE:¿æ\96\87^ÜbÙ\82\ fb\13vîk$\89NÆ_×á¬4~©ó\98sHäIÑ\14\12Ñ~
+Ó¥\aF\9f >êëOb"Tx/ã\a\ 2ç\89ÑÔÅV\7f\ eö\8dÉ>¾úËÀøé\11iKê<f\9e\9f\9c§'\11Õi+Y!½í¸\90\8dZúH½òZ³Æ\8dIPaÈ#]³­Õ,¹yèñ#\ et\1em¦p\8a \1a¿4uzü4åGÉêG\7f-\19ú1Ï7,#]\16'^å¡N¾\8cûMÆ\12¿çdò7\19ã\7fÆ\98Ò\96\95D\8bX\17×\97
+÷ÄÌ\ 5âVâq=\1d'\v\83'T9\88\ 3-IÇ\ ey¯ë\ 1\e_\95/\15­p\7f\\95\87\855ÒCá¦Å0\84\1c+\f\ eÔ7ÙѬ¡\91yì;ìpËù¬çrUh\13}\99\91+Ù½!ê\82§M\17\90\fq(\Ý\10âl        LAfËo\19"W*Èd\97»!\98W\ e"¦EU@  /öö©âAvðѵT¤m¸1Ï\96v ÄGE\83µ\93ýËÁE.\1af\98 \81»÷\9b\84\8bDù°\88\a(\10\84@8ÁÊFm\89=\1e-\10{\93p\ 2 )Ì)\ 2\0&\ 5\a)G\ 4\0V¥ÕCÅ¿\ 3Kÿ\8e\7f\1e\8aÏ÷»\8d\9f\90®RþêØ\91Ѭ%Ìò`Ì\13ûëÓýóP8\ f¹gf;pY\90ÐøÔ\9a\10¿Ò!1\ f0\15Ófñ}²RöÉà9\85\12'&\ 3Ôd¤Ä\13Õ=Râ| ½9:/i:@\bÉ6¥¿\0¾?«æ\12çñ\ 4\8a5\9a(\8f| Ã\ 6\0\94S\97\8a*:¿kÑ0æ\86ô\98\ fJ\12wDåÿ¬\9a'øï¹\96bÕÚ·£\9a\86\8f\10´-ã½
\1eÙ/|º'ªGóJù-\87Ò[\1e\99`µ24ËÞ²\15£\95\ 1\13\13¦\9c8ÞÚg Ç\15\19öÁ\89\18\83\14\84Ù\12²\93,<¤«NìèR°à\83¤Q:\8e\8cÒ\1e
+س©\99\87iG\0Â(Íç{a¿C½8s·©\99\e¡Õ\1aB\eÔ¦>=³2w\8c\9b\8c0OÂ\ 4×2?¯\97MÍÜ\ 1Éy.g2>Óó=*ñÓ<¯I}ÏC9k­\83ChËÃä¹G\96\0\e\ 1ÈÜy¥~÷\13\ 1\80ÓE\8f:wA\8có,[³4:R&»\9aesbë\13¾Ò6z\ 5\7f#U\9d¶ñ¹«;(ÂáÓ3B\9eat¯\8b L){ísÛíàU\99½\9bz¡äô²\e;àeÙÃ\8f5yÐ\81\89ÖpѬ\88\99
\ 2ãæ²é\913^¾E]$\91[$M>á\1eç
+ÄÝ¢ÅE¿Ç¼M~Ó+sß3î\95n;\9fñ²blä¢\89ê}ßt\99,\15j
+pË÷%\8bÌ\9bð·\98}åÄßü\99\88ôPÕ2'zi|\19¾/¹\1f·\e\84\97\85\9c\1a¡öp¢²ó\85PI\8a\8bq\0µU´þÚªhà7³¢\99sì$EÛ¯¢n\15\rÆ\ 5ßå\8a@RÊX\1d?]Ñ<\14¸¬îb9q£hà åýñ¤4è}SÑ\90Ú\a\ 5E\83·\98\14\8d\98c\8e÷\9c¢hr\17#ÜósE\83·\0E\93öJ-\a\1f«yõ\9eæ\9d\96@\11ü,`\ e\18:X\84\eI--®\ 1cÿY¯ÒµÄ\95\ 4y\b\860\v\ 4°U®H7\10PP\ fj\83DQ\84#¶GZ\85\ 4ÞÿV%!U\15j
+ð§\9a\8fÆ=¯½Ö\9e.{9wåÐUÊ\1c\87ÊK2í\13ôÐK\1f®(\9d\99¸¢n.á£9#\7fc®éOV+¸2\ 3j\1c\ 1\164T°\19Ñ\9a\15,Y`ª\80L\91} ªê¡±¢Ä\9aQøbº®éÃ!õð       \ 2澫.v¶cO-Ó\8a¢\ 6°cÌ·\8cÆî\v²3äËJÉhF¦\ f9`Æ6í0$¹ß\18\e\86~S û"6\1c.6Ù\10|ÇÒ÷4.\84\15c±!Øc¹]/¾:X#\83\95àâ\93fC`l\14\96\991)6\1c\87'[À\at\9fèêýÎúÞé\1aÉ\85\18´ÃÐ÷\81X\fØÙNßoX\ 1\HlËmí\10ú\9eÆ\85@)ɱá=\9f\rù\èTÌÇ\86\a\146\1cðÙ\90Ï\85>¥429l\98©%
+ñÊUÆ}DÙ\83¸&Ås;®5Wâ\91áÂ\ 2\ 1\92Ô\ 2\18\86\80Ó  UQ"l»}\91@70ö.\ 1H*¶\9d¾\90ÆfQ±1\89µ=@\0§U,Ðq92%4¯\82\8cÝÒ\17s9\91ÕRµ\8f¦x"rÌ\90 ¿xAq$«Xjúiib!ZB^À·A\88\89CKõ¬æ£%\õåÞ¿Ó\15`GÏ8\8f¨%\13K\eGãç\12àRTñ°\80*ÎN.8ý\1d­â$R\13l\rc¤«      ½#\\9eð\ 1Ë\13\1aK²ãªj\9dK1¿È\fñÄ*Vû¿¯$:¹æ}°r\92¬^æ¼à\85\90\18 /µÁ\88­ô\89\89ðÆ\8b\17\12m"¼I\16ÃË\ 1®\v\vØ\88Ë#úe±f±lÎ:<?z{|;RÔÆC³\7f÷3·¬]êæseTùÝ\98iõZ®}ß\88LÛw\8djúî÷ñA(¶\ 2\9fZ]ð»x½9\186_\vñ³pÃ6\ 6ÌFâX\15×\9f"\90Ï\92`e\86uEµ\8e¯«·x(#3\f\12ê\1e¤+·?Þ­Hßèâ\98\8e\14ãÀvû\13\ 4z|~V®?\1ah¼rWÇ_ñ|®2X\99f)9È\16/ßN±\8aanÍÕKYc:Í7ó©+\86Ó\1f\91èÑmò\89æTQ\81[c\88Üú\9cZáæ¼ÈvÚ\8a\98\17\93ì\1f\84ÊÖ_<×ÓP\12wZº\8bbN\8f»\87\ 5Ìék,\16ÁÊ\e?\8a\99\9eÓ"rª¨p\12Þ\93\89êãßu®¤ÓRò\89í4Ü\1cg\99NóÍΩÓSç~)úrUK×\8d\17\86ScÄqÚ\8aþ 9\ 5\15s
+|\13y åj\8f\92úÏ\7fWc\96Ó[Ny¯;}\97÷©¹êz¯Iv5
+ÿ7ã}r~g®R\95\9cÄïÀ\8c­\8aõ¼Ä/ó/©ò/\89ߥËßK\1dII\90³QZß\95\9bÐ\8dS\ 4fÝc\10
+m­É\ fg@íË»_Ð\92Zã \94õ0     ·éµ·W\e~\ 5\8b\8bn\87ÊRL¾Æ\19\19Ø®ÌÅg/®ëôá¬IYõ\rè¥E°X\90 \88\90ê&7¤\bZï6Wâò\1c/u7f\11ÄÓ\98a\Ò>TU÷\94\0\8f\e\12\8d\bÀ\8f\81NNýº\\ 5«\13ã¶møØ\1eU 0rÀ:Ý\85\84ª´\9e1¢Nß$Ñ\176\88\1eD\83\9d\11hÝ}Ù!aWÒöóÔê\7fóó\83ªo3CZ~ä\91\16,¿5öÝ \86\8bàE§\85\88\ 2yW\ 6+úÄÚ\1e/¾]£\ fÏRä®Ñý»fS6ûÇÕ\9b1r`õá\85)>ûbÎlÐÅò³\8eʶæÊ\8d²Ñ\97ëF\ f\8c\83\10S\97ÚëÁ~\14ç\1f7¹n<ÎHÍ\bï\92\9a\8dýg]J¼·:1æý  \ 2\99Y¹¹8Ï´\9b\8d±t»¾\ 1¾\0     ¡+éYÏ¿Å\17\ 3á\95\94\8cÙû\87ѦÌ\9c«ùå\v³Å\19Â\9cä\86ÿÎ\rtÓ¸uw\93
+\96\10\11ãfþ5>Ö9àµ\1e\9aèèEz,àÙ\8bB*<­j\1dþ|*n7Üê\94¾é]\9d\14\16<\91\84Ýq(®4\8a\vö\85\88\fÞ\86\8f\8cAûçFËô´\8c÷8¿ÓÆáe˳8'n¿Ò\ 2ú»%wòìØÜ\8f\9c\0Y\r°\8díL2ÚÙ?iÑ\ 2§F\83Òß\96OvQD\97Ó]È\95\82þ¾¶H QhR´Z=TÎNB¢bU&        \89\90
\87\93¶/$Ï\vOLo\8cÜì$Â\f      µ\ eõ\ fN2»\83³(\9fseû\ag¬|s%ÑA\89bå§ãQO -\ 3\18û\98ö\ 3Å\ 5sa\1a³f÷ûI\12tßÇ*»TìM\v\e{«Ø[9ñ°·\8aù6Z°$K\99[4hp\92\97g\v@(\8ful\88k\83giáÈѲ˳\15Ò\96"°3LT¥·\85¢²L\84E&º\ 3Í~\ 4Û¹6XD\15u/ÇÞ9óس\9b\b*\86©gº\14;\17¯\a\81\ 1{\8fu?%;MUO &£\1c¿¼\8a¸Ég\96\96ª}4eÎ0:(þ\9cË`_TOñ       \87Ý\95Ìr\14\83Ð[\9a\96\90½aþ\9c\8bq\9e\92Ô\91\a\9b*òã\ 2¢\12×\91\9c¢ó&ù\82¯3ÈIæ\9dJ\85'k\11\ e°up\ 1Iè±jBgóy0=ö´TU¶\1e\v\84ø\v>âQ\95\14ÁI       \82JÇ·¬\13ª\12¬X¢±´Ï«=\8c\80ï(\\87\ 4¼\ 4       Ê\ e\9f¬V \900®$\83\12ÁY6$\97_öQ§\89\80\r³\11\94³uÖ[¢\18=\99åà\1f^{&Úp\92uƱC\9d1ã A\9b±b´\1c&°è%N\8c\19{úNþlc\97\ 5ëR\95\091\ 2Ñ\1e\86@¬ /\10ÓèáÃ\a¤¦Å\83§æ»+?ÛÅjÿ÷\15ÿâ\ 5Ýpâ¦r\ 5èß"ïË
+x!7\95óL»Ù\18\8b¶Ú\eà\13&ä)%"!?\7fúgç%\ 6VùK2f¯\fF\9bÚ+t(\82\¶/Ì!³Ý¨,6à \86\81\90\e\87\97-FuHÈÑ«\13¡3òZ,;¹\0Ø\97»K\9fX.V{j\88ë@J,\ 3-\a°/\915w\18\98½à.\80¸³aÄW˼SxZÕ:¢\11\87\8f\90\91Ë7\89ÝSóÉ]hÊî~\90     -ß\84\93\99O\97\9e\17÷Ы\961'ÕÅ\16kvÞñ_ª\à2®$X\18Ѳ^\13\1dMo\92µ9\92\9ad\8c0      ôÎq\8b/ÉĦx\1dÜÙDçb\9fOu|¢ËOÇ£4?VE¢\97u\10hiÁß\ 2Z¦§eàãhzàÏh Së\rã\1a+Kì,      Ñ       MU\96\18¨7\ 5|Ag\fÞ\9a°Þ½\9dHƱbÍî¹Ý\97´#¦<EÎN\0\ 42Ô¸c§\9cx\10Ù\81\83í\ elyÁ   \89<\1e\19Û\92e\8c\94\9aùéÇ4áã=ø]\96\86\1cX± \87\164æ×BÔ\85êé;\98\vCáAc)©e\86q\17½\94v_î¾hÅÜì/|\j¡\8a\b\auP­Á\9fÜú¼\80o_ãc\9d'\96\89\eC\1fÎ\9a\83\93º\89°[L\ 2ñ=  %AÓ\114m  \8cU\13z'H\ 1\93ì¸À1p¹3öûß\12ú]\11\b\86ÒÁå\84Ï
\v´£¥j\1fÍ]ì8Vô'«E³¢¨Áìx2>P4Äý\ 2í\900,àv2µ\84;@\98:fn4\0\ f\ f\84\9e\97\97vuÝø\7fn<~Íðµü\1a\86ÆÜ\aCç;\ f\84¬ûE\12\86úðÂ\94¸Ê\14\95\vÃþ\96\99RTÇØÞ`Ø·a¸£\1a\87õ\96\80¡H\8dC\16Ïì\f
+\ 2áÖ׫c\87\ 5C\9f\15G'sìl\aC\9f\15xñíCÚÛÆ
\87\936\rÑä\86a\18s\ 5´û7q ü[i\88\88k\f9ãð%[J;x\89\10KãhÎ\18¯áB¶\11¼=\ 6Ä\9dÆ×&Ò2\a\98ÂîF\82ÅXB\87-s\80±\92\84fR\ 4§\v¨÷4*±©¸{êÞU°;Û±W½ û\92v\8cù\96Ñ =fÛ\19ò\ f;ÉhF~6À.¾\9fùé²\97s§È£\96qxÙb4ìª@4¾1C\8dϽ\7f§+\0\7f\ 6¡¢JÀ\10 ©\9bñÁ\10|×ã\13\18\ 6B0c\1c\18\8eL\ e\fq\19À`n\92Å\ 60\97s\ 6\8bá2\0>\8füR\ 2§\93\10»/N\9a>cÀ\9fÑ`\18{\8f\88GÅ!|\17û@­Ot\86±\99\ 4*#r\15«\96o®öqW\8eÌüt<êIß\95\fN*'²\1c¹Ë\10\86ÞeA   
+¬BCb"$\84¡½Ç&Ö¦4\ 4ßíå>+Ô\ 6¯«5*7[K¬\ 2D(LF®g\vL\ e\80Û\12[\ 6à\11õwb\89\94\82ß\94öÅì\v0ö´ªuDì\v\1f×Xé\9biJQ\8bÑÿu.÷ aêÙ#NÅ\10oJlbÐËQV\82\82\1dSÞÈ\81\r\83Á%½`ä\0C* \9d¼\11\94\8f\1eØä\80Ð{vxõE\1dg\18\92K_Z¦Y°þ\84\ e¾nF¡LÿY\ f\1dü*>\87\ eÚ'z\b\1c0uøÉ\beÞ?~Ãçg(ýo¶\1dÊ4nëð¹Ï\16/O¢^;c¾\80íO
+\)f\18òÔAºrûãÝ´4ÕÄϹH1\ eþ°ý\99ÍYÇç¥p¡|\82j\9c»:þ\8açs\95ÁÊ4OÃ1àïíÔó\17\81EM\82=\1cÖ\15Õ\½d\ fð\89!\9c¦O\v\7fn\18N\7fD"½ùßGºÓ\92ñ\80\9cÚ\15ÃÝZáæ\87Æt\9ao¾]ß1\9dÆ´öè_\9aS\90\v\8açZº\8bbN\8f¯kw\98Ó×X,\82\9cZ\91÷)Z\8aE_yÏ\16ÑÏG¤\94Z\7f\89\\93\ 6Ó)(o¥Àt\9ao\9eä¯iN\15ÕÎ5zûYx^çêsj<±3\r\12Ûi+óÒ·\9d®/>²Àñiâÿ¬\97ûRâJ\10\87\9f \ f\ 1\ 2        W       èzÀ³à\ 2\ 1\ 4]]W\11\17¼`\89Ç\92r\ 5Á÷?3\93ÛÌd:3!þ\93Ú²Ø\9e¾ýº¿>x\11?úo¢\14öè\89.z\14eÌîß«F\ 2Hð·\9dÄÑmñ\92©ê¼æ>Oþå\14"Ûþóô&ú\1d\9aüÜ/ï>ßþJ-~ÛYÝYã3éïö_Hßá9æ,Ï\16\8a\83CQç_\ fÆ[`\9dv??À¹é/?òñ\b\969ªX\825\88\89\9fzu§ê¤ÃîëJø¾ÖÒÐÆîà\v¬Kûø0h\ 6\80\87|fã\ e~/\aÜ\ 1\93\ e~\85&a\89S!.±\b̺¤9\0F\rø\9b¢!Ú\86¨jÝ5½xò§\15Uúµ÷>íTÓ°\86\94\ 5óäïz\97Æ·Ì\13\a¾¼Kn\96¼\1e\83ót\98\ 3O.oÇ\e\1e=       [\80Ð8êËùë|ô5ýT\9e¯\17×\9c)\96Æ\95ûà°\18)>ô
\14GãPÒå.¡]\19\8eKíÒäkôrhªºD±,\86)\9aúPÃ6r¸C\7fz½já\ 1g\85\1cij\1e\929vü!¿\1c\f\ 52vg\85ß\ 1\9að\12\10ÃûM1¡\80Èäã\84v®ëÄ\8aÓcTú­éM2vhÕæèòÔ\ f\r¿":%zÃ\fxÂ"G:y\95¨æç¥\fYU\94\98\9aÃà¯\1cPùY_\8d\9d-&î\1d{¤d3d¤\0e*,ÍYJïË.,\94\16[\95`bÊðf\97\1f\1f\'wÌ8ÆXHÈ\ 5!aÖÅW\12\8d   \82\8bWeÓ >XÔ\8eAõÚ\13FG\ 4xZð\94e\0\ 5\9du+·\9f­¡¬\10øãäfïÝ»+¹ª>VV!J.´\fÇ%Ú¯<è\17\19£\ eó\aÃ<ûå±\ 2\ 5\f쥺¤\8bü°·
+\80áâ\9f\ fîz\15LX\17\rE`èÿ\18E5\ 6áæ\88¸\89z\fÂ\e¶¾=<Çz¡K\r®.=ùÑÏ\9fz¬Ð\ 4p£8Z\175j´:{?tCB-÷Ô«´þÔ\ 6b\97<oðÇßÈ°S;à\86äÐ\1e¬\1fÖ\8b]ÁEjK<åë' A\9e\94\14õùÔ+Ïg÷WªÍ\80b\91\18\vÇA5¿\b[bcA Ü6Ho«|EƤL\18%cÏuãÏ\97e,\14\reÆö
+\17T£56\8d\15Z'\936½Å*­ñ\9däÆÂ\ f캢9X\8auµi|\82ºÒÒ0{Ò&\9a\89-àÕ3\80«¿i&e&ÎÇ&ùH¦sk¼\12j\e½ÂÀOÚ\86\1f²Kr?\1e-\81ºûù¦9<Q:9\b\10\b®×¾ê©è\9bà\r4zço\@îõ\1a¬´\90\9ePNîw£W\88%ØMcmæZ¯Ý°ýâ"\8dXaÿõU´/OÇt¥ØöT2\\82uÓQ\8dr\0\82\ 3bT\8e÷KøU
+@)vi_Õ%»Ç¨\13Ðwªr»~,±\aà1\7f\0J<\ 4¯$dûo"ÂÀqè\91\9f\16MÃJF£\8b,\90þ×c\96Aaà\91Ò\ 5r*\1d\9e\9a\fÒÅíÆÈ|I\9et\91KÎ+\91ò$\a\v¾\ 5<æç[àÅ\8c¢\9c\10\97ð(`\98_±/\ 5.IĬEpJF\0°KÌ\84AN)ËYæÒÉÞTqÂÐ#\93½\88¾oø\8b¨i\ eؽïÅ,Úûø\7fç\0\1fß\ 6¦u»îÉîÊÞ0\132\93«©ºÁ¬mOÓQ\91|\80\953d2F_\938c\ f\99´ó\99\8d;aé\7f\eTS\87Ã\13\85Ðì       #ܾ(´=#44\82"\19\9bG G\88\84\19½\88£ÊfHTâ\91\82jÎîpa@\9a°Zt@µU\15ì\1djZÎÏK\19h\91\ fÈ+ì*ß.1\9cfÙ´hn¥±J\1c\97ë+0;ì¹
+\94;¸Í\9d]éÄêü\9f]âT£ÖO½ºþ,\87\bãgVÈ\ 3\1eB\11.µ¦\8b®\9f;\8aúP\7fß\14\9a¡þ+-*"»_vê\ 5ò    \87îjóê@\97W\92Bn-\r\90\87î­BË\92Ð|íoÑ¡Ã\0y\ 3ý©¥Ã:\14Õ|¾^\Ç\r(\812¶Ý\98\94Þ\ f\17®¦\98\98û\ fybv@\80ö\99\1fe\87Ehqv õ²ô\8b\8e\146i3\9d\8cþ\9a\r\8fZmÑ\8d\7f\8bTÇÞ/òZâ¦b¹U0\ 5\1cnõ©\95a~ÎØígk(k\8b\86Ï·\0obSZZuß\81=\86³mÆï±6΢\11gÉ º¸vrq\97\15±\92\97MKE;\85èÞØÕçì\14\15ìP»d\96Üô \97JJÓ\122Æ¢f6\eÜ{c´:\16µcgò\8bu~ÿ©ã³¨àiÃ\80dxÉ\11\9ehdh\8a\84\87=S\1afÔîò£\ fÖå)SÙU©/uHº\10!@\b\1d-Éý¬ÝÉ?ýWÐ_ëïá°Ì\\98\aK@ñ£w\7f§Øt±\95â×\vIÌ>Ghép\92ÀÆ$ã#\90ÀàeèMþõ¢\12[û(Û¿\93¢lÛuQ\ 4Õñ\95*NpVP]\ 2vFáÕWôæfé[A\19ÛÚ\8e:Ä;\9c\fØae\98?­xv\8eÊóÍÕ®ÓEÒ\89FØò°Ì\14¾³ð\v¿ûò\9eÿî.Ù\0Ë\vehM\e9N\84\98ǦíåWÈðf        ¢\9d\96V\96á³¾*«Ê\90\13¡S\17Ö\98\92rBeè\99ªÆ§ñ6Êöt'6\8d\8fG[Ê\90³B®×ø2\1cq2ä¬hé\bvÔe\bÒ8±\ 3ËP\ 5í\19S\8fkvÂD2¶W¸ Z\0Ç\87\7frÁ(\aýíI\9fY¾rp'ó0}úN\r\rkºè
+Ûk\96¼XÇ\9fc×>èÄÅ\9c\8a\14t\141ç:ß4\87'"Sh#«\9f.ÓUµ9º<\8d~ ¸ÔgO\ 43Yô\ÞúÐÀVÌ\ëµ\eZ}E;Ðü\15\e\19²3KéýØQ\91Þ`62e§Ð2\9c\ 6¢VK}\ 5\16¬üÜ.Mè\99û0hºmq\86&¿Y¸2\vä£&Ãû\8f \fÑßX\19r\81kÊ2DQM6\90\f\19\fð·\98»¹\ 5[¬nü/À\0\9a\88½\13\rendstream\rendobj\r17 0 obj\r<</Filter[/FlateDecode]/Length 19745>>stream\r
+H\89¬WéZâJ\10}\82<D\80°%B\ 2¨#\8eà°\ 5AGÀ\ 1a\14\11>q¼2#Kàýow'$ÝMwÒ\88\7f¢\1f\84SU§¶S\86Z>J\96õ\97èÝ¥Z86ÿæ\8a·Ï\ 5½>î\94ÒosõB-hUÍ~8ïå\97Çr9ÑÎYÙH[-ö&i=­Þ´Õ\829ZebEýJRôtî.\9bûÞÎgñï\vUe\17Ìøà\83\r7¥&\17JR\1cDøpÀrs.X6rÞ¼öñËvîf^XÄ_~©\85I6\81P\80\95âÛ:ëq¢¿æã'\ÆôƱ¢ Gú¿\8bÉ=úÖ\18\87Ö&B\81ÎÝBó\19µ4·Ê\99ØEï\bA\ 1Æ\ 4À¶\10 ¾\8cu\ 3^®Ì
+gf¿\ fâë9~ÛQ9A"+\97útÝM§ÿ\vç5IÔ)C¬"vÈBx\92RX$¾/\\82c\99R\7fp\ 4±\7fbVJý'\8bç2°2­\84\81#7é­#§\v*±°ÆìÔN,£:´LvjµR\1câhÎ\ 3\14'|OåQ9\80±Ô½\98½¼ ïoÛ\86Ö54÷ñ\10@e©?\vù\a\89 $Å\ 3\ 3ö\ 6\15\ eØ2â\v¦¸\8f\8eíWòǤêAI
+\ 1¶V\82ÁÂ"\8c\15óí\e.cÝ\96^\7f\8e*z}´I\ 6\8e\8f\89¥OÇ£.Vr<(  u|Ç+:¼?Ë©´\91,½×\82+"íï\12\9c0ЩW#4à8\85W\ 4\9b¬\9cÖ\81ÿ-ÜÏJFõñÚòìÁ       ãXÌØ9¸è\9c¼ÉÉæ¹!k\95ν¬õ\9eîdmôòKNþúq\ 2ÿkÉjaV\96\8f\9a£c=Ý\9f\9dÚ?+\Ìg¸sõÈ;ú/}óí#\ 6û墿Y­¾ËñTöúõ»k4\f\87B\ 2\14K¨j}k¥u\9cÏÑ*\ 4xj\1d!\97¬Xd¾Àª²\10ÎÆ\80\81Æ¿TÚ:~\8bO"\9d\19¨1·:\90YÇh.ñÈ7\1aª=\1dq\8dêµÒÉ-e\14æÅ6{\12\8e|dÏG\1c£\83'\1f£¦|Ì7j\9a«\81¤¸f³D¬ßêáåÉæqkÔü\8b\eý.\ fq£¹»\bNoû²\83\19}\89\92â\99UÏÿv\7fr\8c\1e¿%/ï\93\v¶ÑÜ`À7\1aªýÑ\89-\ 6Íâ\ 4\ fë\1d\8eÑ\93°2K÷&<£cʨ½_\\82õ<×èÊúÓ\bs\8dÊ\8fá\93.\8f^0-ýb½\8aRY\85­y\84Ì£ÿ\9cDüܼø¿\af²ýæmx*\82\18º½\90\ 5Þ[mF3;\17hI:\95ìüæ¹Q¤Z\17üZ\8b\13´þÙ\15o\1cu\18Û.îd\9f\1cHÛ~jEÿé/±\87²7A\81£yBN¸\83Éw7ÃÞ§&z+º \94DeÆ\127èá(\89ÁQ\9c\81K\97KôÊî´\14\14\f®K+\7f\97`5ÅaW:ì%9\9bï¡â¾â¬Î½\95®«aZÑÍ\9e<µb1\ eO-\99J\1d¶÷÷á)\16\12àÉc\89¬1\82'z©cu\8e\96:\94\ 6\98\98ä\97À¹*)_VOç\1a\17JRX\11òã{\8d-ûûÇ·sY@§R{\91îãR>þ\e¹\ 4²\7f éúWõ\8bþz\9d{äðtÛEÞìÜ9Ä°\82Ór }ÐãªúX^\1crJ8\15?ÐVB·\98>m¥¢Î\89³#Ó«~ÓÙæ=\86¦3ÆX\9cÃØS53Ü\94\9aA7+|8¡åæ¼     38
+       Ü¬\ 1¡\91\v\r\|\98<\7fND\ 1l¿Âcy\81¾\r\8aÊlF)\89ïV²\9dóÊÑá\ 1\15Ì\ 1]9ô´DwPÔ>ªxiò;\10Ø´0v% \86\(\9f½Zl¨Òï³\ 6ÌþçÀlæ·A\82\ 3×TI\15R\ 3ÜÉUbÂìVºÐ\84\19\87ú\eÿîEÇ\15ÐcàÏ\ 3²\bL\r*\8c\84ÖÔb¼Ú\fL\ 4|8\15\98 r\8aô\18z}\óf¨ÿÙçù\ 5bY\9bL¿à\19é\ 5\89å\ 5}\7f©O×Ýtú¿p^C\ f\87±I6á1æ\14±\93D\15Ùót"péÅ\ 4sq\õ\901¥$¬H\9c\97gß,îÐ÷ÜD\ fi»iM9ÊÊ/¨±\87µ¿\98¤Xde\17Ä\ 2^7!'ußM\e£¤/§g_L\96xs§¥MÖv\1dù\95\1cpi]lð\96\9a\80\1a'\9d"æ=¡(ÝÔ     åï,\12¤\94\8d\9f¿\ f\85\9b?I\11Í C\96Ùú·\7f1`\8c\91`w\1f\a\16ª7\97øaî\vFn\95\ 3\19{\~!c£Õ\97\ 59±¾\90±)wF\Ú\93\1f\9fµücv]XRê0Sê?Y\ 2Ǭ×/<}¸.\ 4\1ci\9e\0\14åà®\f\82\b¼ÊZ}C²ÿ\ 44v©¿\8cø\12£¸\8f\8e½Þ\92?&U/\7f\98Rª«E£y-t\ 2±¥X\9dÖ\96.\80«-\83!\82\87\8b+x:\14#\92²åd\94>0C\ 5ËH\96Þk¬).)ôja/\82?uñ\93r\97\f{WÖ\ 5&\a\97\ e\97\8c,\97\fIa\1c¤ªO@åÔ\83P@\84ôqæ\18éÔ±\8f6AÞìFEª§#J=¡\1a{¿¢ôÓ®zÂ\ 5\ 1Õ\f.³WPé\9a\82\95\8cbmÅbLú\87Ö2$\98?ìöÛ½,\80&\ e\7f\91\16\18®\15{äcÚr¿¡\81ñ\14<2$E\88§µ\1aÛ\9f'\8f¥­ê+Æ+kò4ý|        \09A¹Dß\95\ 1Ny.\19Õ¡e\8aº\ 4\8fSÂó À%Ia©çOñ4áïfG)\89:å§\9dmovÆ6\9c\11°_¶\93*\e9\9b¥É;·áݹ\87\92\92\8däC!ß;\17\85\eµ;\87=Fÿ5HÞ³\14ï\92ø\89\a\9a/J\f\ 5·\r·CÁ{Pý·3\93AhFìàвÅÞ¯\e/4Æõ\8a\1e¦í7sc\81ü-u\91¨¦­T\14­\ 4¦Nnìôï§\ 2òv8¨1fí<G\81ìxNDÑÔᤩ±1Æ\91X\9d\9bs\8f\16[[r\899\16 \ 6ëÙqhm²¸\815Fu-\9b\9d0[\15\90\82½\98o­)Á\9e-v\15\99¼,v\f\90C\81\81¢\fûÇ,ÑåÀ\b¸©\16fgW¾\ 3 \ 6½ÑÜpãTE@Æì×\17MrHqr     \1f\ 1ó.ß\8eS¡mk\8cWéÌÐ(Ñ\1d\\9f\fu\91oËäÖäW(¿>AÎ1©\89\18\vj]v®ÌÁB´q±Þ'[wÑÔ_\8dÐ`/bX´ \8a\80êÂ\9f\98]ÕË`çT¨\92yý»À\11\9f\13qJÿ\82¨úw\ 2\8b\8eÔc\9cU§OÇ#u¯!̼_ÊÀÑÜÒ\7f
+\18Z×Ðàþ,\80½A\85Q\16\10*OO,Z\8f\89êV\bv±>¸Æ\0ß{7ßέ  î]Èv\97è\97ÏâX³{\7f\14I\b\87:\÷ö\ 6í\17\88sh\aÚ(ùøo\16\8a{\8b!\1c¨á\9c\82Í/}ÀÈ\13\96é\12\ 1%)\94ØôJ@\9f¾OãÔæ\83\9f¥ü;\87u©¹3\99jÃ÷©\90\16b(<\ 6T\92ÖüÁ»\8bKåÝ\a\97J2/èá¬\16\1f\11\ 1Õ\1a|¥CX\ 1\9f½ÄÆU\96Ã\92Â<Sª\8f³\1a«ãÁ(¸ô\9fDL9\88_\16°ã»\a+   \fª\18¯6\ 5´%F`Â\aÌh^\1fÜû½9¥à÷\97\ 1À
+\18CêÁr\ 2¡\18ÉÒ{Í7û\828Õ¡eîï\r¡Ç\10\8e \8c÷÷\86\fy%i¥¸S@\98:æ¶!h\10ª\rëÏ\8dâ6ñ·mw»jXïû¶á`±Û\86à3^\eRMèl1~\eV\1f¯V\a^eý\1e´òUmØóÚPx\8eqÛ°'Ð\86\81j\1cò}p\eÂ\1d®yMh+¥ÏâpÛPüzµq>×\86\14\8a¤\1cÞ\86\10\87jC
+\ 5ß/þÒÞ\ 6+ý>kpÁ¸P\8e¶t$´ó\9b\18\10þ¦
+;â'Ö9ãÐu\80\94&FÆéÂ\e\19ä\841\1f\97_\90\b#d\ 4]¯,¡Ã\ 3Ë\8aÊ\1c)Hè\0°Ü!§\vb\eÖXh\1a9tRÝ#ÑÉE\91\94=pzóOz\83\873X|ET\8ft-2o±`\9c\11±\rÔ\9b\8c\8br©O×Ý´SC[}\87ò²6\99«e\1cºÉ\10\89¯Ì¼Ä§ßæê\ 5èÀªÆíh¯    \81\86\81m\bú©¥Qm\b>ëú/0~\e\12M8Z\81Xøm\88Ë\0\8d½¹q*û0\96:w\8báB\0>lÁÀ¥\12\18\9dÈþARP\80±\97è Â\ 1{\v\a\97\9cb\97
+ò+ùcRew%\0\9b     teX\84±b¾}ó5wåh¥OÇ£®à]ÙÁ'?>¸òñ\94ϦÝO\18\ 2\97À \1c8zl×)¼"Ä\84áÄÚ\15\86à3(\fa¿\ 4JC\7fa\98)õ_6¼ÄÚ£@Ú](Ü\8d\Ne¸;\80\18\ 5àARÉÒc\13\8bÔ
+\8c )0ã\83\93\17\0\94\9a¾\8c¹\ f\a,7ç\82e#çÍk.Ô>\1a¦\9c:\15Ø\9aX&Ýá!)»¹\1c¥\84Á8ý9 V\1eÆ\18\7f=ð'\1apI¤"$>Y\94\f­I\8a^\ eCëÏ\9a[ÄvãBx¨apá±À³ñ\9cÐ\91{\85³zäÝ¥ã\ 1ª§*¯\99»X\9b¹|ÂJv\9aØ3U\ 2\1d\87\86ÍI졼5¯ü%Ú\1eJ¶m^\9cÁìP\90p²oÇR8nÍ=F©[4\95\8eëß\8eäè¦z_º\97Ágw\vç\95Ñ´¼Z]dJ\85îp\10\97\95\8fÓ\9c\1cËë599¿kË\99üÝ\8dú?ïUº\9e(\12E\9fÀ\87 \82¨\80 î\e\ 2\ 2j$îKâ\1e5\89i\13\17Ô÷\9f\16'm\8bé\99?|\16\85uënç\9c\9bø\88Ë(/)C¤\1a\85)É©Åe\80ÓbªÈirAå²ô¶Êé\11¹Ãé\9dö\98{ð®}\-A\86¸Ú -s\8d_£  ×$çS®©ûW\sy\8fs­ôHáz¥Y\81ëm|\8fÜ Ï̹¡·
+ýÂ\r\93}\8fa\14\19ÒXK½°±^¸òÆ6¾é¬\9dKùÕ\17У[*U\rO1ïÛ¢,\84Iì¡!\13|ÄýL¾\94\9dÍv]Àç\ 6«¹øà H\ ekñè]ý~ÌPu­L
+\95äK\18\1c¿ÿt\10(\1cS2÷ÒU\99\88îú\ 5)¡´õ\9d\96g0ã½Ç\12¥÷\87ª)÷¿iû\9d>2ïàyÿ\88aÔG°\ 2÷\8aáûOôµa\ 4=\bù\93I&þm°Ìp\80Ã.nøà®\ö\94J\8c\83ð_.-pZ½¥qYç¢l¬£­É\9aÄ\17\95©Ç-²X§R,ÓBW¹3ÿÈ©ê/ÖXw\17  ôÎy&Ø­.9¶\8f\90Z\12ÇB³Ä\84Å\95¼\1eû2¿|\17     oOÛbôô×#F7û*F?<æ0&J\ f0o]
+c4¯e0Ú#*\18=\98\14N¾c¤@\ e]\8e8Q}.³Ç\0\Ĩ\99-és¡¯¥B«Õ§\14\9aØjî\>\ fóçgW\ex:\ 5èé§\10R\1c8B\18\1a*ÞÉX\93\93\10ê®Ñ\92ÝAp(G\1e09\94sS\82\ 5\99\17\91\10cÓhIï\96\19\9f\ f-}\87#XJm>æÐmº\81ts)gÞ\9fY?Ç
+A÷á\9a=nâvÇ\1dÄ~+î=nùÕ~<¹ß\10éã\ 6Ð\9b.ì74ßÉFoÛ\17÷\e:wÜ0Í\1f¬dã\1eä«Ç´½\7f'RÇØ\9dZÎjÌqÃÔÓðNg-^`³%\ e`&D\ 5ð8\11\ 2\9f\8b¼Ùû\8b\99\7fÔ'\9eÅ\84\8e\19ð¶BA=¹>ý£¥\9fAKæP\168O
+n¤\84+>ë\93q8ã%G¥Ý\8aá\1fçJæ\92·\ e\1d·;~s\14\7fÒ(ö¡6\vÀ~ÝÊ\ 1ï  Ç'{£u\9fe\85óàQ\8eÿ¨\11*\1dóôÅ\ 4×ÄO§\8d!5·\94\92U\a_(\1dù\82Þ\1ed :\96ýñ±g\87\9a5VçN\8eõ³Îu\92j$\8c°Ð\b\16¥Hoâ6Ù\80÷´k\98:\9e­bà}\87?äe\18À\93É¡Uâ\9eíd¶\ fA\8b>v\ 1¨q%\97B\15ÚòYÁRÚy¿Õ\fʸ´k\vå£Áï~m;}\93nxÕó<ØýâßP\92[!ë\80A[Dçµá1â\17üàCç\1c\84õïÁ¶º;{èy\9cîïÓæ\8f÷á\87\89ɯÃFðÐ*£\13_\86-,\83p#\11H×7UùÃ÷æ\95ÊãWÝA(\85<V;2\16 \10í6Iý0ǺNÆ\94\ 3\9d\ 6\88mþeo´Ç\9an\ 4\|#hÞ5àJtB»_Êó»\838|\19Ø}Ùü\94ÎïSÊÔ{\9aòq7\96ªõ.©\8e\18±\85P0    êbºï\92Í2¬©üCôL°\9b\ 5r\82\96®\13å"\84\9a«Ë\ 4-\84\89ÌVik/\8f\8as²U3½{gN5:ÉAèc\94^¨F¯YÐbxãE\1aW\86\101 òUSd7².¬ðO\1dúîN±b\aP@î1ëþsweH\80\19      `¶{\13-¨ý'Í\15\8a\ f\15±û\ 47Qþ\1c\84  vð"\ 2(\11ò»\116xà\91ZÂ2â5MÁ\895+Þh\86ZíÊ9$2H\10y¸W=Ø\ 6}Ô4Ì>\87G$i©\9e×F¼óU'\1fD÷k_ìî\1aíð@\e~\9a\9cB\92C\ 5Ï   \eб\r\85ÞQ\87\92ëÁ\95òpC!à\eº\91X\84¹Rþ¸\9bk~º\1f9TL\ 1´^¤\99Ë\fgÒä\14Ñ\ 1PQ\86\1ePâ#\10\9d¨UûþlÃ\1d\85zy+!d´ Ê\9f}\v\9a@i5¡\83ðçp\91\93\vÎDS\13\98aNx\93ög7xôÎkBÊ\9f\95 ¥\1d9ÎíK\1c´l\11´¥ùûDsð\9b0æ)¶A\91\8c}"zÈ\88x\8bÖÒ\93\11çæ1\86\18U¹s¡Ý\1a¢`\ 1=&\16i\83ö¢1\1a\e\92\1cû8k~©d\8b\96Ë)
+\14Ç\939;xL-\8b¾\8c\1czHT\9f\87êL\9c¯Ø¡Ø$«OR=ñË­ä;á{©¶uß\89É´æ;TüÊ<ÔÒc9vJ,è¯bëj£\99wÍe\80½Ç\95¸È\19\80Î9¥Ò[R\97êJ\10W^+kèJSë®±\1e©p\13\80êm\83*
+=Ì\11Z¦o³\Q^]Kg<\90QFàøx\0ýòg\87÷îÎ\r\16<\9f\97Lí1qñ$ps\19ØÕ\19 Ík¢ÖcöJÉd\15n­ÌåRY\ 4¸
+\85\86v-wc\97-£®ü·í\1dM\8e\a^1Ñ\9d\ e\14_uhd^SóÑwAÿmÈ\ 3\92\81){®üÿjLh\f¼êÙ°»CËl\81\92}\88ÎI\84\96ÔqJ
+ÈÑ@4ì\8cëU1®¾¼Ë3·»¢æÊï~q%±\92\92ÿ|_\ 3aøeSÁ\9aú_y\a*¨nPW\92¾`Nú¼1ÓßE\eTßÕñNÇ+ÖD l]\98\ 1aì¸~Éñ\v\85\ 6\1aÆ\8eë78\9eN\b -O)úyÅ\9cßçZ\18õ\92Î$F¯\96:\82Q\1d£\84Y\ 16\18\ 3\81gÍA !\a°Ö+Ó0ý0}4 \ 2¸Î+]ôo\ e}\9e¶FÅÓ¹ëº\128´º\83¸©Ùm\16ß¾+w¶\9b/b³\90Êk\83M\1dS\87áÒôêf¿\19\1e¶í¹òúP_ï.*´2ä4º\ 5_RÕð\14ó¾­\89[ûüÏ>\9b\93Å^.6\9a¸b«Û®í5Pã?\85õ+@\1d¡¥]\16·Ïá`å¿ \943Ér\v\8bÙw×AÜ\18j[îÂ\94ôÅáo
+M&\7f,ÔÀÊE¯\8f\9duÒW?®±s½ö\ 3\±&:è¡\91ê°:þ»\99.#û8\1e&µ§¢D/9\11F·¢¦¤©Ð½D/â$\f{\9b\9e\94\v\ f\8bâk}\99\80\11oT\82\8f+ÛçrId\8d\r.\ f\8b|M\8b9C\ 2 \7f\f¯Ṉ0±}\13\174\9a<\99öf\8f\13\ 3\9a\96ÿ^\89ÅQÇ\83Ce×ç~<\1cF)!ì\«Ô{{*Õ\9b-#ñ\123fà=6\8d¬rU4W>?\93>µ=¹\9b\9a\91\ 1±èe\90BàyùÉ\9fÿâóµ\96q\1ctĪë P\ e ü\99~÷:9±.ÂE^\93\8c\9ahi\9a\8aÏ\97l\ 1¢÷übâ~Vµat'"~«\9eL+?\13\8eW¨'KÃØ&\14\9bÌ\rýrª\9flÆûÚh#\rs»fü\9bJéç$ê þ\8e~¸¬\1eP^ìΠ    \97éû;Ë\8e\e\10Ö>©\81\vDÊG\84\15Vø§þÃÄ\9fÆ\1dpìO\91?7ß±ï³\83°Í*9!\9eéÜïÛ,U=\ fy\86ñfxùq²=\ 2ÎNõíÚкü[$Þ+?Ä\80<Â"<\922\10\85³h.\93If\93\ 4\ 6Éê@<5]d7é\82\94\v5|@7Í\1a,9-îZ(qÅ9     sÿ      ¿\\0\0Ð\96W\0®íqõ\fnA]Ø\ 4Ü[,\9byùj{\99ÉÈ3rÞU|\11r}F­\97\89õÿå\97\7f1\eLI7\84Ú\86»\800KÜôeßr\8d\81WýI\92\7fëóW~\ 1XgæLôã\v³ý\89Ô/\9bO\14p\ 54\8c\92ͦf\80+\81\95­LÛ\92P(bvùÕ~\89#Lþ\e\91¿l\19ùò\93ƾ®Úþa½:·Rç\9að\15p\ f'@\80\90N(\ 1é%D)*G\90¢t\14\ 4é¬õþú®ý\9b½IÃ\83\8aà\1fÖ\ e\93Ì\9eòÌ33pËOÊëLwOã±\v0\86ݵ\91?*¯3\8bë\b\8f\9d\9aä\1f\14×é\18Ãåufq¡\8dï ¼âKÏ°AÇû\12uØÞ}ûé\ 2\7fÈd+>\82åÝe\82nz\92\ 4=ó+\ 4Ó\19Þ G7Á\8cß\9e    zÀ\81ôÞ~E°2{k#    ªû"\13\9dCoJ\ 4{\13n\10\947Í y\9b &³8ÁÎï\9fÐ\87\ 2Aǧ     \14\18'\9d^lʧÎ5àË\8fç:<ÆkÙ\885\1d'\ft(b\17\8et'Ü\f\18ûé0ù£±j\85\95ÚH\13ý\17\8eM\8e\9e4Ç©\87Úãú\ 3\ 2a¶ü\14\83x\82¿p\8aÞ;n#O\9e(/Xb´\99ÿÓ-êwv(\98.~4Ë\9f\87x\eyt¢þå%\ 6\98ÿ(æ\7fáf\vâ\11Æ.]%¾¿\1eÕþYÅþýö¶\ 4im\ 5%åQmäA\ 5Þ$L\ f2iNðÁ\9aÒ(§\98¥\90L\rîËJ6A\anRÌ|¹V\1e\12þ:^H\94°}\172w\95c\9b\8a\8d<kWq{2\13¢E\9dÚd\80ap\83Cg::     >"_Ó°°õ¶g쬢{´Í\8cCÏ£\ fy\86ýå\b»é§Ò\1c\9dÞ\1f[\ f®¿ç\ 1-¥t¦3/ÌÉ©Yïí\84ÊÂ'ÐC+\e"1ª\9dÀ+¦»:ó\7féð        îÖ\89\ 5ÿpn\17Û;üsw×»n1t>\8f\9dçî¾\8b]\9e߯ݵ\91¿\93߯ݵ\91¿\93߯Ý\ 5$ÿJ~¿v×FþN~¿Î. ùWòûuvmä/ÒÕ§îjÓÅÇüfXo\ 6(sîÐV\ 4?SAd]±DÂÚ0<ïV[ïÜns©\0¯¦\8ae¶ô\1e|è_í;\91\9eß48ù7\89?üÐ\8c@Àx,Ã9\9eå\9c¹vÀØèî1ó¿Dõ«ðö³a-£\9f\17,\86âÿ\88­gc¨¸ûG\81ß\9bÇã\92>6/¼\87½\12wÚ([2;­Ï\13nH¦ÿð_ÐA\90i§1y\ f\ÿ(Hó\16\ 5¢RÏ\8bÀc(èzL¸w\846\ fÎ\15?\89Wspº[ð\13&\12Ç«\99þ_m¥ÿ×Xó\93Û9-9£Ñ®Ò¡Z\ 5)Q+\17\ ezoe\8bæ1?õ\84\1a&¡5Ì«÷
+\9aË     $¨#\81c/¸\9aUËÖ$+;m¥Üuc>¼-"ãÇÞ䣷§\17®Èa3÷l9¦<\89ÖÌ\ 2\f\80.µÏ\81\14º\9d\82\7fõ\1dä`'ZÚ÷Õà¶$ð·#;²¦q\90\9c\12eF\f\ 17\87\9e\83`6Z\ 6¦Ç\9e¾³ò$öìþüÞ\1e+øÄ¥\96x?Õ¶\86À÷zo\84 i\r\ 1XsX\95Sy©\a!)Y\82@F\89®\1e\ 4?\8f\83`X35C\0\15Ö`\8f\85à`\86ID¦s=\bÞC\88\97X#\bÚ¥8\ 4ZJ¾\v\ 1ð\98Ú\8dmuôï\b3\b\84\7fÓr\9d\82\83Dän«\ 1;M\15\8c\10¨Ï\9cý­\8aC\0\18Ûu9Ö\fÂ\a\1c\b£^Ç­G1"~\ 2¥/\15¼\8d<àËE*6Sê\ 4\ 5\98-?Qñâ^yO­\88ã
+D;­oIgºñ\12ñ0§ÆáxU
+/\19\8e½Ì\8d¢\9f3mÀ\11û±\eÕ\bÿ5¨>(°\91ÿ¨h'\85\1f©øÈN\8c{ìùPÛZÄN­n\91\11æÔÏé\ 11¿©"¼õ^Â0"\93!éc
+lä©Ù\10\99\1cµÁªÀj\83©\0g\1f©¨\8aìwÙèE˦
+©5\13\rí\10÷)°\81ùOqã5Æ_Â\11p\v³Ì\bßFâ\8bÚ\10Y絸\1føìy5­+\b:¼­µ´:\88X>½¢´7\957Ñ|\93ô\97³]\8bÆ|Ñþ=@þñê\0cùª\87¾$0b¾Í\1d\ 5\b`ìT\98æ_ýß\ 2ä\13\e\8c\88-#\9f\147Tg\92ÿ4\94&ƾrCe\95\8bX\anQ\83Eñ¢\8aW\13\15ß·\1dy\1dçEC\85êßrÕ¨EE¿M^Æ:ýW\9aÖ;ò§\91øÆ\86¥x\9cu\ em°vä\8fV\f\9c!ö"D\fØ\18§wä3\89k\10Ì\9cÌ:\87\1d\19¯\\ 1Ñ\83\87D\9f;nÏêûD@\95YbàÏ&èN=»ëå\8b\99ç\e\18ÏÐ\\a_$ÙÔû¢¸I\15\1e\1f\9f\9bá\ 6ï\100\18>¥4\8cÁÔç\80õ1ÿèA'\ f\9d\9dâQ¯¯Å\;\12ÍLz¼\88æÍyn0]\85ÑZËú:ê\90\11øÞ\8aåÇ£¬\13Ô\8eYô-\87\17S)QµsX)ü¸öêQö]"Ì­\ 1?\85ÿ\0_\93\vx\8cÐø\11öØÊ
+[»\7f\8c\18|2\17\16ÔÃ_\93WEb\rv\17¬fBcíb\ 1Î~Ák\15eȾñ\rc\15TÅ¡!à¬\82×Ø\8b!\10,\ 2 ë±yK\99¾"Âíé¯\97iËëÀ\82\ 3CÀZ\ 5Ë\88\80þ\83z\89ç°*x¼s½£R\ f¢-\88\86\0\12;\88\18\7f\97ô\1aÉë@\0ý\10±;\ 5\aÆ\v\ 1\1c¥q\ 6ùI¬\8f0V\94aª¿]Ã+·<ÒÃ\0TVNx¬\8aø\vÉ\19~\87éþ®%ñ¥¿STC\ f4òÅ\11u 9­í\95\8d¢\89\98®~KW¦ãÁ&\9bå{QWäuî®*Ñ\9cÿÍØ;\xï\88\87óõ{PE¹\ 4µWÏ" Ý#»ÂÀc=û<s±\1e\1döX\vu#ß\87å¼\92t\8f\1e²×Ã\18\ 1¾ì1ߨ\8bJÎW\92\91\87>3ò>jÖqh nôü\86\93=¸e\eÖpÞ¿Å\b\80!\80k¿Ê\v£;\ ev\9f~]\10ûÅk
+å¥ß\12\85\9b\0\89Nm_<|í\83¼ô{\92~\1aú±
+\9cF\81\9fV°F \1eW\ 4 >­óÚ·Ó\96 \9fÚ¢aMßçN\14a\17Óì\99\ e%\8b¨MH\1d\\f¾niEj¾Lß\83x\7f\93Ò²$_\8dÚÔKf\1cTnÓ3Ù!£ ú´íTÙÍ\84¡»\95Ù;\84\17|FVÄ\97Tt©\ 5p[ç\8cK\a\1a,¶mAÌ\8bI\ f\9cz¢~\1aúÌ÷´\12Þ¾ù?X\ 3¾\8c\ 3Û\9aâ¥âW¡\1ak/)Ý\12\19Æ4$¹:\9b\90p\93§\ 3\90«ç \9d«ÕÕT¡.8h´®b=\10;r\ 6;é_7æ\1aÈ\8b\8cxÅAéås·Àö£¼Ô§ô\9e\90Òõö\ 6\ 2cçø\89ýε\a¾àá6ZÄ\ 2\9c\eÓ¨VRÀI¨^(\93\93 ù¿ÅA·Êh&!òL×k\ 2®}\95£Ó\8bM\12Ô®8\fSTìM$à\91 \8d\8d\9f
+\12\bH\90A\8f.㧲ç±ø6¾2)\f\13\18º\ 5\91\v°×R39\9eÄeïÑ¢\1c¿æ\85@¿\90ø\87½`$ÍÞD\17\ 2¼rk\82ª\rßÞ$´ìæc^ìß\9eÇh\|û¦\0n°{ºJx²kÄT¼ÆT¡\9a\9aéNS#ÜA@EÅ¢[Ã9\90\15\9f\83[6ÿ\8bÛB²\1cü#\a\ f_ÙÍFëÛõäu2ÿÃØ®l|êZ\14«óáBY\8fF\ f£ÿ¶ÙÅ`÷>\9aoÿDþð©¿\99ëk9\90\1d\r\16Ã\11¼\8e\8cì\86\f\86`5'4XK\86àÞ8aÁ\95\94xئ³/áüTuTb½ì\8bÐ\88[ª!V    \8e       JRc\ 4Ë»+6\92 ãÓ(A\95\9ba\82\19O@Ô}á\bz\17ùK0¥z\96`\85\92Oàc\r\ f¾^g$­«\9bx\ f6\83ïÍ(ÛU\16¡GI\18\9aRAí\8c2xÐ\8aõS̲|\93,\847qY\8d>rÊ¢é¯åÖOM!ÛT\1a\ fJ,\15\e`öÑn\91\9c÷t\86õV0\ 3~æ®æ\90÷Y\81Æ\ 1\1e¼Õ        ¦ÖÎ!ãU\82\95\99\ eá}H\ 5  Æ§d\b\86Jf ¦3,XÞcS\92ÊIÅ0ù\81\8a\85Ñ6)ã1ÅÌ7\86\9b\8dÜ\ 3®ç|\7fÚ3\92\bèÕ×Á`\ 5\vHÏÓ\ 6=\1a\rOuÿ\9fô*ÝJd\aÂOÐï\0\f\r½@Ó+ û¾\89\ 3¢­,¢\82 :("˹wþÜg¿\95¤\97À(\17½ã\99>I*T*\95¯ª¾rF\1cIKÓõ\@S\ 1ã^~T|!\1c}V È\8fEI"\81gÿ0â\ 6¦\96½Z\16¬t\99Ñ9ÇС<á¸\84-H¸¥tH\13\e\b,\86uE8ûÚ¢\8a\86ÛÛ\9c-hÊ®\80\9aÀì\86§O®æD¼\19NAޣϮVÜR{\v\ e4¡xW\9bv}¨¶dB\aü \ eÊxÕTq\19§«U»(âJoU«v=\f­\9c\85·­`\85J»)\11:\10Lw!vÛ\1d\19¢x¬X¡Üî\12µ\10/\v\89¼\1fï\97x«êõêø%á\94¢\92´\ eíµ$ë\94¯U\1c|+çC×\9b^'ò\91>\86ý¾FS¦¢ÒL'\8ay3\90¼/>ÅN\97ùËüâ\9að\89Â@¸\ 5$cüò\ fÝg;\ 5_j\ e¼îé÷\1d7C\14\85\91\bc(ß\94x2\1aù®\b\8b\0\97_\bxÄ°j¡¯Õ2KnÒ\ 3(¥êxdQ²ñÌ \14\81Ôº¹)\81\8aªâÔº0èÎsd4ò\17Ó67\18©\147(ôͬK\efºM\81ú\86s\971¤êJí¿iXð\ f\1aF>\88Ì\ 3!cX\87\92¥h4n\ 6\11Ü\ 5\80Ýy\81\8cÊ7\r\91\8c(»73\r¯©\85\9eXÞ³&Ú\7f­½\94\1eÙõ%ÃæRÙ®nÓ\81!P\84ê9\87\11ª\ 5\9eÙ\0.\8c»9²\88±áÒ\ 6\111z\8f\13\fA!þIFèº\886\88Íõj¥n\ 2^>õSGõà
+U\83\92W|\90Z^\7f      º+±úÞDkM¯ä»¾þ oú÷ó&     a(\18Ø` Àö\v
+v
+»XZ\9b \8d\82io\ 5\98Ö\11©âPª»ÛØï\87²%P\ 4yúk*¢)\8f»\ 5ù1ø\8e§ðé½IV\93¥\ 6sÞ¡Õ-\15%\ 4¿v\b£-òÜÝH\84y<\87\12"\ 2ߥæO\96\e\7fÄ\10\12d¯~\9eº,\11\7f\90À\84Sb+ä±L\8c§²)I>\99´h\9b\f\9d\16á/¦\82îrê\12\88      \86©\9bF\1d\12£Ð\1dRá=
+\19&u>k!ú!87äIÛjÑ\98b\88¬\8d|w>\98ÖÉ\16Dì~\15^|\8b\8aR\vW\14¤\80Ö]ËvPçs\ eJÛAð\18Á\ eÒ\88¯N¡#\93^\82T\ fu\1c°\eû5w?^\80\92/EÖð0é\8bòD\9e°\8b\12ªûé\87\0>Åe\ 3«Uêô\1aÿ\10oW\8b\97cÝå\14xíÇ{t{\86U\80\82{v_ÁvÜ~\aðÅ·¸øCÝ\ fôÕ\ 6²¶EQ\ 2\aIJïl\0âk\13¶?¦l»\11ìõ^ÛUá\r\18o\95}\ 5Z}à*¸`X¢Âf$\ 6yi\ 2\81Ê]På_\v19Ò\9arÀ&g2âä¼µ6z\17¬µ¹OD%ÈML\93\1d¿¿Í\ 1cøÖÛû\84\82Ù\a\93\90»\16F\10Hb\ 5\ 4\98©¶ß°\80ç²\83\17×w\90\98C\1c6^L%_;\10\86Ý-Ü\94\1f¢Hõ\11AòÅü\89\90Ü\9aú\90¨·ã\983Î}\97®÷-R\86ûùÊ«U¡7À\8d        >\94\eû;7\0
\0Ωǹ\97Þl\8fm½Øc'^âL}=\b ?yÑ¡]$øáÚCy>3\86NÒrAN£\À¦¼÷¶\vô\88ë\ 2\86EöÌ]'àØ·\9cPZ_8N¸¡\9d°\1d´\1c\17tw]\10úÈ\ 5\bÉ;NÐrç\1cg9a\94mí8!±¶\9c`\1dê¥\9fä\90\vpì£ðR\1ak\vý\ 5þÔqBm(ù~\99\0µ\0²\ 5âXkn¹@Ý*Ø\ 5À-ɱ\ f­³Ïp\80«oв[\9d\9d\7f\f¥C
+\10\92]4~K\ 5îM\ f+\80»\1cVQ¾É\bGDÄç
+\80\8f\88¶Ç¾w\r\1a\90\87\14|\1e\95A\94ÛÃÿç\1a(ëH¶Ç¾w\r lóȧ ÚS\80âå\ 3\15\aqùß6p4*K('\7f9º9\1a\95Ç¥\a;ó;*h\~'Ãp4*m\ 5ÄcǾ\ 6\87\81\rÃÏl 
+\18·Ïå\\~þ\1aÙÄ|a«\10öý@£r\aR$ó\1fs\r\17\97_G%f°g\9c\8bË\ 3\9e8\10\e\9c\8bJ¹Vº\18Û
+z\8b}\8fñ.üäÊeÁ±¶7ÜÕÈ\1f\85±\9d[íc\8c?"÷\1dô,ÿ9Æ\8e\85)ïbìKáJ{ìØÜ÷é5h\8cí¸r\17c\87®ábìëY\87`\8cÿ\fcG»ò¨\8aì\r\96nÎ-\15êúvW\85°\97û¾l\83@WäO=qØ\86#2\1fªÈ\87¬ qù\1dD\btEþ^â\12¾_\91\81ý\17QC\8a\bh-D÷\13êúÉ\en\9cô½áx¸ï\15\1f¤\9a7ÔâC\88×\15PO:É%\9bÞ\15ú\99duXj3Ja,\80i§<Ýäâ\98ð9mæ-ÕÄ\8dü¯7¸Ë\85\eô\fÔÖú!@îp?\bt°z\8a´Ü¬Ñ\14\94Yt^\10\8f\18<\ 6~_ÙÂ)ë¹\80¦\ 2n:äGÅ\17"\17"Ó¢$Y\86Z*"NÃr£e¯\96\ 5»\8fÕ9ÇÌ¡<á¸\ 4ÃÚ¢\84à\8a\94òm"e\vr!W \ 6³Í\8c-¨H\94`¸½ÍÙ\82¦ì
+ðñÎ)Õ\ 4ÎÉ<>Û^Ë\89®ïè\93«\95°+\0\a\9a+XkFä\86ÁÂ\vT[2B·¨ù\13\9c\1f¦¦
\ 2º!îF\9b\13KE»(¢M!«ík×ÃvWº\15p\v\0kM  o\81\ 3ºÐ\a´;2Ê?
+|&hÚU±RÈ\aÐG ÷cX\95÷K¼<mKРõêø-á\94¢\92´\ eíµ$|\8aV\88kñäô\96\7f,>E+­ÂKüG\1c!Gµ:'ô°\93à HTá[9\1f\86Í,ùÔÒ²±×\89üo\8d;úL\19ëcX¬1j¦\13ż\19\17\9fb§Ëüe~q\8dà~¢\16\ 6Â-Á/ÿÐ}¶#âRsàuOÃkÜt¡2\82Ü%½ÂZG"ï\12\82DRâÉhä»
\118ýB £B_«e\96ܤ\aPJÕñ\b²øë\ 6\f\1c/ða_äÈÜ\94PJQàÕâ¸í   \83æ<GN   CÈ\15Ó\96\91êØ3\86\ 3̬-\98é\95²z\86\ 2·o8w\19kY³R\83µ{\10DûáRd\94
+$f\8b YI\95õ_Tì\aqìgNªÝs8\94\ fØ\9f\0Ø0ê\96P\ e9G\ eLÑXÜ\f"ÈB\84¶¼@Få\9b\86HF\94Õ\9b\99Fî"©\85\9eXÞ³'Ú\7f­½\94\1eÙõe.\95íêùÓ®ü\ 3\f\rÈ&ç\1c\16xf\ 3å\87ùû  NfpÊ´\80ÛLR\91¬\1cÑxe,t@\8bËã\1f\82[\eø\85D{ÓÕ;*A\12ÊT\1c\95©\9cä\ 2Ó\18D¥¡\10\8e\r\9fô\12¦1Rü@ß\85ΰX·ü\98àÞ±Q Ï\85#Ïé1/?6õ¾\98    ]­\b`§í\98\95±\1fÍÄÀ²Áù\10ÁmîÆÊ\9bÎ\a       \18V      \ 5\9fP\96?å©ü\e\88hMtL\1e\82Qu°1SÄ\bÄ\84v^xñ-*Jè66µ!~*\8b\99ØU­x?ÏO\\88£×\87\14\86\f½o\f¼\13W\88ïª&\17\870\9cµà×?IbVª3Ý@S\89Lkþ\¤ÔH½É8{áD¨ù\93³¼\9dïL\92kðë\8b\v\82¢·\7f2L\92aóuE¹+/&\97Ó¿7¥·\87íët±aX\16V.¦\9bí\12m0î
+ÓÙó¢9ú=]1\8a\87üÉð\87¾±\13\8f¢Æ=ªaÀÄ@«Í1Ã\95ÇÓÅÔ£ð\9eæ\82aï"ùÕ¦ôü°y~[\8cV¿=      ´Ô=k\9aõ\92'á!{ï`oÒÃ\81\1dì\ 6\11ï        Á>°ð\8e\91=yøßý\8bÙ2Â\16F-F\96¢2þ§jq]\89\eq\8f,édE6N¢²\1eEæü¹6gdËvÐ÷\e&\r\18ü\82¥¿<\8aì9ó\f\86²g\82Îê0JL\96\8c\98\1eÕä\98\16Ódã+\86¤\9f\80"M\8d)z\÷¼Â\1eCÒtC\8eÅ\fE\8fêñ\7f\19/\93$Iv\e\88\9e ï\90k-Â8\81\ 4÷ÿ
+:A\99ýUi©ûë9\18\91Õ\8a Ô¹è¡2Q\1c\83ã\19ó½\89I\9cÞrö\96¼¤\9aÏ\18ó:J\9bÃÌû>¦³ô\98|Õk\e\83\98|xjµ\90ÿÉg¯<ÆÑ{ê3qæ\9e\15Q\8e>½÷ÙjµÙ\88\98G\1aü]z*V'\11õ¨¬\96û\98Ý\87½¾~e'm^[k%Cð\111sä\S\1d9i\15/\a\89·\Ǭ³\91\99Ô\8eâ\1cbÎ\\b!¢²qmÉ2Q±Æ-Bû\8cÃÚì}T®>}³Êä$d´U\e\12'IÖ{K½\18_\97£öÙy#/뺼ØÌ3;\87ª¹j\93É\9aÓ\13yjä ¿ØèȼÍ\1c¥ÛZÅ\8eÒKî¹Xs¯D´£æÄ?ÅÇ:Æ=Âç\91[1\14âÓ[\8b}\1e1$\8d$ò&¥õX\85\ f|Îq=1É#­>G­N\9a\v\11\99ë\9a\rÎ?[nD\8c£\fó<|%^Ióc¦\¸ÓJZ\1d\r\95\96Ö\1c\8d¶®Ô#7\1eg\92\80)¹!Þ£\94Ä\1eå\8aH\aÏ9Ë\ÒyF°ÏpD`îä(erû\ErìÎv­4§<\14ÑlZo%ÒBDCÃ<\­³\9a­\88Yy>£\1a|½Ï(\87[*TLI\96Ö}Z¦^\8aʧ:«\90\15woæd|ZDLÎàiÚPi<
+µRM\rÕ§2¼R=±Ï\9f\8aùû£\98¿áß_¿T\0JNãQ\0P\råeBÈ\87ÄY\85\ 6²ì#½óñ\8cQ1R\87>¦e\1d\16åÍ\ 3\9cz\93\80_z\85T\9cðÑF\1a!^t<G÷D\1as\¬\1f\94.\92®(,\ 4>¨èS2dâ%¶ \19«\96*¨$À\ eè@\92¹lÉóõ\0\14Ïu\f\8a\17t\94\88øzB¬r4\8eDþ©¡\ 5§,\1a7\84Y­Ä÷\85â´ª\17È\vN)Sïî£è.ü\8cʹÉ\fÄ­Ëú \9e\9c\1a\11£\14\ fõ\²¤ò:DÉ\81´\1e1\ 6\ 3a\18ï\14lJÔ\fòa)ð·VáÊ%\95\ e\88t]GPet\83
+9\85,o\11*³vÀ;äó¿b²w`5\80×´´dédh^0\1d\8dê\1e¨Úx3R¢£Ù¨Êé\85Z\1e<\81\ 3x\93\82 \b+w4@/\10Ó\ 3\81¤\98\12\99Q\11D\18ìAW-\0Vw\11È\8a\9bS¸=Y\eA§{\f\1f\f+@"H\93c\95,\12½ë\1d¸ò*½\81)w\1a¼ÎêS\1a\1a3AÇP  UÍFKÐç}ô4ůûÀR®\81^\7f[\85G\ 4\0\v\9eDt\90>   Òo\98\12ëj\85\bNìðÐ3ºId\8f¯\ 1Âê\1ctµ1h\ 3s!\9b\ fú»«åÈ})\12Él=\10\fÈå?:¹¿\1fÅWx7§e©/h\e4\8f~\87\97i묤 Ò\96IT\rÂ!\13:\15ò\9b\¡çM\8dÿ\91\14_\1fÐDÜùÇ?\97÷ùëW)$\9eü¡£V\89@z=ú\11Låàÿ"\80ÆHvyX°9\82\87¤\15\95¤\b@\8esp\98QÕ]\17tq\b'çÚ\v\81\1e\13\ 4ëHB·\v;ÉÂ\ 4\92Ç\81løvfÌÁ\8a¡ØSwu\1f\ 4^àgá\98Ðfö«Ñ$Z"\8f[h?\1c$ÓU(x¢Æ\89ÿ[\84öIôI]\86®¶Ðr_%áj2}Fo\11\95¦V\94d-\96©\817Ôf\ 6ª\13\9eÄ\12Ô7¡ÀvÉ\81m\92\1dT6oM~\17~Úá46¿
+ºàOj¢ù\1aý7­´Òâù8\83W\9e\89zAu"Óìø\8bÅ8\1a «\ 5\ 1JlC\85\e(\1dð; \ f7$e\890`Jý!;\a>ðtÖÀ\ 6å\90!\11­6ÎÁë\91\rR\8a\12ÃkP«:Uü\<¶á\97\8aÞ²Ò¾tã \1aûBMå2V¡\89Ô2iQ\81¸¨\b\95\bÈw\11\1cµ\83bZ¤Û\99µ{\8cz\a5\18\ eMWÉ\13\9baÖ³\95U¨üòÂ\9dVPÊP\19P)\8b*Ò>·nv¶\96õ047¨\9f\ 3\b2µS&©\ 6$u\13\97?EtÅ\94°\87\8f\94ÊPþÕ&òÎ\8d\82ÅCÒ\ 6\80Ý·\9eVjÆ\87\8cFU¾#ðXCÊ\r\8a(M·{¯Q\8f\18Od_\91Hìãò¨Þ ÷é\8c©f^  7¿:\v\r\1e¯\13ÍsÝ\17\17\89'HëýU½R\87M\97¦#\82'¥æH´\18Ê6%\93$Z5°å\ 5J\f\v44v³0\17/A\ 2G\85ý´ÌçeQGÅ\98£\ 3\94×\933SgGÝÉ\97\86´\ f9 Ç¡²µJà\9a\1ei«ú¸\ e\11\9a\ 2Hðb¤ü\a\ e\92ûôåð6\11\85\94\90¯¦æ\14\9de\13\93Ñ<Ð\ f\ 6\9cûPw\94\9c­ñH}p,\ 3\18\93Ò}'i\8c¾\82\98\81âªLþs*\8dg\82Äõ4à÷\98ï]\f>\98ÓÐ\16\15ÄA\88`ìÀ±ÍÓ\18»@\ 2á\ 1\14\11Aãl?£\0Ã\ 2â#×¾"ÖY4ó¤Ór,kp\9am|7iK2àÔã´¶Ú\13Æ\ 6\85(sI\ 5\18Ø+¢\19\0\ 2\\1e(\81#(y¹²ØgH]\14§k¼Ë1\96ä«+ʸEyá\17¡\[\8d\ 1SI_?S\80\81I\95eÚ5¸üxÒ%È\8cþp²\1c4ÚZÄ \0 \85NCn\19A2\a!°¼`¡ñ\87]Öø ¶E\8db/tª·\85ü¯\0mCÚä)«ïCT£U¥Õ\7fÖh¼ï»vT Ô¡\9eûǧÂßsXZ¢\az\ 5\90æ°XËûq}Ø «H\ 3\94\1fédÛ·\7fT\12­"\1d\95y\89\b\91e¤0jä\9d\9f\1aÓkìó\7f\eý÷\9f\ 3Ö¸òè²\9bqEo¨±s\9e\80xÆD\97å¯L3\9e¡kì\10v\9fJ\1e\93\96覰ÉN¥L\r\ 1hç2\91Ò\e'dFP\r  "\v\18\18Ï\9fÜ¥°]Æ
\17)R&\92e\92QÃ=­\88¤&C&\ 1\80\a\fH\1aýá7\9eCQ\ e\ e¯\9a¦\98gÌ÷.\86\9d()^¡KüÁb\"Ã\82­^¬Ãâ!ù\19S\13¢\85\10U\1eóí\11¹2ÿí\8b»ÑòsÇ®\92\9c\ fÍytÐü&zÖ\95©î\82'X´¾'ÿ\8fOøõÁ3\9f>r\99HtO\vÁò\ 2\8cTV\1f¢`-      \9f0\b\827ÏL\ 4Íex\9f1ß»\18T1 I>Ç\ 2ÅôC`ÃrFË~5\89­¡\92¬\ 6Ô÷1\9b½ZS)B\16\9eÌÆ'!J5\7fhÓgª7;}\14#\8fîò\98çx°\8dáVô+Ð2ÕÚ^¥J-\94?\8f0Z_lEÚ\89úDcÔ\83\82y\aM\1eË\rRSËa\88¾<ku½âo*\85H\80\93\83I¹u"¨/\8anuÌ\rõZÒ<Ä\96ãòÐOt6:ªñ\8a`«/?ÿX\85\16$s\ 6è[Ì]ò·ü\ e\9a\1dÈ»F\ 4\9eÓ\13:\ f\8a(\ 2wC\9fs:Ð\b\ 24^\8db\96¥[õMÌè\97yUÇá\11Ù\11\eÐìÍW)\1a@Pï¬Â\17\aÓ\1cÚ¾\ 6\98\e\80µMÇð¨û@\9bzz~éò¬\87\1cj¹/Ó\94\82\ 5`y\ 6\ eÂcÑÉéÞ\12w\8cA´ÉÂ(ôNÉ`\88àP¸¼¶F\ f*yñî4°$\16ê'Î.½\8c\88Á8\8f\16³©\1a\83\9fê\8d\81\8c9mlF\9cª®\94\80JWÉl"¾B\90Ü\88S\8cKL\8fUdr\ 1\97ÆÍk\1fhÁ÷×}ªÜ(qhO"\8e!ç²À\9aé¾¢ây~</\ 3e$\r\1f\ 2\1a\r\1fHÐëP\9exö´Æ g\ 4ÖeÊ\1d¤ñn²\8f\98M\99Þ!öIÌ\8e\1a\1fÄüÍ;ªÌÐFÏ«íì\90iõPG¡D\965Øíö\8cy"Ó\10tFg)¯1q\87ÌGÌf¯Þ\ fÃÁù,K{\9fÄì²xßë£\98\r4\9f1wh\9a\86Lì'\15¤.¼\81¦áPe;¸\vðí[h\12\ 3\90\12\19Ū\8f±\81fO$\ 2\v\8eU<\95~Ç]Ï\1c\r\94\ 1\80eÓ7Ðì\ 2\1eGd©eÓ\9f«Pb\19p÷kry@³7&\bJ1«¾SÙB³3T\0wF¾\8b\10wh\12A\87À×\83\99eäïÐä\9d\95\8e´ð´§f\1fØ@\9a\1a~ÅcdØPó¹Î\r\9b\1c\1d+\î÷\8eM®\5\8b\r¼¡\9d\11wl\928\r@|/ß\977Øä\81è\9dç´é\eÞñÆ*\17{[É\r5\8d\eS
+\18ÒKM÷U\fËZ,'2p\ e&wj\1a¯ÃÕ\aÞ\9e~b;j\1aã'\89¢\1fÑ
+b\9b;6ïXxbó\11±Áæ#fS¨w\90}\12³5[\7f\8eÁpþû\17\9e\81\9aF0ÍÎaö?\8c\97Ir$¹\ eDO ;ôº\17i\9c\87}_¡O ³ZiûïßÏ\ 1F¦2HûR­ªT\10\83\ 4\1c>¼å\14hs&\9a\ 1  1ÛÞ-\rÑQ\80>\ 1\99·x\ 6r*\0{%*Û\9a\9aé:¼ÁB\ fh\81nÁ4i­+¨\ 3qáê0Ý\19ì^m­\97HÌÌ^ÃÊ0Z\ 6£Ia\8v\807ÌC?A&\8d,
+\8b\8f b0<6òZÔ¸çÃ)°Zì¤]@\1fØ>«@\b¸\eùU\17\11     \0vnÏ1Ó\1fLb [\94I
+*ú\f]\1aB-Éc¦êÛÊbRÒ#\aé3tI \8c\93º¥YX\82;q\17\0¯`¡\ 6\90myìË\19fÑq®\8e:}&=ðÔòA\8c<82\99S\b\8dïX\9c$\12³\r¯Fë\99ç2¬ê\11\87
+v\17Fk¦r&\ e\f*^\14fß ð8zá"Çm\87\96&kêÊ\8aä1*0\ 6\ eÉÊ7`y\ 6Û\r\8d\ahýP 5\81l\e¸©«i·\12À©0\19Úz\bt\ 2äFðü\80l\80\84È\18ì÷Õ¯\86ÆäÄ\7f\89\95\14²ä\89+T¾\88KS\99"g\9caÔV¤\agE&¥\9c\10}ö¬@ttË\0\fñ¢\fÃ\18¢\99óÕ­­B\18+\92¸ÈX]z\ e§4\14@¦2½*Xò®xØM4\86\8cOKOùÒ\ 6ëÒUJ\ 4@ì;ÐP\95eL¯\1aØ\1e\96\81î$\eÚ¼©3Ùù \13l/\ 6Üí\19p'Ó/¢\98àÆS\15\f\94\95Ó®V{\ f\1cÀ" Ö8\839u
+³Ð\ 6\12Ü\96
+\8e`\ 3\9e]Á7+òƤ\1d\82!7¢\99\83\80Å\97¡\C\90¾\83öÀÃiù-\9bñ%",\1fï¡\ 2®\87]/&\99Ðy\91ã\90EÉãT!SLÃ,\80\85¶¾s«!`¥Ù\9c\ 2Öw`+Æ\83ödy!LK\1fZF[*]\14SϹÝ×\8eI@\8a¾\98üeaM\1eG\86        \ ek{Íש\ 6éá6ì³\8a¸\b\15 \r;u©þ\10\8f\90q\84\10¹*@pÇ<Õáa\17\10\10\15£e\9af\ f\86Ô      \ 5       1¨Ñ\9aÏ\8a\ 3¥"Ò(\8d»¨¢eÀ0óRÒ!\$u.d\93\8f®\1f\ 5\9dl<\ 2f¼A´Å>Ã\v\99_`\95¢çTQ)3r:ʾ_|«ãÝ^\ 6±2ì\0b²6Pô\ 4°è67\8en§0gl7wË\8e\86õ(ü©Ë
+±,xÈ\ 4\a;Úè\81\12f\85]%B\aó§\1deo¸i^fv·\90L#fiNäs¦\15Û)|Xì\ 3\93=+
+\13~n\8fv\14rÁ4\7f;\83&w\98ýé\fPÐ8`*Ñ\97\9býÓ\96ÒdÐ\89þ5Ïm³a½£Í3Y\ 1ÓïsêºvÄ|4h\80ï\98ù³Ïü_­ÿú¹àÏGüë\9f\8fMfmÙ/\1fʾÊ6\b>ìG\87à³ÓÊ­Æ 0zâ\1fbðfV\87¬À.w\0¤¼!#\r\ 6\04ªgt0\1eI\92\99Ý\8d.dÃwª\ 2ÿy:eäü­uìGE"Õ\8ch;ÆòN\8e   f^\83W$\98m\0\ 14\93¦Åú\8dÒ\19Q\90Ú°\95ö\9e­æëTÃ\97\1a\176\84åhtÌ0@\83VZ\92®ÛâqA\8fÀ\9e\f.$\v6\9c\12ÛC½Y¼
+Rç\12}@§æW\80\18\fRt\8e¥óÍt#¤7ã\89á\99¤%Ú»ÿã\f?\7f1g3\91ÿ~\ 4@\91£x  ï\86¯\91àÛÅI~c-B\ 1\14 \eÞÅD¹­ó\91\v¡\81Ks}~\10!k\1cÎ7fæiìi±@\ 6\83@Ol\1c\8b°\98i¯øüÈAl\8d\15_\86í\94À\82A\87¹;ج"êOq®¢\82E\ 6£\90b]w\85Ü\16\7fÆaÉ\81óak,Ñ\93«\18g*Àj`ؤÑ\0W\81,2îhú\9b§\84\1fKÔܶX\ 5\92^À¸\bÝA\83Ai@TæÒßs¯QÌ©\b2ËÚ<ú\ 1\9a\aÆ\88\7f¢îW&û©æ\90
\8c\b\r\97\9cÎ%Ò\\0\91È\17W\90\99\99\17ù®§U\ 3\a\8a\fع\84V\90þ&&Ó\18\ 2lWK\84²Ñª\98rÞٷټIÆñ%÷!ɦ\ 4åá]c²À«ëò>,¤\bºÍ\85\86À\8bòÕ=sRL9^\9aÃ\89H\eN+­Ìkn\8c+UÑ\8e\80.\ò\e\9dÞ\99\8dØ+>\rݬ0m\8b\13¨¥Ó)²üä¨:ÃÕÛI\92±<c\ f\8eò§\15§\98ÆóªoÝÿüÅ¢}ýªæÏ\a\90K\ 5«Ö\b\8b T$G3ÜÉÊfÉ\97ü
+î´\95\95cð¨sjöH É\82E\19\91Áb\98ÂJCÈÔL
+\ fZ¶Ì±ô\8e51»èÐ\84ÝQ\99±¤\96(A¯Þ¤'?È\ 3EAÌÂ\ e\r\93S\0¸³?Cä[pcÀÈ\17f\ 3$,Ißâ_Nð+x\82\16æzóý\94ÄRG,        £ô\95½Å?\Æc$\11v\1fk\e·ø\879$ÉÔ\19ÛÓ]Üâ\1fêÏB`Ó q'ú{þÃU=àüÎ9\8b;öü\aÔ\1eâ\12¸3W¯¹å?U(\88\e\83\1c\9eÿ謵Y6\14UÄ@ò\11Æç9Sù¯Â_ÝùÒ¾\83
+ÕÆ\9bkvߦü\a\1faÁdÊ\8a\9d\82\18Au\17ÿ`\9exBP¯£½x¯Ø\12à^£\b(R\1ef\ 1¢¿\87\16±\880GrÎÅ\ 5®\8b\90\0ÔY\9e\89Îí\96\ 3Û7Úf8TfÀçúi¡¨<\e\9d\f\ 3È\12OE!\84é-À       kS\83\8c`¶×q\8a\81B,_ä\a#-ýÜN\81\10&<\1f\95\9e\ 2µ:2©ãÒ©C
\ 2òûøÅÚôª=\ 5j\89YN\9a\9a«a@\15Ø|.\87\89VöÂТdJ<,!|j-©\95\1a\9eó(§@Cs\ 1=\1a©Ðöù]at\17\18²Î\91ÇX)\8f\aÂó1/2\90§®²ªm\99$<\0\17Oê´\18[o\ e¤±ü²cXY4\ 3¡h:Äî\ 2s\ 6\1aU\90ÞË\ 2¡Xt\e^É¥\18]°jp\16¬ÞÆî]Ð\11n_\ 3kâþóà\80Ðþ\87\98\8e\ 1»\ 3ÝOI@\87yÍåàLà\91"0<\1cÔ{Å\ 1ö{\8dfJ¢mÈ\94B«0\eÑ\96\18hf´
+ž%\8c¶ÆT\90çJ\ 2ÿ½«%¬(|\82x0ww˪é´\96\1f¹\8ciÕ'+Î\0âz\ f\10E¿hp/aå@\9e\7f\11
+\ e\88ââU\11\1e\10õsÈ«o"\9cæ\82Ó<\8dpùÀÌ\9a\93[{`رì2·Ó\13\r0B°Êu\93ί\f¨\11\1cVÏD,tĸsýT\17\99³\aIct\8f\ 6C\82Xìst¹Ô\9abÇÑ'DÕÐvOp\82Á\10î±\11MKzÈ\81B\e\ fñ°xÊ\8aZä*çB·Yw\8f\81\99ù±\1dF¡¦\81\10'\85\89Ë8\99Ó\9dô¶`M»Ýxnyö\ 4÷\92\8d»´^<\8b\b®µ÷®±¤\ 5í\82ÇM7­ó\\v¾äbÝ5ðGÝÿúU\r\ e¢B\eð\1f\v\81yJýhú+Ò\81*bcf/k\9dßM\7f%\ 4uø<zÆ9Øõ\8aU$ìà\9c1\1a¥\1eM\7f-\1a\12\94ç\z8D,/U\vÏ\82wË_\15éH\9cÈö\8a\16»å¯ð>9\93\9féàø)à?ù\ 28\98vÕ»ã§\ 2\ 5\90\10À÷ùhøï%\a/_*ò\8aÑIþ³_Õ\9cÌ|\11\e\8dïRw¨¡\95º\1c;VR\1dG7O\rR\88Û\ 1áýbä[\rÏÂ\fÓÛµô»ãg\ 4\ 5ÛõJ\1fwÃÏ\10\95sã²ÕGÃ_y\ 1/Ϋ{»ß\a\a¯\ 6³\fóàÔ\ 1\\95þ\\84|òûÀ\96¡\913\85Ý2N§h\eJQ\ 24\8f·\eþ\16d6ù¥8¯«Þýþ\8f;öõ«\1a\15\ f\8a "ykÔR\bVºKyä\µ­½\ 1\a¦Ì«ÓÅ0\94`æÍ:ØרAW¡\88\14\ O5l}\a\14\eÑ]\8d0¤H\a¥Ùjø\11[\ 1Ì\11ì~J;ª\81à&:É_â¸Ìͽ\86mAP{-ËRtÙ7\1cFoîçt\9f©\88\97%(\98«S\8eáƲ\80à\13{¥TÛÓãéÍÌÀv\19 9é6K6¹\89x\196ȼN4ì\89ø)`¥ºëtãÃÄÏ\80\869\r©ÃÌ\ 4AZy©\81#rZ"\17ºéëJ\81\ 1E\9e\86z*ð\14\85¯\ 15þÃPA\r\bææ¡ã\8fyOã=\91Y\16v!Iqx`\92\ 5®. Td\8bG/x*bá3\11oô^zÓ0¬\1c6.xê;d\ 1¤\85ÕE¨T\ 2G¶°DÙ>\13ß\87¨
+v7\8cÈå\9a\8c        \1dP\feW¢\8fç^Ág\1aJ\87ÚT\93©q:DƲb\81.z¡â\ 5\ 3\11¯\9a\94ù
+\fdHÑk""x=Ø>Ó\85\94úÒ\91{g¿¬\86\ e\82Üx\9d\ 3\81\13KÝÐ)`pY\80Ã\8f`¢f½'º!p/\8fD\ 5_EéÛ\8a\7f÷
+ÝE®\16h¡Pî\91¶S:Æ
\82\95g¹²]\ 4¿ÄÕÌÿ¨ó\88\8d\vöÜ\F\fx¿`ÂDÃä_\96åìb\83\ 5+ív\81\ 2£BãÐJÿè@\85ØR\ 2\982J\97\8dÄcÄYVÅMhô\16h\1a»\8aAwþ9m)·ã3e²\98zÍ©äG\82ú]Í\9f\8f¿ÿ÷\91'OWXEhfªcÿ l\876³¤¸\ 4Ï\rÇK¡ð\81¸\96/\814ac\8dVâ,«&A&¬ïêâ©\ 63Ñ*[>Kñ\98FN\1d¯Íwc\ 4\18\16'y\b+Z¼>]¸\14? ¶\89ØÒé%(°U³Ðæ>H¿\94ÔåÒ\81F\8c.:\ 4P\13©\92½\11S\eK\b\98ÁN¹åÒ\120{\9aÒ\18eõeK·¸(`\80½P&¼äïý\94ø\1fãå\92\1c¹\r\ 4Ñ\13è\ e:\81\ 2\7f\ 2{_Á'P\847öÜ\7fë\97U\0ÙCÐn\8d#ÆÓR5\ 1VeåG\11\fe\ 3z)\96\87ØÉ_ \ fï\9dD\10v\13^\10Ê\82\95¢Y|tÿ\96$\14:µx!Û>ò\fí+ÐDK-ÜÊOÕ9uãÓ½¢\8f/(±Ïµ\8fvÎVÓ~G¹*x`àUã0ö\ax8G¶«y´µ»\92pX²n\1dQºbR\199¨6?\9dcKÎê%\9f\8eÄ\vóاÍÇòPA»"]\9dÞ\ f]bT¾ÁAÇ`g ÛS\12¥9x\95ä¼a2¤Ö·¬\17\1a>b©\ e\18"WZ`Ô1h\172FV\98¬¬ÅzQªO\r¸²¯/Ù    \7fÃ-\8a\14\ 3\ 1K-kCðË\8b\1c0g\8dWF¹¢C\89\8e°\9a¥N³\80\99°½S\90Ù3\88\10åê.T÷
+\a5S9Àc5(=<\ 5+©ü\ 5¬\9b5\96\8a¸>JÌ\84-^\17ï^òy\ eÞ2Ú\80§§ShHrûÑAmïÃÂENv\99\ 1\7fè_\92ÃG\9f\9aÓ!¦®\8c\90\ 1 \82¡R\99½g1ðâÕÕÌlÂV\83\9cõW£ûÏN`?©y$°÷5\7f}ÄÏ?>´Á\1d+P.×\eXX\e\8fÞ¡_6        \b'\84\99\ 4÷\1a\9bDm4$½Ä9°\8aå      Zlû
+[Æ·\10?{{\9a\90Å^QÔ·Ñ%\8e=\85  kk«À\99<\8f%ûR\90SÃc\86d\89\ 3ߤ[Áç\88d{\98Ä`Vyi]|\9e\ 4ûÆ\86âú&\8d9u\vÝ@xÞ\85\1aHdRP\9eY\92\9f\\11\96\9dä\13×\12Y\88¦ôÎX\9a\11$½Ù
+@\10\1eçâ:J\86¤\0ú\9bËÄbcleì\83\80£æ\ 3×\94â\1c\90*R¤\ 1Ùâ\8f/SSßÊѽ)÷
+\9dÓ¾P &ÝZ[\97½=\ 5\90Cºð3je\15ØyÚ0|ÌbÃð\95R@É\16/ÃcD9H\91Çh\rDBÂ+\f\82\11v§Û\95æJ%^\ 4\rús§©NbÅ\ 3q\ 4þ\8bu{¨@$ÙïP'M=\91Ý \91 \ 4\95iIü®\8a"«uLÐj'`\ 1¸Û¬{²\8a\ 4\9b²£\9ao\17TðUµ\fソÏ`Ò\90\a$(*\e2ál=\1agê«
\9e/LrÀ`à\ 2y¡¶Þ\a{Å'\18È\ 2\9fà\aÕãA\f}Æ©j-Õ\98\85\ 5ôq\14\0È·j6ffGiüiI°u)\11\ 6Ð\ 55_\ 3$=°\86\8bÝå-¸oS®8&§"y\11\80^Ò:´ÚÙ5¿\881\e\ 4 q\8dÓnl»þ\8e\7fÀ*æØþü\b¢ \ 4I\13\ 1¢(F\97zpmÈ?\8e\8ch³2ê\ 3¡=ÔÐ3ú\19£\9fj58\98ΰñ¼î·4\1cĸ(§®çÜk\1eÎÊ\87ò\9a:\19ãreïjl P\8c©¼\ 4ìá¬\1fÕ°Spk$¡E\8b\ 5\8f5A¹.Twj\f6CF<5æSN9©Ò'\9c\ 6{Ó­\ 2fÅÎÆä9ö\10¢èÝ\8bÓÌD¿\ 3ù5\11\9e\94V\967\15~(\18ò\vt\81/>ðLÎoøL§ \9e\11\9a\19ø\10sfûS\98µ¼\10êz\92oN\92Ú1-\13\15\84Z\96\am8Ì\1c\80ýÂòñH\11°\9d\82¬ùÏØÉj\ eø\83>v÷wÌ\90uàÁG\83'\9c\15¡sµÚ\1d<ÒÅût\flq\8fo]ãnîºÜ\9ae\99\al&c\11ì\81\80Y\16·
+-Ûs\14røªzÏ\90u\95\0o b\97\vé$Â\84_=\9bBçiK\9aÛMEe×G×Û¸àÐZ&3\10±æ\96\96\9aD?\9c7Y\12\e\10\8b\b\90Vãî¾\8b\197\12hç¦g<¼»7\0\89VÀÑm\81éþ\94\84¸C¼\81(p\9es@C\bî|\9fÔä¶ÓKKD¾®ÑüÛ\8e©\94¼:tL/¦\99°[i\8d\12É\9d\15Ì\ãÎùm)²T{E\aÃØo\84\99\15\9a§=½ñØOj\1eyì}\8dÅ]\ 2\95ùÒØQ9-cGÂñ\ e&DJ ¿ö\12I\1cô\1eX\1c\8f8\85À&U9§=\94\8aÂL±\8a\8e\85\90 QZ~_\î±£û\f\8a\96\13Ó@³JìæX \80\ 4;ieøB%ï@Ĩ\92\8bè\1e\e«Ba$!\ 5ó\83\8fá³6XOÂì±öé)\92Ä\86<\9bívâ\86ª¼^\1e³4n\ 2\ 1Ä\ 5\17\8b§¬Â+Å5\f\17\1d\19\15ãÉ¥í}x\ 5Z?\82E:P\8d-=Pþ2f\84\8d\fºqýf|Ìq_\f\ fXs\98O\10òM\0\1f90\9bªc*\ e&«+!{ã\99^Í|¿Øºò\14 \8c\9f\86\ 1g\8cb4\81\1d\f~N\93oå¡Õ¯jî\84\ fð\88\\83!·±flë\98\19Π\80\99é\96$\85\12U\1ct\89[Ì06¢Àδ\12\f'\16Ü*îHósn5ØR2a¾Îa\9d\aF\1d]nÍ\ 5\bß{\12\94µ\rÐ\8c\17\89â\85ñ«2ü&às:Ì6^¾\9c/ak³ak¡\0j\86j.\9eü\9dyîh{â¯*·\88»\1aõ?j\fÕ<\ 3ô\8d²\98Ô^\8d\9c¨Í\80\1c±\16Üd A¦É\5Â9ØÖÑ\82w\8dÝá"\94´ÙµCÎ\89µ\97|Ê´\95\82\8eå&Û=]\ 4$H\9eåîQö2Û\82b[£t\19ãZ]\v¥üÜß\18Nç0\8c®CBh}ªT;\8e\10ÌÆ
+K\10\ 1K\90\18_\rËÝçt\84¹êÝ*x4È?'\8c\81f\14\15\98\9bæ~\eß`'Ð\93éu;¯¬@àt\ 2\b6ÎÂor)îS¢¿ï\eRû~Ï{g¸- \ e|a\94z7KüÄ\90[\r#a\a\11\ 5:UÐ(Hfn³\12\v¯Ë\98å³QxU\f\11}X\81\92×VW\a&\87D¶&\rlR'\88\1e+\19a;°    \ e\87OU\90\82ÀÕÊ\82èÐ\11\90ø¢\98`T,k\ 1\91ä4\1c\94̨1\11Ô,\89\9c\81Ïcf±-X\ e,\1a;\93R1Ô©BT\ fY\ѶC(x\80è\16\1fh3>\90\11fpÅ\9b\1c\98\ f\v4î#ª\82\91\9a\94'}É^e\19\9fè"\ 5\9f\ 2íÿ\8b¥\ f{¸[A\18\eÄ21¦íðg<À=\87É     b\ 4¼\14¿\ 4\11Í{¢À6    "=\14<\90×­\844ùûU)hJ[\19cë\\f\ 6\99eò®ø5\98\1a\1e\14\v½x\16\9b9m\17¿e\93\90H\a\r¿Å\875ÈÂ\ 1"v\8càp\0 ~¸R£\ f=e÷â\ 2\19\9d\18|fFh­,/Aó\98.zI15¨\ eS&J¦©æÄLì½y|D¥\92\89ªüá\82*²Ã\ 2×:WÔø³\88\ 4\12þÇå`0È\10eÊÚ<§Â0Ä&Üì\12\95!\b¡\aÚ.Ô\9a\13áƼ\ 2Ò=Gî\9a¿çH *\86\89\vÌVSKZ\f{ß]Z\82¦\8e\8e\1fQ\9e}¨x¢\93w5/a\15N\fö'b[1\bã3|\ 6ùeÿ!=å®üìï\8f"³ÊfTÂD¶\10ÃcÙ`h\82~\13\ 6D>{Íøb:Ä\16Úk[D\ 5/\14\ 5+®ÐfÎ\ 3AV\81¤.\8b\12\1d»£ó8§\r{CLq\93[A~\1dÞ`m\88tä¢qfH\9d`\89æÛ%ø5\9eB\9e¯xA\17VÏgn\ 5:a(\±{ÜÌýñí\19R\13©\13Kålðû\1d :®_®Xòð\16Ô4¬=Xh\87»\9d{+̸#NÕ,a|hç^q\e\8a\9fs«¡A\10_\19\8b\1f·\9b bµOFJO¯\83d\f\b\1e\99v3¤cî\1d¡F\86¥Wû\fx·¦"+XH2Uq·ºOæ^¡ÑÜÇ»?å\ 6\8fý"7\88=¼Í\86Ó{Kv¨ß»úva¾\7f°T+\eñs5-Ç6\99ðaû¶\1a(\eK\87ßÌÉl:õü É_bC\8ds!¾\175ý,ÀX!g\94\17\9e\v\9877\ fNþ<V\96\1cÞ\820-ÿ 74
+zç\7f\92\97!áÃ\a\84\95/E\ 5¤ÆLøg%b .¤ª±2Ç­âû\83é\90 :\94¥¨ñP\82±cçpf\v\96\8a?\a\89\8a<x\10¤\1a\15\\84Ï\98Øëª×7ê°c°\vCQô$n| \b<c\16Á\ fÚ\86Æ\97\91W@\82`K¤\87&UP:D\r\bå\ 2Òù\0¦Y,\9d\13±à\1cÁÕ«{V¤
+2      E\e\8d\9añ\14Y\8c\81FË{É\99I\12y>ãR",V!#\9dÂ\8c\84Ò]qº"Ä1Û\16\8b]\9f1ñZ\8a\1d\83wf1Ü>\ 3\15U0è\81\80úxÄ<\88ðÊ%ù¡bÇîC\8d\ 2\ 3\82Q-4\1c\8c«à\1d»»\f1\08\ f¨±\85\ eõ-
+\9a$\93ꦪ}ùZÎÔ1çs4\8a\96QPîÀ¨Æ\95ç\84\ 3\86Åz³Hî\01ÿ\89\7f\17ÅHØv\83ÛV!X#Îlû5Ã{\8dÁºA\ 2\1c}\14{\1f\rÌ7ÅeA.G      \97\ 5:C\14\1d\82°°ö3\8ai}èJLp®ÛD9\a\0§spg¬S½\12\10\ e\1d\97hogÙEjÃó14ë&D˾\1aÛ\8c[\18*;Í5\86\84)\9aíÕ\ f@¬<X2:hZ\96Òót
+²,@Öð(*¥\ 2Àã\11â¼+.?À\85\19\18çá\11\ 2æ¤wG7ëÜõ\82\bY\15?ë}vòÂMÁØî¾ßsÛ÷\ føï\f\17º£¬\9a\?2å^Ódÿ3ø8&\ f\82eZÞÛ\ 2\ 3\1aq\19D\e\12«Ø$¬)$\7f\ 6ô\84\ 1\bj\17¸´\11\14¹ý\0èVÔJ_׫ÁTÔ,k\7fêLÔV\1dËl\18¤0Ä\91í\88S{\99kí©§+¦R\83ªFî>£,\8bVRñÀ#ر~JM\88^5\94\19\18\ 1Á¦`ª  ¸\e\14\ 4 Edâ÷\87\a\ f\9dÓ¹þ YÉ   Û*¢\1f\10O`>ó}\ 6³\8f@¥¯\1ceY\12\a\91\1ct\ f«x«ÐÊÃ\ 2¨\17L\1c&t©©ìBÏ\1e.k\90\97\10µ¯
+ºr\1clÍÊ\17\ f\15;\85í5ÃîÂ\ 5Ü     ¨"K)\98\97\87X6\8f¾ÿKt½å@\f\82P\0ÝQÓ¤£\95ýol\ e\82é¯1\11¹\ f¸àzÒ\ëÆ\1d\94¹Æ¯ÄJ½Ô-ã\897ºÒ\16Æ\10Å\94¨\ 1\92¶M@\89jÉ5oÈ\80Ê_³g7¾¡§áw,\f>áØ~ßëâÄ\14\10\16\16Õ7.À\13Qø¬\9d\99b%\9f¯Úya\1f\82\1eÖ\82TCL\10\82ÍjÓLá'\eêæ»\7f¼®à\b2ê&ö~\87\ 3Kj\98ÔÖ\ 2öa[z£S×ø\v0\0Ò1¦C\rendstream\rendobj\r18 0 obj\r<</Filter[/FlateDecode]/Length 11841>>stream\r
+H\89\8c\97Á\8e\rD¿ þ¡Ï>$D\8a¢¨»¿ÀÀ\ 2¾70\17×\1eýÿ~\94\94Õ3\95itï.zf«¢%\8a\f\ 6\83E\8fQªwQ7·ø¨c\1c1BÃ\86¨\94ñÑ\8a\1cVµ+ß\8c¢õ\8aø|Øð£h\eѺôÞ\17fÔîQ¥4óña£\1eUÕÅ[ï2ïñ\83_7\1dfµ¶;DÄa\16Cj릲îù\ eó|üzüã¯Gùøç£ÕzxÓÖÕ«Du®\8c£óI\8cZÜM>þ\ 6£\87y)Þ»½\1e'®]\ 6¿Ö¼~´*\é£\95Ò«\9aNDuéjÑj\13\aQ\ eå¯j=\8aîÇÿ\81ø|péѬrqiµ\8bÜ\9c¢ý\90¡T¢\9d\88 ÍÖ\0ñY\ f\10d\8c¼\13\8cÆBôc4ª"ÖZ\ 1\91÷´C\8b\19\7fÊ.gÏÊx>»já=jG\8b°ßJÕ\8eÈ\12PcRj\13Qmð¥ªx\1ea\87Q*\ 2\1aÚö5o\90^y^\19j\85OÜ)C\93q´>j%\1a\1fa¬PßæmôQJ\1d\92\18\85 \12á£H´Öî1õ\b©*]¼\96ð\99]J\b#j@í11v\94&\ 1Ë\89`Wú\ 6\13ÅIè¦\97ÁýÒË\bx61\99_R/î5&§8ê\10!ü2¤\ f\1f³J\9dÌ\93Z\19u#¢\95*¢}èè3}\9dx\83?VúòI\8dÿ\1d\9eá·<$YX4ÿu(1\11\83OáËîJHG\ 2¨|ôù\9c\v\82k î u\15F4:öî\94zh\16²P\97$C"z³f<\12Z  \b;ÜI\99µâqW¢Ï\1f4ÚóG\18:÷¿\8fÖ\ 6\1d­BX²jÙÉ°\ f\e\14.FñìÚ\vÆã¨\10ÀuÀÖ\ 6Ë\eº@\86)\93Í\87Uo\87uú\½ \14
\ fú¬\12\8bSqúÚ\89ÐHxDÖÀòa\r\9a+\90®»³]\92h\86d\98\8dy\8a\1cJWp³5\91\ e¢Ðµ\ 3\89²\ e\8a\14[?\88@½ÓÊ\ 5þ^\10Ücðn _´i[÷\N¡\v:9CSW_\13I1ÈÚ²+¬\83\90\83^\81r)     .\13Q3g:²øó=V 3ÍdrÞ#¼ÙH\8cfëÓû\15ÑA\92¿ôÃõ\80»\83V-\96ìE\9c \1e
+R¥/\15\ 2Ñ
+3$åE´MB\8c\f\8eR7\eQòÍ~4\87§°uÖð91ÃIn/\f\92\19¯#]®{fä\8b
+o¦$MÀ\8c\985\f¾îÌ\95ýf\82\v\82±ÚJ\9b<h\aRȵÉÍ2\95× xQ£\8a-k61JS\f"3\ ft\95ì{ËPQ\83©T \96ØKôÆ÷\9elëõ+÷\7f|\9fw\ 4"\90]6Éss\ 2|íƳ¢î·\12\83*Â_ÖØ"hª\97©øý%Ä=`ñdt²\91
+G!ù¿Ý\12y\81KY3¤1ÍÈ1_»´Ô8rZ\11³bÕø\99}Q\ f¾CftÏ;g>\b­£\8b\ 2ó\1e\1a\ 1mG\16\93}21´ÎX\12\97\19£/\98¸ò5\86é?/Ò\9còϦé\99«Rw\98\83ó,\10¸v\16\ 5\8c\vbL~ 9mÓ\91³\bÙcØæ)((/\92-×}Ö\9a\ 4õv÷-13¡Kð\83\ eÝw¼a¨#ý@ K\ 2\9e\13\ 3'`=¥\9b\ f¹Ã¼§£·£\96Ñ\91Æ-ù¤ÝÃ\901ú|!,ë\80tXxÕ\982\81>\ 4Üß9!Þ iâ«g`\0L\80¶C\96\1e\ 1a\82H\16r=Ú2Éè%¥[ZCJèeRÛ\99 \19\bL%¥é\90¶È¾#\92«\ 4[ @GLjvÕå\14:Ói\eÃ\0I\ e\9f|\8e\10\8e\ eÉ\1a×¥\ 1ÎÄb,î{ü¢\9d\15r¦Á \9cå\9b:3\8dþÑ\9a×N­1<"4z)c@N¾§K²Îq\87@çu7ÀyÏ;\ 6\8fHÓlO\91ôz^\fé\87Ñ\bÓ\12a^­½\9a\ 2ÑÃ\r        gÔ\95\92\886Íþr<)Fè\15}\85\9cêü\ e²\8f_\9b#\e\15Á\83\96ÀÒ\96sØR,£\14Õ:~'U\80¨\90.>ô\eÀnqZ\8dî\$¸\1e\ 2\e\e\fzÅ:'vvîê\8b\86\10å`^¢\7f\19|\9dRBðe\0ó)\88!t$ösxJ\8e\ 4è-+
+\1e\e\18\92SV/\ 3xÚ 9\13OIüv\8c?\7f\84ùõ\90´ò\f\ 1\ 2ûÆ\94à\8elµ±\19\8a\80b
+RdaÎÀÉ®aý\8eÉì¢Ê\9d\8e*kD\82À\1a\92aE\97\9d\93ØI\rº\1f!\1ek\aÉ
+Àe<x
+íl\ f\ì8eI2x\18±fM\b\99\84uü`Úô\89 \16§\94sc\99\9cgp\9aSTF£\9câø\a\ 6«ÄL\80\9f¤*OY¢\94TûäÉmí\13Ð>\96ß±õX\98-¿o6\7føÝÔ\13HR\ 6r0\9dê\ 5\91´§\8b¡w\97ÿ\87ÉùÚÉÄ8\8dèÜ[
+cN¥ÅÜ8P\1cZ\ 2R\8f²\\a«\1f\83\9d\8c\9e®»½\10\14ìL_ÄÍ­d\9b\9f\99Y4)²§_\85\19\1c\8a\0\15>\9dy»"R+è\1d
+þòÝW\8cÏ×ÄפÆ!1\99)áÞö\828\82ÒÐo¬¼2\11lq\15ã²\1d\1f\15\84!k\8fKu\¯A6Æ)v`\18Ìx\e*%k\97í\15\1a
+\ f¢kdÀ\14\8aÈÄ·l1\10Îh@Âvæc\ e\bß]\16[ËÿÌ,TTB÷iÖ|ûF¶\17\14b»B\b\8d\95g5`\13]ºÅNÀï!þ;\12\9a\ 2ËA£ìáuçOÁ`\87Vߦ\ eçä)Î\1aJûùt\1e\97æû¶\85?\7fÐæsIø+÷\84\82,\94\9cùù\ f62Ý~|\90¢²?ÊÔVå\13Ù\9f\b}\80e¹Áü\a\91ù÷¿\1eA\1fÃIÇ\v1\160\11Æ>8Ðk\bÓ¦zþý\10e\bC9²·,Ö\ 5ó¼b\92\8aã«.ý\1e#©ôiÎ\19­ÐHrñM_\86Z\15\fø\1c²¬dB\88¨5\85ab\1d´v\9cÆû\ 2ø|Ð%\ 4\86q\eÛF^0ÏÇÈÖk\8b\98·Ç\0Èm .ÇÏ6\92\ e\b\9e"5,\93ù\9eHQ`§¤\85\8di\19(\e\96®Ötd\84\12i"ç6;;-µ^Ó0\9eæ\95Fc¾¸-þg\1cøÆèûH\1cËGf\b\ 3­ôý²\9aiL\83Ñ\96ìÝT\85Þ´û\92[_÷Po.à1k5äu\94\98\1d\8e%k^\9cF\8bÇð×X~à\ 6\91þþÔßi£.\18^\7f¤\8eS\v\97:\13{\83\19ÇËôgpÈ\ 2\91i_Ë\16\9eè¦ï9ùù\ 3Þ\9es\14iN\91bì·5mh5ä\8d"êLàdx\81¬%\17\8dm3/\98ç=\ 6[ª5ÍK\9b#*1\91\96\82»à@ü\10ã¹]RÝn\96DJ\ 4«\1a\85ëÌõ\96^\84Z\8c\ 2/êô\80 R\8bØç6w@\8c4ÎÈ_W_\82Ìôb\16\18:j\f\11d¡÷ÙW³uXÍ\8e¬Ja?\13\8cÏDt\1cÿî\81\f\845\0æaøbÚ\8b\v"¯ÑÌ\14\89ÝLº9¥Ài\84~Ú¹æ×H¦õ|±÷æ-Ôp $tÒ\9eô\97\8cÌ*\7fí    zÍê\râ­6\9f÷\y«ß÷|ú\19æ×\94\8b\14SIäÊrä%\92\8a0ã·û\85\9dR\ f%]èèÚµ0WG®bËà28\13A²°Áãä&®\8c3xþ²\e7\bL\18]\8bÔØöû\17L]2\89/ikÃ|Þ`"7§\8a4Ù.7/¢O:+î\12=\ 6AäÔô\91\ e7\ 1\ 2À¸x[í\v\82B°nB;ª\15KY.\18\92l\99ä\92k\8d¦O¹bØ\8a X;×K½\ 6{E¼?\99XÞ1\97Ô=ï0Y\0|ñr\ f\967\8dX,Ú,Ï\1a&I¬§\84\1c¼/Û\1c.h\1f1\99\80Û\1d¾\16\8c\ 5á?\86ÑHnÜÑÓ²eõl\fû!\86AEÆ´.C÷Aþ=SÏ\0\³,{¶0rÚ¹6äBi    .KÇAÈ\91;\ 3E?\1dnºâî!Ûà&\86=Õ£¼æ.kÈA"ù½^Úº\87\95\12æ¬Õ ©}Õ 7Ä\92:\14\f_ÀN\11zwHúb&±ñlÕ~\13\ f\8b̸Æf·¸{N\12\97P¾Úî\92\94ÕÍP\8bæ Ùí\9aØ\eÄE\85\16\86½Ôr!µû)ò­nü\fÃ\8c\84\88,\84i'qø:·\90\94é\98\ 3¼M\ 1º\87\94\ eª&\7f\9e\vÂ\82a\f6\ 6×ÿø.¯#¹a \88ft\ 5oâQþ9è\8d\ 1\88]\92û£\92N}\ 40¦M4L%ThbP\eû\86ÁÝ·®´î\18æ\1dÚ\9eêæ\15Cµã2Q\86!&\90\16YÁìÁ©ãª<ö\95\1f\18ê\80Ü\11B\16&\918\93xÔl\10ZÅ90\1c-\7f\83Dz0,ø8¤ÄV:ù\bNS\fÚµ´9.Le4±=:9\8a\19%§Å\92¯\18â@ÃÖ\88\ 3s\f\19ã.\93¡\98\95\94\1f\18Ø*\ e®¹ï\ 3ÜC c\84\8d¬Ìca\b\v\ 5nµX(\18Ĺ\ 5     guþÀ|O\ 6%\9bU2Ù®Oª3\1a3þÂ\84\ 5Z\18¶`\ 6.\ e_\18\ 6\8eÅWLe wLvóì\bâ+3Ù4\95
+¢âCBûü
+Þõl:¾/¹Åîo\90>iDí)Ùö     \84Zð"6'TÃà\8b&ñõèU\97e³,â·Á\97³´\92xW\8dÉ\14p\91ûEÅp°\8fÏ\1aSȬ¢z<¤\15Ã0üÃäcþÀTÉ\8a³ï;C\87\83Â×´f§òÿ«\86\v\ 3\eó¡ "¯\98b};Fy`tø\88d\1f\e\vv\9cz\89Þä5^P)ÚÍ~Íj%,¨     \8b$oßϪÜF¬@H\8eÉ\ 4-t©\9b\vP\f\1fਸËÌ:bySL\af\84\9c \1di¾bÐj\16\80¾\86>~`\18®²\ 3¬`¸H5Yq\fç \16\84G\fµ\8bJië;hÈöÀ\86\11qZÑÑ1´¦/¡P\fEDR\92øâwL\1d:q\17e\88Í"q´A¦0\f-fÆ
+<¸Æ\90«ÑªÐªOsFÓP\8eq~Fä±R4Ñ\12Áàg\e/ÍúNÇÐRN   ¬¿c¤\98\96\95¹,+ 5³³ n4v\e»\17Ìá\95\1cÃ\84\95ljb\98ÌÎ\17w`¯\18(p~è\r9\83è\82YîÎ`P"þ\8at\e·N<`úòs»¥\8c\ f9æj\ 5e\17µM\1aP\17\ 6\91B\ eÓ\1a±8øF\ e'\13Þ1}vôädB:Πð·2í>L|uÛmoGê\83LÜ¡\7f\91°Ç\8c\99ç[\18\84!UMb\86A\7f\180¸ÃGõ\19£·K\9e \ 4\13\81d\99ag1\8cùÄØ1\9eÞw0)¡\89Æ~\8a\81\eÙeQl§\84gL \8c­.]\17\8cäMg     Å\88qîáZe±9Ls\8bLc³;ÃÒ6ÞézW\9e\122t^\fÃ\9b\9aüJ¸êSD%!d¦Ü0\81\v\8f|õô\11C
+q×¾ \13\87ÛÒ\1cÚRé1}\89r\e_/0µ\1c\e¨£K~lÛÍ=BXÁ\18W
+1\bË\ f©º¸ÉFÂ\8a\1a)â|Ç\10L\83\11ÂÂ@!Æ\18Út!\bÏ®©þ\80ðé\18¶[\11\fô>Lò\fÃ1h\vût½ê\8e\81u»'\82\85\99³\99ïJ\8aa\8c§ûÈÝ\87\9eñáºq\ 6\81\9c|kÊ\edïù5\81½%\v\ 1^\1cÖ\a5.9\1f[sÇ\f¼V\9dó( âKL[:*Â:n\8d X©ìè\89Ð34ngöY\92\15`?l©U¹KÛº\ 6\8a\81çá|-\98b.\13\91Þ1È\9b\85ªë,TÊ2ê4\fv¿·Ã\13>c\90MÕ¤Ý\89!.\8cxK}\rÃ\90V\1dÿ4~`Ô \86vM\98\90\15S1\8dUÄlÒÏ\98J8Øà\ 1\13Õ1\1fëÇÚáÅ\89,ÙÎj$\8cb\99bþÀ°ÌÚÒò\8aá\94\14\82\9aÝ\1f\98Ê ¤Þ\7fÜ\19§Ûbîê\84^1ãF\19â|.ÏLtâ=\13\8b~²÷\ 3&6\19¹³§²\ 4=\10hm\ e+NÃm~yÇ0?­ª¼½Í3\rvA~\9fy0ÅøýÜAHÏTÚ0í>\ew\f: 1ä:\8br\90?Ý¢\ 3\81áRü¼2d
+\8d¤±Ö\8bBA\98MÎÚ­øæK\96/j¸û\89q\13\7f\8ca\85<\vÉÌD       \f\89b=þ\1dã\14{½\\9eQS\10FT\bz\18"r+°Kÿ\98ïrM\ f\8e\9d       \e\9f:\8a÷Ʀ\96è\90\88éãÛ;ã<A\92\18Ã\ fUg* ÕÜÍ|\17q+\11Ã;ÎÙ¹c\86\eí\8b\ f\ 2O\1fÝ(B1¼FýÖ1§wÌQ\19uNÄ>\86ׯ\eeÒý.ÛÈ¡ñL\9f\9bØ"<\rë汩@Ì'ÄØÌ\90\1a¦`\vF\82âw@|ÀT1-y' 4ãS²è\a]Ò£¶=\95âvjjö4ó\ 2d%fyöÆðKHÇ4Í\ 2\82\11\ e\18\83óQ7\bc\9dC?ãáñ3ÃÀ[EGf\9bS     \99\143\15&[1CRJ\115º2Ûg\1eË"¡xQ\9cÜܵ\11Å\8c®c\86!\8dt\14)_!`D$7ö\98\8d\96ÀðÁf;\9eß1±*i_9\93a\80ðû¬f\1eò\9fÐìÔ£vFê\1d- Ît3h`ðòú¯ë,\84èÌ~`âföõ®\9e±[Ð\85S{Fj\88\98fõV}:V\82\1e7Ï¢`X9óÓ;H5ä\89è¤O1\f¿B\¬õÊ~\r6[í\10¼l¬õl)®\17þ++#å?\ 2\0 @¶lg\92Æ\1fÝ|\9bcä>§\7f\85Èy\82\1fæ\184\ 6z6.s\f\13Yæ2N@ø@²4¶"\eÃ\ 5Ù°ÙƤùOÚÀæ\9có^CZem\86\81Å©'[°£\1f÷­\95âP${:Î\81W\95!¯X\18¹L´Üd\18¢G3_°ºE\9fà\ 2\8d\ 56\194\8a=ëÒ÷uV\16\ 3\18Uéì>Y(Ä^¾1LF\93IäW\r\83\8f\eB§KdÁ°3Â\ 4ªO\8ai\99\19/\8cä¡\8c\9f\92 e\18ûF»\869ÁÐþ*[À\9c\ f±t\8cXþ^ùsúu\b~lèY\9e(\ 3Éûë*O¾/\8el\1aÇ\8b©7\fÉ°\f\y\v{I£(!\14±KÈÒ §\ 2ÙË\15IJö ?´ÑHÌ%­§ó{)(\v]ÇwW»r\92Y9m\ÑP\a\19Ò\8ef\9dH\12%aÁ±8\ 3Ê"\aæ.F¶Ù\84¡ö\13¾¸dD¨\8fïÄBÓ\8a\9f%c\1a\ eû%ÔÇ¿jj{ÂÜ×ð(\97\12¨\ 6Æh³\a·ï`$\86\ 6õïia*¢4Ô#ú} \86n¢¿î#\19\ 5\13\17ö®GÔË\1dFt\f\16¦©TËÐ\19\ 6waó\94\17\86û\rñpòiÃ@\r\99è\14=r\80\91DKN¨¾¤@áf\867ïòÐ^æo»SÁô!<\92\97\9a\80¡æ\14mìå\ 2\93Ô§/qSª©bZ3öòí;U\ÒI\85\ f÷¡¹ì     Q\ 2>~{V¡¤åä¹\87òàà*\xµý¡ÌL
+\87íDöØ.Æ\8b§moõØv¬\15?An×4ߧ'IÔ\12\96¯¯C\98\1a,k¢\98Þ\86\99Uê±\1f\84á'9ƪÌ÷²8ücÐøÞ÷Ëï\18\8a*Á¥o\91¼-)\18v\1cbkrÚó®\83Iâ¨-Ë<sF\863ð¼DÜ\9eÖ²\7fs\8f\ 3õ¢ø'L\vH9\8eÉ\î\ 3Ï)\86Ú#LÁ\97ý      \93P-\ 6~\9b£\e§¦?\99\bò /ö^ܸY00
+:\9f\96\89x ´øaJ²Îú\92\ 1\85Àª§*Ý!\99\8b¸è<\v\ e\18\9a\15<¨<\vWÂòÅÙOÚ½   \18¦?\97´\92ß\83\90\82\81    \ egþ ÈéO\b"åk)nº\9eÄ\85ñ]¸eëú·?\10L\81w2Ïíã\15\93\18?c¹\17/\ 2&0Þø¥¸Jxó4éO6\8d¤0r_\98ok\ 4\861f¤(®SáÍb\81!\93²*P\80{\88\9bUS\f\a1ß|ÿ\rC\9fà4xc8iÜl¡`Z¡\1aJ}¯\18t\9f\88©ÉóÙ\81\82\11nB¶·øß\9c¬`¤åÔ}\89ÿ\13&É»\ f3rsÍI|!jBô\98/æ[!Pó¼®ü\80\81\94e\bÆò\197\9f¯\10øbhÒxÅ ê\2Ò\91ø\9c)À`\1dérm+¹Ý²\89`ºô\vòw1¹e\1c\96\vó\9d\95\14Ã\97ék{\89S\89µ\9dLfN{\98o±L0CFÊöä\rC\ 5S²,û\1c\ 1ÁØ\9a¯dò\84@   Qè\80õIÏaS1üZ\87\9a\9e0\f²F²äÆè\16l\1f1\90A¯:\18\v\93\90ãÎ\1e¯ 9\aC\103¡fó2$\84§\1ee\15ù       \12ÓÙOLk,üè\83U@`As\17æ3\8cÖ²ä=\15\ f\b(d$\11çÕ\ 6è\83²(ÅùI\90´\1d\14×£\12®\83\1a\8a\9d²ï`\90\1a\90x<\1c\fó\98¡Ôw\b/<¢\14\98\15;_ÿ\1fZ\90²Ä½¾¨\19«\e\99Iuz`xOõ®\\98DEç\Ï\86\0¢_e?\9b\84\ 4å\8dý$æ\99³\ 1\86=é"(üVt\ f"\18 %qö¦I:´æº\18FT/\ eá\8e}\16«\b\8d\ e\9f\89gL¬XÓ\8c\8a\82\81rè¸NéÆ +ü\10»\93_18O±\ 6jF\ 5\93c\eó³Ì"Í$Q)¾C:K\9eÏëD)^°â\e¦\8aû\13ÿº§\vß[\8eD+\18·\0\17çà±ý6Á1Ë*\7f`àò¶ÌÃ3\ 6\ 2\19SéÀîL\17àLâÇ¥ `\18ì\8e$\8cwH üàñ×\95a\ e<\ 1Z\9cö°\83¡7é\9a\fV0\1a\93î\12â\94±Êa\89,\98¹
\99     Lè²\ 4\8aéfЮ³\18[x´9ý\97¿Ê$Íöyç\9e>\97¸æb\8eí\9afb\ 1\17è9\9aD\80Y'_\9b\13Ån°æòØ\85¡ËPýåѸ\1d\8a\1dlùk\81¹\8dbE¶ÈÊ<MO\88\8e¡\81æÂó+¦`Àê\91J\14\83éÞ¹N1[f_1bØVRx|\15Ü\8b\96^\r!n²«K2\84\9eMÓþym\98>v©\99¹ø¼ôS\\ 5>]䨼ÍÅ#f W¬ãÂ@1á?ßå\95\1c7\f\ 4Ñ\e©\90Ãý/æ7\ 1 (\81þqY»½$0¡CÕØwÌÅÔ¿eÙ¾ øéø\84\160ÄÄa\8cúlÍ©\9fWH\82î\ 3\v1Vý&åÿÕq\8cYfm\ 6\7fbÄXpûh[S     :H\b´Ât<\1cÇ0±\91\13B_á\ 3e,ðV\1d%\96\ 4{§Ó\ f\fw­V2Ã\88'îâ0·ë\84Ðèwà\85ã\13R°a\f\924P1|8\11ê\97\1d©\15kñ'\ 6»\8d\9e[\1e\ 1\82q\95èFkò7\84\8a¦3A¥Z!\83®<l\18fV.:\ e]kØ\7f\9c\99\92\95b\1a\ 13¼,yâ»DÙiÆ'¤Ë\98÷åþ«\bB.a\9cICÎç^¢|a\90+¼¶\84\9f\\ 1MÑäó     i!Ú%â\86\10\15\91Y7^`àMr"¦ø±¥\94\9b\847\84\86¾1\93¦ïÕ\ 3
+éåÈ1g\18\19z^\1c\80$\86æ·Çä\9d\ 6î\ eA«È¥A|ºa\92¸øt\ e{.B]4:8\ 4ÿ6ZÊçcþ@\1aBÀ\´\1d\ fr%@à@ÊlV\1c^ËPxj]>º7\8cJ\8câé\14\ 3=³ÉáX\99\e¦À\15ç>ä!<\8aµ0\9e¬ä\85\ 6Gk\16ØÍz{\7f\ 2ã\92û\89ye\88+¦ M\8ci\98ë^¸oT¸Ëô¯1\95Õë\88X7f\ 2\ 3ïã\918ÁÖa\1eM?¹Û\1a\f\16M¨ãLO¥¼ç\82\18\89      \b¯\14VÄý÷±Øâ\ 6ÁÄÀ\95\89bâR\83ö?L\97I:b,:Hð(Sza\18\ fÒ± ïü  \84\90æ\ em?\86\ 2CgË8\80i\84\1e\13ué¤Ò\8c\9f\86jâKeÀÚ\17\84hi\ 6|\9bà\1a¡\ fäA²­a°\ 2¬\94êÞÂp|Ô»ÉV*f\15o\9bª\ebæø~J©§Ñ\ 1\93\83Íz\8cÅ\r³ \e\r\1e{\fSÂJrÿÃÌå¼\16\ 6\8f\10ð\98¬ q`\13\82\8bn?\1c\83\91\184b/¨8tì¥xÊø\1f\f6aä£WÐ"}¨r ?Ï\90\9d\85V\1e¾¸`ln\8ei\87íù¬3
+Õ1ÄÄ`þ{\9d\87\1d\82ÿÄluë\ 5\12\1d¥aù\e\932/:Ç´\91\8exOås»\17\87c!\85¬Âü\ f¦a\95gxò\88\18³,?\9dÞS\8e\1f¬ÌϽz\95`%ºêç©)\14\18á0\9d7ÌÃz\8e\99ô\81­ô\88   ¦Õß³qÃàU_t\80%!\1e\89OòWu1Å/ÿ\ f\9b\92\19\184ßâQÂ\1a\9f©æµó_\9e\93<÷4¤\86_«[sį.\80@1( ÊÑ\96½\95Ôx\18\87_\18\9fÀÉ!\86\ 6>Ç ¥\10^\9d'\86\19\9d\16\1d?1Ð\19\8a\1a}\8b\e<\8e13\95ÝÓ\9e¥»LvWÚ\ 6C\11tÖs\7fØ@¬´øÉ4>1\84\ 5¨=fs\82`Jv¦ßñéM_W\bU8\97\ 6ÌÎ\8dé\91\88¾\9d©a\ 6\98ÕÚ\18\ 6%éBöO\f\85Á.º ·\1fùAå\9fy\bñV'\ 5àv\7f¥Ï_*|Ç@]\bêh¦æ`Jñ@±l\ 3bÇT¨=º\ 22%ã`n\ 1\9btÖEr7;\aáB\ 4?/\fõÁ²¤øP6V\92\ 6åP[+\8ai1­!:Ì/×\99ºª\86!zEe¤]9Ò\a<\81l\9a1\ 3\ 3«K¾Ú'N\12P ©°Vá\ f"N¬\89çPC°\80yyØ\95½^\89²ý\b-Ó£Ó\1e³Å(/\19\88\8cñ\89)bX\93ÖÂ0ðÞk|A\10\85lç>\10ü\xºKNP\ 4¡ ô\91\17¼rf\9aY\85ܾ0¤
+Z\17³\9bc0\1c\977\8d&Ûå\18èwöjfE0#Ò¤*rü`Ø\ 2æ\ 1­Ì6U¢@y@\ 1qÓyHåôv`\90\16\86æL2\92üè%¢\17ê'\86\14\0M$(ÛêG\ 4-&\13þ®ø#Â\85\94¨ä(\ 6{C?Õ\1eç\85ÁÍ\14}\95o¥Ð'Ä\13êòµ`2\8cP\ 27\19vwvÃ\aÉçB0Ü{b.ðO\9f\18f\96«#îYúÕ\7f\1e\8fè\9b\19\7f\84A¦Æ\92Ú\f\ 3¯U\91\89E\ 1`:'¦ùQÆI1¿F\19\88Ⱦ\91D\97þö\87­ø\12Ùh±tI\e
+\80\9aê\8d:7F\8eAÂM*»wL\1cø\1dÍ\0Ã0Õ²Ç~\13~\91ÁâÖf2A TN%«º\b\ 2\83\9d\97\11í,*\9e)\1f¹5ª~2zÏiR\85kO³
+\86\91¡\ eÅÅ\e\f\1aü*\8apt³17\ 4\1cV¦7ia"¥#$øÖ\81Á(\934òÞ;0\ 1§\11-k\18\86M¦:\8f\ 5\88P\aù\84Ýv\eÕ¡vô\11¿¯
\18䱸µ2LYz°+ØPg|eÁ\ 6X3É'øú\117?\82©\81;@\9c¶/\1dÇÍ5Nk\f&óXó)6W8^üs\rG?Ñ9¸:Ïý.s®çi ¿!²j,Ûù   r¹,\89
+LSgRìMí÷TP\88\80\94x§Ú\\94à|\1eE*2÷\9e»\9bhQ{eIÁ` ¸F5\v\ e¦\15¹òÓ)\fx\84ûÌÉ\b\82Q]»²æ\ fåÉ      {Ó\82ß\1aÖÂ\ 6ª¸¬
+ãÁ\ 6û\a\ 5z§$7aYêÁ\12l\I\9c(¬{£bL\88èEÞ'f\98\18:\1a\96mó`\9bLä3
+_\18x£l&\ 1ÃD\ 6Æ'äçæ\85îb¶Ü"\r¡ÌóÚBÊEl\9d\ e\1f_³=ñ\f¾\82¡8\9e!\fÃ{\90ü~\10\16ÃÐ\97gW\fËC>m'\19\81af­`\86éÌ}°ýÝ\18,\1e
\98Äñ«eÏòõ\1c¨½¿\92¤`Ф\ 6Y\18á\8c\1f\86\86\17\11YÎçP®\81\XV\ 2\ 310ü­<T!!c á.0\ 3÷اÅ\97gHß­\ 2ÃAB?Ì\80´\9c\91D\19\15ÃEÍ>\94§ÎT\8bQoîBÁ m\8cÑktz©Ä¬e\ 6Æ\8fñO\1cÇ 3mBÛ«£\7f\11È
\81\93uÁAàÆá\9a¼E\\17/\v       f\13²\ 1#¢~Fo\9b(\84äÙ±h"\ 5\ 6\17¿¸v\13\ 5\ 6bÌçÞ¢(Ùefa\98j*È\v\87Õ\ fß*\ 6A\8e³1\1c\bi\93}´çÌ\f}\97&k¶1ÂÏÌ\e^9\19\86xSÝ÷,ÌdÏãîÃd\1dX\r\8e\88É]3(£\1d\93N\1\8cø|Þ×\ fòÏÛDDÅP\vM\83éYO04t§¥;¦\89ÙLÓ\8d\10\18ú\ 6\e\8c£\17b\94\10a]}Å@mÖ\9aGD`\93æ\11Á1l(®R\v}\17ê\89ë\86æÍ .¡\19\8c5cªln\18ô\84ÑE»w¿\uô[H\95q;x\7fÊ\rkz.Mf\83ÞÔé­\að] \14-¿
+\86\80\0\19p¿ç9\10o\9aè«e\93IÀA\8d\19ÓÍÇ8»¸\ 3\81]\88:\91h$\ eîd\81\0w±?\9e\83ÀHÈ\80ä[\88\e\83\ 1Ëî6\14CSºF½ÇE2å¥\86(i/\e¦ÎFÍóVrñáH;+B¨2\bR!ÑM0\ fd\88\1fÎ\96\96î\18\12#ÎfQöd\900\ 3\141.3ª\18:\rùK{?0â\9c°«,\84\97\10ý\rEKº¯Î@â\95Æ2Ùw\f£TdË\93Ï_G\92\8fA\ 1CaP(\1eÖ\fC_$Õ\94v\ 6A\88\91öL3\93S\87­³È{F\93P0ß\97ÅÉ`&&\ 6\13Ñ\9e{\151¤Æ\8bC1L\29ÊccPi\18Ä\83Ê\1d\8d¬²?\a«\bÏõ\99vÛ9\e\82\14³så\1d\ 3Á\15Jäfhêì2\84BÄÑ1È°ê\93\96\83e\10C_!Ðó92\99°\ 5\1968\86×&\888/>ML¦Ô#\99\1e)\86`%$«sé\18\91óä¼ó\85¡ëxò¢\©\18¸ó¥¡\8a\99\9dõf>¾ x9\16\ 5î\16É\12\f\1fN1¢ãÙ\8a\9e\82\90«Ø\9bOHc\12,áØi _î\88\17©ûUpf ôÈ@²ãDYW\13ã5©è\ 6Oi6\19\8a\81\19lIöͧðÈ\14ieÂ\14
+ºk\9ae'sÓ\8câg\9e>\94ÁÏ\9ci ¯'oí«'\92×8\15I0"\03TbÃ'\86O\\ f\1d\93Ù~  \Ë¥eJ\86×\11\9f+\13¦\18\86m\9e
\18Þ²Hõ\v#Î3JÚ±òÀõâ\95S|®\85g\83Á\83ñ®b0ì\90u\8bK\90²\10\ 2w\17sç'î\1d\9bå<l\10qä-\ eõ\v\86ÁkùµÖcx&´¯éÒ:!³]£\ 6Òé\98ǽÂè\86\11:\83å\93s\ 6\18$\93\8c#\16ËÞ\959®ÏvrLEó\98»§\13YÌvÏ5¯éÉâ­\90*æy\9d\87K S¯®S/\8c§\ 5Á\85±|²¼
+\98!"e¡êë9¼\99Ó\15\89\95ñë<Ø!þԪů{Á]ì\8a\99Ö¯úð\18> $­ú\êL\85;¾óèÅß~M¹ANêkï}/L3ñ\81\19T͹\8eOaR#î\13âÇTÜÇ\10\f\83#çnym×ïiV\f\ 2]\8a\aF\94t\98ܧûv\81¡ä\18ê.­½o©`\92È2\816·/\fv
+Ú0ÿ{g\r0d\ 5\96½\8a\91¸³\ f\18&\1eÖÊ\9a¥®,V~J\91\b4̲\Ù\10\fÖ\1c\8b\6küaÕB\fá©&ÕõÎÎ\8a¡?±çͼ\17Ì\10_)rà\8cùG,\14\ e\7fhNѼ\90\92[\8b«v       ¦w¨\ 3\97ú\réx·fÉç.¥\ 5íBÚº[ï«$\83©ìqR\8brWv \84\87èÖûî\10ÊÏàÑ\18\9b\8c\8fé\9f\18\1cÂ\88¨×rç\7f\1c\8b`ÐZFW'ã\vÃ@!\92b|òÝA\15~\96V\84½ú0\10\1c\ 4ÈPθú¹J½BÝ\8a\85`à4~Âå=Oüñ\97\82a³(Q\1fn­o\18\9e\19X\9e\9d]þø]ÁÔÀ=´É_\18Q\81(U\\98?þ[0\84©\7f\8c\97Ûn\1cÇ\11\86\9f`ßao\bHA¼\9a>÷8W\12â\0\ 2\ 4$\90m$w\ 6AS²`\89\14(:\81ß>_Uu÷ÌrfeËð\ 5wÿíCuÕ\7f¨8\1f\ 6ó"FÌcbö{<ÙÄ\ 1\ 6¯IÛ7\8f¾\89\15    \1aá$¬\92zþÛÄ\130p\b\81\9eMÌIBÅ%2Fµç\8aM\JðS¥\8c´\1e\1f»À\84R#ÄFþ\fûñ\r\f=!¬±dÄ')\10\88æÅ\1e\12\9fFÈĪ\1c"\98íÙ\8f¢`P'\ e'\9dQ÷#-\18æ\9c\ 2J8±u\b2øÕ\155\81\91\14I\1d\82\185ÁPÿ\84ÔpEßK\93(CÓ k/Ç31\¢êa`*K\18í\\82\ 4^iE\17\93ðR\88^\ 6´C°¨¥\15Ì0\10¢pÈÔÅ\18\f\96±\88ç\13¢¤QO3ì\8a ÎT`\9c\18¦u¤%yMðOX\vR:e¼\15j\8c\9a4\f^\95\1e      9t³\92$,0Ø®P\93j\18\14·½ÌÀ\90|qÌ^TK1\ 5z©&tý^9±\ f\1a\19\fY\ 6\13-\ 6p`pr\8e¶iTYqJ\85\16õaõ\12\18§\8c\ f!re;³\91¸[h\a{\95x\84¹Å­=ÄÌXR\8aèÛ\9dÄí[`\1cõ+ÒÑì1î\9d\ 2¼éWT*\18\86ªj;eÅ\88\99\18 ~'þ@1TÄì4±©pZ¦¡à\88Z\16\r\8aáÝfólË:Þ\9f¿'Ä\1e _§\ eºcð~4O\vµUÌU9\13PÅD¤E\92¦Ý\8bex;Èá+ëÐý.BÃ26\ 3\ 3\95UL\8e(\94b\82Pp¶\ f:ÆAwX£Ù®ÅL1¢*GKy`\ f\9a\aÒµãà>\9aE[ÊÌx6\83ÑÖᨡ,Õó~N<\8f\84\11ÓÀC\92\87V\94ôä¥ÀDú8ʼ\8cá,\93ÏIòªM\1e\18ç\9a\9bvóè\1c\àT+,h\18)\1cøuç\b\1f\8e\b \18ÎêEà¦!3Ð\ 4#ã­\12\8aA\84¤¥×]Z¤Ñ³\97\97QLá/.\11Ö\88    õB¾C¾\80\80Á\vÁGºÄ\10Bb\15\16¬£6Y\183\8bR9[\ 5\ 6\16é\13Î|°\9bïµa\9c!ÕDW\ e\89É°ÕÜÚÖ0LîYô\ 1\83Ç¢G$[$ÅHçõV¿\8c\11%Y©\aæ\ eí\fz\vC¤î\13\aGîapF8\80¥\87\11d\9e r\17o\10Þ\9b¦\86\ 5K\17\19dbÝ\9f\85\11\87½5o¦~qJA«E_\8b\8a\ 3\98hvoud,(\0[Û0\ eÑFfV^\88\1eNQ²`;\8eH\a\7f«\ 2/\10\9f»õo\18\14\84\ 6Xô,\89z@\1cÞÆ¥h¦P\9e\82¿
+\9eo¹Vp2"\92¦F¯\83\81Á¥\8e96\fm`}=ö\12\ 5\9b\15ãŦÎ+\13\88%[\9b\81"I    U6a¼\8cq]>\86J\17\1cªSih;yFÆ(i``\97ÜÃ¥`ðµÈ\9e\7f\ 5\134&¹Ñí\84´@oC\8b³U\a\8fÖÝíW02\f+V\7fâa@ðukåáO`\8aj&ÔN3Í91\8d®¬N\83#\85\8a°\1eÓ|  C1\913gyF1yóV;\984\9f?V\90y(¨0öÞ Ò\10ÞXå2\86\91êJÐ04\1f{¥É\fA\91èD\fPS3\¢ïï ´\93ÉNÐX \10È=/bJcÖÑ\18â\f'<\\9e\94.ÀÐNé\\84=þ       Iè\16o\1fúì.T^\r#¡#k2Ê_Á¨ðä%Aø$/\15|±ÑÊ\92¯\bBz­±WJ3Ù(5\13#\18\8cmJ뻣¯>àf\8d\r\80\båÆ3Oµ\85P\87¹\9cç\87IügñSÛHÆ®\ 4\98f\89\ fÓ\Ú(åK\18Gáà\ 3\898\rã\9cy°¥\a\9dp\85%9w\11\93\97\19P\fN(4=u\ 3CÐ%\rL14\b¬®\89c\10\ 6\17¢RL²\91;\98d\14½¢8ç|iDÓÖ!»tïß\13!)\8e1Iª    \8a\81}c\8a\1a  /c8\90\ràH±Ùc\1e\86uÈ¢ïìoÚ70\92«¢Ä7\7f\11\9d9p;31\8fT«C:0l\9f\8c+­Ì\90¶Ës\'Ë\1d\f\ 4\8d*iÝ\ 5\13qI\98\ 2D?Çhs\93\89F³Ù\8d80ô,\86ÍÇì.b0Ûpznr\9d\91LfÄzÛ\ f\fïB\ 1¦~wX\93x:é\93u\f\1e\ f\ eYöB2«ÌC\7fR\81$b\85\9c;\ 4áÇ\97÷\11\8dL\12á(\fõ\ 3\1eu\es\ 3&\8bõ\9aå\9dÛq\98¾\89~\13\1dë\18ün\18\82\18\ 6h\1aN\ f\fÔ&ÿ\8dçÚÃH"\15cÙG=\8aªsèA\a\91\ eç\ 1=\ 4\99aª    Ú¥l.\fÌÄ\Ú§\171ø   ò\91E\ 2ÅD\98xZµ3\18þfJ \9b6íQ̾vOègÎ3¶røv ô7ñe1"@`¬\ 43N&&\82áñÌ º\8eIÌõ$|d\15\f\ 5¨ñ¢[\bKòõêAa\fbn6£¤\18\19@ʼj\8c=\fGÉ!.ë\88ßfLå§Ö_\ 1ÙmÙÒ\1d\ 5A.*Jq2H\90ü\89\97ÊN¾FÓu\89\9ci+\1a#xý¾@û5ËÐRÞ\9bÃ\1fB>\1eÞ\1dþòãaÂxê?Absëq¢|ö/Í\92LÓqÚùì×\ 3|GåårÍÒóxçqçÓ\81\11\876èz\8e3KèÜ`¨G\14\97Ϻ\151\9fw\96A\ eh\1e:,6\aM\8f 7tÀÔüü\ eÂ#%ø^æF\8a&\ 5Ù`¦éD)¸\ 1\8e
+àv\156\87\eý\1d\88BÖ¤ÇáΠ~\7fg\1fÖ\87·#,à\82\9ay»0M¯\9e\87\18\aq\ eö¶OKvþ5\e\ 4±aüzHà\19\80\82\ 6\9e\9eWçÄ\88iyº~\b§\19§Ì\e\v±Yd×µ¿©\95ü¾Ð¯\98i}\ 1\10\11\95cF{F\95CT,øLD\9d°Z\\9cÝ86?Í1$\86\91{\84\13Ô\883¶l  \82&\1e¦\8aùF\ 3H\1eü\18G\14Ô×SºB!I52RQ«IëÑ\f°Â¤µ\ 2\1205².VV\9e~\12\7f\89\8fÄ\89Êà&G~õÙ\1e¤Ú.° Þ7ÂvB\10 ÐK<|\e[v\89Ü\ 6G\13`ks\1e\82 Ä+¯1¤¿\19\96\87ýj\91W\15D¿[ÔÛà,¹\r\11W¹{\8b¸Ñ\97áU\83\19\93)ï¬â=\eO¢óê,Aà]è\9c\ 4Hæ÷\88ùFõáVÚ\aJ)ú:l8ÉysëuG©\11T§yi²\16!l\90\ 4KQ»ª\b¦\16\97\14Õ±\9d÷\88\8b\92\18J(YµjÓ\83u¦Ãø¶½BØô`E\9eK^%Øs@¥\ e\9eZ\8eä\10r>\89Ïóâ\8e1\1dÇÊ3Ò\a\9e\9cê4Çð\fª§&qzÍ\8a¹àvÍJ(f>AÚK°©\85ZyM\92\12,\90\1aµÄIÕ\1fCÉ=°Æ#\vÁÅEÅ\1fÏg\87e\97y:%Ç@C8j\ 1À¤Ó<c\16D\94$g\80À\83\99$Éí(Ì\89Å\98\802«dÏþ$Â7\13\9dªÊú\ 6ao6ã\8fɹaw\11\ 6\9bæ\98\94h\19M3O1\eN\ eRG¦K\93\83ä\82\1dDåÆ\fvÖQ.r\94?dö\8f\7f
\ eu    &\e\ eïK\97Ϫ%®i     £É\17\99Ï~=du\1eØd@\1a\ 2\19"\11\10­
+\ 5\81\0tzåã^       \89\eÙ<µ|Ü\8e\84=\ 6]|áC((²b¬\8d\v6\bOÛ¡ztT\11÷²\~\8dÙ\LÛ_<\199ÈË8ía<m\13\92px´\v=ÅðxLP\86B9\81P¦é\1aÄ\8fuÐ~ÝAltm\83ÙhÒÇ=L\90Ø)\94iv\9eß`B©\ 1#&¼\bb\92³`Ï\9a\85³\81Äï¦FD;\ 3Yø¤¦<gzR\8f§S¿\8e\9cìK\eT      ­mVr8á\1a\8bI\0T%«\92Ìøº&³PÙ\8b\9c!        Õk̹\91f©EÒ\13aHÝ?Õ ¶ud\8f#\7fWð°W\89\ 3Qð¹´;\92\ f"UAL\98Ïq\1fA0ÇXñ\99\89`\9f\v*P=\ 5\13V2\f%¨TF0ÂÎA\94\80,+÷\11\88+È>Ã\a\8bÚ\b]\135&t\ 67\1eeÞ2ü1\18Ç\8aBÙøÖ\11\95´\ 6,\8aá\16A\126u³\16\7fâÅ¢\11\8a\9fl\ 3\17"Úzz\9a\13á\10\96#~AÒ²\ f\8d\81É\8b\ 1ÁTz\94Gf62ç·ÐËßL%ùr\14\16Ædc\b0\1a;`fÐcê¥^A\98\1fƤËR    ­sh\ 3\1e\8cº\97Ú§Jx\8a\96Ç?\84\10$ú°
+lÃk"Ëz¸\r\93q\92$vÃ[.\8b{\94¹á\8c\1dÎä      I"uéÀ\rFR ²$üÝGS?Ûð"\9fÒL'Lj0\87\12ô×4âiJ\ 5     ÁTiSø=b\91O\95\90´²Ò
+z6Î\84£æÝxUa±]"ܹ«\11á»Ã\8f\87«\9f^¼|xüû\87\9bÇ\ f÷w×\ f¿\1f¿å#ÞëøâííõÇã³\97¯çãëO\9fï\1f\1e\8f¯î\7f»ûùËñ\87ûÏÏ\8f\7f\ 5\95h½t\19÷öÃû_\1e\r\198þEÜ«ûÇÇûOmI÷µ\15ßܾk\v>£Õôßóã\8bï\1f\1f>ܽ?>{õêåÍÍo\9fÞÞ?^Ë]\fø7þ?ÌÇgÏ\8fÿù÷áÍ«ÃÕË×é§ïî~~sýûíÃ7ß\1c®®þuýþö\87\87ë\ f\1fo\1f\ eï¿\ÿ÷öx}w'kÜ~æ\9bãû\87Û/\8f÷\ f·Ç/¿ÜÿO>á'\1d~uõÝ?ÿqø¿\0\ 3\0N)\13E\rendstream\rendobj\r19 0 obj\r<</CreationDate(D:20131223221535+01'00')/Creator(Adobe Illustrator CC \(Macintosh\))/ModDate(D:20131223221535+01'00')/Producer(Adobe PDF library 10.01)/Title(logo)>>\rendobj\rxref\r0 20\r0000000000 65535 f\r
+0000000016 00000 n\r
+0000000076 00000 n\r
+0000011518 00000 n\r
+0000000000 00000 f\r
+0000011569 00000 n\r
+0000011896 00000 n\r
+0000020767 00000 n\r
+0000020655 00000 n\r
+0000020529 00000 n\r
+0000019572 00000 n\r
+0000019968 00000 n\r
+0000020016 00000 n\r
+0000020840 00000 n\r
+0000021047 00000 n\r
+0000022120 00000 n\r
+0000027261 00000 n\r
+0000040298 00000 n\r
+0000060116 00000 n\r
+0000072030 00000 n\r
+trailer\r<</Size 20/Root 1 0 R/Info 19 0 R/ID[<CB8611C40043413B95DB985CBE1E6466><B1F11E0A79044519A152C1E8C774C1D3>]>>\rstartxref\r72212\r%%EOF\r
\ No newline at end of file
diff --git a/src/keylengths.tex b/src/keylengths.tex
deleted file mode 100644 (file)
index 23b7607..0000000
+++ /dev/null
@@ -1,73 +0,0 @@
-\section{Keylengths}
-\label{section:keylengths}
-
-
-\epigraph{``On the choice between AES256 and AES128: I would never consider
-using AES256, just like I don't wear a helmet when I sit inside my car. It's
-too much bother for the epsilon improvement in security.''}{-- Vincent Rijmen
-in a personal mail exchange Dec 2013}
-
-Recommendations on keylengths need to be adapted regularly. Since this document
-first of all is static and second of all, does not consider itself to be
-authoritative on keylengths, we would rather refer to existing publications and
-websites.  Recommending a safe key length is a hit-and-miss issue.
-
-Furthermore, when chosing an encryption algorithm and keylength, the
-designer/sysadmin always needs to consider the value of the information and how
-long it must be protected.  In other words: consider the number of years the
-data needs to stay confidential.
-
-
-The ECRYPT II publication (\cite{ii2011ecrypt}) gives a fascinating overview of
-strenghts of symmetric keys in chapter 5 and chapter 7. Summarizing ECRYPT II, we
-recommend 128 bit of key strenght for symmetric keys. In ECRYPT II, this is
-considered safe for security level 7, long term protection.
-
-In the same ECRYPT II publication you can find a practical comparison of key size
-equivalence between symmetric key sizes and RSA, discrete log (DLOG) and EC
-keylengths. ECRYPT II arrives at the interesting conclusion that for an
-equivalence of 128 bit symmetric size, you will need to use an 3248 bit RSA
-key. See chapter 7 of \cite{ii2011ecrypt}, page 30.
-
-
-There are a couple of other studies comparing keylengths and their respective
-strengths.  The website \url{http://www.keylength.com/} compares these papers
-and offers a good overview of approximations for key lengths based on
-recommendations by different standardization bodies and academic publications.
-Figure \ref{fig:keylengths.com} shows a typical comparison of keylengths on
-this web site.
-
-\begin{figure}[h]
-  \centering
-  \includegraphics[width=0.65\textwidth]{keylengths_com.png}
-  \caption{Screenshot of \url{http://www.keylength.com} for 128 bit symmetric key size equivalents}
-  \label{fig:keylengths.com}
-\end{figure}
-
-
-\paragraph{Summary}
-\begin{itemize}
-
-\item For traditional asymmetric public-key cryptography we consider any key
-length below 2048 bits to be deprecated at the time of this writing (for long
-term protection).  
-
-\item For elliptic curve cryptography we consider key lengths below 256 bits to
-be inadequate for long term protection.  
-
-\item For symmetric algorithms we consider anything below 128 bits to be
-inadequate for long term protection.
-
-\end{itemize}
-
-\paragraph{Special remark on 3DES} \mbox{} \\
-We want to note that 3DES theoretically has 168 bits of security, however based
-on the NIST Special Publication 800-57
-\footnote{\url{http://csrc.nist.gov/publications/PubsSPs.html\#800-57-part1},
-pages 63 and 64}, it is clear that 3DES can only be considered to provide for
-80 bits / 112 bits security.
-
-
-
-
-
diff --git a/src/keylengths_com.png b/src/keylengths_com.png
deleted file mode 100644 (file)
index 202e5db..0000000
Binary files a/src/keylengths_com.png and /dev/null differ
index 878497c..5cd2485 100644 (file)
@@ -26,8 +26,8 @@
 
 
 %\newpage
-\section{seclayer-tcp}
-\input{"./practical_settings/seclayer_tcp.tex"}
+%\section{seclayer-tcp}
+%\input{"./practical_settings/seclayer_tcp.tex"}
 
 
 %\newpage
index f2a5b95..eb2482c 100644 (file)
@@ -1,11 +1,13 @@
 %%\subsection{VPNs}
-\subsubsection{IPSec}
+
+% ---------------------------------------------------------------------- 
+\subsection{IPSec}
 \label{section:IPSECgeneral}
 
 % ciphersuites current 2013-12-09
-\begin{description}
+%\begin{description}
 
-\item[Settings:] \mbox{}
+\subsubsection{Settings}
 
 \paragraph*{Assumptions}\mbox{}\\
 
@@ -139,14 +141,15 @@ parameters are shown in table \ref{tab:IPSEC_ph2_params}.
   \label{tab:IPSEC_ph2_params}
 \end{table}
 
-\item[References:] \mbox{}
+\subsubsection{References}
+
 
 ``A Cryptographic Evaluation of IPsec'', Niels Ferguson and Bruce
   Schneier: \url{https://www.schneier.com/paper-ipsec.pdf}
 
-\end{description}
 
-\subsubsection{Check Point FireWall-1}
+%---------------------------------------------------------------------- 
+\subsection{Check Point FireWall-1}
    
 \begin{description}
 \item[Tested with Version:] \mbox{}
@@ -167,7 +170,7 @@ Communities can be found in the ``IPSEC VPN'' tab of SmartDashboard.
 
 \begin{figure}[p]
   \centering
-  \includegraphics[width=0.592\textwidth]{checkpoint_1.png}
+  \includegraphics[width=0.592\textwidth]{img/checkpoint_1.png}
   \caption{VPN Community encryption properties}
   \label{fig:checkpoint_1}
 \end{figure}
@@ -179,7 +182,7 @@ Phase 1 and 2 (figure \ref{fig:checkpoint_2}).
 
 \begin{figure}[p]
   \centering
-  \includegraphics[width=0.411\textwidth]{checkpoint_2.png}
+  \includegraphics[width=0.411\textwidth]{img/checkpoint_2.png}
   \caption{Custom Encryption Suite Properties}
   \label{fig:checkpoint_2}
 \end{figure}
@@ -190,7 +193,7 @@ found under ``Advanced Settings'' / ``Advanced VPN Properties''
 
 \begin{figure}[p]
   \centering
-  \includegraphics[width=0.589\textwidth]{checkpoint_3.png}
+  \includegraphics[width=0.589\textwidth]{img/checkpoint_3.png}
   \caption{Advanced VPN Properties}
   \label{fig:checkpoint_3}
 \end{figure}
@@ -205,7 +208,7 @@ button, you can configure sets of algorithms that all gateways support
 
 \begin{figure}[p]
   \centering
-  \includegraphics[width=0.474\textwidth]{checkpoint_4.png}
+  \includegraphics[width=0.474\textwidth]{img/checkpoint_4.png}
   \caption{Remote Access Encryption Properties}
   \label{fig:checkpoint_4}
 \end{figure}
@@ -234,7 +237,8 @@ Please note that these settings restrict the available algorithms for
 
 
 %% cipherstrings current 2013-12-09
-\subsubsection{OpenVPN}
+% ---------------------------------------------------------------------- 
+\subsection{OpenVPN}
 
 \begin{description}
 
@@ -363,7 +367,8 @@ Which cipher suite is actually used can be seen in the logs:
 \end{description}
 
 
-\subsubsection{PPTP}
+% ---------------------------------------------------------------------- 
+\subsection{PPTP}
 
 PPTP is considered insecure, Microsoft recommends to ``use a more secure VPN
 tunnel''\footnote{\url{http://technet.microsoft.com/en-us/security/advisory/2743314}}.
@@ -373,7 +378,8 @@ authentication protocol for the price of USD~200\footnote{\url{https://www.cloud
 and given the resulting MD4 hash, all PPTP traffic for a user can
 be decrypted.
 
-\subsubsection{Cisco ASA}
+% ---------------------------------------------------------------------- 
+\subsection{Cisco ASA}
 The following settings reflect our recommendations as best as possible on the Cisco ASA platform. These are - of course - just settings regarding SSL/TLS (i.e. Cisco AnyConnect) and IPSec. For further security settings regarding this platform the appropriate Cisco guides should be followed.
 \begin{description}
 \item[Tested with Version:] 
@@ -470,111 +476,22 @@ Legacy ASA models (e.g. 5505, 5510, 5520, 5540, 5550) do not offer the possibili
 
 
 
-%%\subsubsection{Juniper VPN}
+% ---------------------------------------------------------------------- 
+%%\subsection{Juniper VPN}
 %%\todo{write this subsubsection. AK: ask Hannes}
 
 
-%%\begin{description}
-%%\item[Tested with Version:] \todo{version?}
-
-%%\item[Settings:] \mbox{}
-
-%%\begin{lstlisting}[breaklines]
-%%    %Here goes your setting string
-%%\end{lstlisting}
-
-%%\item[Additional settings:] \mbox{}
-
-%Here you can add additional settings
-
-%%\begin{lstlisting}[breaklines]
-%%    %copy \& paste additional settings
-%%\end{lstlisting}
-
-%%\item[Justification for special settings (if needed):] \mbox{}
-
-% in case you have the need for further justifications why you chose this and that setting or if the settings do not fit into the standard Variant A or Variant B schema, please document this here
-
-%%\item[References:] \todo{add references}
-
-% add any further references or best practice documents here
-
-%%\item[How to test:]
-% describe here or point the admin to tools (can be a simple footnote or \ref{} to  the tools section) which help the admin to test his settings.
-
-%%\end{description}
-
 
 
-\subsubsection{L2TP over IPSec}
-\todo{write this subsubsection}
+% ---------------------------------------------------------------------- 
+%\subsection{L2TP over IPSec}
+%\todo{write this subsubsection}
 
 
-\begin{description}
-\item[Tested with Version:] \todo{version?}
-
-\item[Settings:] \mbox{}
 
-\begin{lstlisting}[breaklines]
-    %Here goes your setting string
-\end{lstlisting}
-
-\item[Additional settings:] \mbox{}
 
-%Here you can add additional settings
+% ---------------------------------------------------------------------- 
+%\subsection{Racoon}
+%\todo{write this subsubsection}
 
-\begin{lstlisting}[breaklines]
-    %copy \& paste additional settings
-\end{lstlisting}
-
-\item[Justification for special settings (if needed):] \mbox{}
-
-% in case you have the need for further justifications why you chose this and that setting or if the settings do not fit into the standard Variant A or Variant B schema, please document this here
-
-\item[References:] \todo{add references}
-
-% add any further references or best practice documents here
 
-\item[How to test:]
-% describe here or point the admin to tools (can be a simple footnote or \ref{} to  the tools section) which help the admin to test his settings.
-
-\end{description}
-
-
-
-
-
-
-\subsubsection{Racoon}
-\todo{write this subsubsection}
-
-
-\begin{description}
-\item[Tested with Version:] \todo{version?}
-
-\item[Settings:] \mbox{}
-
-\begin{lstlisting}[breaklines]
-    %Here goes your setting string
-\end{lstlisting}
-
-\item[Additional settings:] \mbox{}
-
-%Here you can add additional settings
-
-\begin{lstlisting}[breaklines]
-    %copy \& paste additional settings
-\end{lstlisting}
-
-\item[Justification for special settings (if needed):] \mbox{}
-
-% in case you have the need for further justifications why you chose this and that setting or if the settings do not fit into the standard Variant A or Variant B schema, please document this here
-
-\item[References:] \todo{add references}
-
-% add any further references or best practice documents here
-
-\item[How to test:]
-% describe here or point the admin to tools (can be a simple footnote or \ref{} to  the tools section) which help the admin to test his settings.
-
-\end{description}
index 0206639..73934c5 100644 (file)
@@ -1,4 +1,5 @@
 \section{Related publications}
+\label{section:relatedPublications}
 
 
 Ecrypt II (\cite{ii2011ecrypt}), ENISA's report on Algorithms, key sizes and
index d020cc5..2eabb00 100644 (file)
@@ -24,6 +24,7 @@ Pichler, Patrick \\
 P\"oschl, Ulrich \\
 San, Berg \\
 Schreck, Thomas  \\
+Wagner, Sebastian (``sebix'') \\
 \end{minipage}
 
 
index 15874fa..83ded83 100644 (file)
@@ -1,8 +1,8 @@
 \input{theory/overview}
-\input{PKIs}
-\input{ECC}
-\input{SHA}
-\input{DH}
-\input{keylengths}
-\input{RNGs}
-\input{cipher_suites}
+\input{theory/cipher_suites}
+\input{theory/RNGs}
+\input{theory/keylengths}
+\input{theory/ECC}
+\input{theory/SHA}
+\input{theory/DH}
+\input{theory/PKIs}
diff --git a/src/theory/DH.tex b/src/theory/DH.tex
new file mode 100644 (file)
index 0000000..4a869a5
--- /dev/null
@@ -0,0 +1,12 @@
+\section{A note on Diffie Hellman Key Exchanges}
+\label{section:DH}
+
+A common question is which Diffie Hellman (DH) Parameters  should be used for Diffie Hellman key exchanges\footnote{\url{http://crypto.stackexchange.com/questions/1963/how-large-should-a-diffie-hellman-p-be}}. We follow the recommendations in ECRYPT II, chapter 16.\cite{ii2011ecrypt}
+
+Where configurable, we recommend using the Diffie Hellman groups
+defined for IKE, specifically groups 14-18 (for MODP, \cite{rfc3526})
+and 19-21 (for elliptic curve DH, \cite{rfc5903}). These groups have
+been checked by many eyes and can be assumed to be secure.
+
+For convenience, we provide these parameters as PEM files. \todo{put
+  them on the server and insert URL here}.
diff --git a/src/theory/ECC.tex b/src/theory/ECC.tex
new file mode 100644 (file)
index 0000000..9d245c3
--- /dev/null
@@ -0,0 +1,51 @@
+\section{A note on Elliptic Curve Cryptography}
+\label{section:EllipticCurveCryptography}
+
+%\epigraph{``Mathematics is the queen of the sciences and number theory is the queen of mathematics.''}{-- Carl Friedrich Gauss}
+
+\epigraph{``Everyone knows what a curve is, until he has studied enough mathematics to become confused through the countless number of possible exceptions.''}{-- Felix Klein }
+
+Elliptic Curve Cryptogaphy (simply called ECC from now on) is a branch of 
+cryptography that emerged in the mid-1980ties.
+The security of the RSA algorithm is based on the assumption that factoring 
+large primes is infeasible. Likewise the security of ECC, DH and DSA is 
+based on the discrete logrithm problem\cite{Wikipedia:Discrete,McC90,WR13}.
+Finding the discrete logarithm of an elliptic curve from its public base
+point is thought to be infeasible. This is known as the Elliptic Curve Discrete 
+Logarithm Problem (ECDLP). ECC and the underlying mathematical foundation are not easy 
+to understand - luckily there have been some great introductions on the topic lately
+\footnote{\url{http://arstechnica.com/security/2013/10/a-relatively-easy-to-understand-primer-on-elliptic-curve-cryptography}}
+\footnote{\url{https://www.imperialviolet.org/2010/12/04/ecc.html}}
+\footnote{\url{http://www.isg.rhul.ac.uk/~sdg/ecc.html}}.
+
+ECC provides for much stronger security with less computonally expensive
+operations in comparison to traditional PKI algorithms (See the Section \ref{section:keylengths}).
+
+
+The security of ECC relies on the elliptic curves and curve points chosen
+as parameters for the algorithm in question. Well before the NSA-leak scandal
+there has been a lot of discussion regarding these parameters and their 
+potential subversion. A part of the discussion involved recommended sets 
+of curves and curve points chosen by different standardization bodies such 
+as the National Institute of Standards and Technology (NIST) 
+\footnote{\url{http://www.nist.gov}}. Which were later widely implemented 
+in most common crypto libraries. Those parameters came under question 
+repeatedly from cryptographers\cite{BL13,Sch13b,W13}.
+At the time of writing there is ongoing research as to the security of 
+various ECC parameters\cite{DJBSC}.
+Most software configured to rely on ECC (be it client or server) is
+not able to promote or black-list certain curves. It is the hope of
+the authors that such functionality will be deployed widely soon.
+The authors of this paper include configurations and recommendations
+with and without ECC - the reader may choose to adopt those settings
+as he finds best suited to his environment. The authors will not make
+this decision for the reader.
+
+
+\textbf{A word of warning:} One should get familiar with ECC, different curves and
+parameters if one chooses to adopt ECC configurations. Since there is much 
+discussion on the security of ECC, flawed settings might very well compromise the 
+security of the entire system!
+
+%% mention different attacks on ECC besides flawed parameters!
+
diff --git a/src/theory/PKIs.tex b/src/theory/PKIs.tex
new file mode 100644 (file)
index 0000000..a5b87ac
--- /dev/null
@@ -0,0 +1,155 @@
+\section{Public Key Infrastructures}
+\label{section:PKIs}
+
+Public-Key Infrastructures aim to provide a way to simplify the verification of
+a certificate's trustworthiness.  For this, certificate authorities (CAs) are
+used to create a signature chain from the root CA down to the server (or client).
+Accepting a CA as a generally-trusted mediator solves the trust-scaling problem
+at the cost of introducing an actor that magically is more trustworthy.
+
+The first part of this section addresses how to obtain a certificate.  The
+second part offers recommendations on how to improve the security of your
+PKI.
+
+\subsection{Certificate Authorities}
+\label{sec:cas}
+In order to get a certificate, you can find an external CA willing to issue
+a certificate for you, run your own CA, or use self-signed certificates.
+As always, there are advantages and disadvantages for every one of these
+options; a balance of security versus usability needs to be found.
+
+\subsubsection{Certificates From an External Certificate Authority}
+\label{sec:signcertfromca}
+
+There is a fairly large number of commercial CAs that will issue
+certificates for money.  Some of the most ubiquitous commercial CAs are
+Verisign, GoDaddy, and Teletrust.  However, there are also CAs that offer
+certificates for free.  The most notable examples are StartSSL, which is a
+company that offers some types of certificates for free, and CAcert, which
+is a non-profit volunteer-based organisation that does not charge at all
+for issuing certificates.  Finally, in the research and education field, a
+number of CAs exist that are generally well-known and well-accepted within
+the higher-education community.
+
+When requesting a certificate from a CA, it is vital that you generate the
+key pair yourself.  In particular, the private key should never be known to
+the CA.  If a CA offers to generate the key pair for you, you should not
+trust that CA.
+
+Generating a key pair and a certificate request can be done with a number
+of tools.  On Unixoid systems, it is likely that the OpenSSL suite is
+available to you.  In this case, you can generate a private key and a
+corresponding certificate request as follows:
+
+\begin{lstlisting}[breaklines]
+% openssl req -new -nodes -keyout <servername>.key -out <servername>.csr -newkey rsa:<keysize>
+Country Name (2 letter code) [AU]:DE
+State or Province Name (full name) [Some-State]:Bavaria
+Locality Name (eg, city) []:Munich
+Organization Name (eg, company) [Internet Widgits Pty Ltd]:Example
+Organizational Unit Name (eg, section) []:Example Section
+Common Name (e.g. server FQDN or YOUR name) []:example.com
+Email Address []:admin@example.com
+
+Please enter the following 'extra' attributes
+to be sent with your certificate request
+A challenge password []:
+An optional company name []:
+\end{lstlisting}
+
+\subsubsection{Setting Up Your Own Certificate Authority}
+\label{sec:setupownca}
+In some situations it is advisable to run your own certificate authority.
+Whether this is a good idea depends on the exact circumstances.  Generally
+speaking, the more centralized the control of the systems in your
+environment, the fewer pains you will have to go through to deploy your own
+CA.  On the other hand, running your own CA maximizes the trust level that
+you can achieve because it minimizes external trust dependencies.
+
+Again using OpenSSL as an example, you can set up your own CA with the
+following commands on a Debian system:
+
+\begin{lstlisting}
+% cd /usr/lib/ssl/misc
+% sudo ./CA.pl -newca
+\end{lstlisting}
+
+Answer the questions according to your setup. Now that you have configured your basic settings and 
+issued a new root certificate, you can issue new certificates as follows:
+
+\begin{lstlisting}
+% cd /usr/lib/ssl/misc
+% sudo ./CA.pl -newreq
+\end{lstlisting}
+
+\subsubsection{Creating a Self-Signed Certificate}
+\label{sec:pki:selfsignedcert}
+If the desired trust level is very high and the number of systems involved
+is limited, the easiest way to set up a secure environment may be to use
+self-signed certificates.  A self-signed certificate is not issued by any
+CA at all, but is signed by the entity that it is issued to.  Thus, the
+organizational overhead of running a CA is eliminated at the expense of
+having to establish all trust relationships between entities manually.
+
+With OpenSSL, a self-signed certificate may be created with this command:
+
+\begin{lstlisting}
+% openssl req -new -x509 -key privkey.pem -out cacert.pem -days 1095
+\end{lstlisting}
+
+The resulting certificate will by default not be trusted by anyone at all,
+so in order to be useful, the certificate will have to be made known a
+priori to all parties that may encounter it.
+
+
+\subsection{Hardening PKI}
+\label{sec:hardeningpki}
+In recent years several CAs were compromised by attackers in order to
+get ahold of trusted certificates for malicious activities. In 2011 
+the Dutch CA Diginotar was hacked and all certificates were
+revoked~\cite{diginotar-hack}. Recently Google found certificates
+issued to them, which were not used by the
+company~\cite{googlecahack}. The concept of PKIs heavily depends on the
+security of CAs.  If they get compromised the whole PKI system will
+fail. Some CAs tend to incorrectly issue certificates that were designated
+to do a different job than what they were intended to by the CA~\cite{gocode}.
+
+Therefore several security enhancements were introduced by different
+organisations and vendors~\cite{tschofenig-webpki}. Currently two
+methods are used, DANE~\cite{rfc6698} and Certificate
+Pinning~\cite{draft-ietf-websec-key-pinning}. Google recently proposed
+a new system to detect malicous CAs and certificates  called Certificate 
+Transparency~\cite{certtransparency}.
+
+% \subsubsection{DANE}
+% \label{sec:dane}
+
+% \subsubsection{Certificate Pinning}
+% \label{sec:certpinning}
+
+
+
+% This section deals with settings related to trusting CAs. However,
+% our main recommendations for PKIs is: if you are able to run your
+% own PKI and disable any other CA, do so. This makes sense most in
+% environments where any machine-to-machine communication system
+% compatibility with external entities is not an issue.
+%% azet: this needs discussion! self-signed certificates simply do not
+%% work in practices for real-world scenarios - i.e. websites that
+%% actually serve a lot of people
+
+% A good background on PKIs can be found in
+% \footnote{\url{https://developer.mozilla.org/en/docs/Introduction_to_Public-Key_Cryptography}}
+% \footnote{\url{http://cacr.uwaterloo.ca/hac/about/chap8.pdf}}
+% \footnote{\url{http://www.verisign.com.au/repository/tutorial/cryptography/intro1.shtml}}
+% .
+
+% \todo{ts: Background and Configuration (EMET) of Certificate Pinning,
+%   TLSA integration, When to use self-signed certificates, how to get
+%   certificates from public CA authorities (CACert, StartSSL),
+%   Best-practices how to create a CA and how to generate private
+%   keys/CSRs, Discussion about OCSP and CRLs. TD: Useful Firefox
+%   plugins: CipherFox, Conspiracy, Perspectives.}
+
+
+% ``Certificate Policy''\cite{Wikipedia:Certificate_Policy} (CA)
diff --git a/src/theory/RNGs.tex b/src/theory/RNGs.tex
new file mode 100644 (file)
index 0000000..ebe939c
--- /dev/null
@@ -0,0 +1,106 @@
+\section{Random Number Generators}
+\label{section:RNGs}
+
+% This section was authored by Ralf Schlatterbeck (Ralf Schlatterbeck <rsc@runtux.com>)
+
+\epigraph{``The generation of random numbers is too important to be left to chance.''}{-- Robert R. Coveyou}
+
+A good source of random numbers is essential for many crypto
+operations. The key feature of a good random number generator is the
+non-predictability of the generated numbers. This means that hardware
+support for generating entropy is essential.
+
+\todo{Other architectures, BSD, Windows?}
+
+Hardware random number generators in operating systems or standalone
+components collect entropy from various random events mostly by using
+the (low bits of the) time an event occurs as an entropy source. The
+entropy is merged into an entropy pool and in some implementations there
+is some bookkeeping about the number of random bits available.
+
+\subsection{When random number generators fail}
+
+Random number generators can fail -- returning predictable non-random
+numbers -- if not enough entropy is available when random numbers should
+be generated.
+
+This typically occurs for embedded devices and virtual machines.
+Embedded devices lack some entropy sources other devices have, e.g.:
+
+\begin{itemize}
+\item No persistent clock, so boot-time is not contributing to the
+    initial RNG state
+\item No hard-disk: No entropy from hard-disk timing, no way to store
+    entropy between reboots
+\end{itemize}
+
+Virtual machines emulate some hardware components so that the
+generated entropy is over-estimated. The most critical component that
+has been shown to return wrong results in an emulated environment is the
+timing source\cite{Eng11,POL11}.
+
+Typically the most vulnerable time where low-entropy situations occur is
+shortly after a reboot. Unfortunately many operating system installers
+create cryptographic keys shortly after a reboot\cite{HDWH12}.
+
+Another problem is that OpenSSL seeds its internal random generator only
+seldomly from the hardware random number generator of the operating
+system. This can lead to situations where a daemon that is started at a
+time when entropy is low keeps this low-entropy situation for hours
+leading to predictable session keys\cite{HDWH12}.
+
+\subsection{Linux}
+
+On Linux there are two devices that return random bytes when read, the
+\verb+/dev/random+ can block until sufficient entropy has been collected
+while \verb+/dev/urandom+ will not block and return whatever (possibly
+insufficient) entropy has been collected so far.
+
+Unfortunately most crypto implementations are using \verb+/dev/urandom+
+and can produce predictable random numbers if not enough entropy has
+been collected\cite{HDWH12}.
+
+Linux supports the injection of additional entropy into the entropy pool
+via the device \verb+/dev/random+. On the one hand this is used for
+keeping entropy across reboots by storing output of /dev/random into a
+file before shutdown and re-injecting the contents during the boot
+process. On the other hand this can be used for running a secondary
+entropy collector to inject entropy into the kernel entropy pool.
+
+%% specifics for libraries
+%% Openssl uses /dev/urandom. See the paper: https://factorable.net/weakkeys12.conference.pdf (section 5.2)
+%% What about other libs? 
+%% What about other OSes? 
+
+
+\subsection{Recommendations}
+
+To avoid situations where a newly deployed server hasn't enough
+entropy it is recommended to generate keys (e.g. for SSL or SSH) on
+a system with enough entropy available and transfer the generated keys
+to the server.  This is especially advisable for small embedded devices
+or virtual machines.
+
+For embedded devices and virtual machines deploying additional userspace
+software that generates entropy and feeds this to kernel entropy pool
+(e.g. by writing to \verb+/dev/random+ on Linux) is recommended. Note
+that only a process run as root can update the entropy counters in the
+kernel, each non-root user-process can feed entropy to the pool but
+cannot update the counters\cite{Wikipedia:/dev/random}.
+
+For Linux the \verb+haveged+
+implementation\cite{HAV13a} based on the HAVEGE\cite{SS03}
+strong random number generator currently looks like the best choice. It
+can feed its generated entropy into the kernel entropy pool and recently
+has grown a mechanism to monitor the quality of generated random
+numbers\cite{HAV13b}. The memory footprint may be too high for small
+embedded devices, though.
+
+For systems where -- during the lifetime of the keys -- it is expected
+that low-entropy situations occur, RSA keys should be preferred over DSA
+keys: For DSA, if there is ever insufficient entropy at the time keys
+are used for signing this may lead to repeated ephemeral keys. An
+attacker who can guess an ephemeral private key used in such a signature
+can compromise the DSA secret key.
+For RSA this can lead to discovery of encrypted plaintext or forged
+signatures but not to the compromise of the secret key\cite{HDWH12}.
diff --git a/src/theory/SHA.tex b/src/theory/SHA.tex
new file mode 100644 (file)
index 0000000..fb88353
--- /dev/null
@@ -0,0 +1,21 @@
+\section{A note on SHA-1}
+\label{section:SHA}
+
+
+In the last years several weaknesses have been shown for SHA-1. In
+particular, collisions on SHA-1 can be found using $2^{63}$ operations, and
+recent results even indicate a lower complexity. Therefore,
+ECRYPT II and NIST recommend against using SHA-1 for generating digital
+signatures and for other applications that require collision resistance.
+The use of SHA-1 in message authentication, e.g. HMAC, is not
+immediately threatened.
+
+We recommend using SHA-2 whenever available. Since SHA-2 is not
+supported by older versions of TLS, SHA-1 can be used for message
+authentication if a higher compatibility with a more diverse set of
+clients is needed.
+
+
+Our configurations A and B reflect this. While configuration A does not include
+SHA-1, configuration B does and thus is more compatible with a wider range of
+clients.
diff --git a/src/theory/cipher_suites.tex b/src/theory/cipher_suites.tex
new file mode 100644 (file)
index 0000000..b1096f5
--- /dev/null
@@ -0,0 +1,34 @@
+
+\section{Cipher suites}
+\label{section:CipherSuites}
+\todo{team: section \ref{section:CipherSuites} is currently a bit messy. Re-do it}
+
+
+\subsection{Architectural overview }
+\label{subsection:architecture}
+\input{"./theory/cipher_suites/architecture.tex"}
+
+
+\subsection{Forward Secrecy}
+\label{subsection:PFS}
+\input{"./theory/cipher_suites/forward.tex"}
+
+
+\subsection{Recommended cipher suites}
+\label{section:recommendedciphers}
+\input{"./theory/cipher_suites/recommended_generated.tex"}
+
+
+%\subsection{Known insecure and weak cipher suites}
+%\input{"./theory/cipher_suites/insecure.tex"}
+
+
+\subsection{Compatibility}
+\label{subsection:compatibility}
+\input{"./theory/cipher_suites/compatibility.tex"}
+
+
+\subsection{Choosing your own cipher suites}
+\label{section:ChoosingYourOwnCipherSuites}
+\input{"./theory/cipher_suites/choosing.tex"}
+
diff --git a/src/theory/cipher_suites/architecture.tex b/src/theory/cipher_suites/architecture.tex
new file mode 100644 (file)
index 0000000..e4e8bca
--- /dev/null
@@ -0,0 +1,54 @@
+%%\subsection{Architectural overview }
+
+This section defines some terms which will be used throughout this guide.
+
+
+A cipher suite is a standardised collection of key exchange algorithms, encryption 
+algorithms (ciphers) and Message authentication codes (MAC) algortihm that provides
+authenticated encryption schemes. It consists of the following components:
+
+\begin{description}
+
+\item{\it Key exchange protocol:}
+``An (interactive) key exchange protocol is a method whereby parties who do not 
+share any secret information can generate a shared, secret key by communicating 
+over a public channel. The main property guaranteed here is that an 
+eavesdropping adversary who sees all the messages sent over the communication 
+line does not learn anything about the resulting secret key.'' \cite{katz2008introduction}
+
+Example: \texttt{DHE}
+
+\item{\it Authentication:}
+The client authenticates the server by its certificate. Optionally the server 
+may authenticate the client certificate.
+
+Example: \texttt{RSA}
+
+\item{\it Cipher:}
+The cipher is used to encrypt the message stream. It also contains the key size
+and mode used by the suite.
+
+Example: \texttt{AES256}
+
+\item{\it Message authentication code (MAC):}
+A MAC ensures that the message has not been tampered with (integrity).
+
+Examples: \texttt{SHA256}
+
+\item{\it Authenticated Encryption with Associated Data (AEAD):}
+AEAD is a class of authenticated encryption block-cipher modes
+which take care of encryption as well as authentication (e.g. GCM, CCM mode). 
+
+Example: \texttt{AES256-GCM}
+
+
+
+\begin{figure}[h]
+\makebox[\textwidth]{
+\framebox[1.1\width]{ \texttt{DHE} }--\framebox[1.1\width]{ \texttt{RSA} }--\framebox[1.1\width]{ \texttt{AES256} }--\framebox[1.1\width]{ \texttt{SHA256} } }
+\caption{Composition of a typical cipher string}
+\end{figure}
+
+\item {\textbf{A note on nomenclature:}} there are two common naming schemes for cipher strings -- IANA names (see section \ref{section:Links}) and the more well known OpenSSL names. In this document we will always use OpenSSL names unless a specific service uses IANA names.
+
+\end{description}
diff --git a/src/theory/cipher_suites/choosing.tex b/src/theory/cipher_suites/choosing.tex
new file mode 100644 (file)
index 0000000..b31a23b
--- /dev/null
@@ -0,0 +1,248 @@
+%%\subsection{Choosing your own cipher suites}
+%%\label{section:ChoosingYourOwnCipherSuites}
+
+\todo{ Adi...  you want to describe how to make your own selection of cipher suites here.}
+
+%%SSL/TLS cipher suites consist of a key exchange algorithm, an authentication, a
+%%stream cipher (or a block cipher with a chaining mode) and a message authentication
+%%mechanism.
+%% ^^ commented out due to duplication (see previous section on architecture) - azet
+
+Many of the parts in a ciphersuite are interchangeable. Like the key exchange
+algorithm in this example: \texttt{ECDHE-RSA-AES256-GCM-SHA384} and
+\texttt{DHE-RSA-AES256-GCM-SHA384}.  To provide a decent level of security, all
+algorithms need to be safe (subject to the disclaimer in section
+\ref{section:disclaimer}).
+
+Note: There are some very weak cipher suites in every crypto library, most of
+them for historic reasons or due to legacy standards. The crypto export embargo
+is a good example\cite{Wikipedia:ExportCipher}.  For the following chapter
+support of these low-security algorithms is disabled by setting
+\texttt{!EXP:!LOW:!NULL} as part of the cipher string.
+
+\todo{Team: do we need references for all cipher suites considered weak?}
+
+\subsubsection{Key Exchange}
+
+Many algorithms allow secure key exchange.  Those are RSA, DH, EDH, ECDSA,
+ECDH, EECDH amongst others. During the key exchange, keys used for authentication
+and symmetric encryption are exchanged. For RSA, DSA and ECDSA those keys are derived
+from the server's public key.
+
+\todo{explain this section}
+
+\begin{center}
+\begin{tabular}{llll}
+    \toprule
+          & \textbf{Key}  & \textbf{EC}  & \textbf{ephemeral} \\ \cmidrule(lr){1-4}
+   RSA    & RSA           & no           & no                 \\
+   DH     & RSA           & no           & no                 \\
+   EDH    & RSA           & no           & yes                \\
+   ECDH   & both          & yes          & no                 \\
+   EECDH  & both          & yes          & yes                \\
+   DSA    & DSA           & no           & no                 \\
+   ECDSA  & DSA           & yes          & no                 \\
+\bottomrule
+\end{tabular}
+%\\
+%\\
+%disabled: \texttt{!PSK:!SRP}
+\end{center}
+
+\textbf{Ephemeral Key Exchange} uses different keys for authentication (the server's RSA
+key) and encryption (a randomly created key). This advantage is called ``Forward
+Secrecy'' and means that even recorded traffic cannot be decrypted later when someone
+obtains the server key. \\
+All ephemeral key exchange schemes are based on the Diffie-Hellman algorithm and require
+pre-generated Diffie-Hellman parameter (which allow fast ephemeral key generation). It
+is important to note that the Diffie-Hellman parameter settings need to reflect at least 
+the security (speaking in number of bits) as the RSA host key. \todo{TODO: reference!}
+
+
+\textbf{Elliptic Curves} (see section \ref{section:EllipticCurveCryptography})
+required by current TLS standards only consist of the so-called NIST-curves
+(\texttt{secp256r1} and \texttt{secp384r1}) which may be weak because the
+parameters that led to their generation weren't properly explained by the
+authors\cite{DJBSC}. \\ Disabling support for Elliptic Curves leads to no
+ephemeral key exchange being available for the Windows platform. When you
+decide to use Elliptic Curves despite the uncertainty, make sure to at least
+use the stronger curve of the two supported by all clients
+(\texttt{secp384r1}).
+
+
+Other key exchange mechanisms like Pre-Shared Key (PSK) are irrelevant for
+regular SSL/TLS use.
+
+\subsubsection{Authentication}
+
+RSA, DSA, DSS, ECDSA, ECDH
+
+During Key Exchange the server proved that he is in control of the private key
+associated with a certain public key (the server's certificate). The client
+verifies the server's identity by comparing the signature on the certificate
+and matching it with its trust database. For details about the trust model of
+SSL/TLS please see \ref{section:PKIs}.
+
+In addition to the server providing its identity, a client might do so as well.
+That way mutual trust can be established. Another mechanism providing client
+authentication is Secure Remote Password (SRP)\todo{reference}. All those
+mechanisms require special configuration.
+
+Other authentication mechanisms like Pre Shared Keys aren't used in SSL/TLS.
+Anonymous sessions will not be discussed in this paper.
+
+\texttt{!PSK:!aNULL}
+
+\subsubsection{Encryption}
+
+AES, CAMELLIA, SEED, ARIA(?), FORTEZZA(?)...
+
+Other ciphers like IDEA, RC2, RC4, 3DES or DES are weak and therefor not recommended:
+\texttt{!DES:!3DES:!RC2:!RC4:!eNULL}
+
+\subsubsection{Message authentication}
+
+SHA-1 (SHA), SHA-2 (SHA256, SHA384), AEAD
+
+Note that SHA-1 is considered broken and should not be used. SHA-1 is however the
+only still available message authentication mechanism supporting TLS1.0/SSLv3. Without
+SHA-1 most clients will be locked out.
+
+Other hash functions like MD2, MD4 or MD5 are unsafe and broken: \texttt{!MD2:!MD4:!MD5}
+
+\subsubsection{Combining cipher strings}
+%% reference 'man ciphers' and 'openssl ciphers' and show some simple examples
+%% VERY IMPORTANT: hint at the IANA-list and the differences in implementations
+
+\todo{ Adi...  The text below was simply the old text, still left here for reference.}
+
+%%% NOTE: we do not need to list this all here, can move to an appendix
+%At the time of this writing, SSL is defined in RFCs:  
+%
+%\begin{itemize}
+%\item RFC2246 - TLS1.0                
+%\item RFC3268 - AES           
+%\item RFC4132 - Camelia               
+%\item RFC4162 - SEED          
+%\item RFC4279 - PSK           
+%\item RFC4346 - TLS 1.1               
+%\item RFC4492 - ECC           
+%\item RFC4785 - PSK\_NULL             
+%\item RFC5246 - TLS 1.2               
+%\item RFC5288 - AES\_GCM              
+%\item RFC5289 - AES\_GCM\_SHA2\_ECC           
+%\item RFC5430 - Suite B               
+%\item RFC5487 - GCM\_PSK              
+%\item RFC5489 - ECDHE\_PSK            
+%\item RFC5932 - Camelia               
+%\item RFC6101 - SSL 3.0               
+%\item RFC6209 - ARIA          
+%\item RFC6367 - Camelia               
+%\item RFC6655 - AES\_CCM              
+%\item RFC7027 - Brainpool Curves              
+%\end{itemize}
+
+%\subsubsection{Overview of SSL Server settings}
+%
+%
+%Most Server software (Webservers, Mail servers, etc.) can be configured to prefer certain cipher suites over others. 
+%We followed the recommendations by Ivan Ristic's SSL/TLS Deployment Best Practices\footnote{\url{https://www.ssllabs.com/projects/best-practices/index.html}} document (see section 2.2 "Use Secure Protocols") and arrived at a list of recommended cipher suites for SSL enabled servers.
+%
+%Following Ivan Ristic's adivce we arrived at a categorisation of cipher suites.
+%
+%\begin{center}
+%\begin{tabular}{lllll}
+%\cmidrule[\heavyrulewidth]{2-5}
+%& \textbf{Version}   & \textbf{KeyEx} & \textbf{Cipher}    & \textbf{MAC}       \\\cmidrule(lr){2-5}
+%\cellcolor{green}prefer  & TLS 1.2   & DHE\_DSS   & AES\_256\_GCM   & SHA384        \\
+%    &   & DHE\_RSA   & AES\_256\_CCM   & SHA256        \\
+%    &   & ECDHE\_ECDSA   & AES\_256\_CBC   &       \\
+%    &   & ECDHE\_RSA &   &       \\ 
+%    &   &   &   &       \\
+%\cellcolor{orange}consider    & TLS 1.1   & DH\_DSS    & AES\_128\_GCM   & SHA       \\
+%    & TLS 1.0   & DH\_RSA    & AES\_128\_CCM   &       \\
+%    &   & ECDH\_ECDSA    & AES\_128\_CBC   &       \\ 
+%    &   & ECDH\_RSA  & CAMELLIA\_256\_CBC  &       \\
+%    &   & RSA   & CAMELLIA\_128\_CBC  &       \\
+%    &   &   &   &       \\
+%\cellcolor{red}avoid   
+%& SSL 3.0   & NULL  & NULL  & NULL      \\
+%    &   & DH\_anon   & RC4\_128   & MD5       \\
+%    &   & ECDH\_anon & 3DES\_EDE\_CBC  &       \\
+%    &   &   & DES\_CBC   &       \\
+%    &   &   &   &       \\
+%\cellcolor{blue}{\color{white}special }
+%&   & PSK   & CAMELLIA\_256\_GCM  &       \\
+%    &   & DHE\_PSK   & CAMELLIA\_128\_GCM  &       \\
+%    &   & RSA\_PSK   & ARIA\_256\_GCM  &       \\
+%    &   & ECDHE\_PSK & ARIA\_256\_CBC  &       \\
+%    &   &   & ARIA\_128\_GCM  &       \\
+%    &   &   & ARIA\_128\_CBC  &       \\
+%    &   &   & SEED  &       \\
+%\cmidrule[\heavyrulewidth]{2-5}
+%\end{tabular}
+%\end{center}
+%
+%A remark on the ``consider'' section: the BSI (Federal office for information security, Germany) recommends in its technical report TR-02102-2\footnote{\url{https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/TechnischeRichtlinien/TR02102/BSI-TR-02102-2_pdf.html}} to \textbf{avoid} non-ephemeral\footnote{Ephemeral keys are session keys which are destroyed upon termination of the encrypted session. In TLS/SSL, they are realized by the DHE cipher suites. } keys for any communication which might contain personal or sensitive data. In this document, we follow BSI's advice and therefore only keep cipher suites containing (EC)DH\textbf{E} (ephemeral) variants. System administrators, who can not use forward secrecy can still use the cipher suites in the ``consider'' section. We however, do not recommend them in this document.
+%
+%%% NOTE: s/forward secrecy/perfect forward secrecy???
+%
+%Note that the entries marked as ``special'' are cipher suites which are not common to all clients (webbrowsers etc).
+%
+%
+%\subsubsection{Tested clients}
+% 
+%Next we tested the cipher suites above on the following clients:
+%
+%%% NOTE: we need to test with more systems!!
+%\begin{itemize}
+%\item Chrome 30.0.1599.101 Mac OS X 10.9
+%\item Safari 7.0 Mac OS X 10.9
+%\item Firefox 25.0 Mac OS X 10.9
+%\item Internet Explorer 10 Windows 7
+%\item Apple iOS 7.0.3
+%\end{itemize}
+%
+%
+%The result of testing the cipher suites with these clients gives us a preference order as shown in table \ref{table:prefOrderCipherSuites}. 
+%Should a client not be able to use a specific cipher suite, it will fall back to the next possible entry as given by the ordering.
+%
+%\begin{table}[h]
+%\centering\small
+%    \begin{tabular}{cllcccc}
+%    \toprule
+%    \textbf{Pref}   & \textbf{Cipher Suite}                            & \textbf{ID}   & \multicolumn{4}{l}{\textbf{Supported by}}\\ 
+%    \cmidrule(lr){4-7}
+%                    & \textbf{OpenSSL Name}                            &               & Chrome & FF   & IE   & Safari \\
+%    \cmidrule(lr){1-7}
+%    \phantom{0}1    & \verb|TLS_DHE_RSA_WITH_AES_256_GCM_SHA384|     & \verb|0x009f| & \no    & \no  & \no  & \no    \\
+%                    & \verb|DHE-RSA-AES256-GCM-SHA384|                      &               & &&&\\\rowcolor{lightlightgray}
+%    \phantom{0}2    & \verb|TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384| & \verb|0xC024| & \no    & \no  & \no  & \yes   \\\rowcolor{lightlightgray}
+%                    & \verb|ECDHE-ECDSA-AES256-SHA384|                      &               & &&&\\
+%    \phantom{0}3    & \verb|TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384|   & \verb|0xC028| & \no    & \no  & \no  & \yes   \\
+%                    & \verb|ECDHE-RSA-AES256-SHA384|                        &               & &&&\\\rowcolor{lightlightgray}
+%    \phantom{0}4    & \verb|TLS_DHE_RSA_WITH_AES_256_CBC_SHA256|     & \verb|0x006B| & \yes   & \no  & \no  & \yes   \\\rowcolor{lightlightgray}
+%                    & \verb|DHE-RSA-AES256-SHA256|                          &               & &&&\\
+%    \phantom{0}5    & \verb|TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA|    & \verb|0xC00A| & \yes   & \yes & \yes & \yes   \\
+%                    & \verb|ECDHE-ECDSA-AES256-SHA|                         &               & &&&\\\rowcolor{lightlightgray}
+%    \phantom{0}6    & \verb|TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA|      & \verb|0xC014| & \yes   & \yes & \yes & \yes   \\\rowcolor{lightlightgray}
+%                    & \verb|ECDHE-RSA-AES256-SHA|                           &               & &&&\\
+%    \phantom{0}7    & \verb|TLS_DHE_RSA_WITH_AES_256_CBC_SHA|        & \verb|0x0039| & \yes   & \yes & \no  & \yes   \\
+%                    & \verb|DHE-RSA-AES256-SHA|                             &               & &&&\\\rowcolor{lightlightgray}
+%    \phantom{0}8    & \verb|TLS_DHE_DSS_WITH_AES_256_CBC_SHA|        & \verb|0x0038| & \no    & \yes & \yes & \no    \\\rowcolor{lightlightgray}
+%                    & \verb|DHE-DSS-AES256-SHA|                             &               & &&&\\
+%    \phantom{0}9    & \verb|TLS_DHE_RSA_WITH_CAMELLIA_256_CBC_SHA|   & \verb|0x0088| & \no    & \yes & \no  & \no    \\
+%                    & \verb|DHE-RSA-CAMELLIA256-SHA|                        &               & &&&\\\rowcolor{lightlightgray}
+%    \phantom{}10    & \verb|TLS_DHE_DSS_WITH_CAMELLIA_256_CBC_SHA|   & \verb|0x0087| & \no    & \yes & \no  & \no    \\\rowcolor{lightlightgray}
+%                    & \verb|DHE-DSS-CAMELLIA256-SHA|                        &               & &&&\\
+%   \bottomrule
+%    \end{tabular}
+%\caption{Preference order of cipher suites.  All suites are supported by OpenSSL.}
+%\label{table:prefOrderCipherSuites}
+%\end{table}
+%
+%Note: the above table \ref{table:prefOrderCipherSuites} contains Elliptic curve key exchanges. There are currently strong doubts\footnote{\url{http://safecurves.cr.yp.to/rigid.html}} concerning ECC.
+%If unsure, remove the cipher suites starting with ECDHE in the table above.
+%
+%
+%Based on this ordering, we can now define the corresponding settings for servers. We will start with the most common web servers.
diff --git a/src/theory/cipher_suites/compatibility.tex b/src/theory/cipher_suites/compatibility.tex
new file mode 100644 (file)
index 0000000..47f15ae
--- /dev/null
@@ -0,0 +1,3 @@
+%\subsection{Compatibility}
+%\label{section:compatibility}
+\todo{write this section. The idea here is to first document which server (and openssl) version we assumed. Once these parameters are fixed, we then list all clients which are supported for Variant A) and B). Therefore we can document compatibilities to some extent. The sysadmin can then choose roughly what he looses or gains by omitting certain cipher suites.}
diff --git a/src/theory/cipher_suites/forward.tex b/src/theory/cipher_suites/forward.tex
new file mode 100644 (file)
index 0000000..e7a9ab6
--- /dev/null
@@ -0,0 +1,8 @@
+%%\subsection{Forward Secrecy}
+Forward Secrecy or Perfect Forward Secrecy is a property of a cipher suite 
+that ensures confidentiality even if the server key has been compromised.
+Thus if traffic has been recorded it can not be decrypted even if an adversary
+has got hold of the server key
+\footnote{\url{http://en.wikipedia.org/wiki/Forward\_secrecy}}
+\footnote{\url{https://www.eff.org/deeplinks/2013/08/pushing-perfect-forward-secrecy-important-web-privacy-protection}}
+\footnote{\url{http://news.netcraft.com/archives/2013/06/25/ssl-intercepted-today-decrypted-tomorrow.html}}.
diff --git a/src/theory/cipher_suites/insecure.tex b/src/theory/cipher_suites/insecure.tex
new file mode 100644 (file)
index 0000000..585af09
--- /dev/null
@@ -0,0 +1,17 @@
+%%\subsection{Known insecure and weak cipher suites}
+%\todo{PG: please write this section. List all known broken, obsolete, weak and insecure cipher suites . Or even better: find the best site which keeps track of outdated cipher suites and simply reference it. We do not want to maintain such a list ourselves!}
+
+%%Ciphers with 112bit or less are considered weak and aren't recommended. Note that \texttt{3DES} provides only 112bit of security \footnote{\url{http://csrc.nist.gov/publications/PubsSPs.html\#800-57-part1}}.
+
+%% comment Florian:
+%% Please do not consider ciphers with a 112 bit key as weak. I think it is
+%% fine to do not recommend 3DES, but we should not claim that it is weak.
+%% In particular, 3DES with an effective keysize of 112 bits is still
+%% recommended by NIST and by ECRYPT2 for medium-term protection until 2030.
+
+
+%One special remark is necessary for 3DES: here we want to note
+%that it theoretically has 168 bit security, however based on the NIST Special
+%Publication 800-57
+%\footnote{\url{http://csrc.nist.gov/publications/PubsSPs.html\#800-57-part1},
+%pages 63 and 64}, it is clear that 3DES is only considered 80 bits / 112 bits.
diff --git a/src/theory/cipher_suites/recommended.tex b/src/theory/cipher_suites/recommended.tex
new file mode 100644 (file)
index 0000000..50f9f60
--- /dev/null
@@ -0,0 +1,165 @@
+%%\subsection{Recommended cipher suites}
+
+In principle system administrators who want to improve their communication security
+have to make a difficult decision between effectively locking out some users and 
+keeping high cipher suite security while supporting as many users as possible.
+The website \url{https://www.ssllabs.com/} gives administrators and security engineers
+a tool to test their setup and compare compatibility with clients. The authors made 
+use of ssllabs.com to arrive at a set of cipher suites which we will recommend 
+throughout this document.\\
+
+%\textbf{Caution: these settings can only represent a subjective
+%choice of the authors at the time of writing. It might be a wise choice to
+%select your own and review cipher suites based on the instructions in section
+%\ref{section:ChoosingYourOwnCipherSuites}}.
+
+
+\subsubsection{Configuration A: Strong ciphers, fewer clients}
+
+At the time of writing we recommend the following set of strong cipher
+suites which may be useful in an environment where one does not depend on many,
+different clients and where compatibility is not a big issue.  An example
+of such an environment might be machine-to-machine communication or corporate
+deployments where software that is to be used can be defined freely.
+
+
+We arrived at this set of cipher suites by selecting:
+
+\begin{itemize}
+\item TLS 1.2
+\item Perfect forward secrecy / ephemeral Diffie Hellman
+\item strong MACs (SHA-2) or
+\item GCM as Authenticated Encryption scheme
+\end{itemize}
+
+This results in the OpenSSL string:
+
+\begin{lstlisting}[breaklines]
+'EDH+aRSA+AES256:EECDH+aRSA+AES256:!SSLv3'
+\end{lstlisting}
+
+%$\implies$ resolves to 
+%
+%\begin{verbatim}
+%openssl ciphers -V $string
+%\end{verbatim}
+
+
+
+%\todo{make a column for cipher chaining mode} --> not really important, is it?
+\begin{center}
+
+\begin{tabular}{lllllll}
+\toprule
+\textbf{ID}   & \textbf{OpenSSL Name}       & \textbf{Version} & \textbf{KeyEx} & \textbf{Auth} & \textbf{Cipher} & \textbf{MAC}\\\cmidrule(lr){1-7}
+\verb|0x009F| & DHE-RSA-AES256-GCM-SHA384   & TLSv1.2          & DH             &  RSA          & AESGCM(256)     & AEAD         \\
+\verb|0x006B| & DHE-RSA-AES256-SHA256       & TLSv1.2          & DH             &  RSA          & AES(256) (CBC)  & SHA256       \\
+\verb|0xC030| & ECDHE-RSA-AES256-GCM-SHA384 & TLSv1.2          & ECDH           &  RSA          & AESGCM(256)     & AEAD         \\
+\verb|0xC028| & ECDHE-RSA-AES256-SHA384     & TLSv1.2          & ECDH           &  RSA          & AES(256) (CBC)  & SHA384       \\
+\bottomrule
+\end{tabular}
+\end{center}
+
+
+\paragraph*{Compatibility:}
+
+Only clients which support TLS 1.2 are covered by these cipher suites (Chrome 30,
+Win 7 and Win 8.1 crypto stack, Opera 17, OpenSSL $\ge$ 1.0.1e, Safari 6 / iOS
+6.0.1, Safari 7 / OS X 10.9).
+
+
+
+\subsubsection{Configuration B: Weaker ciphers, more compatability}
+
+In this section we propose a slightly weaker set of cipher suites.  For
+example, there are some known weaknesses for the SHA-1 hash function that is
+included in this set.  The advantage of this set of cipher suites is not only
+the compatibility with a broad range of clients, but also less computational
+workload on the provisioning hardware.
+\\
+
+\textbf{All further examples in this publication use Configuration B}.\\
+
+We arrived at this set of cipher suites by selecting:
+
+\begin{itemize}
+\item TLS 1.2, TLS 1.1, TLS 1.0
+\item allowing SHA-1 (see the comments on SHA-1 in section \ref{section:SHA})
+
+\end{itemize}
+
+This results in the OpenSSL string:
+
+%'EDH+CAMELLIA:EDH+aRSA:EECDH+aRSA+AESGCM:EECDH+aRSA+SHA384:EECDH+aRSA+SHA256:EECDH:+CAMELLIA256:+AES256:+CAMELLIA128:+AES128:+SSLv3:!aNULL:!eNULL:!LOW:!3DES:!MD5:!EXP:!PSK:!SRP:!DSS:!RC4:!SEED:!ECDSA:CAMELLIA256-SHA:AES256-SHA:CAMELLIA128-SHA:AES128-SHA'
+\begin{lstlisting}[breaklines]
+@@@CIPHERSTRINGB@@@
+\end{lstlisting}
+
+\todo{make a column for cipher chaining mode}
+\begin{center}
+\begin{tabular}{lllllll}
+\toprule
+\textbf{ID}   & \textbf{OpenSSL Name}       & \textbf{Version} & \textbf{KeyEx} & \textbf{Auth} & \textbf{Cipher} & \textbf{MAC}\\\cmidrule(lr){1-7}
+\verb|0x009F| & DHE-RSA-AES256-GCM-SHA384   & TLSv1.2          & DH             & RSA           & AESGCM(256)     & AEAD         \\
+\verb|0x006B| & DHE-RSA-AES256-SHA256       & TLSv1.2          & DH             & RSA           & AES(256)        & SHA256       \\
+\verb|0xC030| & ECDHE-RSA-AES256-GCM-SHA384 & TLSv1.2          & ECDH           & RSA           & AESGCM(256)     & AEAD         \\
+\verb|0xC028| & ECDHE-RSA-AES256-SHA384     & TLSv1.2          & ECDH           & RSA           & AES(256)        & SHA384       \\
+\verb|0x009E| & DHE-RSA-AES128-GCM-SHA256   & TLSv1.2          & DH             & RSA           & AESGCM(128)     & AEAD         \\
+\verb|0x0067| & DHE-RSA-AES128-SHA256       & TLSv1.2          & DH             & RSA           & AES(128)        & SHA256       \\
+\verb|0xC02F| & ECDHE-RSA-AES128-GCM-SHA256 & TLSv1.2          & ECDH           & RSA           & AESGCM(128)     & AEAD         \\
+\verb|0xC027| & ECDHE-RSA-AES128-SHA256     & TLSv1.2          & ECDH           & RSA           & AES(128)        & SHA256       \\
+\verb|0x0088| & DHE-RSA-CAMELLIA256-SHA     & SSLv3            & DH             & RSA           & Camellia(256)   & SHA1         \\
+\verb|0x0039| & DHE-RSA-AES256-SHA          & SSLv3            & DH             & RSA           & AES(256)        & SHA1         \\
+\verb|0xC014| & ECDHE-RSA-AES256-SHA        & SSLv3            & ECDH           & RSA           & AES(256)        & SHA1         \\
+\verb|0x0045| & DHE-RSA-CAMELLIA128-SHA     & SSLv3            & DH             & RSA           & Camellia(128)   & SHA1         \\
+\verb|0x0033| & DHE-RSA-AES128-SHA          & SSLv3            & DH             & RSA           & AES(128)        & SHA1         \\
+\verb|0xC013| & ECDHE-RSA-AES128-SHA        & SSLv3            & ECDH           & RSA           & AES(128)        & SHA1         \\
+\verb|0x0084| & CAMELLIA256-SHA             & SSLv3            & RSA            & RSA           & Camellia(256)   & SHA1         \\
+\verb|0x0035| & AES256-SHA                  & SSLv3            & RSA            & RSA           & AES(256)        & SHA1         \\
+\verb|0x0041| & CAMELLIA128-SHA             & SSLv3            & RSA            & RSA           & Camellia(128)   & SHA1         \\
+\verb|0x002F| & AES128-SHA                  & SSLv3            & RSA            & RSA           & AES(128)        & SHA1         \\
+\bottomrule
+\end{tabular}
+\end{center}
+
+\paragraph*{Compatibility: }
+
+Note that these cipher suites will not work with Windows XP's crypto stack (e.g. IE, Outlook), 
+%%Java 6, Java 7 and Android 2.3. Java 7 could be made compatible by installing the "Java 
+%%Cryptography Extension (JCE) Unlimited Strength Jurisdiction Policy Files"
+%%(JCE) \footnote{\url{http://www.oracle.com/technetwork/java/javase/downloads/jce-7-download-432124.html}}.
+We could not verify yet if installing JCE also fixes the Java 7
+DH-parameter length limitation (1024 bit). 
+\todo{do that!}
+
+\paragraph*{Explanation: }
+
+For a detailed explanation of the cipher suites chosen, please see
+\ref{section:ChoosingYourOwnCipherSuites}. In short, finding the perfect cipher
+string is impossible and must be a tradeoff between compatibility and security. 
+On the one hand there are mandatory and optional ciphers defined in a few RFCs, 
+on the other hand there are clients and servers only implementing subsets of the 
+specification.
+
+Straight forward, the authors wanted strong ciphers, forward secrecy
+\footnote{\url{http://nmav.gnutls.org/2011/12/price-to-pay-for-perfect-forward.html}}
+and the best client compatibility possible while still ensuring a cipher string that can be
+used on legacy installations (e.g. OpenSSL 0.9.8). 
+
+Our recommended cipher strings are meant to be used via copy and paste and need to work
+"out of the box".
+
+\begin{itemize}
+\item TLSv1.2 is preferred over TLSv1.0/SSLv3 (while still providing a useable cipher
+      string for SSLv3).
+\item AES256 and CAMELLIA256 count as very strong ciphers at the moment.
+\item AES128 and CAMELLIA128 count as strong ciphers at the moment
+\item DHE or ECDHE for forward secrecy
+\item RSA as this will fit most of todays setups
+\item AES256-SHA as a last resort (with this cipher at the end, even systems with
+      legacy distributions of OpenSSL will work out of the box. Forward secrecy
+      will not be available. On systems that do not support elliptic curves, that cipher
+      offers support for the Microsoft crypto libraries that only support ECDHE. \todo{what does that mean?! inconclusive!}
+\end{itemize}
+
+\todo{Adi: review "justification" when next section is written}
diff --git a/src/theory/keylengths.tex b/src/theory/keylengths.tex
new file mode 100644 (file)
index 0000000..7e844c8
--- /dev/null
@@ -0,0 +1,73 @@
+\section{Keylengths}
+\label{section:keylengths}
+
+
+\epigraph{``On the choice between AES256 and AES128: I would never consider
+using AES256, just like I don't wear a helmet when I sit inside my car. It's
+too much bother for the epsilon improvement in security.''}{-- Vincent Rijmen
+in a personal mail exchange Dec 2013}
+
+Recommendations on keylengths need to be adapted regularly. Since this document
+first of all is static and second of all, does not consider itself to be
+authoritative on keylengths, we would rather refer to existing publications and
+websites.  Recommending a safe key length is a hit-and-miss issue.
+
+Furthermore, when chosing an encryption algorithm and keylength, the
+designer/sysadmin always needs to consider the value of the information and how
+long it must be protected.  In other words: consider the number of years the
+data needs to stay confidential.
+
+
+The ECRYPT II publication (\cite{ii2011ecrypt}) gives a fascinating overview of
+strenghts of symmetric keys in chapter 5 and chapter 7. Summarizing ECRYPT II, we
+recommend 128 bit of key strenght for symmetric keys. In ECRYPT II, this is
+considered safe for security level 7, long term protection.
+
+In the same ECRYPT II publication you can find a practical comparison of key size
+equivalence between symmetric key sizes and RSA, discrete log (DLOG) and EC
+keylengths. ECRYPT II arrives at the interesting conclusion that for an
+equivalence of 128 bit symmetric size, you will need to use an 3248 bit RSA
+key. See chapter 7 of \cite{ii2011ecrypt}, page 30.
+
+
+There are a couple of other studies comparing keylengths and their respective
+strengths.  The website \url{http://www.keylength.com/} compares these papers
+and offers a good overview of approximations for key lengths based on
+recommendations by different standardization bodies and academic publications.
+Figure \ref{fig:keylengths.com} shows a typical comparison of keylengths on
+this web site.
+
+\begin{figure}[h]
+  \centering
+  \includegraphics[width=0.65\textwidth]{img/keylengths_com.png}
+  \caption{Screenshot of \url{http://www.keylength.com} for 128 bit symmetric key size equivalents}
+  \label{fig:keylengths.com}
+\end{figure}
+
+
+\paragraph{Summary}
+\begin{itemize}
+
+\item For traditional asymmetric public-key cryptography we consider any key
+length below 2048 bits to be deprecated at the time of this writing (for long
+term protection).  
+
+\item For elliptic curve cryptography we consider key lengths below 256 bits to
+be inadequate for long term protection.  
+
+\item For symmetric algorithms we consider anything below 128 bits to be
+inadequate for long term protection.
+
+\end{itemize}
+
+\paragraph{Special remark on 3DES} \mbox{} \\
+We want to note that 3DES theoretically has 168 bits of security, however based
+on the NIST Special Publication 800-57
+\footnote{\url{http://csrc.nist.gov/publications/PubsSPs.html\#800-57-part1},
+pages 63 and 64}, it is clear that 3DES can only be considered to provide for
+80 bits / 112 bits security.
+
+
+
+
+
index afc19a7..c16295b 100644 (file)
@@ -2,18 +2,18 @@
 \label{sec:TheoryOverview}
 
 
-\epigraph{``The balance between freedom and security is a delicate one.''}{-- Mark Udall, americal politician}
+\epigraph{``The balance between freedom and security is a delicate one.''}{-- Mark Udall, american politician}
 
 This chapter provides the necessary background information on why chapter \ref{chapter:PracticalSettings} recommended \textit{cipher string B}.
 
 \vskip 0.5em
-We start off by explaining the structure of cipher strings in section \ref (Architecture) and define some terms. Next we present \textit{Cipher String A} and \textit{Cipher String B} in sections \ref XXX and \ref YYY.
+We start off by explaining the structure of cipher strings in section \ref{subsection:architecture} (architecture) and define Perfect Forward Secrecy (PFS) in \ref{subsection:PFS}. Next we present \textit{Cipher String A} and \textit{Cipher String B} in section \ref{section:recommendedciphers}. This concludes the section on cipher strings. In theory, the reader should now be able to construct his or her own cipher string. However, the question why certain settings were chosen still remains. To answer this part, we need to look at recommended keylengths, problems in specific algorithms and hash functions and other cryptographic parameters. As mentioned initially in section \ref{section:relatedPublications}, the ENISA (\cite{ENISA2013}), ECRYPT 2 (\cite{ii2011ecrypt}) and BSI (\cite{TR02102}) reports go much more into these topics and should be consulted in addition.
 
 \vskip 0.5em
-After that, the following sections deal with Random number generators, keylengths, current issues in ECC, a note of warning on SHA-1 and some comments on Diffie Hellman key exchanges. All of this is important in understanding why certain choices were made for \textit{Cipher String A and B}. For most system administrators, the question of compatibility is one of the most pressing ones. Having the freedom to be compatible with any client (even running on outdated operating systems) of course, reduces the security of our cipher strings. We address these topics in section \ref{XXX}. 
+We try to answer the questions by explaining issues with random number generators (section \ref{section:RNGs}), keylengths (section \ref{section:keylengths}), current issues in ECC (section \ref{section:EllipticCurveCryptography}), a note of warning on SHA-1 (section \ref{section:SHA}) and some comments on Diffie Hellman key exchanges (section \ref{section:DH}). All of this is important in understanding why certain choices were made for \textit{Cipher String A and B}. However, for most system administrators, the question of compatibility is one of the most pressing ones. Having the freedom to be compatible with any client (even running on outdated operating systems) of course, reduces the security of our cipher strings. We address these topics in section \ref{subsection:compatibility}. 
 All these sections will allow a system administrator to balance his or her needs for strong encryption with useability and compatibility.
 
 \vskip 0.5em
 
-Last but not least, we finish this chapter by talking about issues in PKIs, Certificate Authorities and on hardening a PKI. Note that these last few topics deserve a book on their own. Hence this guide can only mention a few current topics in this area.
+Last but not least, we finish this chapter by talking about issues in PKIs (section \ref{section:PKIs}), Certificate Authorities and on hardening a PKI. Note that these last few topics deserve a book on their own. Hence this guide can only mention a few current topics in this area.