Bezpečnostní audit TrueCryptu

Lze věřit TrueCryptu, open-source nástroji pro šifrování dat? Byl někdy proveden jeho bezpečnostní audit? Webová stránka Is TrueCrypt Audited Yet? tvrdí, že ne. Její tvůrci, Kenn White a Matthew Green, spustili dvě kampaně, první na Fundfill a druhou na Indiegogo, jejíž cílem je získat peníze na opravdový bezpečnostní audit TrueCryptu. [Ars Technica, Slashdot]

16.10.2013 21:49 | Ladislav Hagara | Zajímavý projekt

Komentáře

[xaint]

pokud ja vim, tak Klima nekde psal, ze si osobne prosel kod truecryptu, nenasel tam nic spatnyho, takze on osobne tomu veri...

[wlofy]

Pokud vim tak to neprohlizel podrobne, zajimal ho pouze koncept.

[tc]

a hlavne by tomu nikdo ve svete neveril, kdyz oba dva autori truecryptu jsou taky cesi (viz vlastnici znamky zapsane v cesku a stejni ridi i tc nadaci v usa, pres kterou jsou sponzorske dary)

[PSIkappa]

Ak neverite zdrojakom TrueCrypt-u, tak mozete vyskusat "clean room" BSD implementaciu: https://github.com/bwalex/tc-play

[trekker.dk]

Když nevěřím zdrojákům TrueCryptu, co mě má přesvědčit, abych věřil zdrojákům v BSD?

[finn]

Zdrojáky jsou výrazně jednodušší a pro samotné šifrování/hashování se používají rutiny linuxového jádra, příp. openssl. Moje tvrzení samozřejmě není důkaz nějaké důvěryhodnosti.

[X]

Takže to, na čem to vše stojí je pak nějaká funkce někde kdesi..

[David Jaša]

Ta nějaká funce kdesi v jádře/openssl/gnutls/nss je podstatně líp prověřená oproti ekvivaletnímu kusu kódu v projektu, který používá jen pár paranoiků, co se nejsou ochotní vzdát widlí.

[gg]

Chtelo by to slozit se a nakumulovat nejakou vetsi financni castku a tou potom motivovat bug huntery. Zkratka bug bounty program.

[bhy]

truecrypt není open-source: https://fedoraproject.org/wiki/Forbidden_items?rd=ForbiddenItems#TrueCrypt

[Ladislav Hagara]

Jedním z cílů projektu je také prozkoumání licence. Dle některých právníků je nejnovější licence (verze 3.0) TrueCryptu v pořádku.

[Martin Prokeš]

A k čemu je audit zdrojáků, když jejich kompilace do použitelného programu je nad míru obtížná a nedokumentovaná?

Jak jsem onehdy kdesi vyčetl...

[Matlák]

Kompilovat starší verze TrueCrypt není žádná věda. Upravoval jsem si jaderný modul verze 4.3 tak, aby fungoval s novějšími jádry, a no problem. Novější verze jsou jednak pomalejší (tuším, že využívají FUSE či podobný hnus) a navíc jsou závislé na nějakém obskurním frameworku (snad wxWidgets?) s omezenou kompatibilitou mezi verzemi. To už musí být větší fuška zkompilit..