Newsgroup: it.comp.sicurezza.varie
Titolo: figura di m....

anni addietro mi chiesero come rendere di difficile consultazione 
(=occultare) alcuni documenti.
soluzione: chiavetta usb + truecrypt .
file contenitore , mount di detto file, ed ecco lo spazio per 
l'archiviazione dei documenti segreti.
pass lunga 13 caratteri, quindi non troppo semplice.
a distanza di anni, il file contenitore non si legge piu'. degradato.
all'atto del mount , truecrypt segnala un errore che non ho annotato.
dico ai titolari dei documenti di rassegnarsi, e cosi' fanno.
fino a che un tipo con un semplice programmino .... cracca il tutto ed 
accede ai files !!
reputavo truecrypt davvero sicuro , ma adesso mi ricredo.
se avate altro info in merito le ascolto volentieri.
 
grazie

 grazie
 
Prego!
Saluti!
^Bart


Avrà usato un craccatore di password. Hai modo di sapere che programma sia stato usato?

 
 
NO, non me lo vogliono dire.
pero' mi sono incuriosito, e ne ho scaricati diversi di "cracca pass". 
il risultato e' deludente.  il prog " passware password recovery tool "
indica un mese di tempo per elaborare tutte le pass.
secondo me la strada e' un'altra.
mah.
inoltre mi pare sia stata minata alla base la sicurezza di truecrypt. 
era spacciata "a livello militare" .

"CBM64" ha scritto:

Mancano importanti dettagli affinchè si possa dichiarare che tu (o
chiunque altro al posto tuo) abbia fatto una figura di emme.
Insomma: è possibile che il tizio abbia semplicemente usato la GUI di TC,
o un comando/scriptino/programmillo, per chiamare il tool "restore volume
header" di TC stesso?
 
Finora non ho notizie di casi accertati di crack/backdoor su TC.


Io, ti posso raccontare una cosa successa a me. Se si applichi o no, lo
devi decidere tu.
 
Il cliente - uno studio di professionisti - aveva una chiavetta USB con
sopra un file contenitore di TrueCrypt. A un certo punto, il file se ne
va a donnine allegre. Il messaggio di errore era "Incorrect password or
not a TrueCrypt volume".
 
Apro il contenitore con hexdump, e il primo settore è di tutti zeri. Il
cliente mi conferma che la prognosi era infausta.
 
Per cui, a gufo, vado a vedere se in fondo al contenitore ci fosse puta
caso un settore di backup; e a 128 Kb prima di EOF, c'è. Per motivi non
chiari, l'opzione "use embedded backup header if available" non dava il
risultato sperato, ma... tanto, cos'avevo da perdere?
 
Dopo di che, un po' di lavoro con dd, e dato che la password me l'aveva
data il capo, il volume è stato sbananato con una certa facilità.
 
Non avessi avuto la password, ci sono dei bruteforcer, e anche in grado
di funzionare in parallelo, ma ce l'avevo...
 
Leonardo
-- 
 
"You all presumably know why" :-) :-(

 
 
l'unico dettagli di cui mi hanno riferito (non seguo piu' quei tipi da 
tempo) e' che il crack e' stato fatto su un computer differente rispetto 
a quello ove usualmente veniva letto il volume cifrato.
cmq ci son rimasto davvero male.
:-(
ora per curiosita' ho messo in piedi tre macchine virtuali con 
altrettanti crack a forza bruta, ma al momento il volume cifrato di 
prova resiste com fort knox.
la pass era "Torino2001abc" , non complicata ma neppure troppo semplice.
 
ciao

"Leonardo Serni" ha scritto:

Hai restorato un header sano che TC non restorava. E' importante sapere
che è possibile ripristinarlo manualmente (mi piace il concetto: "una
cosa è impossibile finchè non arriva qualcuno che non lo sa, e la fa")
anche se TC è old. Puoi darci qualche riferimento in più, PLS?


"CBM64" ha scritto:

mi pare di capire che il tizio avrebbe risolto il brute force in un
unico untervento ed in *poco* tempo, giusto?
 
quindi se anche tu riesci a farlo, può trattarsi di classica fig. di m.
 
ma IMO è poco probabile che 1 PC di oggi risolva in *poco* tempo un
brute force anche soltanto su 13 caratteri alfanumerici
 
quindi si tratta di un restore dell'header, e di nuovo può trattarsi di
fig. di m. a seconda di ciò che non gli hai detto/fatto riguardo al
restore automatico del backup header e/o a seconda della possibilità di
restorare manualmente il backup header

 
 
LA discussione diventa interessantissima.
di fatto DEVO anche aggiornarmi (un poco) sulla sicurezza. oramai la 
figura di M l'ho fatta, almeno cerco di imparare qualcosa.
che altri indizi posso darvi?
quello che ricordo
 
a) occultare dei documenti .xls .doc
b) usare truecrypt con volume , assieme a chiavetta usb
 
cosi' facendo la consultazione e' possibile da qualunque pc. unico neo: 
non perdere la chiavetta
 
c) a distanza di anni -circa 10- il file contenitore diventa degradato.
truecrypt non fa + il mount
 
a questo punto ricordo di aver provato anche con l'evoluzione VeraCrypt, 
sia sotto win che sotto linux, ma il file corrotto continuava ad essere 
corrotto. sul monitor mi appariva il dito medio ad ogni tentativo.
 
d) dico ai titolari di rassegnarsi (avevo raccomandato loro di fare 
copia della chiavetta, ma ovviamente i backup non li fa nessuno) e cosi' 
han fatto.
 
e) a questo punto esce fuori un tipo che non conosco, il solito amico 
dell'amico, il quale in 1/2 pomeriggio apre il file ed estrare i 
documenti. operando su computer diversi da quelli ove solitamente 
venivano letti i doc.
 
non mi ci raccapezzo.

 Probabilmente aveva già affrontato il problema.
 
Concordo. Se aveva già la password (e l'aveva, visto che il container 
di TC gli è stato fornito dai proprietari che la conoscevano), una volta
riparato il file (e qui, come Leo insegna, "si - può - fare!"), non ci
va poi molto ad estrarne il contenuto. La parte meno banale era proprio
il recupero dell'integrità del file.
 
 
Ciao,
un TJL73 che non afferma sia così semplice da fare...
 
-- 
** NOTE: This message is ROT-13 encrypted twice for extra protection **

 
 
quindi non avrei fatto una figura di M ?
 
:-(

 
 
 
oramai la figuraccia l'ho fatta.
se aggiungi qualche dettaglio, magari imparo ancora qualcosa.
grazie
 


 
Se l'hai fatto e hai dichiarato che *per quanto ne sai* non esiste altro
modo per recuperare i file, non hai fatto f.d.m.

anche se TC è old. Puoi darci qualche riferimento in più, PLS?
 
Quel che ricordo è lì: l'header era il normalissimo header di backup, non ho
idea del perché non lo usasse già da sé.
 
Aggiungo solo di ricordarmi bene il dettaglio d'aver fatto una bischerata, e
avere lavorato sull'unica copia del volume che avevo, anziché farne due. Non
fate la stessa bischerata anche voi, pls :-)


"Leonardo Serni" ha scritto:

ok :]

 
 
ho provato quelle opzioni.
piu' volte. su sistemi win e linux.
con versioni differenti di truecrypt ed anche col piu' moderno 
veracrypt. nada . non si apriva.
rassegnato ho riferito che , a mio giudizio , il contenuto era perso.
 
ovviamente non avevano la copia della chiavetta [come da me raccomandato 
anni prima], ma qui non erano piu' c***i miei.
 
aggiungo con soddisfazione che pochi gg fa comprai una nuova chiave per 
l'automobile, e il venditore mi chiese "per puro caso hai la copia 
cartacea del documento iniziale ....... se ce l'hai allora facciamo 
molto prima a richiedere la chiave ...... "
ovviamente il documento cartaceo era dove lo avevo lasciato anni prima.
nel cassetto della scrivania , con incollato un post it
 
"codice da usare per chiave automobile"
 
:_)
 
grazie a tutti.

 grazie a tutti.
 
de nada

 documenti.
 
un amico aveva un disco rigido illeggibile
in qualsiasi modo io lo collegassi al computer (sata su mobo, sata su usb, 
sata su scheda sata) non veniva riconosciuto (0 byte, da formattare)
 
poi è passato il *tecnico* della fresa che non so come lo ha resuscitato 
recuperando il contenuto
 
non mi hanno mai detto come abbia fatto, nè l'amico, nè il tecnico
 
e io ogni tanto ci penso e mi arrovello, di dischi "rotti" in questa 
maniera me ne sono passati diversi tra le mani, anche con dati 
relativamente importanti (dichiarati persi)
 
e nota bene: non lo ha spedito a un centro tipo riparafiles oppure ontrack, 
lo ha fatto seduta stante nel giro di mezzora
 
-- 
/-\ /\/\ /\/\ /-\ /\/\ /\/\ /-\ T /-\
-=- -=- -=- -=- -=- -=- -=- -=- - -=-
........... [  da casa  ] ...........

 facilità.
 
beh, però in effetti non hai "craccato" il volume, lo hai semplicemente
riparato copiando l'header di backup e poi hai usato la password che ti
era stata fornita per accedere ai dati; tornando a quantos scritto ad
inizio thread, il mio sospetto è che la password del volume TC sia
stata ottenuta in qualche modo, che so; social engineering, un classico
caso di password reuse, un keylogger... ed in questo caso, non credo
che la colpa sia imputabile a TC; fossi nei panni dell'OP, chiederei ai
tizi di ripetere la prova con un volume TC su USB ceato dall'OP stesso
e senza fornire la password ma fornendo semplicemente la chiavetta USB
e chiedendo di "craccarla" e stampare un file di testo contenuto nel
volume TC :)
 
 
 

 che la colpa sia imputabile a TC;
 
Cmq TC ha una colpa: non ha restorato un sano inner backup header.


 che la colpa sia imputabile a TC; fossi nei panni dell'OP, chiederei ai
 
 
nada, il tipo rifiuta di ripetere la magia.
ho creato un altro volume TC , e vorrei vedere il crack, per imparare 
qualcosa.
ma il tipo declina.
quindi sicuramente la pass l'ha avuta dai titolari e poi per "botta di 
culo" con un editor esadecimale ha rimediato al file danneggiato.
credo.
 
ciao a tutti e grazie x il feedback

 Cmq TC ha una colpa: non ha restorato un sano inner backup header.
 
Non lo fa in automatico; va fatto a mano lanciando TC, leggi qui
 
https://www.neowin.net/forum/topic/984006-guide-backup-truecrypt-disk-header/
 
 
ciao
 

"ObiWan" ha scritto:

vabbè non sono stato preciso ed inequivocabile: anche i gatti sanno che
bisogna cliccare sulla GUI o digitare una commandline, per fargli fare
il restore, ma perlomeno non bisogna provvedere «manualmente» ad
identificare && ricopiare un blocco dati.

"pino" ha scritto:

PS
i gatti sanno anche che la GUI si può usare senza scomodare il topo



:D :D
 
 
 

>>>>  
http://www.bb2002.it
 :)  <<<<<
........... [ al lavoro ] ...........

 
 
scusa il ritatdo, vedo solo ora.
sta girando in VM "passware password recovery tool" , e' attivo da oltre 
7 gg (a singhiozzo. alla sera iberno la VM) , ed ha analizzato circa 60 
milioni di pass, senza trovare quella giusta.
e' solo uno sfizio, non credo che la forza bruta possa aiutarmi.
bye

e' solo uno sfizio, non credo che la forza bruta possa aiutarmi.
 
Magari quando ti stufi e smetti, la prossima password sarebbe stata
quella giusta :-)
 
 
-- 
 
Byebye from Verona, Italy
 
Bernardo Rossi

e' solo uno sfizio, non credo che la forza possa aiutarmi.
 
E dé, sei mica Liùk Scaiuòlcher... :-D


 
 
 
:-)
:-)
 
pigliamola sul ridere, ma -veramente- voglio andare a fare il giardiniere
 
:-)
:-)