Czy TrueCrypt jest naprawdę bezpieczny?

Od dłuższego czasu używam TrueCrypt. Jednak ktoś wskazał mi link opisujący problemy z licencją .

IANAL i tak naprawdę nie miało to dla mnie sensu; chcę jednak, aby moje oprogramowanie szyfrujące było oprogramowaniem typu open source - nie dlatego, że mogę się włamać, ale dlatego, że mogę mu zaufać.

Niektóre problemy z tym zauważyłem:

• Nie ma VCS dla kodu źródłowego.
• Brak dzienników zmian.
• Fora to złe miejsce. Zakazują cię, nawet jeśli zadajesz prawdziwe pytanie.
• Kto naprawdę jest właścicielem TrueCrypt?
• Pojawiły się doniesienia o majstrowaniu przy sumach kontrolnych MD5.

Szczerze mówiąc, jedynym powodem, dla którego użyłem TrueCrypt, było to, że był open source. Jednak niektóre rzeczy są po prostu niewłaściwe.

Czy ktoś kiedykolwiek sprawdził bezpieczeństwo TrueCrypt? Czy naprawdę powinienem się martwić? Tak, jestem paranoikiem; jeśli używam oprogramowania szyfrującego, ufam mu przez całe życie.

Jeśli wszystkie moje obawy są prawdziwe, czy istnieje jakakolwiek inna alternatywa open source dla TrueCrypt?

Przejrzę artykuł punkt po punkcie:

Nikt nie wie, kto napisał TrueCrypt. Nikt nie wie, kto utrzymuje TC.

Zaraz potem cytat mówi, że znak towarowy należy do Tesarika, który mieszka w Czechach. Można bezpiecznie założyć, że ktokolwiek jest właścicielem znaku towarowego, utrzymuje produkt.

Moderatorzy na forum TC blokują użytkowników zadających pytania.

Czy jest na to jakiś dowód, czy tylko anegdota? Przez dowód mam na myśli dowód pierwszoosobowy, zrzuty ekranu i tak dalej.

TC twierdzi, że opiera się na szyfrowaniu dla mas (E4M). Twierdzą również, że są open source, ale nie utrzymują publicznych repozytoriów CVS / SVN

Kontrola źródła jest z pewnością ważną częścią projektu programowania grupowego, ale jego brak z pewnością nie obniża wiarygodności takiego projektu.

i nie wydawaj dzienników zmian.

Tak, robią. http://www.truecrypt.org/docs/?s=version-history . Nie wszystkie OSS publikują wyjątkowo wyraźne dzienniki zmian, ponieważ czasem po prostu jest za dużo czasu.

Banują ludzi z forów, którzy proszą o dzienniki zmian lub stary kod źródłowy.

Ponieważ to głupie pytanie, biorąc pod uwagę, że istnieje dziennik zmian, a stare wersje są już dostępne. http://www.truecrypt.org/downloads2

Cicho zmieniają także pliki binarne (zmiana skrótów md5) bez wyjaśnienia ... zero.

Jaka to wersja? Czy jest jakiś inny dowód? Stare wersje do podpisania?

Znak towarowy jest w posiadaniu mężczyzny w Czechach ((REJESTRATOR) Tesarik, David INDYWIDUALNA REPUBLIKA CZESKA Taussigova 1170/5 Praha REPUBLIKA CZESKA 18200.)

Więc co? Ktoś w Czechach jest właścicielem znaku towarowego ważnej technologii szyfrowania. Dlaczego to ma znaczenie?

Domeny są rejestrowane prywatnie przez proxy. Niektórzy twierdzą, że ma backdoor.

Kto? Gdzie? Co?

Kto wie? Ci goście twierdzą, że mogą znaleźć tomy TC: http://16systems.com/TCHunt/index.html

Duh, woluminy TC na zrzucie ekranu ZAKOŃCZ SIĘ .tc.

Czy ktoś widział ten obraz na stronie Kontakt?

Przeczytaj te artykuły, FBI nie odszyfrowało 5 dysków twardych chronionych za pomocą truecrypt

http://www.net-security.org/secworld.php?id=9506

http://techie-buzz.com/foss/fbi-fail-decrypt-hard-drive-truecrypt.html

Wierzę, że TrueCrypt może być dostarczony przez NSA, CIA lub jedną z tych dużych agencji federalnych w celu promowania szyfrowania, do którego mają tylne drzwi, w celu ograniczenia użycia innego szyfrowania, którego nie mogą złamać. To jest powód ich tajemnicy i dlatego jest to również tak dopracowany produkt z dobrą dokumentacją, mimo że nie jest produktem komercyjnym ani nie ma szerokiego udziału deweloperów open source.

Zobacz ten dokument, który wyjaśnia, że ​​celem rządu jest zachęcenie do powszechnego korzystania z szyfrowania, do którego mogą odzyskać klucze: http://www.justice.gov/criminal/cybercrime/cryptfaq.htm

W rzeczywistości administracja zachęca do projektowania, wytwarzania i wykorzystywania produktów i usług szyfrujących, które pozwalają na odzyskanie zwykłego tekstu zaszyfrowanych danych, w tym rozwój systemów odzyskiwania zwykłego tekstu, które umożliwiają różnorodne techniczne podejście w odpowiednim czasie na dostęp do zwykłego tekstu za pomocą właściciele danych lub organy ścigania działające zgodnie z prawem. Tylko powszechne stosowanie takich systemów zapewni zarówno lepszą ochronę danych, jak i bezpieczeństwo publiczne.

....

Celem Departamentu - i polityki Administracji - jest promowanie rozwoju i stosowania silnego szyfrowania, które poprawia prywatność komunikacji i przechowywanych danych, jednocześnie zachowując obecną zdolność organów ścigania do uzyskiwania dostępu do dowodów w ramach legalnie poszukiwanego lub inwigilacja.

...

W związku z tym mamy nadzieję, że dostępność wysoce niezawodnego szyfrowania zapewniającego systemy odzyskiwania zmniejszy popyt na inne rodzaje szyfrowania i zwiększy prawdopodobieństwo, że przestępcy użyją szyfrowania odzyskiwalnego.

Cóż, projekt TrueCrypt może być prowadzony w sposób niegościnny / wrogi dla osób postronnych (anonimowi deweloperzy, brak Dziennika zmian), ale nie rozumiem, w jaki sposób odnosi się to do bezpieczeństwa, czy nie.

Spójrz na to w ten sposób: jeśli deweloperzy naprawdę chcieliby spieprzyć ludzi, umieszczając backdoory w TrueCrypt, to ma sens, aby byli mili, więc ludzie są mniej podejrzliwi.

Innymi słowy, to, czy oprogramowanie jest godne zaufania, jest całkowicie niezależne od tego, czy twórcy są ludźmi towarzyskimi, czy nie. Jeśli uważasz, że dostępność kodu źródłowego nie jest wystarczająca do zapewnienia bezpieczeństwa, będziesz musiał zorganizować audyt kodu. Na pewno są ludzie spoza projektu TrueCrypt, którzy patrzą na kod źródłowy, więc celowe backdoor jest prawdopodobnie trudne do ukrycia, ale mogą być ukryte błędy. Ten błąd w pakiecie OpenSSL Debiana pozostawał niezauważony przez dłuższy czas.

Myślę, że punktem, którego wszyscy brakuje, jest to, że jeśli ktoś rozważa użycie Truecrypt, ta osoba musi być w 100% pewna, że ​​jest bezpieczna, jeśli nie jej życie może być w niebezpieczeństwie, to nie jest Flash Player ani aplikacja Fart na iPhone'a, to aplikacja, w której jeśli się nie powiedzie, może to oznaczać, że ktoś zginął na podstawie wykrytych informacji.

Jeśli masz wątpliwości co do integralności Truecrypt, po co korzystać z tej aplikacji?

btw bez pytania to głupie pytanie o Truecrypt lub cokolwiek innego.

Używam truecrypt od kilku lat, a kiedy spojrzysz na ich schemat szyfrowania , inne małe problemy, które wskazałeś, nie wpłyną na jego bezpieczeństwo. Nawet 15-letni inżynier / kryptoanalityk był pod wrażeniem.

To, że nie ma repozytorium, nie oznacza, że ​​nie jest to oprogramowanie typu open source. Mogę przejść do sekcji pobierania i uzyskać cały kod źródłowy, który w rzeczywistości jest tym, czego szukasz.

Fora są jedynym słabym punktem. Nie widziałem jednak żadnych zakazów, tylko wojny płomieni. Czy masz jakieś dowody zakazów?

W dotychczasowych odpowiedziach dyskutowano o tym, ile zaufania można zaufać w szyfrowaniu TrueCrypt. Zgodnie z dokumentacją TrueCrypt wykorzystuje dobre algorytmy szyfrowania; jest to jednak tylko część historii, ponieważ algorytmy kryptograficzne nie są najtrudniejszą częścią programów wymagających dużego bezpieczeństwa. Kod źródłowy TrueCrypt jest dostępny do recenzji, co jest zaletą.

Podczas oceny programu do ochrony poufnych danych należy wziąć pod uwagę inne kwestie.

• Czy program zapewnia również integralność danych ? TrueCrypt nie. Integralność danych oznacza, że ​​osoba, która ma tymczasowy dostęp do twojego komputera, nie może zastąpić twoich danych zmodyfikowanymi danymi. Szczególnie ważna jest ochrona twojego systemu operacyjnego: jeśli ktoś szuka twoich danych, może zainstalować keylogger do przechwytywania twojego hasła przy następnym wpisaniu go lub inne złośliwe oprogramowanie, które pośrednio nie daje mu dostępu do twoich danych. Więc jeśli nie masz możliwości wykrycia takiego naruszenia, nie pozostawiaj komputera bez nadzoru .

• Jak szeroko dostępny jest program? Pod tym względem stawki TrueCrypt są dość wysokie: jest dostępny we wszystkich głównych systemach operacyjnych dla komputerów stacjonarnych (Windows, Mac, Linux); jest bezpłatny, więc nie musisz się martwić o koszty licencji; jest to oprogramowanie typu open source, aby inni mogli rozpocząć rozwój, jeśli obecny zespół programistów nagle zniknie; jest szeroko stosowany, więc ktoś może przyspieszyć, jeśli obecny zespół zniknie. Brak publicznego dostępu do systemu kontroli źródła (poszczególne łatki z komunikatami zmian) jest jednak przeciwny.

Pomijając atak zimnego rozruchu, Truecrypt nie jest w 100% bezpieczny . Ma moduł ładujący, który sprawi, że twój wróg (jeśli zna komputerową wiedzę) zmusi cię do podania hasła.