News VeraCrypt: TrueCrypt-Alternative ist laut Audit sicher

[fethomm]

Die Verschlüsselungssoftware VeraCrypt wurde in Version 1.18 einem Audit unterzogen. Die meisten der gefundenen Probleme sind in der aktuellen Version 1.19 bereits behoben. Der Audit wurde von OSTIF beauftragt und von der Sicherheitsfirma QuarksLab durchgeführt.

Zur News: VeraCrypt: TrueCrypt-Alternative ist laut Audit sicher

 

[MichiLH]

Wird nicht lange dauern und der Herr von VC wird das Projekt entweder auch einstellen oder einen Unfall erleiden.

 

[-Ps-Y-cO-]

Ja sowas wird passieren, halt unter "leicht mysteriösen Umständen"

 

[iNFECTED_pHILZ]

hab jetzt 3 mal hintereinander "Aldi" statt "Audit" gelesen. Zeit für einen Kaffee

 

[0xffffffff]

Wird Zeit dass es endlich vollen GPT-Support gibt, damit ich auch mein Bootcamp-Windows komplett verschlüsseln kann

 

[Ap2000]

Ich hab weiterhin TC im Einsatz, allerdings auch nicht die aktuellste Version.
Vielleicht wird es Zeit auf VC umzusteigen. Allerdings traue ich dem einfach nicht ganz.

Die Experten von QuarksLab hielten die Implementierung für unsicher.

Natürlich. Man kann doch keinen bösen, russischen Mechanismus drin lassen!

Ein 2015 durchgeführter Audit in mehreren Teilschritten ergab keine Hintertüren und relativ wenige sicherheitsrelevante Probleme. Auch ein weiterer Audit des Fraunhofer Instituts im gleichen Jahr ergab keine gravierenden Probleme.

Damit ist jetzt TC gemeint, oder?

 

[fethomm]

Ich hab weiterhin TC im Einsatz, allerdings auch nicht die aktuellste Version.
Vielleicht wird es Zeit auf VC umzusteigen. Allerdings traue ich dem einfach nicht ganz.



Natürlich. Man kann doch keinen bösen, russischen Mechanismus drin lassen!
Die Sicherheitsevaluierung aus https://eprint.iacr.org/2011/211.pdf sieht es auch kritisch


Damit ist jetzt TC gemeint, oder?

Ja, ging zwar aus dem Link hervor, habs aber ergänzt.

 

[Cool Master]

Allerdings traue ich dem einfach nicht ganz.

Und warum nicht?

Natürlich. Man kann doch keinen bösen, russischen Mechanismus drin lassen!

Fakt ist GOST ist heute einfach nicht mehr so super. Siehe:

http://www.sav.sk/journals/uploads/0114113604CuGaSo.pdf

Damit ist jetzt TC gemeint, oder?

Ja, da wurde TC getestet.

 

[konkretor]

Wird Zeit dass es endlich vollen GPT-Support gibt, damit ich auch mein Bootcamp-Windows komplett verschlüsseln kann

Ich meine in Version 1.18 ist das dazu gekommen, es lag am UEFI Support der sollte nun drin sein

https://veracrypt.codeplex.com/wikipage?title=Release Notes

 

[NVD]

VeryCrypt : TrueCrypt-Alternative ist laut Audit sicher

- computerbase

Veracrypt-Audit findet schwerwiegende Sicherheitslücken

- golem

Was von beidem ist jetzt wahr?

 

[fethomm]

- computerbase

- golem

Was von beidem ist jetzt wahr?

Das erklärt doch die News. Es gab Lücken, die nun geschlossen sind.
​

 

[Kyze]

Was von beidem ist jetzt wahr?

Den Text bei Golem hast du aber gelesen ?
Die schwerwiegenden Lücken sind alle schon im aktuellen Release behoben.
In der Berichterstattung ähneln sich CB und Golem doch (vorausgesetzt, man hat den Text gelesen).
Nur die überschriften sind mehr oder weniger reißerisch.

Die schwerwiegenderen Probleme aus diesen Audits wurden in Veracrypt behoben, einige kleinere Probleme blieben jedoch bestehen.

 

[Hyourinmaru]

Hab immer noch die letzte Version von TC (7.1a wohlgemerkt) im Einsatz und verrichtet immer noch sehr gute Dienste. Auf VC werde ich erst umsteigen, wenn es TC ebenbürtig geworden ist.

 

[DonBot]

Auf VC werde ich erst umsteigen, wenn es TC ebenbürtig geworden ist.

In welchen Bereichen ist VC TC denn unterlegen?

 

[konkretor]

In welchen Bereichen ist VC TC denn unterlegen?

Genau das habe ich mich auch gerade gefragt

Bin auch umgestiegen von TC nach VC

 

[Cytrox]

Was von beidem ist jetzt wahr?

Die gefundenen "Lücken" sind eher mehr Schein als Sein. Falls der PC schon in dem Ausmaß kompromittiert wurde dass diese Punkte schlagend werden würden, ist es so oder so schon vorbei mit jeglichem Schutz.

Die Annahme bei TC damals und bei VC jetzt ist und bleibt dass, nachdem das Passwort eingetippt wurde, man der Software welche auf dem Gerät läuft und der Person die vor dem Gerät sitzt, vertrauen kann. Wenn das nicht gegeben ist, dann bewegt sich das gebotene Niveau an Sicherheit irgendwo zwischen schlecht bis sehr schlecht. Wo es in diesem Spektrum aber genau liegt macht dann auch keinen so großen Unterschied mehr - beides davon ist unzureichend.

Die Lücken aus Softwaretechnischer Sicht u.U. als "schwer" einzustufen und sollten behoben werden, am effektiv gebotenen Sicherheitsniveau ändert dies (zumindest derzeit) aber wenig. Entsprechend ist das Ergebnis vom Audit auch eher als Bestätigung der Sicherheit von VC einzustufen, auch unabhängig diverser Patches.

Auf VC werde ich erst umsteigen, wenn es TC ebenbürtig geworden ist.

Leider ist es nicht ganz so einfach. VC verwendet ein wesentlich sichereres Verfahren um Verschlüsselungskeys aus Passwörtern zu generieren als TC, sowie ein besseres Verfahren um Schlüsseldateien zu erzeugen.

 

[DieRenteEnte]

Okay, verstehe ich das richtig?

​VeraCrypt nutzt PGP und die NSA liebt PGP, weil, Zitat: "It lights you up like a Vegas casino"
​Artikel: http://www.theregister.co.uk/2016/01/27/nsa_loves_it_when_you_use_pgp/

​Dokumentation von VeraCrypt:
https://veracrypt.codeplex.com/wikipage?title=Digital Signatures
​

Types of Digital Signatures We Use

We currently use two types of digital signatures:

• PGP signatures (available for all binary and source code packages for all supported systems).
• X.509 signatures (available for binary packages for Windows).

​P.S:
Was soll man von einer Verschlüsselungssoftware halten, bei denen bekannten Lücken nicht geschlossen sind? Ein paar, von mir aus die Meisten wurden geschlossen, schön und gut, aber was ist mit den Anderen? Sind das vielleicht Lücken, die man nicht schließen kann? Vielleicht weil das Know-How fehlt oder weil es technisch einfach nicht möglich ist?

​Und selbst wenn es zu 100% sicher verschlüsselt ist, was ist mit Trojanern, die einfach das Passwort auslesen und die Entschlüsselung damit absolut wertlos machen?
​Und wenn man Passwort-Tools nutzt: Wer garantiert die Sicherheit des Tools?
​Und wenn man Verschlüsselungsdateien nutzt, die als Schlüssel dienen: Welches Gesetz kann einem garantieren, dass man diese Dateien (bspw. auf einem USB-Stick) nicht herausgeben muss?
​Und wie versteckt man so einen Datenträger, den man vielleicht täglich nutzt? Der wird wohl offensichtlich im Zimmer, Wohnung, Haus oder Grundstück sein, welches man einfach durchsuchen kann.

​Fragen über Fragen und die einfache Antwort, dass es keine Sicherheit gibt und die Sicherheit der Menschheit von Jahr zu Jahr schwindet, unter anderem weil es der Menschheit einfach absolut egal ist, wirft weitere Fragen auf.

​Kurz:
Warum sollte man seine Zeit "verschwenden?" etwas zu verschlüsseln oder darüber nachzudenken, wenn der Staat, der einen schützen soll, alle Kräfte und Mittel nutzt, dass Gegenteil zu erzielen?

​Meine einzige Idee, etwas wirklich sicher zu "verschlüsseln" ist, Daten offline abzulegen und mit einer mechanischen Vorrichtung bei falscher Handhabung den Datenträger vernichten zu lassen.
Magneten? Sprengstoff? Chemie?

 

[kumpert]

Ich glaube du bringst ein paar Dinge durcheinander. In deiner News geht es darum, wenn PGP als Verschlüsselung zum Einsatz kommt. Entschlüsseln können sie das zwar nicht, aber aufgrund der Metadaten den ausschlagebenden Rechner ausfindig machen und kompromittieren.

It might happen that a VeraCrypt installation package you download from our server was created or modified by an attacker. For example, the attacker could exploit a vulnerability in the server software we use and alter the installation packages stored on the server, or he/she could alter any of the files en route to you.

Darum geht es wie schom in Link gesagt. Es soll dir einfach nur sagen, dass du das original Package benutzt.


Edit:

nemo tenetur se ipsum accusare – niemand ist verpflichtet, sich selbst zu belasten/anzuklagen

Einfach mal googlen

Natürlich gibt es keine 100% Sicherheit darum geht es bei solchen Tools aber auch nicht.

 

[Cytrox]

Okay, verstehe ich das richtig?

Wenn du dir die verwendeten Begriffe etwas näher ansiehst, dann wirst du feststellen das der Artikel sich auf E-Mails bezieht ... und wenn bei dir die Kommunikation zw. Festplatte und CPU per E-Mail erfolgt hast du vermutlich schon ganz andere Sorgen als die NSA.

Davon abgesehen, wird Verschlüsselung im Rahmen diverser Normen und Zertifizierungen auch so schon immer gebräuchlicher - und wenn dann jeder aufleuchtet, leuchtet eben keiner mehr auf.

Und nochmal davon abgesehen, die meisten von uns sind ja auch keine Terroristen bei denen es schon reicht das sie "aufleuchten", damit man ihnen die Drohnen vorbeischicken kann.

niemand ist verpflichtet, sich selbst zu belasten/anzuklagen

Naja, außer in den USA ... wo man dann wegen "Missachtung des Gerichts" eingesperrt wird. Andererseits gibt es in den USA, im Gegensatz zu uns, die Regelung das illegal gewonnene Beweise als ungültig einzustufen sind. Ist also ein hin und her mit den Rechtssystemen.

 

[Lilhomer]

Falsch.

Andererseits gibt es in den USA, im Gegensatz zu uns, die Regelung das illegal gewonnene Beweise als ungültig einzustufen sind.

Bei uns ist das auch so, kommt aber auch manchmal auf den Einzelfall drauf an.
Und in den USA ist das immer je nach Bundesstaat total anders. Man kann das dort nie so krass verallgemeinern.