Hintergründe zu Truecrypt

[MSX]

Vorhin bin ich über ein paar interessante Geschichten zu Truecrypt gestolpert, die ich mal kurz angefangen hab, zu lesen. Ist zumindest spannend geschrieben und so wollte ich das mal hier posten für Interessierte:

Ursprung waren die Links unter: https://www.reddit.com/r/hackernews/comments/4cfy2t/truecrypt_was_written_by_a_international_arms/ bzw. https://www.reddit.com/r/de/comments/4cm915/truecrypt_was_written_by_an_international_arms/

Auch wird in einem Link kurz das "Wortspiel" "is not secure anymore" angesprochen, also dieser "NSA-Hinweis", zu dem es noch eine interessante Version gibt, die ich bislang nicht kannte: https://www.grahamcluley.com/2014/06/truecrypt-hidden-message/

Die eigentliche Geschichte aber, auf die ich hinaus wollte, ist dann diese hier: https://mastermind.atavist.com/he-always-had-a-dark-side
Wobei man dazu auch sagen muss, dass es sich hier eher nicht um den Hauptautor des Programms zu handeln scheint, wenn ich das richtig verstehe, insbesondere diesen Hinweis: https://twitter.com/matthew_d_green/status/714870253126164480
Dort wird auch nochmals https://mastermind.atavist.com/ und die Geschichte von eins drüber verlinkt.

Vielleicht mags ja jemand lesen. Wie gesagt, spannend und größtenteils wahr scheint das zu sein, auch wenns gleichzeitig ein wenig wie der Versuch einer Diskreditierung aussieht.

 

[virtus]

Klingt auf jeden Fall sehr spannend, aber zum Teil auch ein wenig nach Verschwörungstheorie. Die ersten Buchstaben zusammensetzen und dann aus Latein übersetzen. Na vermutlich findest du auch in der Bibel Hinweise auf Hitler, wenn du nur die richtigen Stellen zusammensetzt.

 

[mathmos]

Auch wird in einem Link kurz das "Wortspiel" "is not secure anymore" angesprochen, also dieser "NSA-Hinweis",

Kann die betreffende Stelle nicht finden. In welchem der Links wird das angesprochen? Weil auf http://truecrypt.sourceforge.net/ steht nichts von "is not secure anymore".

zu dem es noch eine interessante Version gibt, die ich bislang nicht kannte: https://www.grahamcluley.com/2014/06/truecrypt-hidden-message/

Nehmen wir mal an, die Aussage wäre korrekt und TrueCrypt stand zu dem Zeitpunkt unter der Kontrolle der NSA. Da stellen sich mir drei Fragen.

1. TrueCrypt hat mit neueren Versionen von Windows in manchen Situationen Probleme gemacht. Warum gab es ca. 2 Jahre lang kein Update von TrueCrypt? In aktuelleren Binärdateien hätte man doch wunderbar Backdoors und Co. ausbauen können.

2. Wenn die NSA das Projekt kontrolliert hat, warum konnten dann Sicherheitsexperten nachvollziehbar identische Binärdateien aus dem Sourcode bauen (welcher ja inzwischen geprüft wurde)? Das würde dann ja bedeuten, dass die NSA das Projekt kontrolliert hat, aber keinerlei Hintertüren usw. eingebaut wurden.

3. Wenn die NSA das Projekt kontrolliert hat, wie konnten die Entwickler dann überhaupt die Seite des Projekts ändern und diese "Warnung" veröffentlichen und die Binärdateien sowie den Sourcecode entfernen? Edit: Und warum hat die NSA tagelang nichts unternommen die Seite wiederherzustellen?

Da zwei Jahre lang gar kein Update mehr kam, halte ich es einfach für wahrscheinlicher, dass der bzw. die Entwickler keine Lust/Zeit mehr hatten. Und diese Warnung, dass TrueCrypt unsicher sei (was sich ja zum Teil bestätigt hat, da beim Audit Sicherheitslücken gefunden wurden), war ein Versuch, dass keine Dritten weitermachen.

 

[TBow]

Kann die betreffende Stelle nicht finden.

Bezug wird auf folgendes genommen...

Using Truecrypt is Not Secure As it may contain unfixed security issues

https://imgur.com/GBxTj3Y

Findest sich auch in deinem Link.

 

[MSX]

"anymore" heißt tatsächlich nicht, aber ja, die Stelle meinte ich. Hab das leider seit ewigen Zeiten so in Erinnerung.
Die Lateinübersetzung erscheint mir gar nicht so unpassend. War vielleicht schlicht ein weiterer Hinweis.
Dass TC eigentlich wirklich unsicher sei, war schon recht sicher glaub gar nicht so gemeint bei diesem Hinweis, aber ich würde es auch nicht unbedingt ausschließen, trotz Audit. Möglicherweise haben deren Gurus halt doch noch andere Stellen gefunden, die unsicher sind.

Einen spannenderen Einblick, bzw. eher im Endeffekt eine Anekdote und Trivia, fand ich die andere Geschichte. Schon amüsant, wenn man hört, dass da jemand mitgearbeitet hat, der nun ein Schwerstkrimineller ist.

 

[Tron]

Hust http://www.golem.de/news/paul-le-ro...ogenbaron-und-auftragskiller-1603-120058.html

 

[mathmos]

@TBow:

Danke. Ich hatte nach "is not secure anymore" gesucht und daher nichts gefunden.

Die Lateinübersetzung erscheint mir gar nicht so unpassend.

Zumindest laut dem Kommentar von Tim Bell stimmt die aber nicht. Da ich um Latein einen großen Bogen gemacht habe, kann ich dazu aber nichts sagen. Aber wie auch immer, meine oben genannten Fragen bleiben.

Schon amüsant, wenn man hört, dass da jemand mitgearbeitet hat, der nun ein Schwerstkrimineller ist.

Sind halt auch nur Menschen. Hans Reiser (Entwickler des Dateisystems ReiserFS) hat seine Frau auch umgelegt.

 

[Jester]

Nur mal so in den Raum geworfen - was ist wahrscheinlicher?

1. PLR wurde von der DEA wegen RX etc. lang gemacht und hat dann gegen eine Freifahrkarte der NSA geholfen, TC (7.1a) zu kompromittieren, danach hat er dieses vermeintliche Apronym gepostet, um die Community zu "warnen"

2. NSA kann sebst mit Hilfe von PLR die Verschlüsselung nicht knacken, weil der Junge seinerzeit ein tatsächlich sicheres System gebaut hat (s. Snowden). Nachdem er verhaftet wurde, hat eine staatliche Stelle das - nun nicht mehr vermeintliche - Apronym gepostet und PLR frei gelassen, mit entsprechender Schweigeauflage.



Viel besser, als ein unangreifbares System kompromittieren zu wollen, ist doch, es zu diskreditieren - und die Amis haben da sicherlich ein wenig Erfahrung mit.

Think.

 

[isaaaaah]

@jester
ist zwar mein erster post, darum kredibilität unter null, aber exakt das dachte ich mir auch. Wenn man die entwickler nicht kaufen kann, kauft man eben das auditing. Ist leider etwas prekär, dass nebst käsepizza, drogen und wirtschaft, ne volle plattenkrypto nur dann notwendig wird, wenn das eigene wissen einen dazu verpflichtet.

 

[Jester]

@isaaaaah: Wir geben Kredibilitätsvorschuss
Leider habe ich mittlerweile aus berufener Quelle andere Informationen... schade, es war sooo plausibel gewesen.
Und nein, kann ich nicht hier posten.

 

[cyber]

Ich hab vor einiger Zeit auch mal was zu Truecrypt gefunden. Die Seite ist russisch und der Artikel heißt in etwa "Wer erstellte Truecrypt?".

http://news.softodrom.ru/ap/b19702.shtml

oder direkt zu Google Translate:
https://translate.google.be/transla...ftodrom.ru/ap/b19702.shtml&edit-text=&act=url