Newsgroup: it.comp.os.linux.sys
Titolo: TrueCrypt morto

In francese:
http://www.macbidouille.com/news/2014/05/30/truecrypt-est-abandonne
 
 
Ciao Jack
-- 
Yoda of Borg am I! Assimilated shall you be! Futile resistance is, hmm?


 
Stavo seguendo la questione e purtroppo c'era da tempo nell'aria un 
retrogusto di NSA.
 
A mio avviso ï¿œ palese la motivazione per cui un software cosï¿œ diffuso e 
stabile sia stato fatto dismettere volontariamente. Non si tratta di 
fare i complozionisti, ma ï¿œ palese che su truecrypt non c'era modo di 
fare reverse dei dati crittografati o metterci backdoor dentro. Quanto 
costa combattere truecrypt? Certamente meno di pagare gli sviluppatori a 
peso d'oro per dichiararlo improvvisamente insicuro e chiuderlo.
 

 retrogusto di NSA.
 
Per favore non facciamo FUD su un gruppo per professionisti:
 
 
http://www.theregister.co.uk/2014/05/28/truecrypt_hack/
 
 
Verosimilmente hanno craccato Sourceforge, restiamo in attesa di notizie 
*ufficiali* dagli sviluppatori, il team di auditing ha già preso 
contatti per avere informazioni.
 
 
-- 
Fr3ddie
fr3...@fr3ddie.it
 
 
﻿«La felicità di un uomo dipende dalle donne che non ha sposato»
Oscar Wilde

 contatti per avere informazioni.
 
 
Buono a sapersi, perchè in giro anche su riviste tipicamente affidabili, 
raramente si legge di un defacement o di un'azione non voluta.
 
http://punto-informatico.it/4058733/PI/News/truecrypt-messaggi-indecifrabili-dagli-sviluppatori.aspx
 
 
 
http://arstechnica.com/security/2014/05/bombshell-truecrypt-advisory-backdoor-hack-hoax-none-of-the-above/
 
 
http://nakedsecurity.sophos.com/2014/05/28/true-mystery-of-the-disappearing-truecrypt-disk-encryption-software
 
 
http://attivissimo.blogspot.it/2014/05/misteriosa-chiusura-di-truecrypt-e.html
 
 
 
Più che fare FUD, si tratta di essere realisti. I precedenti sono 
eclatanti. Condivido con te la necessità di parlare solo di notizie 
ufficiali. Ma qui non stiamo dicendo che gli alieni hanno fatto i cerchi 
nel grano, ma che questa potrebbe essere un'altra (delle *tante e 
accertate*) azioni di un'agenzia governativa che non ha proprio la 
coscienza Pia.
 
Per intenderci, attendiamo notizie ufficiali. Ma non mi meraviglierebbe 
se così fosse. Oltretutto davvero non mi spiego perchè invitare 
all'utilizzo di BitLocker.
 
IMHO eh, intendiamoci. :)

 contatti per avere informazioni.
 
Oppure che siano stati costretti ad inserire una backdoor, e quindi secondo
coscenza hanno chiuso lo sviluppo.
Comunque, fintanto che non saprï¿œ qualcosa di certo, anche la mia va presa come
una qualsiasi illazione.
 
 
-- 
+---------------------------------------------------------------------------+
|    ero li assorto nei miei pensieri e uno mi ha chiesto l'ora... ho       |
|    dovuto sparargli una fucilata... stavo meditando... e che cazzo!       |
+-----#14--------------------Campagna contro le pubblicita` idiote.---------+

 una qualsiasi illazione.
 
I motivi possono essere i piï¿œ disparati...
 
-- 
Flavio Visentin
 
Scientists discovered what's wrong with the female brain: on the left
side, there's nothing right, and on the right side, there's nothing left

 unicamente con software closed source
 
Infatti ï¿œ proprio per questo che non mi quadra: l'invito ad usare 
bitlocker. Oltretutto se riesci a fare un defacement, sei davvero 
stupido se non "monetizzi" creando dei binari alterati, nella maniera 
piï¿œ silente possibile.
 
 
Escludendo questo specifico caso, quanto costerebbe "combattere" un 
software come TrueCrypt per un'agenzia governativa che ha come scopo 
proprio quello di rendere i dati leggibili e accessibili? Moltissimo. E 
tra i miliardi di dollari spesi (ed ï¿œ cosa nota), certamente costa meno 
ricoprire a peso d'oro gli sviluppatori per "invogliare" a chiudere il 
progetto e dire che ï¿œ insicuro.
 
Concordo, sono illazioni. E' prematuro e persino fantasioso parlarne, ma 
scusate, fino a qualche mese fa quanti pensavano si arrivasse a parlare 
di questo:
 
http://www.eteknix.com/expert-says-nsa-have-backdoors-built-into-intel-and-amd-processors/
 
 
o di questo
 
http://www.hwupgrade.it/news/sistemi-operativi/la-nsa-chiese-a-linus-torvalds-di-inserire-una-backdoor-su-linux-gnu_49793.html
 
 
o di questo
 
http://www.zdnet.com/has-the-nsa-broken-ssl-tls-aes-7000020312/
 
 
 
Vero? Bugia? Fantasia? Complozionismo? Io andrei cauto in ogni caso, 
perchï¿œ in questi mesi la piï¿œ bieca fantasia ï¿œ stata abbondantemente 
sorpassata dalla realtï¿œ, calpestando platealmente qualsiasi diritto 
umano al grido "combattiamo il terrorismo". Terrorismo un par di palle, 
ï¿œ diventato il passepartout per compiere qualsiasi azione in barba a 
qualsiasi diritto.
 
 
Magari ï¿œ solo un defacement, e siamo tutti contenti perchï¿œ TrueCrypt ï¿œ 
parte importante del mondo opensource. Qualora cosï¿œ fosse (ed io me lo 
auguro), ci sono cascati non in pochi. Non c'ï¿œ rivista che non parli di 
questo. E soprattutto io smentite "reali e tangibili" ancora non ne 
vedo. Ho provato persino a cercare tweet ufficiali, ma non ho trovato 
nulla. Piuttosto vedo spuntare come funghi siti di fork e di mirror del 
progetto, come l'ormai noto 
http://www.truecrypt.ch/
 
 
Insomma, se ï¿œ uno scherzetto, fa impallidire certamente qualsiasi 
progetto per il prossimo primo aprile.
 
Non ci resta che attendere ed incrociare le dita...
 

 pi� silente possibile.
 
Il contenuto per� � stato scartato anche da 
web.archive.org
 e questo 
non sarebbe in linea con un defacement.
 
Inoltre anche se fosse il caso quanto tempo ci sarebbe voluto a mettere 
su una pagina "ci hanno bucato il sito ora lo mettiamo a posto"?
 
 
-- 
Andrea
 

 su una pagina "ci hanno bucato il sito ora lo mettiamo a posto"?
 
 
sono arrivato alla stessa conclusione, e va bene un defacement... ma poi 
nel giro di qualche ora dirami mille comunicati (urgenti perch� indichi 
di non scaricare la 7.2 perch� non ne sai nulla) e tiri su una pagina, 
cambi l'host A e lo mandi su un altro server pulito... insomma... il 
modo per metterci una pezza "veloce" lo trovi.
 
Proprio non mi torna. Vedremo, incrociamo le dita...


Secondo me, la cosa ha origine quando un
paio di anni fa, gli sviluppatori hanno
iniziato una campagna di "crowdfunding",
mi pare di 100K US$, chiedendo donazioni
(sul sito stesso di TC).
Ci fu un po' di polemica e l'obiettivo
fu rimosso, ma la richiesta di donazioni
e` rimasta.
Dato che "Truecrypt Developers LLC" e` una
societa` a scopo di lucro registrata in
Nevada, pare da uno degli sviluppatori,
la mia teoria e` che volessero tentare di
aprire una societa` commerciale, per il
supporto e/o customizzazione di TC.
La cosa non e` andata in porto, forse un
po' per le faccende recenti, forse un po'
per la storia dell'audit, forse un po' per
altri motivi, e cosi` hanno deciso di chiudere
"in stile", per cosi` dire...
 
bye,
 
-- 
 
piergiorgio

 peso d'oro per dichiararlo improvvisamente insicuro e chiuderlo.
 
Ah, quindi ci sarebbe della corruzione dietro?
In questo caso sï¿œ che ci sarebbero delle conseguenze penali, anche se a 
farlo fossero dei funzionari del governo...


E' una battuta, vero?
 
Non che sia per la paranoia a prescindere, in particolare riguardo a
questa faccenda: ci sono spiegazioni ben piï¿œ banali per cosa sta
accandendo, ma ce lo dirï¿œ solo il tempo.
 
Ciï¿œ non toglie che, alla luce di quel che si sa delle operazioni di note
agenzie di spionaggio negli ultimi 10 anni, l'aspettarsi "conseguenze
penali" mi pare assai risibile...

 a farlo fossero dei funzionari del governo...
 
Ehm, FYI non sarebbe corruzione neanche in Italia.
Detto questo il motivo per cui truecrypt ï¿œ stato chiuso non lo 
sappiamo e, probabilmente, non lo sapremo neanche tanto presto.

 tutta la comunità che può modificarlo e gestirlo
 
Giusto perche` sono in modalita` temperacazzi, TrueCrypt non e` Free 
Software e la sua licenza non e` nemmeno considerata OSI (anche se 
distribuiscono i sorgenti): 
http://en.wikipedia.org/wiki/TrueCrypt#License_and_Open_Source_status
 
 
Enrico

 Per favore non facciamo FUD su un gruppo per professionisti:
 
   Invece ha ragione writethem:
 
http://meta.ath0.com/2014/05/30/truecrypt-warrant-canary-confirmed/
 
 
 
   Ciao.
 

retrogusto di NSA.
 
TL;DR "A partire da questa versione, non userei TrueCrypt se fossi in voi,
e neanche in noi, e quindi smettiamo di svilupparlo. Pero' non lo possiamo
dire cosi' papèle papèle e allora diciamo evidenti cazzate sperando che ne
capiate la ragione. E, ovviamente, negheremo tutto".
 
Leonardo
 
-- 
 
Then felt I like some watcher of the skies, when a new planet swims into his ken;
Or like stout Cortez when with eagle eyes, he star'd at the Pacific; and all his men
Look'd at each other with a wild surmise - silent, upon a peak in Darien.

 
 
 
-- 
 
piergiorgio

 Non ci resta che attendere ed incrociare le dita...
 
Nessuno che valuti l'ipotesi di rimpiazzarlo?
Ad esempio leggevo qui:
https://tails.boum.org/blueprint/replace_truecrypt/
 
Curioso che si fossero posti il problema gia` mesi prima ..
https://labs.riseup.net/code/issues/5373
 
 

 molto chiara...
 
   Ma tu sai cos'è un "warrant canary", vero?  E soprattutto sai perché 
esiste, giusto?
 
 
   Ciao,
 
 
-- 
Alessandro Selli 
http://alessandro.route-add.net
 
AVVERTENZA: i messaggi inviati a "trappola" non mi arriveranno.
WARNING: messages sent to "trappola" will never reach me.

esiste, giusto?
 
Lui dice che la cosa gli puzza da  "warrant canary"
 
http://en.wikipedia.org/wiki/Warrant_canary
 
 
Per� e' una cosa americana, se qualcuno lo sviluppa fuori dagli usa non � un suo
problema, imho
 
--
ciao
  Stefano


  E si sappia anche questo:
 
https://opencryptoaudit.org/reports/
 
 
Open Crypto Audit Project
TrueCrypt
Security Assessment
 
Overall, the source code for both the bootloader and the Windows kernel
driver did not meet expected standards for secure code. This includes
issues such as lack of comments, use of insecure or deprecated
functions, inconsistent variable types, and so forth. A more in
depth discussion on the quality issues identified can be found in
Appendix B
 
[...]
 
The team also found a potential weakness in the Volume Header integrity
checks. Currently, integrity is provided using a string (ï¿½TRUEï¿½) and two
(2) CRC32s. The current version of TrueCrypt utilizes XTS as the block
cipher mode of operation, which lacks protection against modification;
however, it is insufficiently malleable to be reliably attacked. The
integrity protection can be bypassed, but XTS prevents a reliable
attack, so it does not currently appear to be an issue. Nonetheless, it
is not clear why a cryptographic hash or HMAC was not used instead.
 
 
  Ciao,
 
 
Alessandro
 
 
 

 wrote in
news:bob0p91tjh4d54cf3...@4ax.com
: 

ho scoperto adesso questo warrant canary e spero di averne capito bene il 
significato.
 
il punto e' che se il tuo provider ha ricevuto 'qualcosa' dal governo usa e 
te lo segnala in quel modo, tu che sviluppi fuori dagli usa stai tranquillo 
ma sai che i server del tuo provider americano (altrimenti non avrebbe 
senso il discorso) non sono piu' sicuri per te e il tuo software perche' 
'qualcuno' ci sta mettendo il naso a tua insaputa per fare non si sa cosa.
 
 
-- 
Paolo opg
 
BE AWARE that this post uses a fake reply-to address
to contact me write to:
janickg ( at ) hotmail ( dot ) com
--


  Ovvio (fino ad un certo punto).  Ma secondo te perch� 
truecrypt.com
 �
stato registrato in Jacksonville, Florida?
 
 

'qualcuno' ci sta mettendo il naso a tua insaputa per fare non si sa cosa.
 
Pu� darsi, ma ad esempio questi:
 
http://truecrypt.ch/
 
 
che sono in Svizzera e hanno i server in Svizzera non dovrebbero preoccuparsi
del warrant canary, magari forse della NSA.
 
--
ciao
  Stefano

 esiste, giusto?
 
Si, e` nel link da te postato non c'e` nessuna
prova che sia tale, e` solo una supposizione.
 
L'unico riferimento e` un commento riguardo un
email del 2004, cioe` 10 anni fa.
 
Questo e` FUD bello e buono!
 
bye,
 
-- 
 
piergiorgio

 stato registrato in Jacksonville, Florida?
 
La domanda e`: dove "siedono" gli sviluppatori?
 
Se sono in Florida od in Nevada, allora sono
sicuramente soggetti a alla legislazione locale.
Altrimenti, e` da vedersi.
 
Ovviamente, puo` anche essere che da una nazione
all'altra si mettano d'accordo per queste cose.
Oppure anche no, dipende, appunto.
 
D'altro canto, e` poco chiaro perche` si dovrebbe
fare una cosa del genere con un SW che e` in
circolazione da 10+ anni ed i cui sorgenti sono
disponibili.
 
Che risultato si sarebbe ottenuto?
Ancora piu` pubblicita` per TC e simili?
Ancora piu` cautela da parte degli utenti?
 
Quello che avrei fatto io e`:
 
1) audit di TC con relativo report di IN-sicurezza
2) alternativa OS, con backdoor scaltra
3) pubblicita` per passare da TC (data anche la
licenza dubbia) all'alternativa
 
Cosi` sarebbero stati tutti contenti. Invece adesso
molti sono scontenti e persino paranoici.
 
bye,
 
-- 
 
piergiorgio

 Questo e` FUD bello e buono!
 
Concordo.
Evidentemente questo gruppo (come molti su Usenet) sta perdendo di 
professionalità.
 
 
-- 
Fr3ddie
fr3...@fr3ddie.it
 
 
I congiuntivi non sono un'opinione

 stato registrato in Jacksonville, Florida?
 
Gia`, pero` se do 
whois 
truecrypt-foundation.org
 
finisco in Antartide, Marie Byrd Land, 80S 124W
anche confermato qui:
http://uralbeznarkotikov.info/?p=5180
 
dove dicono altresi` che tutto ha origine a Praga ed io aggiungerei che
in un certo senso forse tutto a Praga ritornera`, visto che se si fanno
ricerche in merito a chi sta dietro al nuovo sito svizzero, nuovamente
una qualche connessione con Praga la si puo` trovare.
 
--
http://blog.cryptographyengineering.com/2013/09/on-nsa.html
 
https://defuse.ca/audits/encfs.htm
 

 prova che sia tale, e` solo una supposizione.
 
  Ripeto: sai cos'è e come funziona un "warrant canary"?  Capisci cosa
vuol dire "Canary indicates they've been NSLed. :( Unfortunately I'm not
in a position to provide any more info."?
 
 


Datato:  May 28, 2014
 
 
  Ciao,
 
 
Alessandro
 
 


Si, so cosa e`.
 
E ti ripeto, in quel link non c'e` nessun dato
di fatto, solo supposizioni e FUD.
 
Lo hai letto bene, vero?
L'unica persona che dice cioe` e` una tale
"Alyssa Rowan", citando, ripeto, un email
del 2004.
Questo non e` una conferma di niente, se non
di mitomania...
 
bye,
 
-- 
 
piergiorgio

On 2014-06-06 09:34, Alessandro Selli wrote:

Ah, tra l'altro, hai provato a cercare (con il
tuo motore di ricerca preferito), qualcosa come:
 
alyssa rowan truecrypt
 
Vedrai come ti diverti.
 
bye,
 
-- 
 
piergiorgio

 del 2004.
 
   Mettiti un paio di occhi...binocoli, e rileggi:
 
Alyssa Rowan (@AlyssaRowan) May 28, 2014


 molti sono scontenti e persino paranoici.
 
   Oggi quelli che usavano TrueCrypt sanno che non lo devono pi� usare. 
Ossia, scopo raggiunto da parte dei soliti noti.


 esiste, giusto?
 
Tecnicamente questo non sarebbe un "warrant canary" (che funziona piu' o meno
come un "interruttore del morto")... dato che ti e' vietato dire che martedi'
non sei in casa, quel che fai e' dire, "Lunedi' sono in casa. Mercoledi' sono
in casa. Giovedi' sono in casa..." e lasciare che chi deve capire capisca.
 
Il riferimento a BitLOLcker Somiglia molto di piu' a un "dita incrociate" (su
tropes, lo chiamano "Out of Character Alert).
 
 
http://tvtropes.org/pmwiki/pmwiki.php/Main/OutOfCharacterAlert
 
 
Comunque, gia' che la frase mi suonava cacofonica, quando ho letto "TrueCrypt
is (n)ot (s)ecure (a)s it may contain unfixed security issues", ho provato un
improvviso disagio.
 
Leonardo
 
-- 
 
Questi non hanno speranza di morte; e la lor cieca vita e' tanto bassa,
Che 'nvidiosi son d'ogne altra sorte. Fama di loro il mondo esser non lassa;
Misericordia e Giustizia li sdegna; non ragioniam di lor, ma guarda e passa.

 Ossia, scopo raggiunto da parte dei soliti noti.
 
Ma figurati...
 
Dicesi "arrampicarsi sugli specchi"...
 
bye,
 
-- 
 
piergiorgio

 Alyssa Rowan (@AlyssaRowan) May 28, 2014
 
Rileggi bene tu, cosa dice nel twitter:
 
I can confirm presence of TrueCrypt duress canary as per 2004 conversation.
 
— Alyssa Rowan (@AlyssaRowan) May 30, 2014
 
Fa riferimento ad una "conversation" (io ho usato
email, ma vabbe`) del 2004.
 
Io non escludo nulla, puo` essere che sia vero,
oppure anche no.
Il fatto e` che quel post non dice nulla, e` FUD.
 
Se io nel mio blog scrivessi:
 
"Posso confermare, ma non chiedete dettagli per
motivi di privacy, che gli sviluppatori di TC si
sono sposati (tra loro) e hanno deciso si ritirarsi
in campagna a coltivare mais ed allevare tacchini."
 
Nessuno mi crederebbe perche:
 
1) chi sarei io per scrivere tale cosa
2) non ha senso
3) non vi sono neanche indizi (non dico prove) che sia vero
 
Se invece scrivessi:
 
"Gli alieni hanno rapito gli sviluppatori su
ordine dei MiB, posso confermarlo, ho ricevuto
un email nel 2004, ma non chiedete dettagli."
 
Tutti mi crederebbero, vero?
 
Perche` dovrei credere a quel post?
 
bye,
 
-- 
 
piergiorgio

 improvviso disagio.
 
Questa e` stata la prima cosa che e` spuntata
nel blog di Bruce Schneier... :-)
 
Tra l'altro, sempre in quel blog (da leggere sicuramente
end-to-end), un tizio, che dice di essere un avvocato,
ha esplicitamente detto che se un suo cliente gli chiedesse
se fosse fattibile un fork di TC, data la licenza, lui gli
avrebbe risposto: "go ahead".
 
Il motivo sarebbe che per far valere la licenza, gli sviluppatori
dovrebbero:
 
a) presentarsi in persona, quindi uscire allo scoperto
b) dimostrare che sono gli autori del codice ed i titolari
della licenza
 
Il che, specie b), potrebbe essere problematico.
 
Quindi, un possibile fork non pare sia un grosso problema.
 
bye,
 
-- 
 
piergiorgio

 Ossia, scopo raggiunto da parte dei soliti noti.
 
Mi viene in mente...
 
Se questo fosse vero, cioe` che qualche governo
abbia cosi` paura di TC da organizzare una
campagna di discredito, allora vi sarebbe una
ragione in piu` per usarlo.
Quindi, lo scopo di allontanare gli utenti non
e` stato raggiunto, anzi, l'opposto.
 
Quello di cui (quasi) nessuno parla, che a me
pare piu` "interessante", e` invece la scomparsa
di Sarah Dean ed il suo FreeOTFE (che e` sempre
disponibile, ma non piu` sviluppato, AFAIK).
 
Quello si che e` strano, poiche` della Dean non
si riesce piu` a trovare traccia, cioe` pare non
esista piu` (in internet) da quando FreeOTFE ha
chiuso (o viceversa, se si vuole).
 
Ovviamente, tutto puo` essere successo, anche il
peggio, ma e` significativo che nessuno ricordi.
 
bye,
 
-- 
 
piergiorgio

 Dicesi "arrampicarsi sugli specchi"...
 
   Ah beh, se lo dici tu...  Felice l'azienda che ti fa gestire i suoi dati 
sensibili, stanno sicuramente in buone mani.


 dati sensibili, stanno sicuramente in buone mani.
 
E questo non c'entra neanche niente.
Evidentemente siamo a corto di argomenti, da cui
quanto scritto sopra.
 
Tu devi semplicemente spiegare perche` il link che
hai postato sarebbe attendibile.
 
Dire che vi sono problemi nel mondo e dedurne
l'attendibilita` e` un collegamento debole.
 
bye,
 
-- 
 
piergiorgio

On 2014-06-07 16:59, Alessandro Selli wrote:
[...]
 
Dal blog di Bruce Schneier:
 
Globo ï¿½ June 6, 2014 6:10 PM
 
I am the NSA and have the problem that I cannot read TC files. What am I
going to do? I tell my partner Microsoft to make Windows detect when TC
is running. Windows then extracts the keys and encrypts them and siphons
them out home - together with the unique ID of the hard drive on which
the TC volume was created. Problem solved. For Linux I add the same
functionality myself, I mean, for what do I have my exploits? What I
want to say: the developers are sooo true when they state that TC is not
secure, cannot be, given zero endpoint protection.
 
Chiaro come funzionerebbe la cosa?
Lo scopo dei servizi segreti e` di essere *invisibili*.
Se si fanno beccare, sono imbranati.
 
"Kill Wombosi? We can do that any time we want. I can send Nikki to do
that, for Chrissakes. Mr. Wombosi was supposed to be dead three weeks
ago. He was supposed to have died in a way where the only possible
explanation was that he'd been murdered by a member of his own
entourage. I don't send you to kill. I send you to be invisible. I send
you because you don't exist."
 
bye,
 
-- 
 
piergiorgio

 l'attendibilita` e` un collegamento debole.
 
   Ah si, e l'aereo MH370 non ï¿½ precipitato, nessuno ha le prove, sono solo 
voci complottiste.


 Se si fanno beccare, sono imbranati.
 
   Ah, allora tu li hai beccati?  E potevi dircelo prima, no?


Perche` dovrei credere a quel post?
 
Be'... se NON fosse vero vorrebbe dire che la Rowan s'e' giocata un po'
di reputazione, ED e' successo qualcosa agli sviluppatori che impedisce
loro di smentirla :-)


nel blog di Bruce Schneier... :-)
 
L'ho visto (thanks!), anche se troppo tardi. Vedo che qualcun altro ha anche
notato l'"Out of Character", visto che citano uno degli esempi piu' famosi -
il "Saluto Hawaiiano".


 osservazioni quindi sono inutili.
 
Tu sei un genio!
Mi pareva chiaro che con "Florida o Nevada", facessi
riferimento all'intero paese.
 
Se questo e` il tuo livello di attenzione, allora
capisco tutto, chiedo scusa, e chiudo il discorso.
 
bye,
 
-- 
 
piergiorgio

 loro di smentirla :-)
 
Perche` dovrebbero, il problema e` che gli sviluppatori
di TC sono sempre stati nell'ombra, non vi e` nessun
motivo per cui adesso dovrebbero venir fuori a raccontare
una cosa od un'altra.
Il problema e` proprio quello, cioe` che nessuno sa bene
chi siano, dove siano, cosa facciano, quindi qualunque
ipotesi e` potenzialmente corretta.
Inclusa quello (come riferita da GCR) che si siano stufati.
 
Ripeto, cercando in giro tutto chiedono: "chi caspita
e` 'sta Rowan?"
 
Quindi, se e` nota, non lo e` a tutti.
 
Inoltre, il riferimento al 2004 (cioe` 10 anni fa)
e` alquanto sospetto.
 
bye,
 
-- 
 
piergiorgio

 il "Saluto Hawaiiano".
 
Leggendo quel blog, si nota come siano spuntate
tutte le possibili ed immaginali teorie.
 
Alcune sono davvero acute.
 
La morale, pero`, e` sempre la stessa, cioe` che
non sappiamo nulla, tranne che ci si deve rivelgere
da qualche altra parte.
 
Rifaccio la domanda di un altro post: che fine ha
fatto Sarah Dean di FreeOTFE?
 
bye,
 
-- 
 
piergiorgio

 e la doomsday machine...
Ma infatti era previsto. Solo che stavano aspettando il compleanno del 
Segretario per fargli una sorpresa.


Perche` lui adora le sorprese... :-)
 
E, difatti, una sorpresa l'hanno fatta!
 
bye,
 
-- 
 
piergiorgio

 piï¿½ che l'applicazione della legge sul gioco on-line.
E allora com'ï¿½ possibile che basti cambiare server DNS e si raggiungono 
di nuovo quei siti?

 piï¿½ che l'applicazione della legge sul gioco on-line.
 
Permetti, ma ï¿½ evidente che non lavori nel settore ISP.
 
"facile realizzazione" una fava: vivaddio non siamo in Cina dove i soli
punti di scambio traffico verso l'estero son controllati dal Governo.
Soprattutto, sarebbe enormemente facile a verificarsi per chiunque
conosca un minimo di routing e DNS.
 
 
Ma senza dubbio viene realizzata tecnologia aliena di cui Bilderberg
vuole tenerci all'oscuro...
 

 e` alquanto sospetto.
 
  Perché?  Truecrypt.org è stato registrato nel novembre 2003: l'ipotesi
che ha fatto Leonardo mi sembra credibile.  Agli esordi del progetto gli
sviluppatori concordano, con alcune persone di loro fiducia, un
meccanismo per comunicare eventuali informazioni che non possono
divulgare senza conseguenze penali.  Cosa c'è di sospetto?
 
 
  Ciao,
 
 
Alessandro
 

 vuole tenerci all'oscuro...
 
  A beh, di fronte a tanta competenza tecnica mi dichiaro sconfitto.
 


  Come puï¿½ un blocco a livello IP essere circuito usando server DNS
diversi?  Se un IP ï¿½ bloccato, lo ï¿½ a prescindere da quale server DNS
hai usato per ottenerlo.
 
 
  Ciao,
 
 
Alessandro.

 Tu sei un genio!
 
  Basta estremameante poco per esserlo nei tuoi confronti.
 
 
  Ciao,
 
 
Alessandro
 

 hai usato per ottenerlo.
Perchï¿½ i siti di gioco d'azzardo sono bloccati solo a livello DNS.
Sono i siti pedopornografici ad essere bloccati con regole di filtering L3.
 
La differenza nella serietï¿½ la vedi anche nella disponibilitï¿½ delle 
liste: la prima la trovi piï¿½ o meno facilmente; per la seconda devi 
richiedere un certificato SSL alla polizia per poterla scaricare da un 
determinato sito.
 

 e` stato raggiunto, anzi, l'opposto.
 
  Che ci sia una ragione in pi� per usarlo non implica nella minima
misura che il suo utilizzo aumenti.  Al contrario: la crittografia �
usata da poche persone, quelle con il bagaglio tecnico minimo
necessario.  Spaventare e demotivare tutte le altre persone, che sono la
massa, � semplice: basta far spargere la voce che il software pi�
diffuso e facile da usare non � sicuro, obbligare gli utenti a cambiare
software, a perdere tempo reimparando a criptare i loro dati con un
prodotto diverso, trasbordandoli dal sistema vecchio a quello nuovo,
nella speranza che il programma nuovo sia veramente sicuro e che tale
resti... la maggior parte della gente ci rinuncia.  Infatti la maggior
parte della gente neanche tenta di farlo.  Cavolo, guarda di cosa sono
capaci i "professionisti":
 
https://www.trustworthyinternet.org/ssl-pulse/
 
 
Total sites surveyed: 154,406
Insecure sites: 109,070
Secure sites: 45,336
 
Sites with incomplete certificate chain: 9,295
Sites that support weak or insecure cipher suites: 42,512
Sites vulnerable to the Heartbleed Bug: 1,044
Sites that are vulnerable to the BEAST attack: 113,441
 
RC4
Not supported: 16,110
Some RC4 suites enabled: 89,500
Used with modern browsers: 48,796
 
Sites that require RC4: 2,807
 
  In questo panorama mi vieni a dire che un attacco contro un softwaqre
come TC costituirebbe una pubblicit� alle forme di protezione
crittografica dei propri dati e che quindi ancora pi� persone li
adotterebbero?  � come dire che basta una puntata di Quark Speciale per
far estinguere la pratica della chiromanzia.
 


 
 
ma le versioni "old" di true crypt , sono esenti da bug (= senza 
backdoor) ? se il bug non e' presente nelle versioni old allora e' 
possibile utilizzarle con discreta sicurezza.
 

   A beh, di fronte a tanta competenza tecnica mi dichiaro sconfitto.
 
Purtroppo per te, invero...
 
 
[1] E' pur vero che agli ISP (in maniera randomica e tipicamente
Italiana) ï¿½ richiesto di adottare filtri che rendano irrisolvibili
alcune risorse. Ma la cosa ï¿½ fatta in maniera assai palese.
Nulla viene applicato alle risoluzioni eseguite da resolver direttamente
controllati dall'utenza finale.


chi dice che ci sia una backdoor?
 
Ciao Jack
-- 
Yoda of Borg am I! Assimilated shall you be! Futile resistance is, hmm?

 tressette.
 
  Forse in quel campo troveresti qualche soddisfazione professionale.
 
 
  Ciao,
 
 
Alessandro

 privata, come tanti <GH>.
 
Skull ï¿œ adulto e vaccinato e non ha certo bisogno di me come avvocato,
ma per il futuro ti consiglierei di cercare i curricula degli
interlocutori per evitare fdm :)
 
-- 
Flavio Visentin
 
Scientists discovered what's wrong with the female brain: on the left
side, there's nothing right, and on the right side, there's nothing left

   Forse in quel campo troveresti qualche soddisfazione professionale.
 
Immagino sia un consiglio da chi ci ï¿½ passato ma grazie, ricavo giï¿½
ottime soddisfazioni della mia professione attuale...
 

 s/documentazione/scommesse/Elenco_siti_inibiti/elenco_siti_inibiti.rtf
 
LOL, sul serio, sarebbe da crocifiggere in sala mensa.


 
http://www.aams.gov.it/sites/aams2008/files/documenti_old/private/downloads/documentazione/scommesse/Elenco_siti_inibiti/elenco_siti_inibiti.rtf
 
 
Una domanda (probabilmente OT), alcuni siti sono .uk,
cioe` sono in EU. Non e` contrario alle direttive
europee bloccare attivita` commerciali (anche WTO,
tra l'altro) di un altro paese?
 
bye,
 
-- 
 
piergiorgio


 
 
non l'hanno fatta inserire quelli dell'NSA ?
o forse ho letto  con troppa premura


Pronto ad esser smentito, ma credo che la discriminante sia il fatto che 
non siano registrati presso l'AAMS o qualosa del genere o comunque non 
paghino niente allo stato italiano.

 spazio IP Italiano ancora potrei lasciarti il beneficio del dubbio.
 
Io invece questo lo darei proprio per scontato; si suol dire che una
mano lava l'altra; tu non credi che cosette come l'essere stati negli
anni passati patner fedeli sui loro maggiori teatri di guerra, come ad
es. la CRI italiana operativa a bagdad quando tutti se la filavano via,
il prezzo altissimo in termini di vite umane ed inimmaginabile in
termini di denaro pagato in afghanistan, le 90 testate nucleari
dislocate sul territorio nazionale e che non chiediamo (unici in europa
insieme alla turchia) di rimuovere, il muos in sicilia che a rilento ma
che cmq procede, ed in ultimo ma non ultimo l'essersi assunti l'onere di
spiare per loro le comunicazioni della merkel, siano sufficienti per
ottenere qualche piccolo favore in contraccambio?
 
 
P.S.:
Mmh, ora io starei pure attento a backdoor in apparati siemens ed
affini, che la merkel avra` il dente avvelenato .. :-/
 
 

 affini, che la merkel avra` il dente avvelenato .. :-/
 
Se c'ï¿œ una TI che usa apparati Huawei sulle proprie infrastrutture di
accentramento non mi spaventa certamente una backdoor in apparati
siemens. Io per non saper nï¿œ leggere nï¿œ scrivere penso paranoicamente di
esser sempre spiato e tento di usare quanto possibile gli strumenti che
la crittografia mette a disposizione per tutelare la propria privacy.


Il 09/06/2014 19:06, Piergiorgio Sartor ha scritto:

Non ho la direttiva sottomano, ma se serve la posso cercare. Vado a 
mente, ma gioco d'azzardo / lotterie / scommesse sono fra le  materie 
in cui gli Stati nazionali possono disporre, sul proprio territorio, 
limitazioni alla libertï¿½ di stabilimento e di libera prestazione dei 
servizi.
 
L'esempio classico, nonchï¿½ piï¿½ noto, di deroga ai principi generali 
sulla prestazione di servizi ï¿½ rappresentato dai prodotti della 
lavorazione del tabacco.
 

 affini, che la merkel avra` il dente avvelenato .. :-/
 
Io oggi come oggi mi aspetto backdoor in qualsiasi affare closed source,
sinceramente. E anche in diverse open source, giusto per restare in topic.
 
 
 


 
Rispondo qui giusto perch� mi sembra la diramazione del 3ad pi� idonea.
 
Tempo fa lessi un libro molto interessante che parlava sostanzialmente 
della situazione politico-informatica dei vari paesi, redatto 
dall'Osservatorio per la Sicurezza Nazionale Italiana, con ottimi spunti 
che approfondiscono lo stato dell'arte dei governi (difesa ma anche 
offesa), dei CERT e di come le organizzazioni mondiali governative hanno 
reagito ad episodi eclatanti (i 50 giorni di lulz, gli attacchi alle CA, 
etc..).
 
A titolo di cronaca, io l'ho trovata un'interessante lettura fuori dai 
soliti schemi e che approfondisce meccanismi, enti e situazioni 
organizzative, invece dei soliti libri fondamentalmente tecnici.
 
Il libro � Cyberworld (Hoepli) - Dall'hacking al profiling, dalle dark 
network alla cyber law.
 
Cos�, tanto per condividere una lettura per l'estate che come al solito 
i vostri familiari non apprezzeranno :-)

 sinceramente. E anche in diverse open source, giusto per restare in topic.
 
In un altro post si diceva che l'open source per sua natura era
difficilmente soggetto a questi rischi per il semplice fatto che in
molti possono accertarsi. Vero, pero` ho letto (mi scuso non ho salvato
le fonti) l'intervista di un insegnate universitario americano
che diceva che il codice di TC per windows e` intricatissimo e che
stimava che al mondo non ci fossero piu` di 10 persone in grado di
comprenderlo nella sua interezza.
Ho letto anche un'altra cosa che mi ha molto stupito ma non so se sia
vera: i programmatori microsoft mettevano le loro manacce nel codice
TrueCrypt?
Ho letto che avevano lasciato anche alcuni commenti al codice tipo
"modificato come richiesto dal goverso usa". Mi sembra una cosa da pazzi
ma un po' ci credo se penso ad anni fa quando un hacker per puro caso
scopri` due backdoor in windows NT. Una l'avevano chiamata redmond e
l'altra nsa: si puo` essere piu` imbecilli di cosi` ? :-D
Detto per inciso: ms nego` l'esistenza della seconda; della prima invece
disse che serviva ad uso interno agli sviluppatori e si scuso` per
essersi dimenticata di toglierla al momento della messa in commercio ..
 

 TrueCrypt?
 
  La cosa non dovrebbe destare più allarme delle manacce che potrebbero
averci messo gli sviluppatori di PincoPallo® S.R.L., soprattutto se i
primi sul loro lavoro ci hanno messo la firma.
 
 
  Ciao,
 
 
Alessandro
 

 l'altra nsa: si puo` essere piu` imbecilli di cosi` ? :-D
 
No. Il commento "Modificato come richiesto dal governo USA" si 
riferisce a questo:
http://digital-forensics.sans.org/summit-archives/2010/18-lord-cryptanalysis.pdf
 
 
E' una presentazione da cui è stata rimossa (cfr. pag. 23) la parte 
relativa a Truecrypt "at the request of US Government".
 

 comprenderlo nella sua interezza.
 
Esatto. E altrettanto vale per una vagonata del SW che hai nel tuo PC.
Quindi OK, è tutto open source e in quanto tale auditabile da chiunque.
Ma poi gli audit chi li fa e con quali risorse?
 
 

 relativa a Truecrypt "at the request of US Government".
 
Okay, grazie. Mi sembrava strano ..