Newsgroup: it.comp.sicurezza.crittografia
Titolo: TrueCrypt is not secure

http://arstechnica.com/security/2014/05/truecrypt-is-not-secure-official-sourceforge-page-abruptly-warns/
 
http://www.theregister.co.uk/2014/05/28/truecrypt_hack/
 
 
-- 
Ciao, Alessio - 
http://www.sleepers.it
 
 
Materiale in italiano per Agent: 
http://agentit.altervista.org/
 

 
http://www.theregister.co.uk/2014/05/28/truecrypt_hack/
 
[...]
sì, ma ti pare che dire: "NON USATE TRUECRYPT, BENSÌ UN PROGRAMMA 
PROPRIETARIO A CODICE CHIUSO" sia nella logica della trasparenza? O peggio 
ancora consegnarsi mani e piedi alla criptazione dei sistemi windows?
 
non ti pare strano?
 
nel frattempo tutti dovrebbero astenersi dallo scaricare ed installare la 
versione 7.2 di truecrypt che è stata caricata su quell'account 
sourceforge ed il perché è spiegato nel proprio nel link a 
 
http://www.theregister.co.uk/2014/05/28/truecrypt_hack/
 
-- 
Puppy Linux wiki:  
http://dokupuppylinux.info
 
Puppy Linux Forum: 
http://www.italianpuppy.org/
 
Windows me genuit, Ubuntu rapuere / tenet nunc Puppy Linux...
dropbox 2GB free - 
http://db.tt/Vc6IeN4
 


GnuPG 4096 RSAv4 key: \_____________________________________________
UID:0xE361F839--Fingerprint:9516BCF66B8F12E0C3C3154C61788B6DE361F839

 sourceforge ed il perché è spiegato nel proprio nel link a
 
Si vabbè ma almeno ci indichino come possiamo verificare noi stessi 
l'esistenza di queste backdoor o dobbiamo fidarci sulla parola?

 queste backdoor. 
 
Un attimo, di 'falle' o backdoor in TrueCrypt non ce ne dovrebbero
essere, infatti anche l'audit per il momento non ha trovato nulla. 
 
Quello che dice il cosiddetto "annuncio" � che *in futuro* ci
potrebbero essere dei problemi di sicurezza, che non saranno risolti
visto che il software non viene pi� sviluppato. 



 
Ormai direi che � passato abbastanza tempo per poter escludere del
tutto una manomissione del sito da parte di terzi. 
 
Sono d'accordo che tutte le "teorie del complotto" sono basate su
mere congetture, non c'� nessunissima prova certa in tal senso. Tra
l'altro, non c'� nessuna "chiave master" che gli autori di TrueCrypt
potrebbero essere costretti a rivelare. 
 
La spiegazione pi� semplice � in effetti che gli autori si siano
resi conto che non possono pi� sviluppare n� supportare
ulteriormente TrueCrypt (magari perch� non hanno tempo) e che
abbiano deciso di annunciare ufficialmente la cosa. In effetti era
da pi� di due anni che non c'erano aggiornamenti, e le nuove
versioni di Windows e i boot uefi richiederebbero un bel po' di
lavoro per supportare la cifratura del disco di sistema. 
 
Detto questo, per�, non si capisce perch� rimuovere completamente
(perfino da 
web.archive.org
!) sia il sito che il forum (!) e mettere
su quella paginetta che sembra fatta in fretta e furia. N� si
capisce perch� fare tutto quel tutorial su BitLocker, visto che in
rete non mancano certo fonti che spieghino come usarlo. E non si
capisce neanche perch� rimuovere completamente tutte le versioni di
TrueCrypt e in compenso rilasciare una "nuova" versione 7.2 la cui
unica differenza rispetto alla 7.1a sembra essere la licenza
modificata (!) e il non permettere la creazione di file cifrati ma
solo la lettura di quelli esistenti (ufficialmente per supportare la
"migrazione"). La cosa pi� logica da fare sarebbe stato
semplicemente mettere un banner in cima al solito sito, con la
scritta che TrueCrypt non � pi� sviluppato n� supportato, che
eventuali problemi non verranno corretti, che l'ultima versione di
Windows supportata � la 7, e che chiunque lo usa da oggi in poi lo
fa a suo rischio e pericolo. 
 
Direi che a questo punto le ipotesi sul campo rimangono tre:
 
1) Gli autori si sono effettivamente accorti di un "clamoroso" baco
di cui non si era mai accorto nessuno, e che verrebbe scoperto nella
fase 2 dell'audit. Visto che non hanno tempo/modo di correggerlo,
hanno messo in piedi questa faccenda per fare in modo che tra
qualche mese (quando dovrebbe uscire il risultato dell'audit)
nessuno user� pi� TrueCrypt e la scoperta del baco non produrr�
effetti negativi per nessuno. 
 
2) Qualcuno � nella posizione di poter costringere gli autori a
rilasciare una nuova versione di TrueCrypt con una backdoor (tanto,
l'audit � stato fatto sulla versione 7.1a e non sulle ipotetiche
versioni successive), contando sul fatto che quasi tutti gli utenti
di TrueCrypt aggiornerebbero comunque le loro installazioni. A
questo punto gli autori hanno preferito mandare tutto a monte, e lo
hanno fatto in modo che nessuno possa avere fiducia in una futura
versione di TrueCrypt anche se rilasciata apparentemente da loro. 
 
3) Gli autori si sono semplicemente trovati a non poter pi�
sviluppare e supportare TrueCrypy (e magari hanno anche rosicato per
il fatto che forse il progetto di audit del codice ha raccolto in
poche settimane pi� fondi di quanti ne abbiano ricevuti loro come
donazioni in 10 anni...) ma, invece di fare un banale annuncio di
End-Of-Life del programma, hanno deciso di mettere in piedi questa
messinscena per farsi delle clamorose risate leggendo tutta la ridda
di commenti e di illazioni che in questi giorni si sta rincorrendo
su internet. ;-) 
 
L'ipotesi 1) � altamente improbabile: implica un baco talmente
grosso da non poter essere corretto senza rifare tutto da capo, che
nessuno ha scoperto prima in 10 anni, neanche nella fase 1
dell'audit, ma che sarebbe sicuramente messo in luce dalla fase 2
dell'audit. 
 
L'ipotesi 2) � una mera congettura non suffragata da nulla.
 
... e se, alla fine, fosse vera proprio l'ipotesi 3) ? ;-) Se �
cos�, sono dei grandi!!! :-D
 
Detto questo, io sto continuando tranquillamente a usare TrueCrypt
7.1a (su Windows 8.1 x64 con un file container, per la cronaca).
Consiglio a tutti di fare altrettanto, almeno fino al risultato
della fase 2 dell'audit. Dopodich�, se uscir� fuori qualcosa di
davvero clamoroso (cosa di cui dubito forte, comunque), si penser�
al da farsi...


 visto che il software non viene piï¿œ sviluppato.
 
Bï¿œ, secondo questa logica allora praticamente nel 100% dei software ci
potrebbero essere problemi di sicurezza che potrebbero essere scoperti
in futuro, ipoteticamente.
Finchï¿œ non vengono scoperti perï¿œ restano sicuri. Allora o mi mostri
quali sono questi bachi oppure fino a prova contraria restano sicuri
anche se non vengono aggiornati da anni.
 
 
 

 restano sicuri anche se non vengono aggiornati da anni.
 
Ma infatti per quanto mi riguarda TrueCrypt 7.1a � sicuro, e tale
rimarr� almeno fino a quando i progressi nella potenza di calcolo
non renderanno obsoleti gli algoritmi di cifratura che implementa. 
 
Poi, come dicevo nell'altro messaggio, � sempre possibile che la
fase 2 dell'audit riveli sorprese clamorose, ma lo ritengo altamente
improbabile. 



che ne dite?
Saranno le future "mani insicure"?
 
 
-- 
++stralix++
 

 Saranno le future "mani insicure"?
 
Per il momento non sembra... Sembra pi� un progetto di fork...
Rendono anche disponibile la "vecchia" versione 7.1a (che per�
andrebbe verificato che sia proprio la vecchia e non sia stata
modificata). 


Che cosa � l'Audit?
 
In pratica in c�sa consiste?
 
 
Ciao 
 
 




 tutto? ;-) 
 
Magari: sarebbe un colpaccio :D
E' già tanto salvare la pellaccia eludendo una "offerta
che non si puo' rifiutare" :]
 
 
-- 
++stralix++

 
 
Ok, ti ringr�zio.
 
Ciao 
 
 

 su internet. ;-) 
 
3bis) Constatato che la comunitï¿œ a loro autori per la fatica pluriennale 
non diede quanto ï¿œ disposta invece a dare ai revisori, hanno deciso di 
mandarci a quel paese vendendo a MS un endorsement per il suo Bitlocker...
 
-- 
Sans