Posse um Verschlüsselungssoftware TrueCrypt verunsichert die Anwender

SPINA schrieb:
TrueCrypt war/ist schon komplett quelloffen. Lediglich die Lizenz weicht von der bei OSS oft genutzten GPL ab.

Der Streit entflammte statt dessen an den völlig veralteten Tools mit denen die Windows Binärdateien erzeugt wurden.
Zum Vergrößern anklicken....

Ja Quellen hat es zwar gegeben aber es war nie völlig frei und das verhindert dann wohl auch Forks. Und nie wusste jemand ob die Binaries mit dem Source Code übereinstimmen.
 
TiKu schrieb:
Die Empfehlung für Bitlocker könnte man ja noch ansatzweise damit erklären, dass die TC-Entwickler vll. von dessen Sicherheit überzeugt sind und deshalb zu Bitlocker raten.
Zum Vergrößern anklicken....

Soweit ich weiß ist eher das Gegenteil der Fall, gerade auch wegen der Blackbox TPM. Würde daher eher für einen Warrant-Canary sprechen.
 
Bitlocker ist doch so schön nach industry standard und fehlerfrei programmiert. Das war halt Sarkasmus.

Und mit dem "its not secure" not richtig eins ausgewischt damit die 46000 USD umsonst waren weil jetzt keiner mehr dem Programm traut.

Auszüge aus dem Audit:

Overall, the source code for both the bootloader and the Windows kernel driver did not meet
expected standards for secure code.This includes issues such as lack of comments,use of inse
cure or deprecated functions, inconsistent variable types, and so forth.
Improve code quality. Due to lax quality standards, TrueCrypt source is difficult to review and
maintain.
In addition to the implementation issues above, the code is difficult to read and follow in some
places. This makes it hard to assess the source code for bugs and perform general maintenance.
 
Zuletzt bearbeitet:
TheBloodyNine schrieb:
... und hat eine Mörder-Backdoor entdeckt, die die Projektbetreiber nur zum Ergebnis kommen lassen konnte, alles, aber auch alles zu tun damit ihre Software nicht mehr verfügbar sein darf?! :o
Zum Vergrößern anklicken....
Die Vermutung haben zumindest auch andere:
http://www.heise.de/security/news/f...enthalten-ist/forum-280432/msg-25288775/read/

Ein Gag-Order oder eine tatsächlich entdeckte gravierende
Sicherheitslücke (die absichtlich in 7.2 nicht geschlossen wurde,
weil sie sonst sofort ausgenutzt würde) sind auch möglich:
TrueCrypt-Nutzer hätten so Zeit, auf andere Verschlüsselungstools
umzusteigen, bevor sie zum Ziel werden.
Zum Vergrößern anklicken....
http://www.heise.de/security/news/f...enthalten-ist/forum-280432/msg-25289876/read/

Vor solch einem Hintergrund ist es am Besten, eine möglichst große
Zahl von Nutzern dazu zu bewegen, auf eine von diesem Bug
unbeeinträchtigte Verschlüsselung zu wechseln. Da bietet sich das in
Windows integrierte Bitlocker an. Selbst wenn diese
Verschlüsselungs-Infrastruktur keine Sicherheit gegen Hintertüren
bietet und "die Dienste" schnell Zugriff auf bei Microsoft
hinterlegte Schlüssel bekommen können, dürfte es für 99% der Nutzer
weit besser sein, als ein TrueCrypt zu verwenden, bei dem ich davon
ausgehe, dass mit Versionen bis 7.1a erstellte Container bald in
jedem Forensik-Toolkit mit ein wenig Brute-Force binnen Tagen
geknackt sind.

Übrigens: Ich habe einen ganz konkreten Verdacht und ich vermute,
dass nur mit TrueCrypt unter Windows erstellte Container betroffen
sind. Ich wage zu behaupten: Die Uhr läuft, in einer Woche werden
alle Details offen liegen.
Zum Vergrößern anklicken....
Ob da was dran ist, keine Ahnung. Aber TrueCrypt kann man vorerst sicher nicht vertrauen, egal welcher Version.

Edit: In einem hat er aber auf jeden Fall Recht:
Unter Windows erstellte TrueCrypt Container sind genauso sicher oder unsicher wie die von Bitlocker (SW-Fehler mal außen vorgelassen), d.h. eben so sicher wie irgendwelche Daten/Passwörter unter Windows generell. Insofern kann man tatsächlich auch Bitlocker nutzen, wenn man nur unter Windows unterwegs ist.
 
Zuletzt bearbeitet:
Berniyh schrieb:
Die Vermutung haben zumindest auch andere:


Ob da was dran ist, keine Ahnung. Aber TrueCrypt kann man vorerst sicher nicht vertrauen, egal welcher Version.

Edit: In einem hat er aber auf jeden Fall Recht:
Unter Windows erstellte TrueCrypt Container sind genauso sicher oder unsicher wie die von Bitlocker (SW-Fehler mal außen vorgelassen), d.h. eben so sicher wie irgendwelche Daten/Passwörter unter Windows generell. Insofern kann man tatsächlich auch Bitlocker nutzen, wenn man nur unter Windows unterwegs ist.
Zum Vergrößern anklicken....

Danke für die Infos! Interessant was der Herr da vermutet. Realistischerweise ist auch der Wechsel zu Bitlocker nicht "blöd". Denn man muss Windows wohl als tatsächlich kompromittiert ansehen (es gibt da eine uralte Meldung, wonach schon vor Urzeiten NSA Code / Backdoor in Windows gefunden wurde). Man muss sich fragen, will ich meine Daten vor normalsterblich unberechtigten Dritten, Diebstahl schützen -> Bitlocker okay. Will ich den Zugriff durch US-amerikanische und befreundete Nachrichtendieste verhindern, wäre die erste Maßnahme diese nicht unter Windows zu nutzen!
 
Wenn man diese Verschwörungstheorien ausser acht lässt gibt es eigentlich nur 2 Möglichkeiten. Die mit dem Gag Order, weswegen er auch schrieb das es unsecure sei und genug Zeit bleiben soll bis es aufgedeckt wird (vielleicht bei Phase 2 im September?). Da hätte man aber doch mehr schreiben können oder Bestrebungen anstellen können das ganze zu fixen. Wieso lässt man da gleich das ganze Projekt fallen? Ok, immerhin war die letzte Version 2 Jahre alt. Das mit "keine Lust" passt dazu. Und das würde auch erklären warum in 7.2 die initiale Verschlüsselung entfernt wurde. Aber warum in dem Chat kein Wort davon das es eine Lücke gäbe?

Oder dieser "David" war einfach nur mit dem Audit beleidigt, was er natürlich nicht zugibt sonst müsste er sich ja für das unsecure rechtfertigen das so profan ohne Begründung dastand.

Oder vielleicht wars ja einfach nur eine Kombination aus beidem.
 
Zuletzt bearbeitet:
Naja, da kann man nur hoffen das es mit der Lizenz keine Probleme gibt und sie das abändern des Quellcodes erlaubt, und somit die laut Phase 1 notwendigen Updates erlaubt. TC würde ich eh nur verwenden um USB Sticks zu schützen gegen unberechtigten Zugriff auf die Daten.
 
@ghostadmin
Es handelt sich bei allem hier um Verschwörungstheorien, ob du das Wort nun weiter verächtlich gebrauchen möchtest oder nicht.
Begriffsklärung "Verschwörungstheorie": https://www.youtube.com/watch?v=NwGi6gd8u9M
 
Ach ja, DiskCryptor gibt es auch noch. Meint Ihr es wäre denkbar, dass man ein TrueCrypt-Volume mounten, es dann mit DiskCryptor zusätzlich verschlüsseln, und dann die TrueCrypt-Verschlüsselung entfernen kann? Um ein komplettes Entschlüsseln zu vermeiden (Paranoia-Modus)?
 
mache es doch offline den Wechsel und denk dran DC leüft nicht mit Windows 8.1 gab bei mir immer Fehler Meldung System konnte nicht gestrate werden .
ich bleibe bei tc
 
Okay, geht nicht. Hab es gerade mal mit einer VHD getestet, und der erkennt mit TrueCrypt gemountete Laufwerke nicht.
 
Bundesferkel schrieb:
Ist man (...) so tapfer ein (...) TPM zu nutzen, hat man seine (...) Freude, wenn das Mainboard (...) kaputt gehen sollte - (...) die Daten sind weg.
Zum Vergrößern anklicken....
Darüber war ich gestern schon gestolpert. Ich wollte es jedoch noch einmal genau nachlesen, bevor ich dazu etwas falsches sage. Es existieren zwei Schlüssel für BitLocker. Einer wird im TPM angelegt und ein zweiter dient allein als Recovery Key. Letzteren kann man auf einen USB Stick ablegen oder sogar ausdrucken. Hierzu wird der Anwender wohl bei der Ersteinrichten von BitLocker aufgefordert. Sichern lässt sich jedoch gleichfalls der im TPM abgelegte Key. Beide Schlüssel haben wohl eine Länge von 48 Stellen. Deaktiviert man das TPM nachträglich im BIOS/UEFI wird man zur Eingabe dieses Keys aufgefordert. Zum TPM gibt es von Anfang an viele Vorbehalte. Ich persönlich würde die Auffassung vertreten, dass ein TPM nicht viel Unfug treiben kann, denn es ist doch recht abgeschottet vom System und seine Möglichkeiten beschränken sich auf das Erzeugen und Ablegen von Schlüsseln. Nach derzeitigem Kenntnisstand sind die Schlüssel dort sogar einigermaßen sicher untergebracht. Trusted Platform Module wurden schon öfter von unabhängigen Stellen unter die Lupe genommen und haben dabei keine schwerwiegenden Schwachstellen gezeigt. Übrigens benötigt man mittlerweile kein TPM mehr für die Nutzung von BitLocker. Man kann ebenso eine PIN festlegen, ein Key File auf einem USB Stick verwenden oder eine Kombination aus Beidem.

Ganz aufschlussreich ist übrigens dieses FAQ von Microsoft zu BitLocker: Klick

PS: Für mich ist BitLocker dennoch keine Alternative zu TrueCrypt. Allein deshalb, weil es nur mit Klimmzügen "Container" erzeugen kann.
 
Zuletzt bearbeitet:
SPINA schrieb:
Es existieren zwei Schlüssel für BitLocker.
Zum Vergrößern anklicken....

Naja, eher vier. Einer bei Microsoft, zwei im TPM-Chip (normal, plus NSA-Hintertür), plus ein Recovery-Key wenn man ihn hat.
 
Unbekannter Krieger schrieb:
@ghostadmin
Es handelt sich bei allem hier um Verschwörungstheorien, ob du das Wort nun weiter verächtlich gebrauchen möchtest oder nicht.
Begriffsklärung "Verschwörungstheorie": https://www.youtube.com/watch?v=NwGi6gd8u9M
Zum Vergrößern anklicken....

Fast alles. Das was abweichend zur Truecrypt Seite genannt wird.

Es soll sich auch nur um eine Person handeln die dahinter steckt (Vermutung, auch im Audit) und die ist gar nicht mal so schwer herauszufinden. Im truecrypt irc channel hat sogar schon mal jemand an der Tür geklopft um nachzufragen oO
 
Stimmt, ghost.
Ich hoffe, du hast die Botschaft verstanden/das Video angeschaut.
 
TheBloodyNine schrieb:
Für mich ist sieht die Sache zum jetzigen Zeitpunkt so aus, das die Enwickler einen National Security Letter erhalten haben, die sie zur Kooperation und Stillschweigen oder Knast zwingt (siehe Lavabit). Die Software ist durch die erste Stufe des Security Audits gekommen, keine Backdoors, also nach menschlichem ermessen sicher.
Zum Vergrößern anklicken....

Das Audit besagt nur, dass es keine offensichtlichen Backdoors gibt. Sagt aber auch, dass der Code nicht ganz den Standards entspricht, welche man von einer derartigen Software erwarten würde. So können auch kritische Bugs enthalten sein, die nicht sofort ersichtlich sind. Ich sehe da TC in der ähnlichen Situation wie OpenSSL. Der Code benötigt einen sorgfältigen rewrite. Das Team rund um OpenSSL sind in den Medien unter Beschuss, als wären das nur Amateure. Möglich, dass die TC-Entwickler sich nicht als Idioten darstellen lassen wollen wie die OpenSSL-Leute derzeit. Gleichzeitig haben sie wohl weder Lust, noch Zeit das ganze neu zu schreiben.

Eine andere Variante wäre, dass TC als Kriegswaffe eingesstuft ist und so gewissen Exportbeschränkungen unterliegt. Es gab Zeiten, da durfte wurden Verschlüsselungskomponenten in Internationalen Versionen stark beschnitten. Der Grund für die NON-US Repositories in diversen Linux-Dirstributionen. PGP wurde damals auch erst mal im Quellcode nach Norwegen gebracht, um von dort aus auch in der EU unbeschnitten genutzt zu werden. Möglich, dass derartiges auch hier vorliegt.

Wahrscheinlich ist es eine Mischung aus allem, wofür es den Entwicklern nicht Wert ist weiter zu machen.
 
Laut letzten Meldungen soll der Dev sogar den Key zerstört haben.

Um nochmal zusammen zu fassen:
- Letzte Version ist 2 Jahre alt und offiziell nur bis Win7
- Das Projekt wird kaum Geld einbringen
- Jährliche Kosten um Treiber zu signieren
- Womöglich nur 1 Dev und der hat keine Zeit (siehe c'T desinfect), wird aber von allen Seiten beschossen
- In sehr kurzer Zeit wird ein haufen Asche gesammelt um das Programm zu prüfen. Soviel hat der Dev vermutlich in etlichen Jahren nicht erhalten und ist womöglich gekränkt (offiziell allerdings im Gegenteil)
- Etliche Fehler im Audit gefunden, evtl. ist hier sogar ein fataler dabei der der Masse noch nicht aufgefallen ist
- Im Audit war geschrieben das wenn man die Fehler fixen würde, man evtl. andere einbauen würde weil der Code so unübersichtlich sei -> Tendenz rewrite
- Früher gabs schon einmal Lizenzprobleme bei der Übernahme aus E4M bei der der Code angeblich gestolen war
- Einfach so die alten Sachen weiterentwickeln ist nicht, der Dev könnte einen Rechtsstreit anfangen
 
Zuletzt bearbeitet:

Ähnliche Themen

Nero24
News Posse um Verschlüsselungssoftware TrueCrypt verunsichert die Anwender
Antworten
1
Aufrufe
1K
TiKu
TiKu
Dr@
Fujitsu STYLISTIC Q572 mit AMD Z-60 APU
Antworten
0
Aufrufe
52K
Dr@
Dr@
soulpain
ASUS Nexus 7 32GB 3G
Antworten
0
Aufrufe
21K
soulpain
soulpain
MusicIsMyLife
Vishera Reloaded
Antworten
0
Aufrufe
51K
MusicIsMyLife
MusicIsMyLife
soulpain
LC Power Tablet - Sina-1 (LC10TAB-A9-DUAL)
Antworten
0
Aufrufe
35K
soulpain
soulpain
Zurück
Oben Unten