Ist TrueCrypt wirklich sicher?

70

Ich benutze TrueCrypt schon lange. Jemand verwies mich jedoch auf einen Link, der die Probleme mit der Lizenz beschrieb .

IANAL und so ergab es für mich wirklich keinen Sinn; Ich möchte jedoch, dass meine Verschlüsselungssoftware Open Source ist - nicht, weil ich sie hacken kann, sondern weil ich ihr vertraue.

Einige der damit verbundenen Probleme sind mir aufgefallen:

Es gibt kein VCS für den Quellcode.
Es gibt keine Änderungsprotokolle.
Die Foren sind ein schlechter Ort. Sie verbieten dich, selbst wenn du eine echte Frage stellst.
Wem gehört TrueCrypt wirklich?
Es gab einige Berichte über das Basteln mit den MD5-Prüfsummen.

Um ehrlich zu sein, der einzige Grund, warum ich TrueCrypt verwendet habe, war, dass es Open Source war. Aber manche Dinge stimmen einfach nicht.

Hat jemals jemand die Sicherheit von TrueCrypt überprüft? Sollte ich mir wirklich Sorgen machen? Ja, ich bin paranoid. Wenn ich eine Verschlüsselungssoftware verwende, vertraue ich ihr mein ganzes Leben lang an.

Wenn alle meine Bedenken aufrichtig sind, gibt es eine andere Open-Source-Alternative zu TrueCrypt?

encryption truecrypt

— Hallo71
quelle

4

Gute Frage. Ich mache mir auch Sorgen und bin besonders besorgt über die Anonymität der Autoren (was es unmöglich macht, zu beurteilen, was ihre Motive sein könnten). Die positiven Hinweise, die Bruce Schneier auf True Crypt in seinem Blog gemacht hat, trösten mich nur ein wenig, obwohl er ein geschäftliches Interesse an einem konkurrierenden Produkt hat, obwohl diese eng und begrenzt waren.

— Will M

29

Ich gehe den Artikel Punkt für Punkt durch:

Niemand weiß, wer TrueCrypt geschrieben hat. Niemand weiß, wer TC unterhält.

Gleich danach steht in einem Zitat, dass die Marke von Tesarik, der in der Tschechischen Republik lebt, gehalten wird. Es ist ziemlich sicher anzunehmen, dass jeder, der die Marke besitzt, das Produkt pflegt.

Moderatoren im TC-Forum sperren Benutzer, die Fragen stellen.

Gibt es einen Beweis dafür oder ist es nur anekdotisch? Und mit Beweisen meine ich Beweise aus der ersten Person, Screenshots usw.

TC behauptet, auf Encryption for the Masses (E4M) zu basieren. Sie behaupten auch, Open Source zu sein, unterhalten jedoch keine öffentlichen CVS / SVN-Repositories

Die Quellcodeverwaltung ist sicherlich ein wichtiger Teil eines Gruppenprogrammierungsprojekts, aber das Fehlen beeinträchtigt die Glaubwürdigkeit eines solchen Projekts nicht.

und keine Änderungsprotokolle ausstellen.

Ja, das tun sie. http://www.truecrypt.org/docs/?s=version-history . Nicht alle OSS veröffentlichen extrem klare Änderungsprotokolle, weil es manchmal einfach zu viel Zeit ist.

Sie verbannen Leute aus den Foren, die nach Änderungsprotokollen oder altem Quellcode fragen.

Weil es eine blöde Frage ist, wenn man bedenkt, dass es ein Änderungsprotokoll gibt und alte Versionen bereits verfügbar sind. http://www.truecrypt.org/downloads2

Sie ändern auch stillschweigend die Binärdateien (MD5-Hashes ändern sich) ohne Erklärung ... Null.

Von welcher Version ist das? Gibt es noch andere Beweise? Herunterladbare, signierte alte Versionen?

Die Marke wird von einem Mann in der Tschechischen Republik gehalten ((REGISTRANT) Tesarik, David INDIVIDUAL TSCHECHISCHE REPUBLIK Taussigova 1170/5 Praha TSCHECHISCHE REPUBLIK 18200.)

Na und? Jemand in der Tschechischen Republik besitzt eine Marke für eine wichtige Verschlüsselungstechnologie. Warum spielt es eine Rolle?

Domains werden privat per Proxy registriert. Einige Leute behaupten, es habe eine Hintertür.

Wer? Wo? Was?

Wer weiß? Diese Leute sagen, sie können TC-Volumes finden: http://16systems.com/TCHunt/index.html

Duh, die TC-Bände im Screenshot alle END WITH .tc.

Und jemand dieses Bild auf der Kontaktseite gesehen?

TrueCrypt Foundation-Adresse

— Hallo71
quelle

10

Um fair zu sein, hat der TCHunt eine ziemlich gute FAQ-Seite, auf der klar steht: "TCHunt ignoriert Dateinamen und Dateierweiterungen." Ich würde erwarten, dass die Erweiterung nur zu Testzwecken verfügbar ist. Die wichtigste Methode zur Erkennung von TC-Volumina besteht darin, dass "Inhalte einen Chi-Quadrat-Verteilungstest bestehen". Die Idee ist, dass während TC-Dateien tatsächlich nicht von zufälligen Daten zu unterscheiden sind, alle anderen Dateien auf einem System Mustern folgen, sodass TC-Volumes durch einfaches Erkennen von wirklich zufälligen Daten erkannt werden können.

— Ilari Kajaste

5

Randbemerkung: Ich halte sie für unhöflich, weil sie Leute verbieten, die "dumme" Fragen stellen ...

— RCIX

3

@Ilari Kajaste, aber kann dieses Tool ein TrueCrypt-Volume von etwas unterscheiden, das mit GPG oder OPENSSL direkt verschlüsselt ist? Ich würde vermuten, dass jedes verschlüsselte Volume von TCHunt markiert werden sollte.

— Zoredache

1

@Zoredache: Nein, solange die Verschlüsselung stark ist und das Ergebnis wie zufällige Daten aussieht, kann die Verschlüsselungsmethode nicht unterschieden werden. TCHunt hat zwar einige Dateigrößenprüfungen (Modulo 512) ... aber solange die verschlüsselte Datei eine ähnliche Größe und keinen gemeinsamen Dateikopf hat, wird sie als TC-Datei erkannt. TCHunt behauptet nicht, eine "perfekte" Erkennung zu sein, aber es scheint in der Lage zu sein, zu erkennen, welche Dateien richtig verschlüsselt sind, um wie zufällige Daten auszusehen - was ziemlich gut genug ist.

— Ilari Kajaste

Es gibt kein öffentliches Repository für Truecrypt, der Quellcode ist jedoch weiterhin verfügbar: truecrypt.org/downloads2 .

— Olli

18

Lesen Sie diese Artikel, das FBI hat es nicht geschafft, 5 mit truecrypt geschützte Festplatten zu entschlüsseln

http://www.net-security.org/secworld.php?id=9506

http://techie-buzz.com/foss/fbi-fail-decrypt-hard-drive-truecrypt.html

— Moab
quelle

14

Was lässt Sie glauben, dass das FBI oder jemand anderes Whistleblowing betreiben würde, wenn es ihnen gelingt, die wahre Verschlüsselung zu zerstören?

— vtest

6

Was lässt Sie denken, dass sie es nicht tun würden? Ihr Ego ist zu groß, um es nicht zu tun.

— Moab

Hier ist eine andere Geschichte. goo.gl/t7pM9

— mykhal

@mykhal überhaupt nicht. Sprechen Sie spanisch? Sie sprechen von Brute-Force-Angriffen, die auf Passwortschwäche beruhen.

— kaoD

12

Ich glaube, dass TrueCrypt von der NSA, der CIA oder einer dieser großen Bundesbehörden bereitgestellt wird, um die Verschlüsselung zu fördern, für die sie die Hintertür haben, um die Verwendung anderer Verschlüsselungen zu verringern, die sie nicht knacken können. Das ist der Grund für ihre Verschwiegenheit, und deshalb ist es auch ein so gut durchdachtes Produkt mit guter Dokumentation, obwohl es weder ein kommerzielles Produkt ist noch die breite Beteiligung von Open Source-Entwicklern hat.

In diesem Dokument wird erläutert, dass es das Ziel der Regierung ist, die weit verbreitete Verwendung von Verschlüsselung zu fördern, mit der die Schlüssel wiederhergestellt werden können: http://www.justice.gov/criminal/cybercrime/cryptfaq.htm

Tatsächlich befürwortet die Verwaltung die Entwicklung, Herstellung und Verwendung von Verschlüsselungsprodukten und -diensten, die die Wiederherstellung des Klartextes verschlüsselter Daten ermöglichen, einschließlich der Entwicklung von Klartext-Wiederherstellungssystemen, die über verschiedene technische Ansätze den rechtzeitigen Zugriff auf Klartext ermöglichen, entweder durch Eigentümer von Daten oder von Strafverfolgungsbehörden, die unter rechtmäßiger Aufsicht handeln. Nur die weitverbreitete Verwendung solcher Systeme wird sowohl einen besseren Schutz der Daten als auch die öffentliche Sicherheit gewährleisten.

....

Das Ziel der Abteilung - und die Richtlinien der Verwaltung - besteht darin, die Entwicklung und Verwendung einer starken Verschlüsselung zu fördern, die die Privatsphäre der Kommunikation und der gespeicherten Daten verbessert und gleichzeitig die derzeitige Fähigkeit der Strafverfolgungsbehörden, im Rahmen einer gesetzlich genehmigten Suche oder eines Verfahrens auf Beweise zuzugreifen, beibehält Überwachung.

...

In diesem Zusammenhang hoffen wir, dass die Verfügbarkeit einer hochzuverlässigen Verschlüsselung, die Wiederherstellungssysteme bereitstellt, die Nachfrage nach anderen Verschlüsselungstypen verringern und die Wahrscheinlichkeit erhöhen wird, dass Kriminelle wiederherstellbare Verschlüsselung verwenden.

— Mike Rowave
quelle

6

-1 Das klingt nach einer Verschwörungstheorie. Es fällt mir schwer, an eine Hintertür in TrueCrypt zu glauben, da die Quelle zur Prüfung zur Verfügung steht. Haben Sie Beweise für Ihre Behauptungen?

— sleske

2

Ich habe das oben nicht erfunden, es ist auf einer von der US-Regierung veröffentlichten Webseite. In Bezug auf TrueCrypt stellen Personen, die den Quellcode kompiliert haben, fest, dass ihre Binärdateien nicht mit den Binärdateien der TrueCrypt-Website übereinstimmen. So wäre es für sie leicht, eine Hintertür in die Binaries zu stecken. Hintertüren im Quellcode zu verstecken ist weniger wahrscheinlich, aber auch nicht unmöglich.

— Mike Rowave

4

Was bedeutet "Beachten Sie, dass die Binärdateien nicht mit den Binärdateien auf der TrueCrypt-Website übereinstimmen"? Wenn Sie meinen, die Prüfsummen sind unterschiedlich, dann ist das normal. Binärdateien, die zu unterschiedlichen Zeiten denselben Quellcode auf demselben System kompilieren, führen zu unterschiedlichen Prüfsummen.

— Segfault

4

Nun, das TrueCrypt-Projekt kann auf eine Art und Weise ausgeführt werden, die für Außenstehende unwirtlich / feindlich ist (anonyme Entwickler, kein Changelog), aber ich sehe nicht, wie das damit zusammenhängt, dass es sicher ist oder nicht.

Sehen Sie sich das so an: Wenn die Entwickler wirklich Leute verarschen wollten, indem sie Backdoors in TrueCrypt einbinden , wäre es sinnvoll, wenn sie nett sind, damit die Leute weniger misstrauisch werden.

Mit anderen Worten, ob die Software vertrauenswürdig ist, ist völlig unabhängig davon, ob die Entwickler gesellige Menschen sind oder nicht. Wenn Sie der Meinung sind, dass die Verfügbarkeit von Quellcode nicht ausreicht, um die Sicherheit zu gewährleisten, müssen Sie ein Code-Audit durchführen. Es gibt sicherlich Leute außerhalb des TrueCrypt-Projekts, die sich den Quellcode ansehen, so dass eine absichtliche Hintertür wahrscheinlich schwer zu verbergen ist, aber es könnte versteckte Fehler geben. Dieser Fehler in Debians OpenSSL-Paket blieb eine ganze Weile unbemerkt.

— sleske
quelle

4

Über das nette Handeln: Da sie dieses Argument kennen, sollten sie unhöflich sein, um Verdacht zu vermeiden. Warten Sie, wenn sie dieses Argument kennen, sollten sie nett spielen! Nein, warte! Hmmm, ich denke es ist unmöglich zu wissen.

— Peter Jaric

4

Ich denke, der Punkt, den alle vermissen, ist, wenn jemand überlegt, Truecrypt zu verwenden, dass diese Person 100% sicher sein muss, dass es sicher ist, wenn nicht ihr Leben in Gefahr ist, es ist kein Flash Player oder eine Furz-App für Ihr iPhone, es ist eine Anwendung, in der Wenn dies fehlschlägt, wird möglicherweise jemand wegen der gefundenen Informationen getötet.

Wenn die Integrität von Truecrypt zweifelhaft ist, warum diese Anwendung verwenden?

Übrigens ist keine Frage eine dumme Frage zu Truecrypt oder so.

— Dghughes
quelle

Möchten Sie lieber eine App haben, die die Leute befragen und deren Quelle verfügbar ist? Oder eine App, die von einem netten, glänzenden amerikanischen Unternehmen bereitgestellt wird, an dem niemand Zweifel hat?

— Martin Beckett

Der Punkt, den die Leute machen wollen, ist, dass es das sicherste Programm ist, das es derzeit gibt. Solange kein Quanten-Computing möglich ist, kann niemand Ihren Container knacken, der dadurch geschützt wird. truecrypt.org/docs/?s=encryption-scheme

— TheLQ

Ich verstehe nicht, wie das Stellen von Fragen als falsch angesehen wird. Die Verwendung von Truecrypt und das Wissen, mehr darüber zu fragen, schließen sich nicht gegenseitig aus. Beide können gleichzeitig existieren. Wenn die Anwendung stark ist, können Sie alles darüber wissen und sie dennoch zum Verschlüsseln von Daten verwenden. Wir können zustimmen, dass wir nicht einverstanden sind, aber es ist eine große rote Fahne für mich, wenn ich mich in einem Forum als Trouble Maker ausgeben und beschimpfen lasse.

— Dghughes

Sie sagten, wenn "jemand in Betracht zieht, Truecrypt zu verwenden, muss dieser 100% sicher sein, dass es sicher ist", und ich würde gerne wissen, "warum". Viele Menschen vertrauen auf viele Produkte mit sehr geringer bis gar keiner Gewissheit, dass die Produkte sicher sind. Warum sollte TrueCrypt anders sein? Insbesondere für nicht-technische Endbenutzer ist dies eine sehr schwierige Anforderung (sie verlassen sich normalerweise auf ihre eigenen Experten oder die Dokumentation des Produkts, um diese Bestimmungen vorzunehmen).

— Randolf Richardson

Wie ich bereits erwähnt habe, handelt es sich nicht um eine normale Anwendung, da manche Benutzer ihr Leben riskieren, wenn sie ihre Geheimnisse nicht wahrnehmen, werden sie möglicherweise gefoltert oder getötet.

— Dghughes

3

Ich verwende TrueCrypt seit einigen Jahren, und wenn Sie sich das Verschlüsselungsschema ansehen , werden die anderen kleinen Probleme, auf die Sie hingewiesen haben, die Sicherheit nicht beeinträchtigen . Sogar ein 15-jähriger Computeringenieur / Cryptanalyst war davon beeindruckt.

Und nur weil es kein Repository hat, heißt das nicht, dass es nicht Open Source ist. Ich kann in den Download-Bereich gehen und den gesamten Quellcode herunterladen , nach dem Sie in Wirklichkeit suchen.

Die Foren sind die einzige Schwachstelle. Ich habe allerdings keine Verbote gesehen, nur Flammenkriege. Haben Sie Beweise für Verbote?

— TheLQ
quelle

6

Ein öffentliches Repository würde viel Glaubwürdigkeit hinzufügen, da das Navigieren durch die Commits das Überwachen des Codes einfacher machen würde als das Überprüfen riesiger Unterschiede stabiler Releases.

— vtest

2

In den bisherigen Antworten wurde diskutiert, wie viel Vertrauen in die TrueCrypt-Verschlüsselung gesetzt werden kann. Laut Dokumentation verwendet TrueCrypt gute Verschlüsselungsalgorithmen. Dies ist jedoch nur ein Teil der Geschichte, da die kryptografischen Algorithmen nicht der schwierigste Teil eines sicherheitsintensiven Programms sind. Der Quellcode von TrueCrypt steht zur Überprüfung zur Verfügung, was ein Pluspunkt für TrueCrypt ist.

Bei der Evaluierung eines Programms zum Schutz vertraulicher Daten sind weitere Punkte zu beachten.

Bietet das Programm auch Datenintegrität ? TrueCrypt nicht. Datenintegrität bedeutet, dass jemand, der vorübergehend auf Ihren Computer zugreifen kann, Ihre Daten nicht durch geänderte Daten ersetzen kann. Es ist besonders wichtig, Ihr Betriebssystem zu schützen: Wenn jemand hinter Ihren Daten her ist, installiert er möglicherweise einen Keylogger, um Ihre Passphase beim nächsten Eingeben zu erfassen, oder eine andere Malware, die ihm nicht indirekt den Zugriff auf Ihre Daten ermöglicht. Also , wenn Sie nicht eine Möglichkeit haben , solche Manipulationen zu detektieren, lassen Sie den Computer nicht unbeaufsichtigt .
Wie weit verbreitet ist das Programm? Die TrueCrypt-Raten sind in dieser Hinsicht ziemlich hoch: Es ist auf allen gängigen Desktop-Betriebssystemen (Windows, Mac, Linux) verfügbar. Es ist kostenlos, sodass Sie sich keine Gedanken über die Lizenzkosten machen müssen. Es ist Open Source, damit andere die Entwicklung übernehmen können, wenn das aktuelle Entwicklungsteam plötzlich verschwindet. Es ist weit verbreitet, sodass wahrscheinlich jemand verstärkt wird, wenn das aktuelle Team verschwindet. Das Fehlen eines öffentlichen Zugangs zum Quellcodeverwaltungssystem (einzelne Patches mit ihren Änderungsmeldungen) spricht jedoch dagegen.

— Gilles
quelle

1

Abgesehen von einem Kaltstart-Angriff ist Truecrypt nicht 100% sicher . Der Bootloader enthält forensische Spuren, die Ihren Feind (wenn er sich mit Computerforensik auskennt) dazu zwingen, ein Passwort einzugeben.

— Desperado
quelle

4

Dies ist ein guter Punkt, und ich erinnere mich, dass ich in der Dokumentation darüber gelesen habe. Ich möchte nur darauf hinweisen, dass TrueCrypt.org diesbezüglich fair ist, indem es erklärt, anstatt es zu verbergen.

— Randolf Richardson

Kaltstart betrifft nur alte Speichertypen, dh ddr2 und ältere AFAIK. DDR3 verliert zu schnell die Spannung, um die Demontage und das Einfrieren des Computergehäuses zu ermöglichen. Ziehen Sie einfach den Stecker, bevor Sie die Tür öffnen.

— Stann

1

"Es hat forensische Spuren in seinem Bootloader". truecrypt ermöglicht auch das Hinzufügen eines zweiten verschlüsselten Datenträgers in einem anderen - ein plausibles Konzept für die Verweigerung.

— Stann