TrueCrypt ปลอดภัยอย่างแท้จริงหรือไม่?

ฉันใช้ TrueCrypt มานานแล้ว แต่มีคนชี้ให้ฉันเพื่อการเชื่อมโยงที่อธิบายปัญหาที่มีใบอนุญาต

IANAL และมันก็ไม่สมเหตุสมผลกับฉันจริงๆ อย่างไรก็ตามฉันต้องการให้ซอฟต์แวร์เข้ารหัสของฉันเป็นโอเพนซอร์ซไม่ใช่เพราะฉันสามารถแฮ็คเข้าไป แต่เพราะฉันเชื่อใจมัน

ฉันพบปัญหาบางอย่างด้วย:

• ไม่มี VCS สำหรับซอร์สโค้ด
• ไม่มีบันทึกการเปลี่ยนแปลง
• ฟอรั่มเป็นสถานที่ที่ไม่ดี พวกเขาแบนคุณแม้ว่าคุณจะถามคำถามของแท้
• ใครเป็นเจ้าของ TrueCrypt
• มีรายงานบางส่วนเกี่ยวกับการตรวจสอบการตรวจสอบ MD5

ความจริงแล้วเหตุผลเดียวที่ฉันใช้ TrueCrypt คือเพราะมันเป็นโอเพ่นซอร์ส แต่บางสิ่งก็ไม่ถูกต้อง

มีใครเคยตรวจสอบความปลอดภัยของ TrueCrypt บ้าง ฉันควรจะเป็นห่วงจริงๆเหรอ? ใช่ฉันหวาดระแวง; ถ้าฉันใช้ซอฟต์แวร์เข้ารหัสฉันเชื่อมั่นได้ตลอดชีวิต

หากความกังวลของฉันเป็นของแท้จะมีทางเลือกอื่นใดในการเปิดแหล่งที่มาของ TrueCrypt หรือไม่?

ฉันจะไปถึงจุดบทความโดยจุด:

ไม่มีใครรู้ว่าใครเป็นผู้เขียน TrueCrypt ไม่มีใครรู้ว่าใครเป็นผู้ดูแล TC

มีคำพูดทันทีหลังจากที่กล่าวว่าเครื่องหมายการค้าเป็นของ Tesarik ซึ่งอาศัยอยู่ในสาธารณรัฐเช็ก มันค่อนข้างปลอดภัยที่จะสมมติว่าใครก็ตามที่เป็นเจ้าของเครื่องหมายการค้าดูแลผลิตภัณฑ์

ผู้ดูแลในฟอรัม TC ห้ามผู้ใช้ที่ถามคำถาม

มีข้อพิสูจน์เรื่องนี้หรือเปล่าว่าเป็นเพียงแค่เรื่องเล่า? และโดยการพิสูจน์ฉันหมายถึงการพิสูจน์คนแรกภาพหน้าจอและอื่น ๆ

TC อ้างว่ามีพื้นฐานมาจากการเข้ารหัสสำหรับมวลชน (E4M) พวกเขาอ้างว่าเป็นโอเพ่นซอร์ส แต่ไม่ต้องดูแลที่เก็บ CVS / SVN สาธารณะ

การควบคุมแหล่งที่มาเป็นส่วนสำคัญของโครงการการเขียนโปรแกรมกลุ่ม แต่แน่นอนว่าการไม่มีแหล่งข้อมูลจะไม่ลดความน่าเชื่อถือของโครงการดังกล่าว

และไม่ออกบันทึกการเปลี่ยนแปลง

ใช่. http://www.truecrypt.org/docs/?s=version-history ไม่ทุก OSS เผยแพร่บันทึกการเปลี่ยนแปลงที่ชัดเจนมากเพราะบางครั้งก็ใช้เวลามากเกินไป

พวกเขาห้ามคนจากฟอรัมที่ขอบันทึกการเปลี่ยนแปลงหรือซอร์สโค้ดเก่า

เพราะมันเป็นคำถามที่โง่พิจารณาว่ามีบันทึกการเปลี่ยนแปลงและรุ่นเก่ามีอยู่แล้ว http://www.truecrypt.org/downloads2

พวกเขายังเปลี่ยนไบนารี (md5 hash change) แบบเงียบ ๆ โดยไม่มีคำอธิบาย ... ศูนย์

นี่เป็นรุ่นอะไร มีหลักฐานอื่นอีกไหม? ดาวน์โหลดเวอร์ชันเก่าที่ลงชื่อแล้วหรือไม่

เครื่องหมายการค้าจัดขึ้นโดยชายคนหนึ่งในสาธารณรัฐเช็ก ((ลงทะเบียน) Tesarik, David บุคคลสาธารณรัฐเช็ก Taussigova 1170/5 Praha CZECH REPL Republic 18200)

แล้วอะไรล่ะ บางคนในสาธารณรัฐเช็กเป็นเจ้าของเครื่องหมายการค้าสำหรับเทคโนโลยีการเข้ารหัสที่สำคัญ ทำไมมันถึงสำคัญ?

โดเมนถูกลงทะเบียนส่วนตัวโดย proxy บางคนอ้างว่าเป็นแบ็คดอร์

ใคร? ที่ไหน? อะไร?

ใครจะรู้? พวกเหล่านี้บอกว่าสามารถหาปริมาณ TC ได้: http://16systems.com/TCHunt/index.html

ดุจปริมาณ TC .tcในภาพทั้งหมดจบลงด้วย

มีใครเห็นภาพนี้ในหน้าติดต่อบ้าง

อ่านบทความเหล่านี้ FBI ล้มเหลวในการถอดรหัสฮาร์ดไดรฟ์ 5 ตัวที่ป้องกันด้วย truecrypt

http://www.net-security.org/secworld.php?id=9506

http://techie-buzz.com/foss/fbi-fail-decrypt-hard-drive-truecrypt.html

ฉันเชื่อว่า TrueCrypt อาจให้บริการโดย NSA, CIA หรือหนึ่งในหน่วยงานรัฐบาลกลางขนาดใหญ่เพื่อส่งเสริมการเข้ารหัสที่พวกเขามีประตูหลังเพื่อลดการใช้การเข้ารหัสอื่น ๆ ที่พวกเขาไม่สามารถถอดรหัส นั่นเป็นเหตุผลสำหรับความลับของพวกเขารอบตัวและนั่นเป็นเหตุผลว่าทำไมมันถึงเป็นผลิตภัณฑ์ที่ได้รับการขัดเกลามาอย่างดีพร้อมเอกสารที่ดีแม้ว่าจะไม่ใช่ผลิตภัณฑ์เชิงพาณิชย์หรือการมีส่วนร่วมอย่างกว้างขวางของนักพัฒนาโอเพ่นซอร์ส

ดูเอกสารนี้ซึ่งอธิบายว่าเป้าหมายของรัฐบาลคือการสนับสนุนให้มีการใช้การเข้ารหัสอย่างกว้างขวางซึ่งพวกเขาสามารถกู้คืนกุญแจได้: http://www.justice.gov/criminal/cybercrime/cryptfaq.htm

อันที่จริงฝ่ายบริหารสนับสนุนการออกแบบการผลิตและการใช้ผลิตภัณฑ์เข้ารหัสและบริการที่อนุญาตให้กู้คืนข้อมูลที่เข้ารหัสลับรวมถึงการพัฒนาระบบการกู้คืนข้อความธรรมดาซึ่งอนุญาตให้ผ่านวิธีการทางเทคนิคที่หลากหลาย เจ้าของข้อมูลหรือหน่วยงานบังคับใช้กฎหมายที่ทำหน้าที่ภายใต้อำนาจตามกฎหมาย การใช้งานระบบดังกล่าวอย่างแพร่หลายเท่านั้นที่จะช่วยป้องกันข้อมูลและปกป้องความปลอดภัยของประชาชน

....

เป้าหมายของกรม - และนโยบายของฝ่ายบริหาร - คือการส่งเสริมการพัฒนาและการใช้การเข้ารหัสที่แข็งแกร่งซึ่งช่วยเพิ่มความเป็นส่วนตัวของการสื่อสารและการจัดเก็บข้อมูลในขณะที่ยังคงรักษาความสามารถในปัจจุบันของผู้บังคับใช้กฎหมายในการเข้าถึงหลักฐาน การตรวจตรา

...

ในเรื่องนี้เราหวังว่าความพร้อมใช้งานของการเข้ารหัสที่เชื่อถือได้สูงซึ่งมีระบบการกู้คืนจะช่วยลดความต้องการการเข้ารหัสประเภทอื่น ๆ และเพิ่มโอกาสที่อาชญากรจะใช้การเข้ารหัสที่สามารถกู้คืนได้

โครงการ TrueCrypt อาจทำงานได้ดีในแบบที่ไม่เอื้ออำนวย / เป็นปฏิปักษ์ต่อบุคคลภายนอก (ไม่ระบุชื่อ devs ไม่มีการเปลี่ยนแปลง) แต่ฉันไม่เห็นว่าเกี่ยวข้องกับความปลอดภัยหรือไม่

มองไปที่มันเช่นนี้หาก devs จริงๆอยากจะกรูคนโดยการใส่แบ็เข้า TrueCrypt ก็จะทำให้ความรู้สึกของพวกเขาจะมีความสุขดังนั้นคนที่มีข้อสงสัยน้อย

กล่าวอีกนัยหนึ่งว่าซอฟต์แวร์ที่มีความน่าเชื่อถือนั้นค่อนข้างอิสระจากผู้พัฒนาซอฟต์แวร์ที่เป็นคนเข้ากับคนง่ายหรือไม่ หากคุณเชื่อว่าการมีซอร์สโค้ดไม่เพียงพอเพื่อความปลอดภัยคุณจะต้องจัดระเบียบการตรวจสอบโค้ด มีบางคนที่อยู่นอกโครงการ TrueCrypt ที่ดูซอร์สโค้ดดังนั้นแบ็คดอร์ที่มีเจตนาอาจซ่อนอยู่ได้ยาก แต่อาจมีบั๊กที่ซ่อนอยู่ บั๊กในแพ็คเกจ OpenSSL ของ Debianนั้นไม่มีใครสังเกตเห็นมาระยะหนึ่งแล้ว

ฉันคิดว่าประเด็นที่ทุกคนขาดหายไปคือถ้าใครบางคนกำลังพิจารณาการใช้ Truecrypt บุคคลนั้นจะต้องแน่ใจว่าปลอดภัย 100% หากชีวิตของพวกเขาอาจตกอยู่ในอันตรายอาจไม่ใช่ Flash Player หรือแอพ Fart สำหรับ iPhone ของคุณ หากล้มเหลวอาจหมายถึงมีคนถูกฆ่ามากกว่าข้อมูลที่ค้นพบ

หากสงสัยในความสมบูรณ์ของ Truecrypt ทำไมต้องใช้แอปพลิเคชันนี้

btw ไม่มีคำถามเป็นคำถามโง่เกี่ยวกับ Truecrypt หรืออะไร

ฉันใช้ truecrypt มาสองสามปีแล้วและเมื่อคุณดูที่รูปแบบการเข้ารหัสปัญหาเล็ก ๆ ที่คุณชี้ให้เห็นจะไม่ทำอะไรกับความปลอดภัยของมัน แม้แต่วิศวกรคอมพิวเตอร์ / Cryptanalyst 15 ปีก็รู้สึกประทับใจ

และเพียงเพราะมันไม่มีที่เก็บไม่ได้หมายความว่ามันไม่ได้มาเปิด ฉันสามารถตรงไปที่ส่วนดาวน์โหลดและรับซอร์สโค้ดทั้งหมดซึ่งในความเป็นจริงคือสิ่งที่คุณต้องการ

ฟอรั่มเป็นเพียงจุดอ่อน ฉันไม่ได้เห็นการห้ามทำอะไรเลยมี แต่เปลวไฟสงครามเท่านั้น คุณมีหลักฐานการแบนหรือไม่?

คำตอบจนถึงตอนนี้ได้กล่าวถึงความไว้วางใจในการเข้ารหัสของ TrueCrypt ตามเอกสาร TrueCrypt ใช้อัลกอริธึมการเข้ารหัสที่ดี อย่างไรก็ตามนี่เป็นเพียงส่วนหนึ่งของเรื่องราวเนื่องจากอัลกอริธึมการเข้ารหัสไม่ใช่ส่วนที่ยากที่สุดของโปรแกรมที่เน้นเรื่องความปลอดภัย ซอร์สโค้ดของ TrueCrypt นั้นสามารถตรวจสอบได้ซึ่งเป็นจุดที่ควรพิจารณา

มีประเด็นอื่น ๆ ที่ควรพิจารณาเมื่อทำการประเมินโปรแกรมเพื่อปกป้องข้อมูลที่เป็นความลับ

• โปรแกรมนี้ให้ความสมบูรณ์ของข้อมูลด้วยหรือไม่? TrueCrypt ไม่ได้ ความถูกต้องของข้อมูลหมายถึงบุคคลที่สามารถเข้าถึงคอมพิวเตอร์ของคุณชั่วคราวไม่สามารถแทนที่ข้อมูลของคุณด้วยข้อมูลที่ถูกแก้ไข เป็นสิ่งสำคัญอย่างยิ่งที่จะต้องปกป้องระบบปฏิบัติการของคุณ: หากมีใครบางคนติดตามข้อมูลของคุณพวกเขาอาจติดตั้ง keylogger เพื่อดักจับข้อความรหัสผ่านของคุณในครั้งต่อไปที่คุณพิมพ์หรือมัลแวร์อื่น ๆ ดังนั้นถ้าคุณไม่ได้มีวิธีการตรวจสอบการปลอมแปลงดังกล่าวไม่ได้ออกจากคอมพิวเตอร์ของคุณไม่ต้องใส่

• โปรแกรมมีให้ใช้อย่างกว้างขวางแค่ไหน? อัตรา TrueCrypt ค่อนข้างสูงในจำนวนนั้น: มันมีอยู่ในระบบปฏิบัติการเดสก์ท็อปหลัก ๆ ทั้งหมด (Windows, Mac, Linux); ฟรีดังนั้นคุณไม่ต้องกังวลกับค่าลิขสิทธิ์ เป็นโอเพ่นซอร์สเพื่อให้ผู้อื่นสามารถพัฒนาได้หากทีมพัฒนาปัจจุบันหายไปอย่างกระทันหัน มันใช้กันอย่างแพร่หลายดังนั้นบางคนมีแนวโน้มที่จะก้าวขึ้นหากทีมปัจจุบันหายไป การที่ประชาชนไม่สามารถเข้าถึงระบบควบคุมแหล่งข้อมูล (แพตช์แต่ละตัวที่มีข้อความการเปลี่ยนแปลงของพวกเขา) เป็นจุดที่ต่อต้าน

โจมตีบูตเย็นกันTruecrypt ไม่ปลอดภัย มันมีร่องรอยทางนิติวิทยาศาสตร์ในบูตโหลดเดอร์ซึ่งจะทำให้ศัตรูของคุณ (ถ้าเขารู้ว่านิติคอมพิวเตอร์) บังคับให้คุณใส่รหัสผ่าน