Newsgroup: it.comp.sicurezza.varie
Titolo: VULN: TrueCrypt driver bugs

 
Se per caso usate TC per conservare dati crittati, credo sia il caso di
valutare l'idea di migrare a "veracrypt" dato che è stato scoperto un
altro bug in TC che permette di fare privilege escalation e prendere il
controllo del sistema; per maggiori info sul bug
 
http://www.itworld.com/article/2987438/newly-found-truecrypt-flaw-allows-full-system-compromise.html
 
 
per info su veracrypt e per il download
 
https://en.wikipedia.org/wiki/VeraCrypt
 
 
https://veracrypt.codeplex.com/
 
 
da notare che l'ultima versione di veracrypt (che dopotutto è un fork
di TC) include le patches necessarie a risolvere il problema
 

 
http://www.itworld.com/article/2987438/newly-found-truecrypt-flaw-allows-full-system-compromise.html
 
 
Anche se l'escalation dei privilegi è una minaccia ulteriore, una volta 
che gli attaccanti hanno già accesso al tuo user account in ogni caso 
sono già signori e padroni dei tuoi dati, anche a prescindere dalla 
vulnerabilità scoperta, correggetemi se sbaglio.
 
 > per info su veracrypt e per il download
 >
 > 
https://en.wikipedia.org/wiki/VeraCrypt
 
 >
 > 
https://veracrypt.codeplex.com/
 
 >
 > da notare che l'ultima versione di veracrypt (che dopotutto è un fork
 > di TC) include le patches necessarie a risolvere il problema
 
 
Ciò detto, forse hai ragione che è ormai giunta l'ora di provare VC :)

 quel bug e' irrilevante alla fine del decriptaggio dei miei dati?
 
Se l'attaccante ha già accesso al tuo account utente, cosa gli impedisce 
di installare un bel keylogger per carpire le password che usi in TC?
 
Grazie alla vulnerabilità scoperta, potrà installare il keylogger a 
livello di sistema, quindi anche per altri eventuali utenti della stessa 
macchina. Se ben capisco.
 
 
"The flaws, which were apparently missed in an earlier independent audit 
of the TrueCrypt source code, could allow attackers to obtain elevated 
privileges on a system if they have access to a limited user account"

 Ciò detto, forse hai ragione che è ormai giunta l'ora di provare VC :)
 
E però, sarei curioso di sapere se Gibson la pensa ancora così:
 
...snip...
Steve: I guess my sense is, I mean, I'm sure VeraCrypt is fine. But 
TrueCrypt is bulletproof. And my recommendation would be, if it works - 
but you know me. I'm still sitting - I'm sitting in front of XP, Leo, so 
I'm really - I'm a bit of a skewed sample. But my sense is, if it works, 
use that one. It's been really just pounded to death by hundreds of 
thousands of people, that is, the original TrueCrypt 7.1a. But at some 
point it won't work for you because your system will no longer be 
compatible, in which case you'll want to go explore the forks of 
TrueCrypt. That would be my strategy, I think. There's nothing that they 
have done that makes theirs superior to what TrueCrypt was because there 
was just nothing wrong with it the way it was.
...
 
This is Security Now! with Steve Gibson, Episode 504, recorded Tuesday, 
April 21st, 2015:
https://www.grc.com/sn/sn-504.htm
 

 E però, sarei curioso di sapere se Gibson la pensa ancora così:
 
puoi chiederglielo, di solito risponde.
 


OK.
 
Comunque il clamore sulla vulnerabilità di TC mi pare un tantino 
esagerato, visto che si parla di possibile escalation in un computer 
GIA' compromesso. Come dire che si allarga il buco in un secchio... già 
sfondato!
 
Però grazie della segnalazione, e VC lo provo :)
 

 NON devono poter decrittare. Tutto qui.
 
 
In quel direi che puoi stare relativamente tranquillo, AFAIK.
 

importanti.
 
Mi pare analogo a quella che lascia la borsa in bella vista sul sedile
dell'auto "tanto non c'e' nulla di interessante dentro".
Pero' questo il ladro non lo sa a priori, e quindi il finestrino
spaccato ci stara' comunque.
E poi scoprira' che dentro non c'e' nulla, e magari si arrabbia pure.
 
--
 
Byebye from Verona, Italy
 
Bernardo Rossi

 importanti.
 
Chi è in grado di accedere AD UN ACCOUNT UTENTE, se ne sbatte se sei o no
importante. Ci prova e basta!
E se quel che trova gli interessa, lo usa e lo abusa a suo insindacabile
giudizio.
Tutto fa brodo!
La tua mail? Ottima per spam, finchè dura.
Vediamo i contatti... Bene aggiungiamo alla lista dei sicuri.
Hai un conto in banca ? In qualche recondito file ci hai messo la password ?
MMMHHH! Interessante!
 
No, credimi, chi va a pesca a strascico nella rete in cerca di pesci, non gli
interessa se sei un vip o una merd (scusa, non offenderti).
Pesca e basta.
 
Ed è proprio tra quelli che si sentono sicuri "tanto non ho nulla di interessante"
che la pesca frutta meglio, perchè non sono paranoici, non controllano...
 
Ciao.
 
-- 
Una password si puo' cambiare.
Un dato biometrico e' rubato per sempre!
Medita!

 della gente....
 
Vulnerabilità conosciute e...  sconosciute (al grande pubblico).   :)
Però...
  "has recently discovered two vulnerabilities in the driver that
  TrueCrypt installs on Windows systems"
                        ^^^^^^^^^^^^^^^
Gli altri sistemi direi che siano presumibilmente sicuri...


 Gli altri sistemi direi che siano presumibilmente sicuri...
 
 
Ma in Linux (a differenza di Windows che almeno prova a isolare la 
finestra UAC), una volta che l'attaccante avesse accesso user, potrebbe 
comunque carpire la password root, se è ancora vero quanto si legge in
 
http://theinvisiblethings.blogspot.it/2011/04/linux-security-circus-on-gui-isolation.html
 
 
 
 

 a scaricarsi un file da 10 gb dal mio computer
 
 
 
 

 di installare un bel keylogger per carpire le password che usi in TC?
...
Fatto la prova, installato tspion come utente (senza che fosse richiesta 
la password di amministratore), per simulare un'eventuale compromissione 
dell'account utente.
 
Il programmillo spione logga tutto quello che scrivo dall'account 
utente, però, giustamente, non logga quello che scrivo come admin 
(finestra UAC, programmi eseguiti come amministratore...).
 
Di conseguenza, per quanto riguarda le password che inserisco in TC, le 
logga se TC è installato (quindi utilizzabile come user) ma *non* le 
logga se TC non è installato e usato come portable app da chiavetta.