Ars Technica - Čeprav se je razvoj TrueCrypta končal na sila čuden način, je program še daleč od mrtvega kosa kode. Medtem ko se je razvijalska ekipa iz neznanih razlogov odločila opustiti svoje delo, projekt temeljitega varnostnega pregleda kode (security audit) še vedno teče.
Projekt Open Crypto Audit, ki je že lani začel pregledovati njegovo kodo, se nadaljuje. Za financiranje tega početja so nameravali zbrati 25.000 dolarjev, pa so do danes nabrali že več kot 70.000 dolarjev, kar je več kot dovolj za pregled kode. Kenn White, ki vodi organizacijo pregleda, je povedal, da se pregled nadaljuje ne glede na razvoj dogodkov.
Spomnimo, da je prva faza pregleda že končana. Pri analizi kode so namreč ugotovili, da razen nekaj površnosti resnih napak, hroščev ali očitnih stranskih vrat v njej ni. Že pred tem so bili pokazali, da je prevedena verzija enaka izvorni kodi, ki je prosto objavljena. Sedaj pa teče drugi del pregleda, ki je natančnejši. Ranljivosti je namreč mogoče pretihotapiti v algoritme za tvorjenje naključnih števil (primerDual EC DRBG) in podobno. TrueCrypt namreč vsebuje zajetno količino matematičnih komponent, od algoritmov za tvorjenje psevdonaključnih števil, šifrirnih algoritmov itd. Pregled bo v drugi fazi pokazal, ali so mogoče pri implementaciji matematičnih metod kakšna namerna zmanjšanja entropije, ki bi jih lahko NSA ali kdo drug izrabil za nasilen odklep podatkov, ali kakšna druga skrivna stranska vrata.
Glede na ustavitev razvoja TrueCrypta, se bo varnostni pregled nanašal na zadnjo stabilno verzijo 7.1. Četudi bodo pokazali, da je TrueCrypt varen, pa ostaja prihodnost programa vprašljiva. Razvijalska ekipa je namreč povedala, da ga ne bodo več podpirali, ker da obstaja dovolj konkurenčnih rešitev (LUKS, BitLocker, FileVault, PEFS ...). Prav mogoče pa je, da se bo zgodila razvejitev (fork) v nov projekt.
Če predpostavimo ali pa se po drugem krogu izkaže, da TC ni zlonamerni kos programja, se pri razvejitvi pojavi dilema o kakovosti, saj bodo novi razvijalci stopili v zelo velike čevlje.
Je pa hecno, veliko špekulacij je, kaj naj bi dejansko imeli razvijalci za bregom. Tudi to je možno, da jib je v to prisilil začetek 2. kroga varnostnega pregleda ...
Jaz sem slišal boljšo teorijo: TC je bil legit, "the real deal", nezlomljiv, ampak ker je bil trn v peti US gubment in NSA in FBI in... so se določili, da ga uničijo! Zato so skovali še eno svojih uberzarot! Ide ovako, ne znate kako, zdaj boste videl: najprej so najeli strokovnjake in sfinancirali audit. Potlej so poiskali avtorja in ga prisilili, da je ustavil projekt, ki ga bodo zdaj pod krinko novih razvijalcev prevzeli oni in podtaknili not backdore pod pretvezo, da se odstranjujejo ranljivosti, ki jih bo odkril audit! In tako vse pade na svoje mesto. False flag! Pripravite alu folijo! It's happening! Why didn't you listen?!!1
I used to be with it, but then they changed what it was.
Now what I'm with isn't it and what's it seems weird
and scary to me. It'll happen to you!
zakaj je treba teorijo zarote... glede NSA je že kar dosti razkritih zgodbic, ko so direktno pritiskali na podjetja ali pa na vlado (v primeru Huawei in podobih), tako da ne bi bil presenečen, če se izkaže, da jih je NSA zaprla.
"božja zapoved pravi; <Spoštuj očeta in mater>,
ne govori pa o spoštovanju sodstva."
Janez Janša, 29.04.2014
Vedno bo prišel nekdo, ki bo pripravljen stopit v čevlje nekdanjih TrueCrypt ustvarjalcev. Želja po zasebnosti je prevelika, poleg vsega pa še TrueCrypt uporabljajo vsi tisti, ki so v kakršnem koli smislu povezani s črnim trgom prek računalnika. Bodo pa varnostne agencije vedno poskušale preprečit prihod takih programov na trg in potem bodo ven prišle take nebuloze, da se ustvarjalcem preprosto ne da več. V resnici jim pa tisti tam grozijo in jih izsiljujejo.
Ampak a nismo že pred časom povedali tega, da je TrueCrypt v povezavi s keyloggerjem čisto neuporabna zadeva?
Vedno bo prišel nekdo, ki bo pripravljen stopit v čevlje nekdanjih TrueCrypt ustvarjalcev. Želja po zasebnosti je prevelika, poleg vsega pa še TrueCrypt uporabljajo vsi tisti, ki so v kakršnem koli smislu povezani s črnim trgom prek računalnika. Bodo pa varnostne agencije vedno poskušale preprečit prihod takih programov na trg in potem bodo ven prišle take nebuloze, da se ustvarjalcem preprosto ne da več. V resnici jim pa tisti tam grozijo in jih izsiljujejo.
Ampak a nismo že pred časom povedali tega, da je TrueCrypt v povezavi s keyloggerjem čisto neuporabna zadeva?
. pa itak bi rabu namestit fizični keylogger (za before windows boot pass).
Sej true crypt ima tudi keyfile zaklenitev (no vsaj za containerje). Pol maš tudi random keyboarde
Če se audit izkaže, da je TC popolnoma legit, potem ne vidim razloga za prenehanje uporabnosti, trenutno uporabljeni algoritmi in njih 3 slojno pakiranje bo še nekaj časa izven zmogljivosti HW-ja.
Itak pa ti nič od tega ne pomaga, če daš geslo 123456789. PEBKC
Mislim da je prva verzija razlage ustavitve projekta cisto na mestu: NSA je videl, da audit ne bo pokazal nicesar narobe in so zato enostavno kontaktirali avtorje in rekli: Al nehate al pa bomo pregledali vase davcne napovedi.. Ali pa: tukaj imate 4mil$, bodite tiho in naj vas ne vidimo vec..
Mislim da je prva verzija razlage ustavitve projekta cisto na mestu: NSA je videl, da audit ne bo pokazal nicesar narobe in so zato enostavno kontaktirali avtorje in rekli: Al nehate al pa bomo pregledali vase davcne napovedi.. Ali pa: tukaj imate 4mil$, bodite tiho in naj vas ne vidimo vec..
a res mislis da NSA se ni pregledovala truecrypt kode?
a res mislis da NSA se ni pregledovala truecrypt kode?
oni jo znajo na pamet zrecitirat
In general, high velocity doesn't produce harmful injuries.
But what is dangerous is the high acceleration
or deceleration given at a certain time interval.
Mislim da je prva verzija razlage ustavitve projekta cisto na mestu: NSA je videl, da audit ne bo pokazal nicesar narobe in so zato enostavno kontaktirali avtorje in rekli: Al nehate al pa bomo pregledali vase davcne napovedi.. Ali pa: tukaj imate 4mil$, bodite tiho in naj vas ne vidimo vec..
Pregleduje se itak 7.1, nadaljnje delo TC avtorjev tu ni bistvo.
Po mojem se je tipom malo odsvaljkako, ker kot pri tipicnem open source projektu, niso dobili donacij niti za burek, potem pa se grejo ljudje crowd founding za pregled NJIHOVE kode in naberejo 70k$. Jih čisto razumem, da so rekli fu*k off.
Ni bilo nobenih pritiskov. Varnostnim raziskovalcem (black/white hat) je znana vsa zgodba. Tudi verzijo 7.2, ki je samo za odkodiranje so pripravljali več mesecev, ni prišla kar tako po tekočem traku.
Ekipa je začela projekt, ko so bili stari sredi 20ih. Minilo je desetletje, iz donacij se ni nabralo nič denarja in sedaj, ko so stari sredi 30ih in imajo družine in otroke, pač ni več časa za to nehvaležno delo. Za podpiranje Win 8 bi morali namreč implementirati GPT, Secure Boot, pa verjetno še kaj.
Ampak 7.1a je tako dober piece of code, da sploh popravkov ni rabil. :) Delal je točno to, za kar je bil namenjen, zgodb o kakšnih zapletih z razbitjem enkripcije, pa tudi ni. Bil je cross platform. Aja pa ni odprtokoden, je kar zaprtokodni program, za katerega je pač na voljo koda.
Zakaj pa nočejo, da bi ljudje še naprej uporabljali TrueCrypt, ali forkali in naprej razvijali drugi, pa lahko zveste v podcastu Security Now 458 (Steve Gibson, grc.com), kjer je druga polovica namenjena TrueCryptu.
Islam is not about "I'm right, you're wrong," but "I'm right, you're dead!"
-Wole Soyinka, Literature Nobelist
|-|-|-|-|Proton decay is a tax on existence.|-|-|-|-|
Jst > Zakaj pa nočejo, da bi ljudje še naprej uporabljali TrueCrypt, ali forkali in naprej razvijali drugi, pa lahko zveste v podcastu Security Now 458 (Steve Gibson, grc.com), kjer je druga polovica namenjena TrueCryptu.
Povzetek v par stavkih, da vidmo če se splača poslušat v detajle?
Če predpostavimo ali pa se po drugem krogu izkaže, da TC ni zlonamerni kos programja, se pri razvejitvi pojavi dilema o kakovosti, saj bodo novi razvijalci stopili v zelo velike čevlje.
Je pa hecno, veliko špekulacij je, kaj naj bi dejansko imeli razvijalci za bregom. Tudi to je možno, da jib je v to prisilil začetek 2. kroga varnostnega pregleda ...
Ti dam bolj verjetno in preprosto razlago: dobivali niso skoraj nic donacij (kot je tipično za OSS), potem pa dobi crowdfounded projekt pregleda njihove kode, bistveno več denarja. Jih čisto razumem, tudi meni bi se zdelo za malo, so si pa sami krivi, ko so kodo dajali zastonj naprej, upam da bo ta primer izučil nadaljne generacije, da podpiranje sistemcev pri njihovem sluzenju "big bucks" ne vodi nikamor (po drugi strani pa so samo developerji edini osli, ki gredo večkrat na led).
"The TL;DR is that based on this audit, Truecrypt appears to be a relatively well-designed piece of crypto software. The NCC audit found no evidence of deliberate backdoors, or any severe design flaws that will make the software insecure in most instances.
That doesn't mean Truecrypt is perfect. The auditors did find a few glitches and some incautious programming -- leading to a couple of issues that could, in the right circumstances, cause Truecrypt to give less assurance than we'd like it to.
For example: the most significant issue in the Truecrypt report is a finding related to the Windows version of Truecrypt's random number generator (RNG), which is responsible for generating the keys that encrypt Truecrypt volumes. This is an important piece of code, since a predictable RNG can spell disaster for the security of everything else in the system.
.