Newsgroup: it.comp.sicurezza.varie
Titolo: TrueCrypt

Ma che cazzo ï¿œ successo a TrueCrypt????????

 Ma che cazzo ï¿œ successo a TrueCrypt????????
 
http://arstechnica.com/security/2014/05/truecrypt-is-not-secure-official-sourceforge-page-abruptly-warns/
 


Inoltre, alcune teorie al proposito:
https://news.ycombinator.com/item?id=7812133
 
 

 
https://news.ycombinator.com/item?id=7812133
 
 
Ci sono troppe cose fuori posto perch� sia vero. Per me l'ipotesi pi�
plausibile resta quella che qualcuno sia riuscito a ottenere le credenziali
di sourceforge e la signature e abbia organizzato uno scherzone. Non credo
proprio che gli sviluppatori "veri" non sarebbero scesi nemmeno minimamente
nel dettaglio di quali siano queste presunte vulnerabilit�, n� tantomeno
che avrebbero consigliato di passare a Bitlocker (per il quale esistono
prove certe di comunicazioni fra Microsoft e agenzie governative di vari
paesi) che � un po' come proporre la peste per curare il colera.
 
-- 
Fletto i muscoli e sono nel vuoto.

 di sourceforge e la signature e abbia organizzato uno scherzone.
 
Modificando i sorgenti e rilasciando nuovi binari?
 
Lo scenario diventa molto piu' plausibile se espresso in questo modo:
 
- l'autore/gli autori hanno deciso di abbandonare il programma;
- hanno rilasciato un avviso che il software non e' piu supportato e quindi 
potrebbe contenere vulnerabilita' (al momento non ci sono vulnerabilita' 
note, ma se se ne uscissero nn saranno corrette);
- per incoraggiare il passaggio ad altri software, ancora dotati di 
supporto, hanno rilasciato una nuova versione (che non permette la 
criptazione ma solo la decriptazione) e hanno modificato una serie di cose 
collegate, tra cui la licenza di truecrypt per permettere a terzi di 
includere liberamente il codice di decrittazione per permettere una 
migrazione trasparente.
 
Cosa c'e' di fuori posto?
 
Cio' detto... TrueCrypt era l'unico software a supportare "plausible 
deniability". E' possibile che la decisione non sia stata particolarmente 
libera.
 
Ciaotutti,
 
* 
 
 

 libera.
 
Ecco. Di solito sono poco propenso a credere alle dietrologie, ma in questo
caso ci sta. Probabilmente gli autori (che possono restare anonimi per noi,
ma non credo per la NSA...) sono stati messi davanti a un'alternativa
difficile, e hanno preferito mollare tutto.
 
Detto ci�, a me la cifratura serve soltanto per proteggere dati personali e
aziendali da malintenzionati (ad esempio nel caso di un furto di
portatile), per cui dal mio punto di vista mi pu� anche bastare un software
come Bitlocker anche nel caso che fosse aggirabile da enti governativi. Ci�
non toglie che la libert� di espressione passi anche da strumenti che
potenzialmente possono essere usati per scopi assai malvagi come TrueCrypt
o TOR, ed � proprio su questi software che mollare equivale a calarsi le
braghe.



 
"Scelta" del tipo "consegnaci le chiavi e vai a farti un giro o finisci al
gabbio"? Lavabit ha ben chiuso...
 
Continuo non escludere motivi personali per la scelta, comunque.
 
Ciaotutti,
 
*
 
 
 

 Ma che cazzo è successo a TrueCrypt????????
 
http://en.wikipedia.org/wiki/E4M
 
 
 

 
http://en.wikipedia.org/wiki/E4M
 
 
Si ma 10 anni fa...
 
Ciaotutti,
 
* 
 
 

 Si ma 10 anni fa...
 
certe faccende si trascinano per parecchio tempo; ad ogni modo
 
http://en.wikipedia.org/wiki/TrueCrypt
 
 
<=====================================================>
On May 28th, 2014 TrueCrypt announced its end-of-life on its website
with an abrupt warning and instructions on how to transfer
TrueCrypt-encrypted files to BitLocker, the Microsoft-owned service
built into Microsoft Vista Ultimate and Enterprise, Windows 7 Ultimate
and Enterprise, and Windows 8 Pro and Enterprise versions. The warning
suggested that TrueCrypt was intended to be used on Windows XP,
Microsoft's earlier operating system, which lacks a built-in encryption
option. [6]
 
"The development of TrueCrypt was ended in 5/2014 after Microsoft
terminated support of Windows XP," the warning read. "Windows 8/7/Vista
and later offered integrated support for encrypted disks and virtual
disk images. Such integrated support is also available on other
platforms." [7]
<=====================================================>
 
 
 
 
 

 Ma che cazzo ï¿œ successo a TrueCrypt????????
 
A parte quel che gli ï¿œ successo, di cui ai messaggi del thread 
precedenti a questo, qui...
 
http://www.linuxjournal.com/content/encrypting-your-cat-photos?page=0,1
 
 
... leggo di Cryptsetup.
 
( 
http://en.wikipedia.org/wiki/Cryptsetup#cryptsetup
 )
 
Mi pare un'alternativa, come del resto ve ne sono innumerevoli altre...
 
http://en.wikipedia.org/wiki/Comparison_of_disk_encryption_software
 
 
Una perplessitï¿œ che ho sempre avuto riguardo alla cifratura di intere 
partizioni, o dischi, riguarda il recupero dei dati nel caso di 
danneggiamento dei settori in cui ï¿œ salvata la chiave utile per la 
decrittazione. Voglio dire: dal momento in cui ho cifrato svariati Giga 
di dati, se perdo la possibilitï¿œ di accedervi (e non perchï¿œ, da beota, 
ho dimenticato la password) perchï¿œ si ï¿œ rovinata la zona dove ï¿œ scritta 
la chiave per metterli in chiaro, posso dire ciao a qualsiasi strategia 
di recupero.
Per cui (IMHO): crittazione va bene, ma non dimentichiamoci che esiste 
la possibilitï¿œ di danni fisici al supporto di memorizzazione, danni che 
in condizioni "normali" non sarebbero devastanti, mentre davanti a una 
cifratura massiccia lo diventano.
Poi vabbe': ci sono i backup (in chiaro e non), ma questo ï¿œ un altro 
discorso.
L'ho buttata un po' lï¿œ: non ho approfondito minimamente la questione 
(anche perchï¿œ non ne ho motivo: non uso questi software)... sicuramente 
la chiave sarï¿œ scritta in diversi punti del disco --noti e lontani fra 
loro-- un po' come il SuperBlock nei filesystem.
Ad ogni modo, sarï¿œ per prudenza preconcetta, la cifratura di un intero 
disco non la vedrei come un'operazione di "normale routine", quale l'ha 
fatta diventare TrueCrypt.

 come Bitlocker anche nel caso che fosse aggirabile da enti governativi.
...
 
Anch'io non custodisco segreti che possano interessare a enti 
governativi, per� se esiste una backdoor... in teoria anche qualcun 
altro potrebbe riuscire a usare quella porticina.
In ogni caso, Bitlocker ha per me il grosso limite di non essere 
crossplatform, anzi non � neanche disponibile su tutte le versioni di 
Windows.

 Ma che cazzo è successo a TrueCrypt????????
 
https://www.schneier.com/blog/archives/2014/05/truecrypt_wtf.html
 
 
:P
 

It was Fri, 30 May 2014 18:06:57 +0200 when

in compenso...
 
http://truecrypt.ch/
 
 
:)
 
 

 fatta diventare TrueCrypt.
 
In un mondo complesso cifrare singoli file � molto pericoloso: con tutti i
file temporanei, caches, copie di riserva ecc... che ogni software genera
(per non parlare poi dello swapfile), non � cos� automatico assumere che i
tuoi dati sensibili restino confinati dentro al tuo singolo file cifrato.


 :)
 
anche
https://www.grc.com/misc/truecrypt/truecrypt.htm
 
 

 di recupero.
[...snip...]
 
Dall'help di TC:
 
If the header of a TrueCrypt volume is damaged, the volume is, in most 
cases, impossible to
mount. Therefore, each volume created by TrueCrypt 6.0 or later contains 
an embedded backup
header, located at the end of the volume. For extra safety, you can also 
create external volume
header backup files. To do so, click Select Device or Select File, 
select the volume, select Tools ->
Backup Volume Header, and then follow the instructions.
Note: A backup header (embedded or external) is not a copy of the 
original volume header because it is
encrypted with a different header key derived using a different salt 
(see the section Header Key Derivation,
Salt, and Iteration Count). When the volume password and/or keyfiles are 
changed, or when the header is
restored from the embedded (or an external) header backup, both the 
volume header and the backup header
(embedded in the volume) are re-encrypted with header keys derived using 
newly generated salts (the salt
for the volume header is different from the salt for the backup header). 
Each salt is generated by the
TrueCrypt random number generator (see the section Random Number Generator).
Both types of header backups (embedded and external) can be used to 
repair a damaged volume
header. To do so, click Select Device or Select File, select the volume, 
select Tools -> Restore
Volume Header, and then follow the instructions.
 

 an embedded backup header [...]
 
OK -- Grazie: hai risposto alle mie perplessitï¿œ.
 
Chiedo solo un chiarimento: l'help di TC, come mi hai citato, dice ï¿œIf 
the header of a TrueCrypt volume is damaged, the volume is, in most 
cases, impossible to mount.ï¿œ
 
Ma...
 
1) non sarebbe stato piï¿œ corretto che dicesse che ï¿œ SEMPRE (invece che 
"quasi sempre, il piï¿œ delle volte, nella maggior parte dei casi") 
impossibile da montare?
 
E poi...
 
2) perchï¿œ dice "MONTARE" e non "accedere in chiaro"?
Se capisco bene ï¿œ impossibile da montare perchï¿œ questa ï¿œ una conseguenza 
del fatto chï¿œ ï¿œ impossibile interpretare il filesystem (essendo cifrato) 
--OK-- ma a parte il filesystem (che permetterebbe, appunto, di 
"montare" il volume) ï¿œ del tutto (cioï¿œ neppure in modalitï¿œ raw) 
impossibile leggerlo in chiaro (per forza: ï¿œ crittato!) e ricostruirne 
quindi le strutture dei dati o recuperare almeno parte di questi (vedi 
carving, ecc.). Il fatto che sia impossibile da montare sarebbe il meno.
 

 che avrebbero consigliato di passare a Bitlocker (per il quale esistono
 
Ci dicono che solo l'ultima versione, la 7.2 sarebbe insicura; e come
mai in questi mesi si sono impegnati tanto per renderla tale?
Avranno avuto qualche pressione...per poi dichiarare che � insicura
e abbandonare il progetto.
 
 
 
 
 


Come capisco io, � l'inverso: non � che abbandonano il progetto perch� 
il software � insicuro. O almeno non affermano ci�. Viceversa, il fatto 
che il progetto viene abbandonato, porter� a non fixare eventuali 
security issues in futuro, e un progetto senza aggiornamenti di 
sicurezza non � sicuro da usare.
Vedi il Warning che appare sul sito:
"WARNING: Using TrueCrypt is not secure as it may contain unfixed 
security issues"
Ci� ha forse poca importanza  oggi, ma ne avr� di pi� man mano che passa 
il tempo e non ci saranno nuove versioni con aggiornamenti di sicurezza.
A meno che il progetto non sar� ripreso da qualcun altro sotto altro nome...