Newsgroup: it.comp.sicurezza.crittografia
Titolo: Su TrueCrypt e sulla parola OpenSource

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Il file sorgente chiamato truecrypt-1.0a-source-code.zip e univocamente
identificabile dall'MD5 500b11f57346a35ceedd718a9aa561fb è un po'
peculiare, dal punto di vista "legale":
1. contiene molti file con copyright "2004 TrueCrypt Team,
truecrypt.org
, This product uses components written by Paul Le Roux."
2. contiene i sorgenti di IDEA, con scritta l'origine ma non la licenza
(suppongo che questo significhi "public domain")
3. contiene leimplementazioni di CAST,Blowfish,DES,MD5 contenute in
SSLeay, con licenza piuttosto libera e non modificabile
4. contiene implementaizoni "public domain" di SHA-0 e SHA-1
5. contiene, in una sottocartella, un file chiamato DOCS/LICENSE.TXT
contenente l'ennesima licenza non ancora classificata da 
opensource.org
(la "TrueCrypt License"), ma che a una prima occhiata mi pare "piuttosto
simile alla GPL" (IANAL! IANAL! IANAL!), tranne il fatto che non può
essere redistribuito in alcun modo (insomma, il sito è "down", ma se vi
mando una copia del programma, faccio un reato!)
Il fatto di contenere DES è, quantomeno, preoccupante, spero che i suo
unico scopo sia la retro-compatibilità (magari con auto-conversione) con
vecchi documenti E4M/ScramDisk? (non ho idea se E4M/ScramDisk usassero
DES, peraltro!)
Il fatto di contenere IDEA, giustificato probabilmente da motivi simili,
getta dubbi sulla legittimità come uso "senza licenze", il che è un po'
seccante.
Il fatto di non contenere NESSUNO degli algoritmi più moderni (e
ritenuti dai più "migliori") quali i finalisti AES, è probabilmente la
cosa più preoccupante, in quanto delinea una versione 1.0 con le cose
curate più da un lato estetico (e di "branding") che al lato "pratico",
come ad esempio la (a mio parere stupida e inutile) restrizione sul
mirroring e/o comunque redistribuzione.
Il prodotto può essere modificato ma ESCLUSIVAMENTE sotto questa licenza
(cosa ben strana, dato che molte sue parti sono coperte da una licenza
diversa e altrettanto inmodificabile).
Il buon senso mi dice che tale file di licenza è, ovviamente, da
applicare solo a quei file che NON hanno licenza diversa nell'header
stesso, ma questo non è specificato e lascia le cose, peraltro, un
pochino poco chiare.
Insomma, sono un po' dubbioso.
Speriamo che un futuro di continue (e possibilmente trasparenti)
modifiche sia da un punto di vista "tecnico" che "legale" lo portino ad
essere un prodotto che mi convinca di più.
(anche perché se no... debuggare E4M abbastanza da correggere il bug
WinXP dell'unmount suppongo non sia così complesso =P)
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkAgJkAACgkQaJiCLMjyUvvjkQCgnUWMAF7i8cdMgfikGbja5Kcd
yycAoMPq73d1xJy2V0qsbE5wTncU47lu
=2nAs
-----END PGP SIGNATURE-----

 mirroring e/o comunque redistribuzione.
AES e' nella wishlist. Ho la sensazione che questa 1.0 sia semplicemente 
un E4M "ricarrozzato", "ritargato" e ricompilato con il WinXP DDK per 
evitare i problemi ben noti di compatibilita'. Le novita' vere dovrebbero 
esserci nelle prossime versioni (spero...). Staremo a vedere...
-- 
Carlo Luciano
GPG ElG/DSA 4096/1024 Key: 
http://web.tiscali.it/clbianco/clbianco.asc
ID: 0x5324A0DA - Fingerprint: 8B00C61034120506111B143DEDBF71B45324A0DA

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Carlo Luciano Bianco wrote:
| I vecchi container E4M/ScramDisk non possono essere aperti con TrueCrypt
| (almeno cosi' dice il sito).
Oibò, questa sì che sarebbe stata una feature desiderata, e la licenza
di E4M non avrebbe avuto nulla in contrario!
| Credo che DES ci sia semplicemente perche' in
| E4M c'era e non lo hanno ancora rimosso dai sorgenti.
Pare anche a me, a meglio vedere la cartella è "pari pari" a quella di
E4M, crittografia proveniente da SSLeay compresa ^_^
| Infatti, anche IDEA e' un "retaggio" di E4M...
O "compatibilità" o "ciao retaggi", che cavolo, non si può avere il
peggio di entrambi i mondi eheheh
| AES e' nella wishlist. Ho la sensazione che questa 1.0 sia semplicemente
| un E4M "ricarrozzato", "ritargato" e ricompilato con il WinXP DDK per
| evitare i problemi ben noti di compatibilita'. Le novita' vere dovrebbero
| esserci nelle prossime versioni (spero...). Staremo a vedere...
Già già, pare anche a me; questo in realtà mi dà molta più speranza 0=)
Come dicevo, lo deciderà il futuro se sarà un prodotto davvero
interessante o un mero E4M patchato ^_^
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkAgvGYACgkQaJiCLMjyUvub9gCdEH+F9tC8TFlghyShwAgogwa+
hDIAn04nS/6ocI4ond+SkgPeOTYcaBLn
=g7OA
-----END PGP SIGNATURE-----

 e
relativo thread su alt.security.scramdisk... 


 interessante o un mero E4M patchato ^_^
La stessa cosa che ho pensato anch'io...
Ciao,
un TJL73 che spera solo non lo peggiòrino...
-- 
"L'aspetto piu` difficile della soluzione dei problemi,
 e` il prevedere i problemi causati dalle soluzioni."
                                                      -- Theodore Levitt

 e
| relativo thread su alt.security.scramdisk...
In effetti mi chiedo anche io, come Ridge Cook in una reply, come possa
una ditta nata nel 2001 avere delle pertese su del codice che ha come
copyright "1998-2000 Paul Le Roux".
Anche ammesso che Paul Le Roux abbia dato a loro "tutti i diritti"
questo può valere in modo retroattivo? IANAL, non ne ho idea...
un Lapo che.. alla fin fine è contento di non essere stato lui a
"continuare" E4M, e chi vivrà vedrà
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkAg4WIACgkQaJiCLMjyUvspkwCeORqyaxzAPcgcRPFw0B2r/dCt
jDwAoKMTYDuwBZGpfeaevNCchcLEevHU
=F/z0
-----END PGP SIGNATURE-----

 "continuare" E4M, e chi vivrà vedrà
Beh...io sono contento che qualcuno abbia deciso di continuarlo, anche
se mi sarebbe piaciuto di più se sotto GPL...pazienza, basta che resti
"con il codice sorgente completamente disponibile" (e anche free, che
non guasta).
Immagino che i continuatori mirino a mantenere il controllo sul loro
prodotto (ovvero non vogliano che altri ci mettano le mani e
distribuiscano versioni modificate) ma contemporaneamente vogliano
mantenere il codice visibile, perchè sanno che questa è l'unica vera
garanzia sulla serietà e sicurezza di un programma di questo tipo...mi
chiedo in che modo intendono guadagnarci (e se), però.

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
SandroMz wrote:
| Immagino che i continuatori mirino a mantenere il controllo sul loro
| prodotto (ovvero non vogliano che altri ci mettano le mani e
| distribuiscano versioni modificate)
No, in realtà la loro licenza permette la modifica, a patto di cambiare
il nome del programma e di citare il loro copyright.
Inoltre l'eventuale versione modificate DEVE usare la loro licenza.
Oggi come oggi, comunque, avrebbe poco senso modificare il loro, avrebbe
più senso modificare direttamente E4M, che non mi pare dia limitazioni
di licenza sulla versione modificata 0=)
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkAhZeEACgkQaJiCLMjyUvv+dgCeOV9SNF/yM+6smdG+m6xe5MDH
bcwAnjNKZG6kYe5K6o7BChFBk6DoH74Z
=FXzH
-----END PGP SIGNATURE-----

 "continuare" E4M, e chi vivrà vedrà
Beh...io sono contento che qualcuno abbia deciso di continuarlo, anche
se mi sarebbe piaciuto di più se sotto GPL...pazienza, basta che resti
"con il codice sorgente completamente disponibile" (e anche free, che
non guasta).
Immagino che i continuatori mirino a mantenere il controllo sul loro
prodotto (ovvero non vogliano che altri ci mettano le mani e
