TrueCrypt EOL, wat nu?

[Anoniem: 502340]

w0w schreef op donderdag 29 mei 2014 @ 21:48:
Voor mensen die denken dat een programma veilig kan zijn ondanks dat de NSA een backdoor heeft laten implementeren maar alsnog denken niks te vrezen te hebben omdat het de NSA maar is:

Er zijn in dit geval meerdere MS medewerkers en NSA medewerkers die er vanaf weten. Er hoeft er maar eentje uit de school te klappen en de backdoor ligt op straat. Er zijn meerdere voorbeelden van werknemers die uit onvrede (te laag salaris, te lage beoordeling, geen verlenging) dit soort dingen kenbaar maken. Als er inderdaad een bankdoor inzit is het wat mij betreft vooral de vraag hoelang je data veilig is en dat is wat mij betreft geen prettige gedachte.

Maargoed ik kan me ook voorstellen dat veel mensen het meer voor de leuk willen hebben en er andere dingen mee encrypten dan mensen voor wie het extreem belangrijk is dat de data echt veilig is. Deze mensen stellen natuurlijk andere eisen aan bitlocker en vinden een backdoor misschien wel acceptabel.

Dat is een vreselijk argument om te voeren.

Persoonlijk heb ik meedrere situaties meegemaakt waarin ik, als werknemer, deel van een 'conspiracy' was samen met collegas om derden te benadelen, hoe klein of groot ook. Ik weet hoe het is om psycholgisch er absoluut geen problemen meetehebben wat een beheerder of chef wil. En wat we dan samen hebben afgesproken om X of Y te zullen doen. Je gaat er gewoon in mee. En ik heb ook gezien dat in verschillende situatites alle collegas welwillend instemmen. Het is pas jaren achteraf dat ik dacht goh gaat dit eigenljik zo makkelijk?

Het kan zo iets onschuldigs zijn als Marsrepen verkopen die overtijd zijn. Omdat je ervanaf wilt verlaag je de prijs en maak je geen verlies op de inkoop. is dit zo gek. Zou je hierom al uit de school klappen?

Als veiligheidsbambte zou ik wellicht argeloos meegaan met de "er bestaan terroristen die moeten worden opgepakt dus dit is een klein offer voor het grotere goed". Plus een dik salaris uiteraard.

Ik ken genoeg braindead IT-ers die argeloos en onsympathiek zijn tegenover schandalen en het leven an sich. Als zij maar elke dag na thuiskomst WoW kunnen spelen met hun dure videokaart en 24" DELL ultrasharp 45" NEC van 4000 euro en waterkoelingsysteem. Er zijn zat mensen die het werkelijk geen ene moer kunnen schelen wat de bewaking van recht op privacy betekent.

[ Voor 9% gewijzigd door Anoniem: 502340 op 30-05-2014 00:58 ]

[Frozen]

W3ird_N3rd schreef op donderdag 29 mei 2014 @ 05:38:
nieuws: TrueCrypt-website adviseert gebruikers software niet langer te gebruiken

Met uitermate vreemde berichten is er een einde aan TrueCrypt gekomen. Het advies om dan maar BitLocker te gebruiken is dermate absurd dat het haast niet anders kan dan dat een overheidsinstantie druk heeft gezet op de makers om te stoppen.

Het gerucht gaat dat de licentie van de laatste decrypt-only versie, 7.2, ofwel TrueCrypt License Version 3.1 meer open zou zijn dan voorgaande versies.

Ik wou even een en ander vergelijken met hoe zaken eerder waren, maar kreeg tot mijn verbazing deze melding van de wayback machine:

[...]

Hetzelfde voor http://truecrypt.sourceforge.net/.

Wat interessant zou zijn voor dit topic:
• Meer informatie over de verschillen in licentie, is het mogelijk dat er nu een fork komt met een echt open licentie?
• Betrouwbare links naar oude versies inclusief signatures en checksums.

[edit]
Na wat lezen liep ik tegen https://github.com/DrWhax/truecrypt-archive aan.

Hierin zit ook het bestand "TrueCrypt_Foundation_PGP_public_key.asc". Nu zie ik iets wat ik volgens mij nooit eerder heb gezien met een PGP pubkey..

Tot IEZvdW5kYXRpb24gPG (doe even ctrl+f) is de key identiek aan die je nu op http://sourceforge.net/pr...rueCrypt-key.asc/download kan vinden. Maar daarna zijn ze compleet anders. Iemand die daar een zinnige verklaring voor heeft?
Is niks waarschijnlijk, zie onderaan https://github.com/DrWhax/truecrypt-archive.

[edit2]
Zou mooi zijn als iemand die deze bestanden eerder heeft gedownload van de originele bron (ik heb ze van het DrWhax archief) kan bevestigen dat deze bestanden ook legit zijn:

$ sha1sum TrueCrypt\ 7.1a\ Source*
d43e0dbe05c04e316447d87413c4f74c68f5de24  TrueCrypt 7.1a Source.tar.gz
caeb2bb1d5605d1fc960e936a06e52611033788c  TrueCrypt 7.1a Source.tar.gz.sig
4baa4660bf9369d6eeaeb63426768b74f77afdf2  TrueCrypt 7.1a Source.zip
952cc187988b4044ca8e249796ba65cc65e235f6  TrueCrypt 7.1a Source.zip.sig

De signatures heb ik natuurlijk al gecheckt, maar in het scenario dat de PGP-key compromised zou zijn is het alsnog verstandig om checksums te controleren tegen bestanden die eerder zijn gedownload.

[edit3]
DrWhax archief lijkt inderdaad betrouwbaar te zijn. Hier een sha1sum ervan:

$ sha1sum master.zip 
2a42161f2a3f4f366f36912c5b08dc648c141d4e  master.zip

Ik heb 7.1 gedownload een tijdje geleden (zeg een maandje) van de officiële truecrypt website. Ik zal wel een dropbox link maken:
https://www.dropbox.com/s...eCrypt%20Setup%207.1a.exe

Geen idee hoe je de sha uit moet lezen, dus dat mogen jullie doen

Geen gekke dr. whax of hoe die heet, gewoon een echte tweakert. Veel plezier ermee jongens! Ik ga de dropbox link niet verwijderen, als hij kapot is o.i.d. dan DM je maar ff. Ik heb overigens ook nog een backupje van deze .exe (had hem 2x gedownload) voor het geval dat ie corrupt is o.i.d.

[ Voor 5% gewijzigd door Frozen op 30-05-2014 01:00 ]

[hendrikjan]

Overigens heeft de "open crypt audit" getweet dat ze door gaan met de audit van TC 7.1 https://mobile.twitter.com/OpenCryptoAudit

[Cyphax]

En intussen hebben de developers ook van zich laten horen: https://www.grc.com/misc/truecrypt/truecrypt.htm

And then the TrueCrypt developers were heard from!
Steven Barnhart (@stevebarnhart) wrote to an eMail address he had used before and received several replies from “David.” The following snippets were taken from a twitter conversation which then took place between Steven Barnhart (@stevebarnhart) and Matthew Green (@matthew_d_green):

TrueCrypt Developer “David”: “We were happy with the audit, it didn't spark anything. We worked hard on this for 10 years, nothing lasts forever.”
Steven Barnhart: (Paraphrasing) Developer “personally” feels that fork is harmful: “The source is still available as a reference though.”
Steven Barnhart: “I asked and it was clear from the reply that "he" believes forking's harmful because only they are really familiar w/code.”
Steven Barnhart: “Also said no government contact except one time inquiring about a ‘support contract.’ ”
TrueCrypt Developer “David”: Said “Bitlocker is ‘good enough’ and Windows was original ‘goal of the project.’ ”
Quoting TrueCrypt Developer David: “There is no longer interest.”

[MilaNL]

Ben benieuwd hoe ze de fork gaan uitbrengen onder een "appropriate free license" als de huidige code dat verbiedt, en de ontwikkelaar het ook niet vrij wil geven.

[Ettepet]

Anoniem: 502340 schreef op vrijdag 30 mei 2014 @ 00:46:
[...]

Ik ken genoeg braindead IT-ers die argeloos en onsympathiek zijn tegenover schandalen en het leven an sich. Als zij maar elke dag na thuiskomst WoW kunnen spelen met hun dure videokaart en 24" DELL ultrasharp 45" NEC van 4000 euro en waterkoelingsysteem. Er zijn zat mensen die het werkelijk geen ene moer kunnen schelen wat de bewaking van recht op privacy betekent.

Helaas zijn dat niet enkel de IT-ers. Natuurlijk zitten zij er met hun neus relatief dicht op en zouden actief onderdeel moeten zijn van het signalering/alarmeringssysteem over de ernst van wat er gebeurt.

Een zeer groot deel van de bevolking is de problemen van de wereld om hen heen al lange tijd structureel aan het negeren of in de ontkenningsfase. Het is veel makkelijker sceptisch te doen of te negeren. Dat geldt voor de neerwaartse spiraal van onze economie, voor instanties als de NSA, en voor belachelijke idealistische aannames over milieu, homorechten en het "asielzoekers"-beleid.

Als je bijvoorbeeld kijkt naar de special "Tegenlicht - Bureau voor digitale sabotage" dan hoor je zelfs in de kern van het verzet tegen de NSA de verwachting dat de westerse bevolking zich door een paar simpele toezeggingen en tegemoetkomingen zal laten paaien.

Bij het besef "kennis geeft macht" en "(veel) macht hebben corrumpeert" is het duidelijk dat de NSA een zeer ongezonde ontwikkeling is voor de wereld, en zal blijken te zijn.

Ik verwacht dan ook niet dat programma's als TrueCrypt een legale status zullen hebben/houden als de overheid er niet bij kan. Dus is de aanleiding voor dit topic daarmee op kortere termijn weg.

Gezien de slappe opstelling hier (Nederland/Europa) betekent dit dat behalve onze overheid automatisch de VS, GB en Israel ook bij die gegevens kunnen.

[Trommelrem]

Na het volgen van dit topic begrijp ik één ding niet:

Wat is de connectie tussen TrueCrypt en de NSA?

Voor zover ik weet hoeft de NSA TrueCrypt helemaal niet te kraken, want het is de user die het password intypt bij boottime. Dat is ook de reden dat EFS in sommige gevallen beter is dan Bitlocker/TrueCrypt: Bitlocker geeft alles vrij zodra er wordt geboot, maar EFS is op een per-file basis. EFS is dus, hoe closed source ook, meteen al veiliger dan TrueCrypt tegen de NSA.

Als TrueCrypt nou een firewall was, dan was het anders, maar voor nu zie ik niet hoe TrueCrypt kan beschermen tegen de NSA. Als de NSA dit topic zou lezen, dan zouden ze hard lachen en erg blij zijn met TrueCrypt vanwege de schijnveiligheid die het biedt.

[Cyphax]

Voor zover ik weet hoeft de NSA TrueCrypt helemaal niet te kraken, want het is de user die het password intypt bij boottime

Als je partitie versleuteld wel, maar ik gebruik losse containers die ik "handmatig" mount (waarbij handmatig betekent: als ik de betreffende usb-stick in m'n laptop steek reageert TC daarop door te vragen om het wachtwoord). Wat moet de NSA daartegen doen dan?

[arie_papa]

Cyphax schreef op vrijdag 30 mei 2014 @ 12:41:
[...]

Als je partitie versleuteld wel, maar ik gebruik losse containers die ik "handmatig" mount (waarbij handmatig betekent: als ik de betreffende usb-stick in m'n laptop steek reageert TC daarop door te vragen om het wachtwoord). Wat moet de NSA daartegen doen dan?

Ik denk dat Trommelrem bedoelt dat TC zo veilig is als het besturingssysteem wat je draait. Als je bijv Windows XP gebruikt om jou losse containers te mounten, is dat net zo onveilig als je full disk encryptie gebruikt om dan Windows XP op te starten.

[downtime]

Cyphax schreef op vrijdag 30 mei 2014 @ 12:41:
[...]

Als je partitie versleuteld wel, maar ik gebruik losse containers die ik "handmatig" mount (waarbij handmatig betekent: als ik de betreffende usb-stick in m'n laptop steek reageert TC daarop door te vragen om het wachtwoord). Wat moet de NSA daartegen doen dan?

Zodra die encrypted container is gemount is ie even toegankelijk voor eventuele malware op je PC als elke unencrypted disk.

[Cyphax]

skinlee78 schreef op vrijdag 30 mei 2014 @ 12:44:
[...]


Ik denk dat Trommelrem bedoelt dat TC zo veilig is als het besturingssysteem wat je draait. Als je bijv Windows XP gebruikt om jou losse containers te mounten, is dat net zo onveilig als je full disk encryptie gebruikt om dan Windows XP op te starten.

downtime schreef op vrijdag 30 mei 2014 @ 12:49:
[...]

Zodra die encrypted container is gemount is ie even toegankelijk voor eventuele malware op je PC als elke unencrypted disk.

Ah, de ketting is zo sterk als de zwakste schakel: dat blijft inderdaad een geldig argument.

[PizzaMan79]

http://truecrypt.ch

[w0w]

Jester-NL schreef op donderdag 29 mei 2014 @ 22:17:
[...]

Behalve dan dat bronnen wel handig zijn, het volgende...

Leg me nu even uit HOE iemand (NSA of anders) iets aan gaten of backdoors heeft zonder fysieke toegang tot mijn PC.
Idem voor USB-sticks of encrpted containers...

Waarvan wil je precies een bron?

Voor wat betreft je laatste vraag, er zijn berichten dat NSA toegang heeft tot alle windows 8 pc's (http://news.softpedia.com...s-8-Computer-377501.shtml) en er zijn berichten dat de NSA toegang heeft tot de meeste Windows pc's (http://thehackernews.com/...icy-Zero-day-Exploit.html)

Mijn punt blijft staan, als de NSA het kan dan kunnen andere bedrijven/overheden het misschien ook wel. Ik zou de andere partijen zeker niet onderschatten (kijk maar eens wat er nu precies met DigiNotar gebeurd is). Misschien kunnen ze het niet nu maar later wel. Als ik naar een ver land vlieg kan er daar op het vliegveld mijn laptop geinspecteerd worden en mogelijk een kopie van de HDD getrokken worden. Zelfs als er dan over 5 jaar een backdoor uitlekt is mijn data van toen nog steeds niet veilig. Misschien dat dit goed genoeg is voor jou, dit is duidelijk niet goed genoeg voor iedereen.

Anoniem: 502340 schreef op vrijdag 30 mei 2014 @ 00:46:
[...]


Dat is een vreselijk argument om te voeren.

Persoonlijk heb ik meedrere situaties meegemaakt waarin ik, als werknemer, deel van een 'conspiracy' was samen met collegas om derden te benadelen, hoe klein of groot ook. Ik weet hoe het is om psycholgisch er absoluut geen problemen meetehebben wat een beheerder of chef wil. En wat we dan samen hebben afgesproken om X of Y te zullen doen. Je gaat er gewoon in mee. En ik heb ook gezien dat in verschillende situatites alle collegas welwillend instemmen. Het is pas jaren achteraf dat ik dacht goh gaat dit eigenljik zo makkelijk?

Het kan zo iets onschuldigs zijn als Marsrepen verkopen die overtijd zijn. Omdat je ervanaf wilt verlaag je de prijs en maak je geen verlies op de inkoop. is dit zo gek. Zou je hierom al uit de school klappen?

Als veiligheidsbambte zou ik wellicht argeloos meegaan met de "er bestaan terroristen die moeten worden opgepakt dus dit is een klein offer voor het grotere goed". Plus een dik salaris uiteraard.

Ik ken genoeg braindead IT-ers die argeloos en onsympathiek zijn tegenover schandalen en het leven an sich. Als zij maar elke dag na thuiskomst WoW kunnen spelen met hun dure videokaart en 24" DELL ultrasharp 45" NEC van 4000 euro en waterkoelingsysteem. Er zijn zat mensen die het werkelijk geen ene moer kunnen schelen wat de bewaking van recht op privacy betekent.

Hartstikke mooi allemaal maar tussen die duizenden 'braindead IT-ers' hoeft er maar eentje tussen te zitten die verklapt hoe de backdoors werken.

[ Voor 37% gewijzigd door w0w op 30-05-2014 13:37 ]

[Anoniem: 502340]

Trommelrem schreef op vrijdag 30 mei 2014 @ 12:31:
Na het volgen van dit topic begrijp ik één ding niet:

Wat is de connectie tussen TrueCrypt en de NSA?

Voor zover ik weet hoeft de NSA TrueCrypt helemaal niet te kraken, want het is de user die het password intypt bij boottime. Dat is ook de reden dat EFS in sommige gevallen beter is dan Bitlocker/TrueCrypt: Bitlocker geeft alles vrij zodra er wordt geboot, maar EFS is op een per-file basis. EFS is dus, hoe closed source ook, meteen al veiliger dan TrueCrypt tegen de NSA.

Als TrueCrypt nou een firewall was, dan was het anders, maar voor nu zie ik niet hoe TrueCrypt kan beschermen tegen de NSA. Als de NSA dit topic zou lezen, dan zouden ze hard lachen en erg blij zijn met TrueCrypt vanwege de schijnveiligheid die het biedt.

Ik ga dat EFS eens napluizen.

Gezien recent commentaar van de ontwikkelaars zelf word ik op het feit gedrukt dat Truecrypt altijd al voor het Windows-platform werd ontwikkeld. Niettemin ik altijd al wist dat Truecrypt al ernstige beveiligingslekken had net zoals bij alle encryptie software. Bijv dat de 'encryption key'? gewoon ontsleuteld in RAM zit en wordt weggescrheven naar een log bij een crash. Als truecrypt altijd al voor windows zou worden gemaakt hadden de ontwikkelaars hier toch op zn minst wat proberen tegen te doen. Ik vind deze ontwikkelaars opeens niet meer zo idealistisch als dat ik ze had voorgesteld. Mischien kan Truecrypt toch nog beter.

[downtime]

Anoniem: 502340 schreef op vrijdag 30 mei 2014 @ 13:57:
Ik ga dat EFS eens napluizen.

EFS is niet "beter" dan TrueCrypt of BitLocker. Het is gewoon een andere aanpak die ook weer voor- en nadelen heeft.

Gezien recent commentaar van de ontwikkelaars zelf word ik op het feit gedrukt dat Truecrypt altijd al voor het Windows-platform werd ontwikkeld. Niettemin ik altijd al wist dat Truecrypt al ernstige beveiligingslekken had net zoals bij alle encryptie software. Bijv dat de 'encryption key'? gewoon ontsleuteld in RAM zit en wordt weggescrheven naar een log bij een crash. Als truecrypt altijd al voor windows zou worden gemaakt hadden de ontwikkelaars hier toch op zn minst wat proberen tegen te doen.

Hoe wou jij het dan doen? Die key zal ergens bewaard moeten worden zolang een encrypted volume gemount is. Je kunt wel wat aan obfuscatie doen maar uiteindelijk zal de key altijd leesbaar moeten zijn.

[26779]

PizzaMan79 schreef op vrijdag 30 mei 2014 @ 13:22:
http://truecrypt.ch

Mooi staaltje van: '...what has been seen can not be unseen...'
Ik ga steeds meer geloven in de 'Warant Canary' scenario. Als nu een andere (niet US based) club het stokje overneemt, dan is het een dikke neus richting big brother.

[Anoniem: 112755]

Zojuist (lees uren verder) heb ik Visual Studio 2008 en toebehoren eindelijk juist staan.
Mijn eerste eigen build van de Truecrypt 7.1a source is gelukt
Klaar om mijn eigen encryptie toe te passen (kuch)
Als mensen interesse hebben in de setup kun je mij best wat vragen.
Ik had zelf nogal moeite om de Microsoft Visual C++ 1.52 te vinden op het net, maar dat lukte toch op een vage torrentsite. (Rust hier nu nog copyright op?)
Vervolgens een paar build-errors fixen en tada een succesvolle build van Truecrypt 7.1a.

[ Voor 42% gewijzigd door Anoniem: 112755 op 30-05-2014 18:19 ]

[downtime]

Anoniem: 112755 schreef op vrijdag 30 mei 2014 @ 18:15:
(Rust hier nu nog copyright op?)

Ik kan me niet voorstellen dat die compiler al meer dan 70 jaar oud is, dus ja, er zit nog copyright op.

Wikipedia: List of countries' copyright lengths

[arie_papa]

Visual C++ 1.5 stamt uit december 1993, dus in ieder geval jonger.

[26779]

Hier een blog van een (naar mijn mening) wat serieuzer te nemen beveiligingsexpert: https://www.grc.com/misc/truecrypt/truecrypt.htm
Lees ook de links die in de blogpost staan.

[Brahiewahiewa]

26779 schreef op zaterdag 31 mei 2014 @ 13:52:
Hier een blog van een (naar mijn mening) wat serieuzer te nemen beveiligingsexpert: https://www.grc.com/misc/truecrypt/truecrypt.htm
Lees ook de links die in de blogpost staan.

Die Steve Gibson heeft z'n geloofwaardigheid al jaaaaaren geleden verspeeld

[hendrikjan]

Waarom?

[Brahiewahiewa]

Met z'n verhaal over stealth ports. De man ziet er gewoon business in om mensen te misleiden

[CMD-Snake]

Oef... wat een paranoia heeft dit alles losgemaakt. Overal waar het nieuws staat van TrueCrypt barst de comment secties van de paranoia. Hoe kunnen mensen nog functioneren als ze denken dat iedereen in de zak zit van een oppermachtige organisatie? Zelfs de samenzweringsgekken als Alex Jones kunnen aan sommige dingen nog een puntje zuigen.

Het lijkt wel alsof de NSA een combinatie is van The Patriots, Section 31 en de Agents uit de Matrix. (Of vul hier maar je favoriete fictieve oppermachtige organisaties in...)

Even on topic. Ik heb zelf geen bewijs nog gezien dat Bitlocker onveilig zou zijn. Hoewel de code niet openbaar is vind ik persoonlijk dat het dan niet meteen als onveilig bestempeld hoeft te worden. MS deelt zijn code met beveiligingsbedrijven, grote bedrijven en diverse overheden met een geheimhoudingsverklaring. Er kijken genoeg partijen dus naar, ook partijen die tegengestelde belangen hebben. (Waarom zou de VS een backdoor laten maken als die ontdekt kan worden door China?) Het lijkt mij ook dat backdoors maken als bedrijf een vorm van zelfmoord is. Als het uitlekt kan je het bedrijf opdoeken. Ergens lijkt het mij van de zotte dat grote bedrijven als Microsoft en anderen zo'n risico willen lopen.

Nog even en ik moet toch denken dat de developer van TrueCrypt een meester troll was. Als je het effect ziet die zijn mededeling heeft.....

[Anoniem: 20531]

Er is ondertussen een reactie van de "devs": https://www.grc.com/misc/truecrypt/truecrypt.htm

And then the TrueCrypt developers were heard from . . .
Steven Barnhart (@stevebarnhart) wrote to an eMail address he had used before and received several replies from “David.” The following snippets were taken from a twitter conversation which then took place between Steven Barnhart (@stevebarnhart) and Matthew Green (@matthew_d_green):

TrueCrypt Developer “David”: “We were happy with the audit, it didn't spark anything. We worked hard on this for 10 years, nothing lasts forever.”
Steven Barnhart (Paraphrasing): Developer “personally” feels that fork is harmful: “The source is still available as a reference though.”
Steven Barnhart: “I asked and it was clear from the reply that "he" believes forking's harmful because only they are really familiar w/code.”
Steven Barnhart: “Also said no government contact except one time inquiring about a ‘support contract.’ ”
TrueCrypt Developer “David” said: “Bitlocker is ‘good enough’ and Windows was original ‘goal of the project.’ ”
Quoting TrueCrypt Developer David: “There is no longer interest.”

[Anoniem: 514006]

Microsoft en de NSA fappen ondertussen samen op de backdoors en kwetsbaarheden die ze hebben geïmplementeerd in BitLocker.

[durian]

CMD-Snake schreef op zaterdag 31 mei 2014 @ 15:53:
Even on topic. Ik heb zelf geen bewijs nog gezien dat Bitlocker onveilig zou zijn. Hoewel de code niet openbaar is vind ik persoonlijk dat het dan niet meteen als onveilig bestempeld hoeft te worden. MS deelt zijn code met beveiligingsbedrijven, grote bedrijven en diverse overheden met een geheimhoudingsverklaring.

Ja, maar dat is eigenlijk nep. We laten het aan anderen zien, maar die mogen er niks over zeggen... "trust us". Typische corporate zand-in-de-ogen-strooierij. Open, is open, en je wilt open als het om encryptie gaat. MS en BitLocker zijn niet open, alle mooi PR ten spijt,...

[CMD-Snake]

durian schreef op zaterdag 31 mei 2014 @ 22:46:
Ja, maar dat is eigenlijk nep. We laten het aan anderen zien, maar die mogen er niks over zeggen... "trust us". Typische corporate zand-in-de-ogen-strooierij. Open, is open, en je wilt open als het om encryptie gaat. MS en BitLocker zijn niet open, alle mooi PR ten spijt,...

Hoeveel open source programma's heb jij daadwerkelijk de code van doorgenomen? Nog specifieker, heb jij ook een keer de TrueCrypt code doorgenomen?

Dit is wederom onderbuikgevoel en complottheorieën. Ik wil eigenlijk links zien naar gerenommeerde beveiligingsbedrijven die zwart op wit aantonen dat Bitlocker eenvoudig te hacken/omzeilen is.

[durian]

CMD-Snake schreef op zaterdag 31 mei 2014 @ 23:08:
[...]
Hoeveel open source programma's heb jij daadwerkelijk de code van doorgenomen? Nog specifieker, heb jij ook een keer de TrueCrypt code doorgenomen?

Dit is wederom onderbuikgevoel en complottheorieën. Ik wil eigenlijk links zien naar gerenommeerde beveiligingsbedrijven die zwart op wit aantonen dat Bitlocker eenvoudig te hacken/omzeilen is.

Daar gaat het helemaal niet om (Ik hoef de TC code niet te hebben doorgenomen om te weten dat MS niet open is). Die links die jij wil zijn er niet, je zei zelf dat ze een geheimhoudingsverklaring moesten ondertekenen. Dat lijkt me zo'n beetje de definitie van niet open...

[Gomez12]

CMD-Snake schreef op zaterdag 31 mei 2014 @ 23:08:
[...]
Dit is wederom onderbuikgevoel en complottheorieën. Ik wil eigenlijk links zien naar gerenommeerde beveiligingsbedrijven die zwart op wit aantonen dat Bitlocker eenvoudig te hacken/omzeilen is.

Als er al backdoors in zouden zitten, dan zijn er geen openbare gerenommeerde bewijzen, want iedereen die de code mag inzien heeft er juist voor getekend (met een boeteclausule hoog) dat niet te vertellen.
En mocht er toch een individueel zijn die er anders over denkt dan heb je alsnog de NSA als backers die een NSL kunnen laten uitgaan.

Kijk maar eens naar de NSA-affaire, de hele NSA bestaat al tig jaar, hun werkwijzen zijn al tig jaar grofweg gelijk, oftewel er zijn miljoenen snowdens geweest die allemaal hun mond hebben dichtgehouden.
En nu wens jij even van een relatief nieuw iets van een paar gerenommeerde bedrijven zwart op wit bewijs zien dat er iets mis is?

[CMD-Snake]

Dit klinkt eerder naar een drogredenering. Er moet wel een kwetsbaarheid zijn, echter die is geheim en kunnen we niet weten, maar daardoor weten we dat die er moet zijn.

Het is niet falsificeerbaar, de stelling kan nooit bewezen of ontkracht worden. Dat is mijn hele bezwaar hier.

Er zijn in het verleden meer klokkenluiders geweest bij de NSA. Te weten: William Binney, Thomas Drake, Mark Klein, Thomas Tamm en Russ Tice.

[Mentalist]

CMD-Snake schreef op zaterdag 31 mei 2014 @ 15:53:
Even on topic. Ik heb zelf geen bewijs nog gezien dat Bitlocker onveilig zou zijn. Hoewel de code niet openbaar is vind ik persoonlijk dat het dan niet meteen als onveilig bestempeld hoeft te worden. MS deelt zijn code met beveiligingsbedrijven, grote bedrijven en diverse overheden met een geheimhoudingsverklaring. Er kijken genoeg partijen dus naar, ook partijen die tegengestelde belangen hebben. (Waarom zou de VS een backdoor laten maken als die ontdekt kan worden door China?) Het lijkt mij ook dat backdoors maken als bedrijf een vorm van zelfmoord is. Als het uitlekt kan je het bedrijf opdoeken. Ergens lijkt het mij van de zotte dat grote bedrijven als Microsoft en anderen zo'n risico willen lopen.

Ik vraag me af hoe de partijen die de code dan kunnen lezen eigenlijk weten dat ze naar dezelfde code zitten te kijken. Ik betwijfel of ze checksums uitwisselen.

En hoe ze weten dat wat er in die source staat ook is wat de binary doet.

Wat betreft falsifieerbaarheid heb je gelijk - je kan niet aantonen dat BitLocker veilig is, dus is het aan de partij die zegt dat het onveilig is om dat aan te tonen.

Maar bij beveiliging kijk je daar net iets anders tegenaan. Stel ik heb mijn eigen encryptieprogramma geschreven, wn-crypt. De source geef ik niet vrij. De binaries trouwens ook niet voor het gemak. Ik beweer dat het veilig is. Jij kan niet aantonen dat het onveilig is.

Maar.. Moeten we dan maar aannemen dat het inderdaad veilig is, omdat we het tegendeel niet aan kunnen tonen? In dit geval wil je de mogelijkheid om het te controleren. Zelfs als je het niet werkelijk gaat controleren. Ik wil afschriften hebben van mijn bank, ook al lees ik ze nooit. Ik wil ze toch hebben. Als ik achteraf denk dat er niets in de haak was, dan kan ik teruggaan en dat uitzoeken.

Not so much bij BitLocker. Microsoft zou best de source vrij kunnen geven. Als het veilig is zal dat de beveiliging absoluut niet minder maken. Ze hoeven het ook niet gratis weg te geven, je kan source openbaar maken onder een licentie die forken of zelfs compileren niet toestaat. Sowieso verkoopt MS BL niet als los product, dus dit kan nooit een echt bezwaar zijn.

[ Voor 7% gewijzigd door Mentalist op 01-06-2014 01:46 ]

[Gomez12]

CMD-Snake schreef op zondag 01 juni 2014 @ 00:21:
Dit klinkt eerder naar een drogredenering. Er moet wel een kwetsbaarheid zijn, echter die is geheim en kunnen we niet weten, maar daardoor weten we dat die er moet zijn.

Hoho, ik zeg niet dat er een kwetsbaarheid moet zijn, echter als er een kwetsbaarheid is dan nog ben je lichtjaren verwijderd van wat jij wenst.

Maar sowieso interesseert het mij niet zoveel of er een NSA-backdoor inzit (*1), ik maak me in 1e instantie zorgen om de lokale politie / brein / concurrenten / medewerkers. Zolang die het niet kunnen hacken vind ik het al mooi.

Op het moment dat ik daadwerkelijke handelingen ga doen die de aandacht van NSA / China / Rusland vragen dan zie ik het wel weer, maar voorlopig hebben die geen interesse in mijn data.


*1 : Let er wel op dat ook al zou er een back-door inzitten, dan is het zeer onwaarschijnlijk dat ze hiermee binnen seconden een bestandje kunnen openen, het zal waarschijnlijk eerder gaan om een methode dat het ipv eeuwen nog maar enkele weken/dagen duurt op speciaal ingerichte server-clusters die volledig op jouw bestandje draaien. Oftewel ze moeten echt het vermoeden hebben dat jij een kernbom op het witte huis gaat plaatsen oid, anders kost de rekenkracht gewoon te veel en is het resultaat te weinig...

[Asgaro]

Anoniem: 20531 schreef op zaterdag 31 mei 2014 @ 18:55:
Er is ondertussen een reactie van de "devs": https://www.grc.com/misc/truecrypt/truecrypt.htm


[...]

TrueCrypt Developer “David” said: “Bitlocker is ‘good enough’

*knip*


Als de TrueCrypt devs al argwaan toonden tegen bv. de Trusted Platform Module ( Wikipedia: TrueCrypt ),
dan neem ik aan dat ze zoiets als Bitlocker toch ook zéker niet gaan aanraden?

Of maak ik hier foute analogieën?
(Ben lang geen expert in computer security... Wel vorig semester een vak Beveiliging gehad dat ver 200 pagina's betrof maar dat terzijde. )

[ Voor 16% gewijzigd door Rupie op 04-06-2014 20:35 . Reden: Dat plaatje was nergens voor nodig ]

[Tweaker.nu]

Via de buren:

Enkele Zwitserse activisten van de Piratenpartij werken aan een doorstart van de bekende encryptiesoftware TrueCrypt, die deze week offline ging

http://webwereld.nl/bevei...d%29&utm_content=Netvibes

[26779]

De buren zijn wat laat met nieuws. Als je de discussie doorleest is de link van truecrypt.ch al een aantal maal langsgekomen.

[CMD-Snake]

W3ird_N3rd schreef op zondag 01 juni 2014 @ 01:44:
Maar bij beveiliging kijk je daar net iets anders tegenaan. Stel ik heb mijn eigen encryptieprogramma geschreven, wn-crypt. De source geef ik niet vrij. De binaries trouwens ook niet voor het gemak. Ik beweer dat het veilig is. Jij kan niet aantonen dat het onveilig is.

Maar stel dat jij je code laat controleren door beveiligingsbedrijven, dan kan de gebruiker van jouw programma toch enigszins op vertrouwen dat deze bedrijven hun werk juist doen.

Microsoft laat zijn code controleren door beveiligingsbedrijven als bijvoorbeeld FireEye die de laatste kwetsbaarheid in IE gevonden hadden. Er zit weliswaar een NDA op, maar toch worden de gevonden lekken uiteindelijk bekend gemaakt.

Gomez12 schreef op zondag 01 juni 2014 @ 01:44:
Maar sowieso interesseert het mij niet zoveel of er een NSA-backdoor inzit (*1), ik maak me in 1e instantie zorgen om de lokale politie / brein / concurrenten / medewerkers. Zolang die het niet kunnen hacken vind ik het al mooi.

Ik denk zelf niet dat er een backdoor in zit. Waarom? Als het uitkomt dan is Microsoft zo goed als failliet op dat moment. Niemand neemt een product af waarvan bekend is dat het een lek heeft. Dagelijks buigen vele mensen zich over dit soort producten om lekken te vinden. Niet enkel beveiligingsonderzoekers, maar ook criminelen die het willen misbruiken voor hun eigen doeleinden. Geen ander bedrijf ligt denk ik zo onder vuur als Microsoft wegens hun grote marktaandeel. Je zou dan kunnen denken dat met zoveel aandacht er toch wel een keer iets gevonden moet worden...

En de NSA deelt zijn geheimen niet zo snel met Tim Kuik.

[Mentalist]

CMD-Snake schreef op zondag 01 juni 2014 @ 13:21:
[...]

Maar stel dat jij je code laat controleren door beveiligingsbedrijven, dan kan de gebruiker van jouw programma toch enigszins op vertrouwen dat deze bedrijven hun werk juist doen.

Microsoft laat zijn code controleren door beveiligingsbedrijven als bijvoorbeeld FireEye die de laatste kwetsbaarheid in IE gevonden hadden. Er zit weliswaar een NDA op, maar toch worden de gevonden lekken uiteindelijk bekend gemaakt.

Dan zijn er nog twee dingetjes aan de hand. Ten eerste, hoe weet dat beveiligingsbedrijf dat de code waar ze naar kijken dezelfde code is die de compiler ingaat?

Ten tweede, duizenden ogen kunnen meer (of andere) dingen zien dan een paar. Ik geef onmiddelijk toe dat ook bij publieke broncode het wel eens een probleem is dat er niet genoeg mensen naar kijken. Maar er kan dan iig door iedereen naar gekeken worden, zowel door beveiligingsbedrijven, hobbyïsten, activisten, criminelen, hackers, het hele spectrum. En het is makkelijker controleerbaar of een binary inderdaad is gecompileerd aan de hand van de bekende broncode.

[...]

Ik denk zelf niet dat er een backdoor in zit. Waarom? Als het uitkomt dan is Microsoft zo goed als failliet op dat moment. Niemand neemt een product af waarvan bekend is dat het een lek heeft.

Dat denk je. In de realiteit maakt het geen moer uit. Ten eerste staat er bij een backdoor niet /* backdoor for NSA */ in de broncode. Men kan het dus gewoon op een ongelukkig lek gooien. Zie heartbleed, was dat een backdoor of gewoon een bug? Valt niet te zeggen.

Ten tweede, zelfs al zit er een backdoor in en kan er bewezen worden dat het een backdoor is, maakt geen moer uit. Mensen stoppen niet plotseling met het gebruik van Windows. Daar is de vendor-lockin voor.

En uiteindelijk komen mensen ook weer met het "ik heb niets te verbergen" argument en gaan door met de lekke software te gebruiken - gewoon omdat dat makkelijker is dan omschakelen.

Dagelijks buigen vele mensen zich over dit soort producten om lekken te vinden. Niet enkel beveiligingsonderzoekers, maar ook criminelen die het willen misbruiken voor hun eigen doeleinden. Geen ander bedrijf ligt denk ik zo onder vuur als Microsoft wegens hun grote marktaandeel. Je zou dan kunnen denken dat met zoveel aandacht er toch wel een keer iets gevonden moet worden...

Met behoorlijke regelmaat komen er ook lekken boven. Maar of dat dan een backdoor of een bug is valt normaliter niet te zeggen. Denk bijvoorbeeld aan een smerige bug als degene die Blaster exploiteeerde. Bug of backdoor? Zullen we nooit weten. Het enige verschil tussen een bug en een backdoor is dat de backdoor met opzet erin zit.

[Eagle Creek]

W3ird_N3rd schreef op donderdag 29 mei 2014 @ 19:48:
[...]

Nee.

Maar die DrWhax pagina durfde ik niet onmiddelijk te vertrouwen, die zal vrij populair zijn. Daarom juist was het goed om hier op een relatief onbeduidend forum te bevestigen dat de bestanden daarin dezelfde zijn die ooit op de TC-website stonden.

Wat dacht je van deze: https://www.grc.com/misc/truecrypt/truecrypt.htm ?

GRC staat ook vrij hoog aangeschreven.

[mindcrash]

Warrant canary min of meer confirmed. Het lijkt er sterk op dat het een en ander niet vrijwillig is gegaan en ze zijn geNSLed

Bron

[26779]

Confirmed is wel een ERG groot woord.... Hoewel mijn onderbuik zegt dat het wel zo is, kan ik dit geen bewijs noemen.

[hendrikjan]

Maar wie zijn dat dan? Ik kan ook wel een tweetje de wereld in sturen, waarin ik e.e.a. bevestig..

[mindcrash]

hendrikjan schreef op zondag 01 juni 2014 @ 14:32:
Maar wie zijn dat dan? Ik kan ook wel een tweetje de wereld in sturen, waarin ik e.e.a. bevestig..

Hacktivisten. En volgens mij heeft die Alyssa Rowan wel degelijk inside info (in de huidige wereld moet je behoorlijk oppassen welke details je wel of niet met de buitenwereld deelt)

[Rutix]

W3ird_N3rd schreef op zondag 01 juni 2014 @ 13:48:
[...]

Dan zijn er nog twee dingetjes aan de hand. Ten eerste, hoe weet dat beveiligingsbedrijf dat de code waar ze naar kijken dezelfde code is die de compiler ingaat?

Ten tweede, duizenden ogen kunnen meer (of andere) dingen zien dan een paar. Ik geef onmiddelijk toe dat ook bij publieke broncode het wel eens een probleem is dat er niet genoeg mensen naar kijken. Maar er kan dan iig door iedereen naar gekeken worden, zowel door beveiligingsbedrijven, hobbyïsten, activisten, criminelen, hackers, het hele spectrum. En het is makkelijker controleerbaar of een binary inderdaad is gecompileerd aan de hand van de bekende broncode.

[...]

Dat denk je. In de realiteit maakt het geen moer uit. Ten eerste staat er bij een backdoor niet /* backdoor for NSA */ in de broncode. Men kan het dus gewoon op een ongelukkig lek gooien. Zie heartbleed, was dat een backdoor of gewoon een bug? Valt niet te zeggen.

Ten tweede, zelfs al zit er een backdoor in en kan er bewezen worden dat het een backdoor is, maakt geen moer uit. Mensen stoppen niet plotseling met het gebruik van Windows. Daar is de vendor-lockin voor.

En uiteindelijk komen mensen ook weer met het "ik heb niets te verbergen" argument en gaan door met de lekke software te gebruiken - gewoon omdat dat makkelijker is dan omschakelen.

[...]

Met behoorlijke regelmaat komen er ook lekken boven. Maar of dat dan een backdoor of een bug is valt normaliter niet te zeggen. Denk bijvoorbeeld aan een smerige bug als degene die Blaster exploiteeerde. Bug of backdoor? Zullen we nooit weten. Het enige verschil tussen een bug en een backdoor is dat de backdoor met opzet erin zit.

Je haalt wel hele theoretische dingen aan nu hoor. Die duizenden ogen gebeurt echt niet en al helemaal niet met specialistische dingen als security leaks en exploits. Je noemde zelf heartbleed maar die bug heeft er ook een poos ingezeten en al die duizenden ogen hebben hem niet gezien. Een bedrijf als Microsoft betaald gewoon geld aan bedrijven die echt gespecialiseerd zijn in het vinden van bugs en exploits en zij hebben ook echt motivatie om die bugs te vinden omdat al het ooit uit komt dat er een bug in zat die zij niet hebben gevonden hun reputatie naar de knoppen gaat. Al met al vind ik het zwakke argumenten. Het is leuk in theorie maar in de praktijk is het vaak niet zo.

Dat wil trouwens niet zeggen dat ik tegen open source ben! Ik vind alleen dat sommige mensen wel heel erg snel roepen "OPEN SOURCE IS BETER! WANT" en dan argumenten geven die in praktijk niet stand houden.

[ Voor 3% gewijzigd door Rutix op 01-06-2014 16:46 ]

[Jester-NL]

W3ird_N3rd schreef op zondag 01 juni 2014 @ 13:48:
[...]
Dan zijn er nog twee dingetjes aan de hand. Ten eerste, hoe weet dat beveiligingsbedrijf dat de code waar ze naar kijken dezelfde code is die de compiler ingaat?
[...]

Nou is dit al een draadje aan het worden dat (mijns inziens) zijdelings over de software gaat en veel meer over allerhande rare theorieen, maar na bovenstaande begin ik me serieus af te vragen of er niet te veel aluminiumfolie gebruikt wordt...
Als je dat soort aannames (als primair punt) denkt te moeten meenemen, dan wil je gewoon dat je genaaid wordt.
Dit is een beetje een zelfde soort opmerking als die over collisions op de hash...

[Mentalist]

Rutix schreef op zondag 01 juni 2014 @ 16:45:
[...]

Je haalt wel hele theoretische dingen aan nu hoor. Die duizenden ogen gebeurt echt niet en al helemaal niet met specialistische dingen als security leaks en exploits. Je noemde zelf heartbleed maar die bug heeft er ook een poos ingezeten en al die duizenden ogen hebben hem niet gezien.

En als de broncode gesloten was geweest had de bug er misschien nog wel langer ingezeten.

Dan reageer je misschien "nee, dan hadden de beveiligingsbedrijven hem opgespoord!". Dat weet je dus niet. Met regelmaat komen er lelijke bugs naar voren, zelfs nog in Windows XP. Blijkbaar allemaal over het hoofd gezien. Die methode is dus verre van perfect.

Een bedrijf als Microsoft betaald gewoon geld aan bedrijven die echt gespecialiseerd zijn in het vinden van bugs en exploits en zij hebben ook echt motivatie om die bugs te vinden omdat al het ooit uit komt dat er een bug in zat die zij niet hebben gevonden hun reputatie naar de knoppen gaat. Al met al vind ik het zwakke argumenten. Het is leuk in theorie maar in de praktijk is het vaak niet zo.

Dat wil trouwens niet zeggen dat ik tegen open source ben! Ik vind alleen dat sommige mensen wel heel erg snel roepen "OPEN SOURCE IS BETER! WANT" en dan argumenten geven die in praktijk niet stand houden.

Open source is beter want het is controleerbaar. Als MS de broncode van BitLocker openbaar maakt dan maakt dat BitLocker op geen enkele manier slechter, maar het maakt het programma wel beter controleerbaar. Dùs het is beter.

Jester-NL schreef op zondag 01 juni 2014 @ 20:26:
[...]

Nou is dit al een draadje aan het worden dat (mijns inziens) zijdelings over de software gaat en veel meer over allerhande rare theorieen, maar na bovenstaande begin ik me serieus af te vragen of er niet te veel aluminiumfolie gebruikt wordt...
Als je dat soort aannames (als primair punt) denkt te moeten meenemen, dan wil je gewoon dat je genaaid wordt.

"You may be deceived if you trust too much, but you will leave in torment if you don't trust enough."

Vrijwel ieder individueel document dat Snowden de wereld instuurde zou voorheen zijn afgedaan met "aluhoedje". Nu opeens blijkt dat iedereen die dit voorheen al beweerde en werd uitgemaakt voor aluhoedje gewoon gelijk had.

Als je nu nog denkt dat je op dit gebied iets zeker kan weten dan ben je redelijk naief. Ik zeg niet dat ik aanneem dat ze voor het compileren met de code rommelen. Ik zeg ook niet dat het complete bedrijf MS daarvan op de hoogte zou zijn of het daarmee eens zou zijn. Ik zeg dat het kan. En dat wij het niet kunnen controleren.

Dit is een beetje een zelfde soort opmerking als die over collisions op de hash...

Bij oude hashing algoritmes zijn collisions mogelijk en is het ook mogelijk malware in een bestand te steken met een gelijke hash. Terwijl dat vóór de betreffende kwetsbaarheden waren gevonden onmogelijk werd geacht.

Zover we weten kan dit bij bijvoorbeeld SHA1 niet, maar dan gaan we er dus vanuit dat ook de NSA dat niet kan. Maar als ik je voor Heartbleed had verteld dat de NSA een zeroday exploit heeft waarmee ze data van miljoenen servers, inclusief die van banken met beveiligde verbinding kunnen aftappen en onversleutelde data in handen kunnen krijgen zonder sporen achter te laten en waarmee ze zelfs certificaten kunnen onderscheppen, had je me geloofd?

Of had je gezegd dat ik teveel aluminiumfolie in huis heb?

[Anoniem: 20531]

W3ird_N3rd schreef op zondag 01 juni 2014 @ 13:48:
[...]
Dan zijn er nog twee dingetjes aan de hand. Ten eerste, hoe weet dat beveiligingsbedrijf dat de code waar ze naar kijken dezelfde code is die de compiler ingaat?

Die gene die de volgende versies gaan maken kunnen zorgen dat deterministic builds mogelijk worden dan krijg je altijd dezelfde binary blob als je de source door de compiler trekt.

[Puch-Maxi]

mindcrash schreef op zondag 01 juni 2014 @ 14:24:
Warrant canary min of meer confirmed. Het lijkt er sterk op dat het een en ander niet vrijwillig is gegaan en ze zijn geNSLed
Bron

Ik ben er ook een beetje bang voor. Wat ik opmerkelijk vond, het zal vast al wel eerder zijn genoemd.

WARNING: Using TrueCrypt is not secure as it may contain unfixed security issues

Zeer opmerkelijke woordkeuze als je het mij vraagt, het maakt het Warrant Canary verhaal aannemelijker.

[Room42]

Puch-Maxi schreef op maandag 02 juni 2014 @ 01:36:
[...]

Zeer opmerkelijke woordkeuze als je het mij vraagt, het maakt het Warrant Canary verhaal aannemelijker.

Tenzij je het leest als "Het is nu bijna 2 jaar geleden dat we een update uitgebracht hebben. We hebben misschien wel zaken gevonden, maar we gaan ze niet meer fixen. Stop met het gebruik van TrueCrypt!".

[CMD-Snake]

Puch-Maxi schreef op maandag 02 juni 2014 @ 01:36:
Zeer opmerkelijke woordkeuze als je het mij vraagt, het maakt het Warrant Canary verhaal aannemelijker.

Mogelijk dat ze het alleen zeggen omdat TrueCrypt nu niet meer onderhouden wordt? Er kunnen nu geen lekken gevonden zijn, maar wie weet is dat over twee jaar weer anders.

In feite net als dat Microsoft nu mensen afraad om nog Windows XP te gebruiken. Toekomstige lekken zullen niet worden gepatched.

[Puch-Maxi]

Ohoh, jullie hebben jullie alu-hoedjes niet op jongens!

WARNING: Using TrueCrypt is not secure as it may contain unfixed security issues

[Room42]

Nice find!

[Rutix]

W3ird_N3rd schreef op zondag 01 juni 2014 @ 23:16:
[...]

En als de broncode gesloten was geweest had de bug er misschien nog wel langer ingezeten.

Dan reageer je misschien "nee, dan hadden de beveiligingsbedrijven hem opgespoord!". Dat weet je dus niet. Met regelmaat komen er lelijke bugs naar voren, zelfs nog in Windows XP. Blijkbaar allemaal over het hoofd gezien. Die methode is dus verre van perfect.

Ik zeg ook niet dat het een perfecte methode is ik zeg dat het open source maken van de applicatie NIET per definitie betekent dat ze die bugs vinden.

[...]

Open source is beter want het is controleerbaar. Als MS de broncode van BitLocker openbaar maakt dan maakt dat BitLocker op geen enkele manier slechter, maar het maakt het programma wel beter controleerbaar. Dùs het is beter.

Maar het kan simpel weg niet altijd voornamelijk omdat het bedrijf het of verkoopt, of patenten erin heeft zitten of licenties die niet met open source compatibel zijn. Daarnaast is het misschien controleerbaar maar als het niet gebeurt wat heb je er dan aan?

Zoals ik al zei ik ben niet tegen open source en het is prima dat sommige bedrijven hun code open source maken maar open source kan ook een verkeerde werking hebben. Neem voorbeeld de volgende situaties:

1. Bedrijf heeft closed source producten en laat regelmatig security audits doen door verschillende externe partij-en. De code word dus regelmatig bekeken door specialisten.

2. Bedrijf maakt het open source maar doordat het open source is worden er geen betaalde security audits meer gedaan omdat "duizenden ogen" er toch naar kunnen kijken.

Stel nou dat er mensen geen blik op werpen. Dan is het wel controleerbaar maar het gebeurt niet en is de open source in slechtere staat dan in situatie 1.

[26779]

Laat nu net ook de opensource gemeenschap de hand in eigen boezem hebben gestoken en juist voor truecrypt via crowdfunding een audit bij elkaar gespaard heeft. Fase 1 is reeds gedaan en daar is Truecrypt redelijk goed doorheen gekomen. Er waren wat opmerkingen over de nauwkeurigheid van de code (hier en daar wat slordig, maar niet 'fout') Er zijn tot nu toe geen veiligheid issues ontdekt.
in Q2 zal deel 2 van de audit plaatsvinden. Ik denk dat de claim dat er mogelijk bugs in zitten en daarom TC niet meer te gebruiken de 'warrant canary' is. Als de community het project, onder een andere naam wegens de huidige licentie, overneemt zal TC alleen maar een nog beter product zijn. NSA eat that...

[downtime]

26779 schreef op maandag 02 juni 2014 @ 21:28:
Ik denk dat de claim dat er mogelijk bugs in zitten en daarom TC niet meer te gebruiken de 'warrant canary' is. Als de community het project, onder een andere naam wegens de huidige licentie, overneemt zal TC alleen maar een nog beter product zijn. NSA eat that...

De licentie heeft wel meer consequenties dan alleen de naam. Die onduidelijke licentie was zelfs één van de redenen voor het TrueCrypt-audit omdat niet duidelijk is of TrueCrypt code zomaar gebruikt mag worden in projecten die andere licenties gebruiken (en vice versa).

Als het echt om een warrant canary ging dan had de ontwikkelaar simpelweg de laatste versie opnieuw kunnen releasen onder een meer gangbare licentie (of zelfs meerdere licenties). Dat zou het veel gemakkelijker maken om het project te forken en daardoor een veel betere manier om de NSA dwars te zitten.

[SalimRMAF]

Volgens jullie heeft de NSA/US Overheid de makers van Truecrypt bevolen om te stoppen met hun software?

Ik begrijp het 'warrant canary' verhaal niet helemaal.

Ik heb gezocht naar alternatieven: Bitlocker valt voor mij af omdat niet alle PC's waarop ik werk Windows 8.1 Pro+ of 7 Ultimate draaien. Betaalde software zoals Sophos is leuk, maar niets geeft me een veilig gevoel net zoals bij Truecrypt.

Daarom zal ik TrueCrypt blijven gebruiken. En jullie?

[downtime]

SalimRMAF schreef op dinsdag 03 juni 2014 @ 01:31:
Ik begrijp het 'warrant canary' verhaal niet helemaal.

Ontvangers van een NSL (National Security Letter) kunnen een verbod krijgen om publiek te maken dat ze een NSL hebben ontvangen. Als ontvanger van een NSL zul je daarom trucs willen gebruiken om duidelijk te maken dat je een NSL hebt ontvangen zonder het met zoveel woorden te zeggen (dat is immers strafbaar). Zo'n truc heet een warrant canary.

Probleem is logischerwijze om een warrant canary te herkennen voor wat het is. En daar gaat de discussie nu ook over. Moeten de laatste acties van de TrueCrypt-ontwikkelaar(s) gezien worden als een warrant canary of niet? Jouw mate van paranoia bepaalt of je er een warrant canary in ziet.

[Mentalist]

downtime schreef op maandag 02 juni 2014 @ 23:55:
Als het echt om een warrant canary ging dan had de ontwikkelaar simpelweg de laatste versie opnieuw kunnen releasen onder een meer gangbare licentie (of zelfs meerdere licenties). Dat zou het veel gemakkelijker maken om het project te forken en daardoor een veel betere manier om de NSA dwars te zitten.

Waarschijnlijk mocht de ontwikkelaar in het geval van een NSL de encryptiesoftware al niet meer verspreiden (daarom ook het verwijderen van die functionaliteit).

Of de ontwikkelaar(s) zonder het nog langer te verspreiden legaal zouden kunnen zeggen "ohja, 7.1a is voortaan BSD" durf ik niet te zeggen.

Een NSL lijkt trouwens meer iets om informatie op te vragen:

quote: https://en.wikipedia.org/wiki/National_Security_Letter

By law, NSLs can request only non-content information, for example, transactional records and phone numbers dialed.

Een verzoek om een backdoor in te bouwen oid lijkt niet echt iets voor een NSL en TrueCrypt beschikt niet over telefoonnummers of keys oid om af te geven.

[ Voor 21% gewijzigd door Mentalist op 03-06-2014 02:28 ]

[Patriot]

Rutix schreef op maandag 02 juni 2014 @ 17:30:
[...]

Ik zeg ook niet dat het een perfecte methode is ik zeg dat het open source maken van de applicatie NIET per definitie betekent dat ze die bugs vinden.

Dat is ook niet wat er gezegd wordt.

[...]

Maar het kan simpel weg niet altijd voornamelijk omdat het bedrijf het of verkoopt, of patenten erin heeft zitten of licenties die niet met open source compatibel zijn.

Allemaal valide redenen voor bedrijven om al dan niet voor het ontwikkelen van open source software te kiezen, maar wat heeft de gebruiker daarmee te maken? Open source software is nog steeds betrouwbaarder (of beter gezegd, het hoeft minder betrouwbaar te zijn omdat het controleerbaar is).

Daarnaast is het misschien controleerbaar maar als het niet gebeurt wat heb je er dan aan?

Dat is toch geen argument? Uiteraard moet de controle wel plaats vinden, dat is nogal wiedes.

Zoals ik al zei ik ben niet tegen open source en het is prima dat sommige bedrijven hun code open source maken maar open source kan ook een verkeerde werking hebben. Neem voorbeeld de volgende situaties:

1. Bedrijf heeft closed source producten en laat regelmatig security audits doen door verschillende externe partij-en. De code word dus regelmatig bekeken door specialisten.

2. Bedrijf maakt het open source maar doordat het open source is worden er geen betaalde security audits meer gedaan omdat "duizenden ogen" er toch naar kunnen kijken.

Stel nou dat er mensen geen blik op werpen. Dan is het wel controleerbaar maar het gebeurt niet en is de open source in slechtere staat dan in situatie 1.

Echter, de hoogst haalbare veiligheid is maar in 1 situatie te behalen, namelijk als een organisatie degelijke code laat schrijven, die regelmatig laat auditen en iedere willekeurige derde partij de kans geeft om die code en audits te verifiëren. Dat is een situatie die niet haalbaar is met closed source.

[CMD-Snake]

Patriot schreef op dinsdag 03 juni 2014 @ 03:45:
Allemaal valide redenen voor bedrijven om al dan niet voor het ontwikkelen van open source software te kiezen, maar wat heeft de gebruiker daarmee te maken? Open source software is nog steeds betrouwbaarder (of beter gezegd, het hoeft minder betrouwbaar te zijn omdat het controleerbaar is).

[...]

Echter, de hoogst haalbare veiligheid is maar in 1 situatie te behalen, namelijk als een organisatie degelijke code laat schrijven, die regelmatig laat auditen en iedere willekeurige derde partij de kans geeft om die code en audits te verifiëren. Dat is een situatie die niet haalbaar is met closed source.

Wederom, zoals ik al eerder schreef in een post. Ik zie nog steeds dezelfde drogredeneringen voorbij komen. Iets kan niet deugen omdat het closed source is. En waarom moet open source aan een lagere standaard voldoen dan closed source? Puur omdat er een kans is dat iemand iets kan vinden omdat het open source is? Geeft mij weinig vertrouwen. Zowel closed als open source moeten gewoon aan dezelfde standaarden gehouden worden.

Bedrijven die closed source software maken zoals Microsoft laten die auditen en controleren op bugs etc. door gespecialiseerde partijen. Er valt zelfs te argumenteren dat dit beter is. Hoeveel open source software zit jij te controleren in de avonduurtjes? Ben je wel expert op het gebied van het vinden van bugs/exploits e.d.? Voor die derde partijen is het hun werk. Zij doen niets anders en is het geen avonduurtjes werk.

[Blubber]

CMD-Snake schreef op dinsdag 03 juni 2014 @ 06:53:
[...]Bedrijven die closed source software maken zoals Microsoft laten die auditen en controleren op bugs etc. door gespecialiseerde partijen. Er valt zelfs te argumenteren dat dit beter is. Hoeveel open source software zit jij te controleren in de avonduurtjes? Ben je wel expert op het gebied van het vinden van bugs/exploits e.d.? Voor die derde partijen is het hun werk. Zij doen niets anders en is het geen avonduurtjes werk.

Ik ben het ermee eens dat closed en open source software aan dezelfde kwaliteitseisen zouden moeten voldoen, maar met de stelling dat open source ge-audit wordt door amateurs in de avond uurtjes is pertinent onwaar.

Er zijn genoeg grote projecten die door pros zijn/worden geaudit, bijvoorbeeld TrueCrypt (volgens mij is die audit nog onderweg.)

[Freekers]

Eagle Creek schreef op zondag 01 juni 2014 @ 14:21:
GRC staat ook vrij hoog aangeschreven.

I beg to differ...
http://radsoft.net/news/roundups/grc/

[Rutix]

Blubber schreef op dinsdag 03 juni 2014 @ 10:50:
[...]


Ik ben het ermee eens dat closed en open source software aan dezelfde kwaliteitseisen zouden moeten voldoen, maar met de stelling dat open source ge-audit wordt door amateurs in de avond uurtjes is pertinent onwaar.

Er zijn genoeg grote projecten die door pros zijn/worden geaudit, bijvoorbeeld TrueCrypt (volgens mij is die audit nog onderweg.)

TrueCrypt word nu alleen geaudit gaan worden door snowden, onduidelijke licentie. In de praktijk is het echt niet zo dat professionals het gaan auditen als het open source is. Er moet vaak een reden zijn of toevallig moet er een professional zich vervelen en het uit zichzelf doen maar dat komt echt niet zoveel voor als men denkt.

[Blubber]

Rutix schreef op dinsdag 03 juni 2014 @ 14:32:
[...]

TrueCrypt word nu alleen geaudit gaan worden door snowden, onduidelijke licentie. In de praktijk is het echt niet zo dat professionals het gaan auditen als het open source is. Er moet vaak een reden zijn of toevallig moet er een professional zich vervelen en het uit zichzelf doen maar dat komt echt niet zoveel voor als men denkt.

Maar waar komt de aanname vandaan dat het uit verveling gedaan wordt? Er kan toch gewoon voor betalen?

Dat beeld dat open source software gemaakt wordt door amateurs in donkere kelders klopt voor geen meter, Er zijn legio bedrijven die deels of volledig zijn toegewijd aan het produceren en onderhouden van open source software, denk aan alle commerciele linux distros en bedrijven als Zarafa, JetBrains en Rackspace.

[Rutix]

Blubber schreef op dinsdag 03 juni 2014 @ 15:37:
[...]


Maar waar komt de aanname vandaan dat het uit verveling gedaan wordt? Er kan toch gewoon voor betalen?

Dat beeld dat open source software gemaakt wordt door amateurs in donkere kelders klopt voor geen meter, Er zijn legio bedrijven die deels of volledig zijn toegewijd aan het produceren en onderhouden van open source software, denk aan alle commerciele linux distros en bedrijven als Zarafa, JetBrains en Rackspace.

Het beeld dat op veel open source projects betaalde audits word gedaan klopt ook voor geen meter. Ik heb nooit gezegd dat open source door amateurs word gemaakt maar ik durf wel te zeggen dat betaalde audits niet heel vaak voor komt.

[Maxustiti]

Rutix schreef op dinsdag 03 juni 2014 @ 16:09:
[...]

Het beeld dat op veel open source projects betaalde audits word gedaan klopt ook voor geen meter. Ik heb nooit gezegd dat open source door amateurs word gemaakt maar ik durf wel te zeggen dat betaalde audits niet heel vaak voor komt.

Het gaat waarschijnlijk nu toch steeds vaker voorkomen. openSSH en openSSL staan ook al op het programma om aan een audit te onderwerpen.

[Patriot]

CMD-Snake schreef op dinsdag 03 juni 2014 @ 06:53:
[...]


Wederom, zoals ik al eerder schreef in een post. Ik zie nog steeds dezelfde drogredeneringen voorbij komen. Iets kan niet deugen omdat het closed source is.

Dat zeg ik niet, ik zeg alleen dat het nooit hetzelfde veiligheidsniveau kan behalen als iets wat door meerdere onafhankelijke bronnen te verifiëren is.

En waarom moet open source aan een lagere standaard voldoen dan closed source? Puur omdat er een kans is dat iemand iets kan vinden omdat het open source is? Geeft mij weinig vertrouwen. Zowel closed als open source moeten gewoon aan dezelfde standaarden gehouden worden.

Ja, precies, en de standaard die je wilt is: Gemaakt door een integer bedrijf, geaudit door professionals en de mogelijkheid voor onafhankelijke derden om het zaakje te verifiëren. Dat laatste is niet mogelijk met closed source software. Dat maakt een programma dat closed source is niet per definitie onveiliger dan een programma dat open source is, maar als we het hebben over wat je het liefst wilt is het dus niet zo gek om te streven naar open source.

Bedrijven die closed source software maken zoals Microsoft laten die auditen en controleren op bugs etc. door gespecialiseerde partijen. Er valt zelfs te argumenteren dat dit beter is. Hoeveel open source software zit jij te controleren in de avonduurtjes? Ben je wel expert op het gebied van het vinden van bugs/exploits e.d.? Voor die derde partijen is het hun werk. Zij doen niets anders en is het geen avonduurtjes werk.

Closed source software dat geaudit is door professionals is veiliger dan open source software dat niet geaudit is door professionals en waarvan ook anderen nauwelijks naar de source kijken. Is dat wat je wilde horen?

[Cyphax]

CMD-Snake schreef op dinsdag 03 juni 2014 @ 06:53:
[...]
Bedrijven die closed source software maken zoals Microsoft laten die auditen en controleren op bugs etc. door gespecialiseerde partijen.

En wat krijg je vervolgens aangeleverd? Niet de source. Men kan de source wel auditen en zeggen dat de code "veilig" is, maar wie zegt dat de binary die jij krijgt ook is gemaakt van de source die is beoordeeld en niet een branch waar een achterdeurtje in zit?
Als men de source wél biedt kan je die binaries zelf maken. Dan heb je wat meer kans op zekerheid zonder dat je de source zelf moet auditen.

[ Voor 3% gewijzigd door Cyphax op 04-06-2014 09:34 ]

[downtime]

Cyphax schreef op woensdag 04 juni 2014 @ 09:33:
[...]

En wat krijg je vervolgens aangeleverd? Niet de source. Men kan de source wel auditen en zeggen dat de code "veilig" is, maar wie zegt dat de binary die jij krijgt ook is gemaakt van de source die is beoordeeld en niet een branch waar een achterdeurtje in zit?
Als men de source wél biedt kan je die binaries zelf maken. Dan heb je wat meer kans op zekerheid zonder dat je de source zelf moet auditen.

Als de maker netjes documenteert met welke compiler en settings de code wordt gecompileerd dan kun je dat zelf doen en krijg je gewoon een executable die je kunt vergelijken met de gecompileerde versie die ze zelf uitleveren.

[Cyphax]

downtime schreef op woensdag 04 juni 2014 @ 11:07:
[...]

Als de maker netjes documenteert met welke compiler en settings de code wordt gecompileerd dan kun je dat zelf doen en krijg je gewoon een executable die je kunt vergelijken met de gecompileerde versie die ze zelf uitleveren.

Dan heb je twee binaries.
Je weet dan dat de binary die je hebt gedownload van dezelfde broncode komt, maar als je dan toch al aan het compilen bent geweest, waarom niet de door jezelf gecompilede binary gebruiken?

[F_J_K]

De auditor moet je dan ook nog eens vertrouwen voor dat ene opensource-project waar iemand de portemonnee trekt om een bepaalde auditor/bedrijf te betalen. Waarbij geen enkele audit alles kan vinden, resultaat is vast ook niet "wij garanderen veiligheid" maar "we vonden niets".

En sowieso komt er een maand na publicatie van de audit (die is gedaan obv zeg de versie van vorig jaar) weer een nieuwe versie uit zodat de achterdeur er ook dan kan zijn ingezet.

Samenvatting: er bestaat geen 100% gegarandeerd veilige software

[Room42]

F_J_K schreef op woensdag 04 juni 2014 @ 11:19:
[...]

En sowieso komt er een maand na publicatie van de audit (die is gedaan obv zeg de versie van vorig jaar) weer een nieuwe versie uit zodat de achterdeur er ook dan kan zijn ingezet.

[...]

Maar bij OSS kun je dan een redelijk overzicht krijgen van de wijzigingen in de vorm van een diff.

[Cyphax]

F_J_K schreef op woensdag 04 juni 2014 @ 11:19:
Samenvatting: er bestaat geen 100% gegarandeerd veilige software

Je zet er wel een clownsmilie achter, maar wat mij betreft is het wel de waarheid.
Je kunt wel het aantal risico's proberen te minimaliseren. Ik installeer het liefst via Slackbuilds, wat inhoudt dat een package wordt gegenereerd op basis van de source die wordt gecompiled. Dat vind ik een mooie balans tussen de source gebruiken ipv binaries die je ergens vandaan moet halen en niet de nadelen van installeren vanaf source (met make install bedoel ik) vergeleken met de voordelen van de packagemanager. Niet dat een binary package van een vertrouwde bron niet goed genoeg is overigens, maar het komt zo nou eenmaal het beste uit.

[ Voor 3% gewijzigd door Cyphax op 04-06-2014 12:16 ]

[Standeman]

Tenzij je echt alles zelf maakt (processor, disk, OS en cryptografie-software) zal altijd iemand in vertrouwen moeten nemen dat ze niet stiekem backdoors schrijven of een slechte rng implementeren.

Het is maar net hoeveel paranoia / naiviteit je acceptabel vind, en dat is voor iedereen weer anders..

[ReTechNL]

Inmiddels is de audit klaar van truecrypt (al een tijdje)
https://opencryptoaudit.o...t_Security_Assessment.pdf

Echter zijn er waardige alternatieven?
https://ciphershed.org/ schijnt een goede te zijn. Zij hebben de source code geoptimaliseert (voor zover dat kon) en gaan een compleet nieuwe omgeving bouwen vanaf scratch.

[A1AD]

Veracrypt heeft de opmerkingen van de audit toch al (grotendeels?) geïmplementeerd.

[ReTechNL]

A1AD schreef op dinsdag 30 december 2014 @ 08:42:
Veracrypt heeft de opmerkingen van de audit toch al (grotendeels?) geïmplementeerd.

Ja echter hebben die een aanpassing gedaan in de iteration door deze met +-600 te vermenigvuldigen waardoor het erg traag is geworden.
Tevens is veracrypt maar een project van 1 persoon waardoor er veel afhankelijk is van 1 persoon wat juist niet goed is.

[Onbekend]

Interessant om dat document te lezen.
Als "normale" programmeur wordt je nauwelijks gewezen op integer overflows bij kleine optellingen e.d.

[-DG-]

Wat gebruiken jullie inmiddels anno 2016 eigenlijk als alternatief of waar is een versie te downloaden die nog wel te vertrouwen is?

[CurlyMo]

VeraCrypt gebruik ik. Die heeft nu native TrueCrypt ondersteuning.

[-DG-]

Is VeraCrypt niet veel langzamer dan TrueCrypt of is dat inmiddels achterhaald? En is het mogelijk om in Windows 10 een volledige system disc te encrypten met VeraCrypt of heb je dan toch Bitlocker nodig? Gezien dat met TrueCrypt nog niet mogelijk was in Windows 8.

[ Voor 57% gewijzigd door -DG- op 06-02-2016 21:19 ]

[26779]

Wat wil je met Bitlocker bereiken? Als je er zeker van wilt zijn dat je data veilig is, dan zal je naar mijn mening naar iets anders moeten uitkijken dan bitlocker.
leesvoer:
https://theintercept.com/...icrosoft-disk-encryption/
https://news.ycombinator.com/item?id=7815317
https://www.reddit.com/r/...he_security_of_bitlocker/

en nog vele andere artikelen over bitlocker en backdoors....

[ Voor 7% gewijzigd door 26779 op 06-02-2016 22:18 ]

[-DG-]

26779 schreef op zaterdag 06 februari 2016 @ 22:17:
Wat wil je met Bitlocker bereiken? Als je er zeker van wilt zijn dat je data veilig is, dan zal je naar mijn mening naar iets anders moeten uitkijken dan bitlocker.
leesvoer:
https://theintercept.com/...icrosoft-disk-encryption/
https://news.ycombinator.com/item?id=7815317
https://www.reddit.com/r/...he_security_of_bitlocker/

en nog vele andere artikelen over bitlocker en backdoors....

Ik wil vooral voorkomen dat m'n data leesbaar is als m'n laptop of een harde schijf wordt gestolen. De NSA ben ik niet bang voor. Waarschijnlijk wordt het gewoon bitlocker.

[Trommelrem]

-DG- schreef op zaterdag 06 februari 2016 @ 22:45:
[...]

Ik wil vooral voorkomen dat m'n data leesbaar is als m'n laptop of een harde schijf wordt gestolen. De NSA ben ik niet bang voor. Waarschijnlijk wordt het gewoon bitlocker.

Exact om die reden gebruiken wij gewoon Bitlocker. De NSA zal niemand een worst wezen. Het gaat er om dat de concurrent niets met onze data kan doen. Gelukkig zijn onze klanten klanten die gewoon Bitlocker willen en ook de NSA een worst vinden. Onze klanten zijn geen aluhoedjes gelukkig. De NSA is onze concurrent niet en Bitlocker houdt onze beheerkosten laag.

[ Voor 15% gewijzigd door Trommelrem op 06-02-2016 22:48 ]

[26779]

Dat je na Snowden nog over alu-hoedjes spreekt vind ik op z'n zachtst gezegd opmerkelijk. Het is aangetoond dat er smerige spelletjes gespeeld worden door veiligheidsdiensten. En het is ook aangetoond dat veiligheidsdiensten ingezet worden voor commerciële voordelen.
Maar goed, ieder mag zijn eigen gevoel van veiligheid en privacy hebben.

[downtime]

26779 schreef op zondag 07 februari 2016 @ 10:17:
Dat je na Snowden nog over alu-hoedjes spreekt vind ik op z'n zachtst gezegd opmerkelijk. Het is aangetoond dat er smerige spelletjes gespeeld worden door veiligheidsdiensten. En het is ook aangetoond dat veiligheidsdiensten ingezet worden voor commerciële voordelen.
Maar goed, ieder mag zijn eigen gevoel van veiligheid en privacy hebben.

En als je bij ASML, Shell of Unilever werkt dan wil je daar zeker rekening mee houden, maar als doorsnee MKB'er heeft het weinig zin om je daar druk om te maken.

[Anoniem: 272158]

-DG- schreef op zaterdag 06 februari 2016 @ 20:22:
of waar is een versie te downloaden die nog wel te vertrouwen is?

https://www.grc.com/misc/truecrypt/truecrypt.htm

[Technewbie]

Ik heb nog 1 kopie van truecrypt geinstalleerd op mijn PC. Eentje die ik vertrouw. Gedownliad van truecrypt.org toen het net uit was. Een usb met al mijn software is helaas weg. Dus ik zoek nu een betrouwbare installatie kopie van versie 1.7A

Als ik een kopie installeer en ik vergelijk de hash van de .exe met de exe op mijn PC. En ze zijn hetzelfde. Kan ik er dan vanuitgaan dat ik een exacte kopie heb waarmee ik truecrypt ook op mijn PC heb geinstalleerd? Of kunnen er verschillen in drivers zijn of andere installatieverschillen?

[Wally2002]

Technewbie schreef op woensdag 2 oktober 2024 @ 23:56:
Ik heb nog 1 kopie van truecrypt geinstalleerd op mijn PC. Eentje die ik vertrouw. Gedownliad van truecrypt.org toen het net uit was. Een usb met al mijn software is helaas weg. Dus ik zoek nu een betrouwbare installatie kopie van versie 1.7A

Waarom niet overstappen op VeraCrypt? Een vork die actief ontwikkeld wordt. Het is al 10 jaar geleden dat truecrypt gestopt is. Er zouden ook kwetsbaarhedend te in zitten.

[F_J_K]

Technewbie schreef op woensdag 2 oktober 2024 @ 23:56:
Ik heb nog 1 kopie van truecrypt geinstalleerd op mijn PC. Eentje die ik vertrouw. Gedownliad van truecrypt.org toen het net uit was. Een usb met al mijn software is helaas weg. Dus ik zoek nu een betrouwbare installatie kopie van versie 1.7A

Zie mijn eerdere reacties - als het is geïnstalleerd zou je ook de installer nog moeten hebben.

De laatste versie heb ik ook nog ergens in archief staan. Maar inderdaad: het is te oud om nog te gebruiken anders dan voor hooguit ontsleutelen van bestaande silo’s om dan te migreren.

[Lizard]

VeraCrypt kan t/m v1.25.9 Ook gewoon Truecrypt openen en converteren. Daarvoor heb je geen Truecrypt voor nodig.

[fopjurist]

Technewbie schreef op woensdag 2 oktober 2024 @ 23:56:
Als ik een kopie installeer en ik vergelijk de hash van de .exe met de exe op mijn PC. En ze zijn hetzelfde. Kan ik er dan vanuitgaan dat ik een exacte kopie heb waarmee ik truecrypt ook op mijn PC heb geinstalleerd? Of kunnen er verschillen in drivers zijn of andere installatieverschillen?

Als de hash van de installer overeenkomt, en het is een veilige hash (dus geen SHA-1 of MD5), dan is het waarschijnlijk een exacte kopie. Als je alleen de hash van een andere executable controleert, is dat onvoldoende omdat er ook uitvoerbare code in een driver of library kan zitten.

[jurroen]

Idealiter kijk je niet alleen naar de hash maar is het ook ondertekend door de developer of diens bedrijft. Een GPG, Signify of SSH signature kunnen daar ook nog bij helpen.

[downtime]

jurroen schreef op vrijdag 4 oktober 2024 @ 07:37:
Idealiter kijk je niet alleen naar de hash maar is het ook ondertekend door de developer of diens bedrijft. Een GPG, Signify of SSH signature kunnen daar ook nog bij helpen.

Aangezien de developer van TrueCrypt juist probeerde om anoniem te blijven lijkt het me erg onwaarschijnlijk dat hij zijn code gesigned heeft.

[Technewbie]

F_J_K schreef op donderdag 29 mei 2014 @ 10:56:
[...]

Aanvulling: TrueCrypt Setup.exe staat 'gewoon' in \Program Files\Truecrypt

Heel tof van Truecrypt dat ze hieraan hebben gedacht. Ik dacht al heb ik dit gedaan of heeft de setup een kopie van zichzelf in de program folder gezet. Ik heb hem dus nog. En de Hash (alleen de MD5 gecheckt) komt overeen met die in de OP en elders.

Ik heb ooit gelezen over 1 van de kwetsbaarheden in Truecrypt. Een malware kan Trucerypt laten crashen waarna een memory dump wordt gemaakt in windows met de sleutel voor de geopende containers/disks. Tnzij je de crashdump functie in Windows uitzet.

[ Voor 22% gewijzigd door Technewbie op 12-10-2024 20:00 ]