News TrueCrypt: Keine Hintertür gefunden

[JuggernautX]

Amerikanische Unternehmen sind grundsätzlich amerikanischen Gesetzen unterworfen. Und diese Gesetze sind das Problem....

Genau das ist auch meine Sorge und ich bin auch dbzgl.sehr misstrauisch, allerdings relativiert sich das wieder durch das vorige "Audit" des kanadischen Studenten.

Ich nehme sehr gerne TC aber ominös sind dennoch, das die Leute hinter TC noch immer anonym sind.... Wollen die sich schützen oder sind die von der NSA/CIA?

Eine gesunde Paranoia ist nicht schlecht, da sie uns doch wachsam hält.....

 

[Handysurfer]

Als nächstes: Auch die NSA meldet keine Hintertür gefunden zu haben... ganz toll. Vor allem wegen der Tatsache das Obama befohlen hat, Hintertüren, Bugs, Lücken zu verschweigen oder Beweise hierfür nicht zu bestätigen.

Und ganz nebenbei: Selbst wenn TrueCrypt 100% sicher wäre, würde es nichts bringen. Das ist so, als würde man seinen Bank-PIN inkl. TAN auf ein Blatt Papier in einem Raum der NSA voller Überwachungskameras aufschreiben und anschließend essen.

Passwort und Schlüsseldatei gesehen und gespeichert/kopiert. Wie? Drittsoftware... Trojaner, Spyware, Virus, oder was man sich ausdenkt.

TrueCrypt ist nur absolut offline sicher, wenn es keine Lücken haben sollte.

 

[Naddel_81]

bitte korrigiert mich, wenn ich mich irre, aber diese untersuchung zeigt doch nur, ob das programm selber irgendwelche hintertüren eingebaut hat und NICHT, ob die verschlüsselungen per se schon unsicher sind, weil es da eingebaute hintertüren gibt, die niemand prüfen kann.

 

[Helge01]

Der beste Schutz ist, wenn man Sicherheitssoftware nicht zu 100% vertraut.
Mit einem gesunden Misstrauen und Menschenverstand kann man problemlos Truecrypt und andere Sicherheitssoftware wie auch z.B. AV-Programme einsetzen.
Blindes Vertrauen wäre aber der falsche Ansatz.

 

[MysWars]

Jedem Unternehmen in den Staaten bzw. hier im speziellen iSEC Falschmeldungen anzudichten obwohl man hier im wesentlichen mit dem bereits vorhandenen Audit eines kanadischen Studenten übereinstimmt, ist für mich keine gesunde Paranoia mehr.

Du weißt aber schon dass der Student nur überprüft hat ob die Binär Dateien wirklich aus dem compilierten Code entstehen?

@Naddel_81:
Richtig.

 

[IceTe]

Kann man ja auch als gutes Zeichen verstehen, dass nicht ständig dran rumgepatcht werden muss, weil es eben schon gut ist

Wird das überhaupt noch weiterentwickelt ? Die letzte Version ist ja von Februar 2012.

Eine gesunde Paranoia ist nicht schlecht, da sie uns doch wachsam hält.....

gesunde Paranoia ist ein schönes Oxymoron

 

[Naddel_81]

@ MysWars: danke für die bestätigung. also als fazit bleibt festzuhalten: trueCrypt taugt für den ottonormalverbraucher, um seine privaten daten vor der polizei/der tante/dem haustier zu verstecken, aber nicht, um wirklich sicherheitsrelevante daten for BND/NSA und Co oder anderen staaten zu schützen, weil man immer davon ausgehen muss, dass jede verschlüsselung, die man nicht selbst erfunden hat, irgendwie zu knacken sein könnte, oder?

btw: ich bin mir sicher, dass NSA und Co einen "master-key" (private oder public key, ich weiß nicht mehr welcher noch fehlt. halt der zum encrypten) wie den der PS3 sicher berechnen könnten, wenn sie den müssten. wie restliche welt würde sich an dem ding wundrechnen und mehr energie und zeit aufwenden als zur verfügung steht, weil wir nicht das wissen um die backdoors haben, mit denen sich eine verschlüsselung austricksen lässt.

 

[Franca]

Kennt jemand ein gutes Programm mit welchem es möglich ist, einzelne Ordner zu verschlüsseln und mit Passwort zu versehen?
Also keine Container- oder Vollverschlüsselungslösung wie bei TrueCrypt. Das Sicherheitsniveau muss auch nicht so hoch sein.

 

[highks]

Ich nehme sehr gerne TC aber ominös sind dennoch, das die Leute hinter TC noch immer anonym sind.... Wollen die sich schützen oder sind die von der NSA/CIA?

Also mir ist ganz klar, weshalb die Macher von Truecrypt anonym bleiben wollen! Mit ihrer Software werden weltweit die wichtigsten Geheimnisse verschlüsselt, da hätte ich auch Angst davor, dass mich hin und wieder mal jemand entführt (sei es ein Geheimdienst oder die Mafia) und versucht mich zu erpressen.
Bzw. meine Familie entführt und zu mir sagt: "du machst da jetzt ein Backdoor rein, sonst siehst du deine Tochter nie wieder!"

Also diese gesunde Paranoia der Entwickler von Truecrypt kann ich absolut verstehen!

 

[Handysurfer]

@Franca: Winzip, Winrar, etc.
Wenn du nicht richtig verschlüsselst, kannst du es auch gleich sein lassen.

Ansonsten gibt es beim Kauf eines USB-Sticks (z.B. SanDisk Extreme USB 3.0) eine kostenlose Software dazu.

 

[Gorerotic]

Das ist die beste uns sichereste Möglichkeit. Eine einfache Schiffre, welche bitweise funktioniert, aber nur du weißt welche bits usw. zu implementieren ist nicht sonderlich schwierig.
Wichtig ist nur, dass man den Schlüssel sicher hält, also am besten nur auf einem Gerät ohne Internet anwendet und sich unter Umständen das OS gut aussucht. (umso einfacher umso besser)

Achja, den Algorithmus sollte man natürlich auch sicher halten also am besten nach der Verschlüsselung vernichten und erst beim entschlüsseln wieder implementieren usw.
Damit ist so gut wie sicher, dass man nur selbst auf die Daten Zugriff hat. Lohnt sich das bei irgenwelchen Daten? Muss jeder selbst wissen.

Gerade davon wird dringendst abgeraten....
https://www.youtube.com/watch?v=KxTh45_VhFk

 

[highks]

@ MysWars: danke für die bestätigung. also als fazit bleibt festzuhalten: trueCrypt taugt für den ottonormalverbraucher, um seine privaten daten vor der polizei/der tante/dem haustier zu verstecken, aber nicht, um wirklich sicherheitsrelevante daten for BND/NSA und Co oder anderen staaten zu schützen, weil man immer davon ausgehen muss, dass jede verschlüsselung, die man nicht selbst erfunden hat, irgendwie zu knacken sein könnte, oder?

Es gab mal in der Presse einen Fall eines südamerikanischen Bankers, der wegen Betrug vor Gericht stand (es ging um sehr hohe Summen) und die Strafermittler kamen nicht an seine TC verschlüsselte Platte ran. Schließlich haben sie die US-amerikanischen Behörden um Hilfe gebeten, die aber nach mehreren Monaten auch aufgeben mussten. Die Platte konnte nicht entschlüsselt werden!

Für einen echten Verschwörungstheoretiker ist das natürlich nur ein PR-Stunt der amerikanischen Behörden, um uns in Sicherheit zu wiegen - aber ich glaube schon, dass Truecrypt das Sicherste ist, was man tun kann. Ein gutes Passwort natürlich vorausgesetzt!

Wie der Artikel in der englischen Zeitung ja auch erwähnt, hat Großbrittanien das Problem für sich ja schon einfach gelöst: man ist dort verpflichtet, das Passwort von verschlüsselten Daten den Behörden zu geben. Tut man es nicht, kann man mehrere Jahre ins Gefängnis wandern, völlig egal, was auf der Platte drauf ist! Problem solved!

 

[TrueAzrael]

@Franca: Winzip, Winrar, etc.
Wenn du nicht richtig verschlüsselst, kannst du es auch gleich sein lassen.

Stimmt macht keinen Unterschied ob meine Freundin den XXX-Ordner am Desktop sieht, oder eine passwortgeschützte "Work in progress.rar" unter Eigene Dokumente.
Das man auch gleich immer davon ausgehen muss, das jeder alles vor den Aliens von Grumpitz, die uns technologisch 60000 Jahre voraus sind geheim halten will. Manchmal will man auch einfach Bekannte, Verwandte, oder den ordinären Einbrecher davon abhalten die Daten auslesen zu können. In manchen Fällen könnte auch die Änderung von *.doc auf *.jpeg schon genug Schutz sein.

 

[JuggernautX]

Also mir ist ganz klar, weshalb die Macher von Truecrypt anonym bleiben wollen! Mit ihrer Software werden weltweit die wichtigsten Geheimnisse verschlüsselt, da hätte ich auch Angst davor, dass mich hin und wieder mal jemand entführt (sei es ein Geheimdienst oder die Mafia) und versucht mich zu erpressen.
......Also diese gesunde Paranoia der Entwickler von Truecrypt kann ich absolut verstehen!

Würde Dir uneingeschränkt recht geben aber Du glaubst doch nicht im Ernst, dass Geheimdienste nicht an die Macher hinter TC kommen.....

Staatsgeheimnisse werden ausspioniert aber diese Kerle werden nicht gefunden?.....also ich weiß nicht, vielleicht bin ich ja doch zu Paranoid.....

 

[hallo7]

Gerade davon wird dringendst abgeraten....

Hier nicht das Thema verwechseln. Ich hab den Vortrag kurz überflogen und soweit ich mitbekommen habe redet er hauptsächlich von verschlüsselter Kommunikation. Und da geb ich ihm teilweise recht. (Eine Schiffre ist auch hier wirkungsvoll nur muss man die Schlüssel manuell austauschen. Die Geheimdienste setzen teilweise noch immer auf dieses Verfahren und Broadcasten verschlüsselte Nachrichten. Nur der mit dem richtigen Schlüssel kann damit etwas anfangen)

Hier geht es aber nicht um Kommunikation sondern um etwas das nur ich kenne und nur ich kennen muss. Es ist alles unspezifiziert, Schlüssellänge sowie Algorithmus und auch Gegendaten. Für Kommunikation kann man das natürlich überhaupt nicht verwenden aber um etwas sicher zu lagern. Eine Schiffre ist da sehr wirkungsvoll, vor allem wenn niemand außer man selbst weiß was man überhaupt verschlüsselt hat. (Man kann Text ganz einfach in Bildern usw. verstecken ohne das es auffällt)

Nur einen 10 GB Film sollte man nicht in ein Bild verschlüsseln, das könnte auffallen...

 

[Helge01]

@JuggernautX
Das ist genau das was ich mit einem gesunden Misstrauen und Menschenverstand meine

Mir konnte auch noch niemand verraten, für was die verschlüsselten Zufallszahlen im Header ab Block 512 mit einer Länge von 65024 byte benötigt werden. Unter Linux ist dieser Bereich 0 Bytes groß.

Eventuelle Möglichkeiten:

☐ Entwickler hatte Langeweile
☐ verborgener Zweitschlüssel

Weiterhin lässt sich ein Zweitschlüssel im Salt vom Block 0 - 64 unterbringen, das würde dann alle Versionen betreffen.

 

[valnar77]

@JuggernautX
Das ist genau das was ich mit einem gesunden Misstrauen und Menschenverstand meine

Mir konnte auch noch niemand verraten, für was die verschlüsselten Zufallszahlen im Header ab Block 512 mit einer Länge von 65024 byte benötigt werden. Unter Linux ist dieser Bereich 0 Bytes groß.

Eventuelle Möglichkeiten:

☐ Entwickler hatte Langeweile
☐ verborgener Zweitschlüssel

Weiterhin lässt sich ein Zweitschlüssel im Salt vom Block 0 - 64 unterbringen, das würde dann alle Versionen betreffen.

Könntest Du das bitte etwas ausführlicher erklären? Wo und bei welcher Version bzw. Datei werden undefinierte Zufahlszahlen gespeichert? In einem TC-Container? Unterscheidet sich dieser von einem unter Linux erstelltem Container? Oder wie habe ich das zu verstehen?
Danke

 

[iks-deh]

Nur sicher, solange man davon ausgeht, dass der Compiler keine Hintertüren einbaut : (interessantes Paper dazu: http://www.ece.cmu.edu/~ganger/712.fall02/papers/p761-thompson.pdf)

 

[Helge01]

@valnar77
Das betrifft Container die unter Windows erstellt wurden. Container die unter Linux erstellt wurden, haben in diesem Header-Bereich keine Zufallszahlen.

 

[Locutus2002]

Nur sicher, solange man davon ausgeht, dass der Compiler keine Hintertüren einbaut : (interessantes Paper dazu: http://www.ece.cmu.edu/~ganger/712.fall02/papers/p761-thompson.pdf)

Was auch der Grund für die "völlig veraltete Build-Umgebung" sein dürfte (die stammt meines Wissens nach aus der Zeit vor 1999, als Serpent, Twofish und Rijndael noch nicht durch den AES-Wettbewerb im Licht der Öffentlichkeit standen und Compiler daher noch nicht gegen sie manipuliert sein konnten).