Bezpečnostní audit TrueCryptu pokračuje

V říjnu 2013 byly spuštěny dvě kampaně s cílem získat peníze na bezpečnostní audit TrueCryptu (zprávička). Peníze se povedlo vybrat a v dubnu 2014 byla dokončena první fáze bezpečnostního auditu (zprávička). V květnu 2014 bylo ale nečekaně oznámeno ukončení vývoje TrueCryptu a vydání verze 7.2 (zprávička). Audit byl dočasně pozastaven. Matthew Green ve středu 18. února oznámil, že bezpečnostní audit verze 7.1a bude pokračovat fází 2. Dnes jsou již k dispozici alternativy TrueCryptu jako CipherShed nebo VeraCrypt.

22.2.2015 22:44 | Ladislav Hagara | Zajímavý projekt

Komentáře

[Miriam]

Proč vlastně TrueCrypt skončil? Někdo mi povídal, že to šifrování byl na nic a že se prý dalo celkem snadno (asi nějakým superclusterem, ale alespoň pro člověka reálném čase) prolomit, ale rozum z toho nemám, protože z toho, co jsem pochopila na VŠ by to mělo být hodně hodně těžké. Může mi to někdo vysvětlit?

[Michal]

Z http://en.wikipedia.org/wiki/TrueCrypt#End_of_life_announcement

Multiple theories attempting to explain the reason behind the announcement arose throughout the tech community.[19][20][21]

[corwin78]

Udělali by lépe, kdyby se raději zaměřili na VeraCrypt.

[Bystroushaak]

Pokud je VeraCrypt forkem TrueCryptu, tak je to úplně jedno, co jsem tak naposledy koukal tak se změnil jen název a pár bitmap.

[trubicoid]

minimalne veracrypt pouziva vic iteraci PBKDF2, coz je dobra vec

[j]

Naopak, pokud truecrypt projde, jako ze tomu vse nasvedcuje, nikdo do nej uz nevnese zadnou diru. Pak by zbyval jedine bruteforce, a to je neco, co uz zalezi predevsim na uzivateli a pripadnym vyvoji techniky, kterej neni nijak zasadni.

[Jendа]

nikdo do nej uz nevnese zadnou diru

Škoda je, že nejspíš už nebude fungovat s Windows 10 a novým OSX, protože ho taky nikdo neupdatne.

[j]

Trochu schiza ne? Kdo by chtel pouzivat system, kterej bez M$ acc pude ani nainstalovat, a pak v nem sifrovat disky?

[Jendа]

Tak k čemu je pak TC, když na Linuxu je spousta jiných nativních řešení?

Kdo by chtel pouzivat system, kterej bez M$ acc pude ani nainstalovat, a pak v nem sifrovat disky?

Například ten, kdo se nesnaží chránit před MS/NSA/…, ale před sousedkou či ne úplně elitní částí PČR. (btw. před NSA ti ten Linux nejspíš taky moc nepomůže)

[Hans1024]

Tak k čemu je pak TC, když na Linuxu je spousta jiných nativních řešení?

Tuhle otazku si pokladam vzdycky kdyz vidim zpravicku o TC.

před sousedkou či ne úplně elitní částí PČR.

Hmm a je kvuli temto vubec potreba ten audit?

[Jendа]

Tuhle otazku si pokladam vzdycky kdyz vidim zpravicku o TC.

Mně jako linuxákovi je to taky k prdu, ale na Windows tak leda FreeOTFE s nevímjakou správou kontejnerů a na OS X vůbec nevím.

Hmm a je kvuli temto vubec potreba ten audit?

Mně přijde takto rozsáhlý audit zbytečný i proti té NSA.

[Bystroushaak]

Tuhle otazku si pokladam vzdycky kdyz vidim zpravicku o TC.

Protože je to uživatelsky jednoduchý software s komplexní funkčností balený v použitelném gui. To o sobě žádný jiný nástroj na šifrování v linuxu, co jsem kdy zkoušel, říct nemůže. Například GPG do teď používám z příkazové řádky, protože všechny gui sajou prdel*. Až se budu někdy nudit, tak se pustím do vlastního gui, protože to je pole neorané, kde když už někdo něco stvoří, tak zřejmě neoplývá ani špetkou sebekritiky.

Hmm a je kvuli temto vubec potreba ten audit?

Audit nedělají Češi, takže je to bezpředmětné.

*Napsáno schválně výrazně sprostě, abych podtrhl jak moc.

[lertimir]

Možná jsem něco přehlédl, ale jaké linuxové řešení umí steganografický oddíl uvnitř šifrovaného oddílu?

[Jendа]

Žádné (resp. nevyvíjený dm-steg). Ani TrueCrypt ho ale neumí.

[Jendа]

(můžeš si ale například pomocí losetupu s offsetem namapovat nevyužitou část LVM, nebo i nějaké té FATky)

[Peter Šantavý]

Tiež dúfam, že audit prejde.
Aktuálne tak zostávajú v hre útoky typu:
Defeating TrueCrypt: Practical Attacks against TrueCrypt Security

[chrono]

To, že niekto povie, že v TC (nie) sú závažné chyby, príliš veľa neznamená.

[j]

Znamena to pomerne dost, protoze zadny dalsi podobne prozkoumany SW neexistuje. Navic to, ze tam nejspis zadne chyby nejsou se pokud trochu zahledas uz proflaklo v tom, ze se amici snazili 3/4 roku o jeho desifrovani a nepovedlo se.