News TrueCrypt: Projekt abrupt eingestellt

[can320]

1. Möglichkeit: TC-Entwickler kennen unsichere Stelle im Code => Analyse, Bericht und Fix (zB. Heartbleed)
2. Möglichkeit; NSA kann TC nicht knacken => Diskreditierung und Aufruf zum Wechsel
3. Möglichkeit: NSA kann TC knacken => Diese Meldung würde nicht existieren

4. Möglichkeit: Ihr Maulwurf ist aufgeflogen bzw. ihr Backdoor wurde entdeckt und das Projekt wurde schnell dicht gemacht

 

[Aod1]

1. Möglichkeit: TC-Entwickler kennen unsichere Stelle im Code => Analyse, Bericht und Fix (zB. Heartbleed)
2. Möglichkeit; NSA kann TC nicht knacken => Diskreditierung und Aufruf zum Wechsel
3. Möglichkeit: NSA kann TC knacken => Diese Meldung würde nicht existieren

zu 1.: Ich glaube nicht das ihnen eine bewusst unsichere Stelle bekannt ist. Ausser vielleicht für die neue Version 7.2. Der Version würde ich keinesfalls trauen.

zu 2/3.: Das ist auch mein gedanke, die NSA kann Version 7.1a nicht so leicht knacken, nur mit sehr sehr viel arbeit. Darum versuchen sie TC abzuschalten und diese Infizierte 7.2 Version zu vertreiben.

 

[eparee]

Das gilt auch für Truecrypt und jede andere Verschlüsselungssoftware. Das Bitlocker unsicher sein soll habe ich noch nicht gelesen.


Kannste dafür mal die Quelle posten?

http://mashable.com/2013/09/11/fbi-microsoft-bitlocker-backdoor/

 

[[o.0]]

Naja, 7.1a macht das was es soll: Es benutzt AES-NI, ist Cross-Plattform-Fähig, ist schlank und simpel und bisher sehen alle Audits gut aus.
Solange da nichts schlimmes raus kommt, bleibe ich dabei. Bitlocker und andere Closed Source Software? Niemals bei soetwas sicherheitskritischem^^

Selbst wenn schon bei 7.1a ein Backdoor drin wäre, solange man nicht der Top-Terrorist ist, wird man da als Normalbürger nichts befürchten müssen. Wenn das rauskommt, dass die Polizei dank NAS-Backdoor die eigene mp3 Festplatte entschlüsselt hat, ist der Honeypot TC tot und alle mit wichtigen verschlüsselten Daten steigen um -> Schuss ins Knie.

 

[phil-king]

ich hab keine daten die ich vor einem geheimdienst verbergen muss. und für alle andren wird mein truecrypt 7.1a verschlüsselter notebook unknackbar bleiben. darauf kommt es an.

 

[promashup]

Ich muss meinen Respekt für die Entwickler aussprechen, denn sie handeln hier absolut selbstlos und nur zum Wohle der Nutzer. Sogar eine Konkurrenzsoftware wird von ihnen empfohlen, sowas sieht man sehr selten.

 

[baizon]

@Nexuiz-Player
Zu 3. - Schau dir Lavabit an, dann weißt du alles.

Wie schon erwähnt. Verschlüsselung ist nur auf Open-Source Ebene Vertrauenswürdig. Ansonsten kann es immer eine Hintertür geben.

 

[BlooDFreeZe]

http://mashable.com/2013/09/11/fbi-microsoft-bitlocker-backdoor/

Ich will MS in Sachen PRISM etc. nicht verteidigen, aber das hört sich doch im Bezug auf Bitlocker ziemlich positiv an. An der Tatsache, dass NSA/FBI, gerade bei großen Firmen, an die Tür klopfen und Backdoors wollen, zweifelt inzwischen niemand mehr. Den Tipp den sie gegeben haben(nach dem Recovery Key an anderer Stelle zu suchen) hätte jeder, der Bitlocker ein mal verwendet hat oder sich eine Anleitung durchgelesen hat geben können.

 

[Trefoil80]

Wie schon erwähnt. Verschlüsselung ist nur auf Open-Source Ebene Vertrauenswürdig. Ansonsten kann es immer eine Hintertür geben.

Hätte ich bis vor drei Monaten auch gesagt. Mittlerweile bin ich mir gar nicht sicher, ob open source bei Verschlüsselungstools immer der Königsweg ist (siehe OpenSSL/Heartbleed).

Bei closed source kennt nur der Hersteller den Source Code, und etwaige Schwächen bleiben im Haus.
Bei open source kann jeder Schwächen finden: Otto Normalbürger, Kriminelle und Geheimdienste (ohne den Programmierer zu kontaktieren).
Wer sagt denn, dass der Finder einer Sicherheitslücke diese sofort veröffentlicht und nicht für teures Geld verkauft?

 

[baizon]

@Trefoil80
Genau, dann kann aber so jemand wie die NSA kommen, geben 10Mil$ und du baust eine Hintertür ein. Ich bin mir sicher jede Firma hat ihren Preis. Bei einem Open Source Projekt ist dies nicht möglich.
Bei den Bugs sehe ich es auch positiv, die werden dann schneller Behoben.

 

[DJHarty]

Selbst wenn es Leute gibt, die Bitlocker einsetzen wollten, müssten die sowieso ein Windows Pro oder Enterprise haben. Habe gerade bei meinen Notebook geguckt, da dort nur Windows 8 Core drauf ist, muss ich eh TrueCrypt nehmen, wenn ich das Vollverschlüsseln möchte.

 

[Zehkul]

warum wir verschlüsseln?

aus dem selben grund warum ich meine haustüre zu sperre oder mein auto, warum
ich meinen geldbeutel nicht offen mit nem klettband hinten an meine jacke hefte.

was bist den du für ein naivling?

Also ganz ehrlich, ich sperre IM Haus keine Türen zu. Abgesehen vielleicht von der Klotür, wenn, ich mein Geschäft erledige.

 

[Trefoil80]

@baizon
OK, bei einer Backdoor hast Du recht, aber ich spreche in meinem Beispiel von einer Sicherheitslücke, die z.B. nur der NSA bis jetzt aufgefallen ist (so wie bei Heartbleed).

 

[Kausu]

@
Trefoil80 Ja, aber da könnte man genauso gut fragen, was ist wenn der Closed Source Hersteller ein schlechtes Image fürchtet. Siehe ebay und die ewig bekannte, aber nicht veröffentlichte Sicherheitslücke? Vielleicht wäre wirklich Freie Software eine Lösung

 

[Autokiller677]

Auf meinem Laptop verwende ich auch Bitlocker... Truecrypt mag weder UEFI noch GPT für Systempartitionen, dazu noch ein Dualboot mit Linux - gibt einfach keine Software, die das unterstützt. So hab ich jetzt Bitlocker für Windows, ein verschlüsseltes LVM für Linux und Truecrypt für die Datenpartition. Schönes durcheinander.

 

[DocWindows]

Für mich ist TrueCrypt spätestens seit Veröffentlichung des Authenticode-Schlüssels nicht mehr vertrauenswürdig.
Der Programmcode mag sicher sein, die Architektur der Software ist es aber nicht.

Mir selbst war es möglich mit relativ wenig Zeitaufwand (2 Std. mit Einrichtung der Buildumgebung) eine einwandfreie TrueCrypt.exe zu erstellen, die ordentlich signiert war und sich in keiner Weise die jemand im Alltag erkennen würde von der offiziellen EXE unterschied.
Allerdings protokollierte sie in einer Log-Datei die Passworteingabe des Users mit und zusätzlich den Hash der dem Treiber letztendlich zur Entschlüsselung/dem Mounten von Volumes rübergereicht wurde.

Nun mag man meinen dass man ja Hashwerte vergleichen könnte um zu schauen ob eine Datei wirklich original ist oder nicht. Aber wer kennt schon den Hash der EXE-Datei? Eigentlich wird immer nur der Hash des Installers geprüft.

Insofern halte ich das Verschwinden von Truecrypt weder für tragisch noch für von der NSA initiiert.
Denen kann im Prinzip nichts besseres wie Truecrypt passieren. Sie können die Verschlüsselung wohl nicht knacken, aber dafür können sie ein 1a Spionage GUI-Tool erstellen, welches man eigentlich nur an einer anderen Dateigröße oder eben einem Hashvergleich erkennen kann.
Die Dateigröße könnte man außerdem noch durch manipulieren der Sections innerhalb der EXE-Dateien nach dem Kompilieren anpassen, indem man einfach ein paar Bytes weglöscht und die Headerinfos anpasst.

 

[Simpson474]

Damit kann ich TestCrypt nun wohl auch einstellen

Das die Entwicklung von TrueCrypt feststeckt, sieht man schon seit einigen Jahren: Bugreports werden ignoriert, der EFI-Support wurde nie implementiert. Die Lobeshymnen auf BitLocker, welcher von einer US-Firma entwickelt wurde und über keinerlei "Plausible Deniability" verfügt, sind jedoch sehr suspekt. Das Verbreiten von Verschlüsselungssystemen galt in der USA lange Zeit als Waffenexport, ein Backdoor in BitLocker ist daher sehr wahrscheinlich.

Auch die Veröffentlichung von Version 7.2 macht keinerlei Sinn: laut einigen Beiträgen im Internet unterscheidet sich der Quelltext von Version 7.1a und 7.2 ausschließlich in der fehlenden Verschlüsselungsfunktionalität und ein paar Dialogtexten. Man hätte das Projekt auch beenden können, indem man Version 7.1a zur letzten TrueCrypt Version deklariert: eine Spezialversion ohne Funktionalität, das Entfernen der vorherigen Versionen auf der offiziellen Website und unbegründete Warnhinweise deuten irgendwie darauf hin, dass man die Verbreitung von TrueCrypt eindämmen will.

 

[computeralex92]

Weil hier (und in vielen anderen Artikel) von OpenSource die Rede ist:

TrueCrypt ist NICHT OpenSource.
Die Lizenz, die für TrueCrypt verwendet wird, erlaubt einem die Einsicht in den Quellcode, aber du darfst ihn nicht ändern.
Man kann Teile entnehmen, aber dein Programm darf nicht ähnlich heißen etc.

Die Lizenz wurde weder von der OSI noch von der FSF anerkannt und darf sich deshalb weder freie- noch OpenSource-Software schimpfen.

Außerdem ist die Lizenz nicht mit der GPL kompatibel; aus dem Grund ratet Debian und die FSF von einer Benutzung ab.

Alternative zu dem ganzen wäre z.B. DiskCrypter, die unter der GPLv3 steht...

 

[Zoldyck]

Wie ist das eigentlich mit "DiskCryptor" - gab es hier auch schon Code Reviews etc. die die Integrität des Programms stützen?

 

[HaZweiOh]

Auf mich wirkt das eher wie eine Ankündigung, dass das Projekt unsicher werden könnte, oder als ob anderweitig Druck zum Schweigen besteht. Würde mir verboten werden, über irgendetwas derartiges zu sprechen, würde ich ebenso einfach etwas absolut absurdes tun, zum Beispiel Microsoft Produkte empfehlen. Da wüsste dann jeder, dass mehr dahinter steckt.

Genauso ist es! Es ist lächerlich, gerade die Firma Microsoft zu empfehlen, die sich als erste mit der NSA ins Bett gelegt hat, dazu war wohl nicht viel Druck nötig! Ebenso lächerlich: eine Verschlüsselung zu "empfehlen", die den meisten Nutzern gar nicht zur Verfügung steht (wegen Windows Home etc).

Gerade jetzt (angeblich) die Lust zu verlieren, nachdem so viel Geld für Truecrypt gesammelt wurde, ist auch unglaubwürdig. Dann hätten sie es komplett freigegeben. Sichert euch die Version 7.1a von Heise und wartet erstmal ab.

Der große Vorteil von Truecrypt war die Plattformunabhängigkeit. Die Container konnte man überall öffnen. Ein adäquater Ersatz müsste das auch können UND Open Source sein.