TrueCrypt è veramente sicuro?

Sto usando TrueCrypt da molto tempo ormai. Tuttavia, qualcuno mi ha indicato un link che descriveva i problemi con la licenza .

IANAL e quindi non aveva molto senso per me; tuttavia, voglio che il mio software di crittografia sia open source, non perché posso hackerarlo ma perché posso fidarmi di esso.

Alcuni dei problemi con esso che ho notato:

• Non esiste VCS per il codice sorgente.
• Non ci sono registri delle modifiche.
• I forum sono un brutto posto dove stare. Ti vietano anche se fai una domanda autentica.
• Chi possiede veramente TrueCrypt?
• Sono stati segnalati alcuni aggiustamenti con i checksum MD5.

Ad essere sincero, l'unica ragione per cui ho usato TrueCrypt è perché era open source. Tuttavia, alcune cose non sono giuste.

Qualcuno ha mai convalidato la sicurezza di TrueCrypt? Dovrei davvero essere preoccupato? Sì, sono paranoico; se uso un software di crittografia, mi fido di me per tutta la vita.

Se tutte le mie preoccupazioni sono vere, c'è qualche altra alternativa open source a TrueCrypt?

Esaminerò l'articolo punto per punto:

Nessuno sa chi ha scritto TrueCrypt. Nessuno sa chi mantiene TC.

C'è una citazione subito dopo che dice che il marchio è detenuto da Tesarik, che vive nella Repubblica Ceca. È abbastanza sicuro supporre che chiunque possieda il marchio mantenga il prodotto.

I moderatori sul forum TC vietano agli utenti di porre domande.

C'è qualche prova di questo, o è solo aneddotico? E per prova, intendo prova in prima persona, schermate, ecc.

TC afferma di essere basato su Encryption for the Masses (E4M). Sostengono anche di essere open source, ma non mantengono repository CVS / SVN pubblici

Il controllo del codice sorgente è certamente una parte importante di un progetto di programmazione di gruppo, ma la sua assenza certamente non diminuisce la credibilità di tale progetto.

e non emettere registri delle modifiche.

Si lo fanno. http://www.truecrypt.org/docs/?s=version-history . Non tutti gli OSS pubblicano registri delle modifiche estremamente chiari, perché a volte è semplicemente troppo tempo.

Escludono le persone dai forum che chiedono registri delle modifiche o vecchio codice sorgente.

Perché è una domanda stupida, considerando che esiste un registro delle modifiche e che le versioni precedenti sono già disponibili. http://www.truecrypt.org/downloads2

Inoltre cambiano silenziosamente i binari (cambio di hash md5) senza spiegazione ... zero.

Di che versione è questa? C'è qualche altra prova? Vecchie versioni scaricabili e firmate?

Il marchio è detenuto da un uomo nella Repubblica Ceca ((REGISTRANTE) Tesarik, David REPUBBLICA CECA INDIVIDUALE Taussigova 1170/5 Praha REPUBBLICA CECA 18200.)

E allora? Qualcuno nella Repubblica Ceca possiede un marchio per un'importante tecnologia di crittografia. Perchè importa?

I domini sono registrati privati ​​per procura. Alcune persone affermano che ha una backdoor.

Chi? Dove? Che cosa?

Chissà? Questi ragazzi affermano di poter trovare volumi TC: http://16systems.com/TCHunt/index.html

Duh, i volumi TC nello screenshot sono END WITH .tc.

E qualcuno ha visto questa immagine nella pagina dei contatti?

Leggi questi articoli, l'FBI non è riuscito a decifrare 5 dischi rigidi protetti con TrueCrypt

http://www.net-security.org/secworld.php?id=9506

http://techie-buzz.com/foss/fbi-fail-decrypt-hard-drive-truecrypt.html

Credo che TrueCrypt potrebbe essere fornito dall'NSA, dalla CIA o da una di quelle grandi agenzie federali allo scopo di promuovere la crittografia per la quale hanno il backdoor, al fine di ridurre l'uso di altre crittografie che non possono violare. Questo è il motivo della loro segretezza attorno ad esso, ed è per questo che è anche un prodotto così ben rifinito con una buona documentazione, nonostante non sia un prodotto commerciale né abbia la partecipazione diffusa di sviluppatori open source.

Vedi questo documento, che spiega che l'obiettivo del governo è di incoraggiare l'uso diffuso della crittografia per cui possono recuperare le chiavi: http://www.justice.gov/criminal/cybercrime/cryptfaq.htm

In realtà, l'Amministrazione incoraggia la progettazione, la fabbricazione e l'uso di prodotti e servizi di crittografia che consentono il recupero del testo in chiaro dei dati crittografati, incluso lo sviluppo di sistemi di recupero in chiaro, che consentono attraverso una varietà di approcci tecnici un accesso tempestivo al testo in chiaro tramite i proprietari dei dati o dalle autorità di contrasto che agiscono sotto l'autorità legale. Solo l'uso diffuso di tali sistemi garantirà una maggiore protezione dei dati e proteggerà la sicurezza pubblica.

....

L'obiettivo del Dipartimento - e la politica dell'amministrazione - è quello di promuovere lo sviluppo e l'uso di una crittografia avanzata che migliora la privacy delle comunicazioni e dei dati archiviati, preservando al contempo l'attuale capacità delle forze dell'ordine di ottenere l'accesso alle prove nell'ambito di una ricerca legalmente autorizzata o sorveglianza.

...

A questo proposito, speriamo che la disponibilità di una crittografia altamente affidabile che fornisca sistemi di recupero riduca la richiesta di altri tipi di crittografia e aumenti la probabilità che i criminali utilizzino la crittografia recuperabile.

Bene, il progetto TrueCrypt potrebbe benissimo essere condotto in modo inospitale / ostile agli estranei (sviluppatori anonimi, nessun log delle modifiche), ma non vedo come ciò sia legato alla sua sicurezza o meno.

Guardalo in questo modo: se gli sviluppatori volessero davvero fregare le persone inserendo backdoor in TrueCrypt, sarebbe logico che fossero gentili, quindi le persone sono meno sospettose.

In altre parole, se il software è affidabile è abbastanza indipendente dal fatto che gli sviluppatori siano persone socievoli o meno. Se ritieni che la disponibilità del codice sorgente non sia sufficiente per garantire la sicurezza, dovrai organizzare un controllo del codice. Certamente ci sono persone al di fuori del progetto TrueCrypt che guardano il codice sorgente, quindi una backdoor deliberata è probabilmente difficile da nascondere, ma potrebbero esserci dei bug nascosti. Questo errore nel pacchetto OpenSSL di Debian è passato inosservato per un bel po '.

Penso che il punto che manchi a tutti è che se qualcuno sta pensando di usare Truecrypt quella persona deve essere sicura al 100%, se non proprio la sua vita potrebbe essere in pericolo, non è Flash Player o un'app Fart per il tuo iPhone, è un'applicazione in cui se fallisce può significare che qualcuno viene ucciso per le informazioni scoperte.

Se l'integrità di Truecrypt è in dubbio, perché utilizzare questa applicazione?

tra l'altro nessuna domanda è una domanda stupida su TrueCrypt o altro.

Ho usato TrueCrypt per alcuni anni e quando dai un'occhiata al loro schema di crittografia , gli altri piccoli problemi che hai sottolineato non faranno nulla per la sua sicurezza. Anche un ingegnere informatico / Cryptanalyst di 15 anni ne è rimasto colpito.

E solo perché non ha un repository non significa che non sia open source. Posso andare alla sezione download e ottenere tutto il codice sorgente, che in realtà è quello che stai cercando.

I forum sono l'unico punto debole. Non ho visto alcun divieto, solo guerre di fiamma. Hai qualche prova dei divieti?

Finora le risposte hanno discusso di quanta fiducia può essere riposta nella crittografia di TrueCrypt. Secondo la documentazione, TrueCrypt utilizza buoni algoritmi di crittografia; tuttavia questa è solo una parte della storia, poiché gli algoritmi crittografici non sono la parte più difficile di un programma ad alta intensità di sicurezza. Il codice sorgente di TrueCrypt è disponibile per la revisione, il che è un punto a suo favore.

Ci sono altri punti da considerare quando si valuta un programma per proteggere i dati riservati.

• Il programma fornisce anche integrità dei dati ? TrueCrypt no. Integrità dei dati significa che qualcuno che ha accesso temporaneo al tuo computer non può sostituire i tuoi dati con dati modificati. È particolarmente importante proteggere il tuo sistema operativo: se qualcuno cerca i tuoi dati, potrebbe installare un keylogger per catturare la tua passphase la prossima volta che la digiti, o qualche altro malware che dia loro indirettamente accesso ai tuoi dati. Quindi, se non hai modo di rilevare tale manomissione, non lasciare il computer incustodito .

• Quanto è ampiamente disponibile il programma? TrueCrypt ha un tasso abbastanza elevato in tal senso: è disponibile su tutti i principali sistemi operativi desktop (Windows, Mac, Linux); è gratuito, quindi non devi preoccuparti del costo della licenza; è open source in modo che altri possano assumere lo sviluppo se l'attuale team di sviluppo scompare improvvisamente; è ampiamente usato, quindi è probabile che qualcuno aumenti se la squadra attuale scompare. La mancanza di accesso del pubblico al sistema di controllo del codice sorgente (singole patch con i loro messaggi di modifica) è tuttavia un punto contro.

A parte l'attacco di avvio a freddo, Truecrypt non è sicuro al 100% . Ha tracce forensi nel suo caricatore di avvio che renderà il tuo nemico (se conosce la scientifica del computer) che ti costringe a fornire la password.