TrueCrypt 7.0

Szoftver

Megjelent a TrueCrypt lemeztitkosító szoftver legújabb, 7-es verziója. A TrueCrypt segítségével titkosított köteteket hozhatunk létre akár fájlon belül (virtuális lemez), akár teljes partíción, beleértve a rendszerpartíciót is. Nyílt forrású, multiplatform szoftver, elérhető Windows, Mac OS X és Linux rendszerekre is.

Az legfrissebb fejlesztések:

  • Hardveres AES titkosítás
  • Kötet automatikus csatolása új eszköz csatlakoztatásakor
  • Nagy szektorméretek támogatása (4096 bájt)
  • Kedvenc kötet szervező, kötetenként paraméterezési lehetőséggel.
  • Biztonságos hibernálás titkosított kötetre (Vista, Win7, Win2008)

Részletes információk az újdonságokról, letöltés.

--

Megjelent a méltán népszerű nyílt-forrású, cross-platform TrueCrypt 7.0 kiadása. A kiadásban a legérdekesebb szolgáltatás a hardveresen segített titkosítás melyet minden Core i5, i7 processzorral kihasználhatunk.

Ezen kívül kapunk egy "Kedvencek kezelőt" is, mellyel a különféle tárolóink csatolását és a csatolások beállításait kezelhetjük.

Egyéb nyalánkságok is érkeztek, érdemes végigolvasni a hivatalos listát.

Hivatalos "változtatások listája"
Lifehacker cikk
Phoronix cikk

Letöltési link

mi akadalyozza meg a "komoly adatkozpontot" abban, hogy felhasznalja az oldalrol letoltheto hivatalos binarisokat, vagy akar forgasson belso hasznalatra sajatot, amivel meg a truecrypt vedjegyek eltavolitasaval se kell veszodni, mert nem terjesztik tovabb?
+ akarhogy nezem, az on-disk titkositas erosen desktop/portable tema, ha egy adatkozponthoz fizikai hozzaferese van a tamadoknak, az mar regen rossz.

a licenc itt hatodlagos kérdés. max annyi jelentősége van, hogy így nem került be egyetlen nagyobb disztribbe sem, így esély sincs arra, hogy ott átnézze a maintainer a kódját. nem mintha az önmagában biztonságot jelentene, lást Debian Openssl ügyet.
az elv ezeknél az, hogy általában úgysem bajlódnak a softwaret felhasználók a forrás lefordításával, és pláne nem a kód átnézésével. használják a binárist nyugodtan, azzal áltatva magukat, hogy "ez nyílt forráskódú" nem lehet vele biztonsági probléma. de ez csak önáltatás. lásd a linkelt JAP ügyet. pedig az is dicső nyílt forrású program.

Bevallom, most már végképp nem értem, mi a bajotok :(

  • A licenc szerinted nem számít, pedig az előbb még az egyik fő érv volt (nem a tied).
  • Az a baj, hogy nem nyílt (FOSS), de szerinted is mindegy, mert gyakorlati jelentősége nincs
  • A JAP-ot nem értem hogy jön ide: ha valaki szerint backdoor van a TC-ben, mutassa meg, ne beszéljünk mellé. Akkor meg csak jó, ha van forrás, át kellene nézni, nem?

Vagy az a gond, hogy a fejlesztők rejtőzködnek, *tehát* nem megbízható a szoftverük?

Szerintem senki se szeretné, ha akármelyik hatóság az ajtaján kopogtatna két hetente, hogy most foglaltak le xy-tól egy trucrypt-el titkosított gépet és ugyan törjed már fel nekik.
Valószínűleg nem hinnék el első körben, hogy nem tudod megtenni és megpróbálkoznának egyéb módszerekkel(pl. bűnrészesként vádolás, vagy hasonlók), ami nekem sem hiányozna, ha ilyen szoftvert írnék.

---
BME-VIK '09
Compaq Mini 311 - N270 @ 2323 MHz - 3GB DDR3 @ 1240 MHz - ION

persze.

érdekes módon az EncFs, Freenet, The Onion Router projektek fejlesztőit nem aggasztják ilyen kérdések.
egyébként is, ha nincs szándékos kiskapu a kódjukban, ugyan miben tudnának "segíteni"? arról nem is szólva, hogy milyen törvény kötelezné őket az "együttműködésre"?

talan nem akarnak hasonloan hulye kerdesekre valaszolni

valamint valljuk be, szubsztancialisan nagyobb userbase-t celoz meg a truecrypt, mivel win az elsodleges platformja. ha sikerulne a hatosagoknak "rabeszelni" oket, hogy fejezzek be a melot, es nemi aknamunkaval elerni, hogy ne alakuljon ki uj, aktiv karbantarto csapat egy fork fenntartasara, sok kellemetlensegtol szabadulnanak meg.

már a gondolatmeneted alapjaival van probléma. egy ilyen softwarenek nem az az elsődleges célja, hogy warez pistikék ezzel szivassák az ajtót rájuk törő jogvédőket, "hahaha titkosított minden és elfelejtettem a jelszót" felkiáltással.
vagy ha igen, akkor az már régen rossz.
ahol pedig valóban számít a biztonság, és nemcsak passzióból használnak ilyen softwareket, ott nem nevetnek jót az ilyen antarktiszi poénokon.

te lovagolsz szamomra erthetetlenul a warez teman, de mindenki magabol indul ki.
van egy laptopod, azon peldaul bizalmas uzleti adatok, haziporno, vagy akar csak sima csaladi fotok
amiket semmilyen korulmenyek kozott nem szeretnel esetleg nyilvanosan viszontlatni, vagy hagyni, hogy visszaeljenek veluk, miutan peldaul elvesztetted, vagy elloptak a gepedet.

erre a usecase-re vannak a truecrypt es a hozza hasonlo szoftverek kitalalva, nem az adatkozpontokba, ahol egesz mas szempontokat kell esetleg figyelembevenni (es _tenyleg_ nagyon ritka/extrem esetben van szukseg on-disk titkositasra)

te jöttél elő a "ha sikerulne a hatosagoknak "rabeszelni" oket" félmondattal.
most akkor mi köze van a hatóságoknak a bizalmas üzleti adatokhoz, házipornóhoz, vagy akar csak sima családi fotókhoz?!
feltéve ha nem pedofil fotókról van szó. ez valóban eszembe sem jutott, nyilván "magadból indultál ki".

Azert tegyuk hozza, a PGP-s Zimmermann nyilvan elete legszebb 3 evenek tekintette, amikor bepereltek a fegyvernek szamito PGP miatt. Tehat *akar* jogos is lehet a rejtozkodes. (Remlik valami hasonlo kurvaanyazas a Kerberos4 ebones verzioja kapcsan, sot az OpenSSL elodjenek szamito SSLEAY eseten is voltak azert gondok az (USA, titkositas, nagyvilag) triplettel.)

Egyebkent mindenfele szemelyeskedes nelul, tomoren es velosen leirod, hogy mi a problema a TC-vel? Egy alapitvany all mogotte, amelynek hulye helyekre van bejegyezve a szekhelye? Egy alapitvany alapitoi gondolom ugyanugy megtudhatok abban a nagy orszagban is valami jogi szervezodesen (aka cegbirosag) keresztul, mint itthon. Es mennyivel jobb, ha tudjuk, hogy Kovacs 123. Bela, Nagy Natalia valamintt W. Istvan kiskoru a fejlesztoi ennek a szoftvernek? (Speciel nem tudom nev szerint kik a Windows7 fejlesztoi, sot a HP-UX 11iv3-rol se. OK, a FreeBSD-rol legalabb nehanyrol, de szemelyese asszem csak 1-et ismerek - ekkor se tudhatom, hogy attol, mert jofej emberileg, mennyire all az XXX titkosszolgalattal kapcsolatban.)

Zimmerman legszebb éveiben még teljesen más törvények voltak hatályban. Franciaországban például mindenfajta titkosítási algoritmus polgári használata tiltott volt. igen nagy öngól is volt ez, az ipari kémek imádták azt az országot:)
az Egyesült Államokban még éltek a hidegháborús reflexek. tilos volt a titkosítást végző softwarek exportja, és ebből következően igen rossz szemmel néztek az ottani szervek, az ilyen témájú előadásokra.
azóta nagyot fordult a világ. ma már teljesen legális üzletet lehet üzemeltetni titkosítással kapcsolatos területeken. az sem titok, hogy az amerikai hatóságok kiharcolták maguknak, hogy "kiskapu" kerüljön be a Skypeba, így lehallgathassák az ott folyó beszélgetéseket. nem zaklatták ezért a Skype fejlesztőit. a legális és átlátható üzletmenetnek köszönhetően mára anyagilag is igen jól jártak, az ebay félrespekulálása miatt jól megszedték magukat.
az önmagában még nem biztosíték, hogy nevesítve vannak egy software fejlesztői. jó magyar szokás szerint akár hajléktalanok is lehetnek. illetve teljes nyíltság mellett is lehet hatalmasat bakizni. de ha a fejlesztők ennyire látványosan bujkálnak, ott igen erős a gyanú, hogy valami nagyon nincs rendben.
természetesen át lehetne nézni a kódot, le lehetne fordítani, de a franc se fog ezzel bajlódni, ha egyébként van alternatíva normális nembujkáló fejlesztőktől is. amikor át kell nézni mégis a kódot, inkább azokat.
itt nem az a baj, hogy a mögötte álló alapítványnak hülye helyen van bejegyezve a székhelye. a probléma az, hogy fiktív szervezetről van szó, ami soha nem is létezett. a jelenlegi címe egy salátabár. meg lehet nézni, hogy most szerepel e bejegyzett szervezetként, kicsi az esély hogy megtalálod valamelyik valóban hivatalos nyilvántartásban. alapítványoknál ugyanis nyilvánosak az alapítók, kurátorok, esetleges felügyelő testületre vonatkozó személyes adatok. itt pedig még a copyrightot is fiktív személyek jegyzik. eléggé nehéz így pénzt keresni a befektetett munkáért.
nem kell itt rögtön politikára és titkosszolgálatokra gondolni. bár arra is van példa, lásd JAP, vagy imesh. sokkal gyakoribb eset az ipari/üzleti kémkedés. az ipari kémek számára értékes információs központok folyamatos támadás alatt állnak. lásd a napi aktualitású Siemens SIMATIC ügyet.
a linux körüli fejlesztésekhez egyébként gyakran hozzájárul a Darpa vagy az NSA. nem titok. ma már más országok kormányzatai is átnézetik, pláne ezeket a kódokat. mivel a fejlesztés átlátható módon zajlik, nem kell átnézni a teljes kódbázist, hogy el tudd különíteni pl az NSA támogatással/hozzájárulással bekerült kódokat. természetesen az "átlátható" nyílt forráskód sem jelent 100% biztonságot, a már említett Debian openssl ügy igencsak elgondolkoztató.

"az sem titok, hogy az amerikai hatóságok kiharcolták maguknak, hogy "kiskapu" kerüljön be a Skypeba, így lehallgathassák az ott folyó beszélgetéseket."

Nem épp az ilyenek miatt fontos a névtelenség? Ha lehet tudni, hogy kik a fejlesztők, akkor hatékonyabban tudnak náluk backdoorért "harcolni" a titkosszolgálatok.

a szerverüknek van valós ip címe, egy valós helyen található. el lehet oda menni, előbb utóbb előkerülnek a valódi tulajdonosok, vagy a velük kapcsolatban álló személyek. a torrentszerverek üzemeltetői sem tudnak örökké titokban maradni, hasonló módszereik ellenére.
egyébként akkor már az egész kódot ahogy van le is nyúlhatják, és módosíthatják kedvük szerint. a copyright fiktív, így nincs senki aki jogorvoslatért fordulhatna TC részről.
EncFs, Luks, FreeOTFE, hasonló softwarek fejlesztőinek nem kell globális bujkálósdit játszaniuk. lehet ezt tisztességesen is csinálni.

"a szerverüknek van valós ip címe, egy valós helyen található. el lehet oda menni, előbb utóbb előkerülnek a valódi tulajdonosok"

Tehát azt állítod, hogy ha jó célból akarnának névtelenek maradni, akkor nem próbálnának, mert úgyis meg lehet őket találni? Ugyanez igaz arra is, ha rossz célból akarnak névtelenek maradni. Úgyhogy ebből az érvből (hogy úgyse lehet teljesen titokban maradni) szerintem nem következik semmi arra nézve, hogy jó vagy rossz célból próbálnak.

"vagy a velük kapcsolatban álló"

Lehet, hogy pl. tor-on keresztül.

"egyébként akkor már az egész kódot ahogy van le is nyúlhatják, és módosíthatják kedvük szerint. a copyright fiktív, így nincs senki aki jogorvoslatért fordulhatna TC részről."

Így van, de persze fennállna a veszélye, hogy egyszer felfedik magukat, és jól beperelik.

"EncFs, Luks, FreeOTFE, hasonló softwarek fejlesztőinek nem kell globális bujkálósdit játszaniuk."

Lehet, hogy van is bennük backdoor, mint a Skype-ban.

és persze fizetni a tor proxyn keresztül fizetnek a szolgáltatásért freenet bankkártyával, mi?:)

nem tudnák felfedni magukat, mert olyan szinten elrejtőztek, hogy a TChez kapcsolódó egyetlen nyilvános adat sem kapcsolható valós személyekhez. simán buknák a pert, bár elő sem bújnának, mert akkor ugye hova lenne az inkognitó.
az abandonwarenél is gyengébbek a pozícióik.

Nem, fizetni megtalálható emberek fizetnek, akik viszont lehet, hogy nem egyeznek meg a fejlesztőkkel, és nem is ismerik őket személyesen, csak tor-on keresztül állnak velük kapcsolatban.

"nem tudnák felfedni magukat, mert olyan szinten elrejtőztek, hogy a TChez kapcsolódó egyetlen nyilvános adat sem kapcsolható valós személyekhez"

Valóban, ahhoz, hogy felfedjék magukat, tudniuk kéne igazolni, hogy ők írták. Ezt lehet, hogy nem tudnák bíróság előtt érvényes módon igazolni - ez amúgy más, hivatalos szervezet nélkül fejlesztett nyílt forrású szoftvereknél is probléma lehet.

toron kapcsolatban állhatnak, de a pénzt ott nem tudják átnyomni. baráti szívességből pedig aligha akad bárki, aki fizetne a soha nem látott haverjai után. már egy ideje egyre szigorúbban ellenőrzik az elektronikus pénzmozgást. pláne a szept11 utáni paranoiában mármár káros mértékűre növelték az ellenőrzést.

"ez amúgy más, hivatalos szervezet nélkül fejlesztett nyílt forrású szoftvereknél is probléma lehet"
sőt már voltak is ilyen esetek, nem is egy. ezért ha nincs hivatalos szervezet/alapítvány/cég, akkor mindig saját valós névre kell írni a copyrightot. különben olyan, mintha public domain alatt publikálnánk.

Valakik időt ölnek a fejlesztésbe, valakik pedig pénzt a szerver fenntartásába. (Adományokat lehet küldeni, nem tudom, ebből tartják-e fenn magukat.) Mindkét esetben lehet, hogy "baráti szívességből" a felhasználók felé, és lehet, hogy érdekből (pl. mert szükségük van a programra). Miért kéne, hogy közük lehyen egymáshoz, azaz miért gondolod, hogy ugyanaz járul hozzá idővel a projecthez, mint aki pénzzel?

A szerzői jog tulajdonosa egy TrueCrypt Developers Association.

Zimmerman óta változott egy kicsit a helyzet, de még most sem lehet normális hosszúságú kulcsot használó szoftvert külföldiek számára letölthetővé tenni. Így a múltidő használata nem teljesen indokolt. Tévedések elkerülése végett, az NSA nem azért küzd, hogy minél erősebb titkosító algoritmust, és minél hosszabb kulcsokat használjanak az emberek.
Egy kis adalék: http://www.access.gpo.gov/bis/ear/pdf/ccl5-pt2.pdf
Az is exportnak számít, ha egy USA-ban működő szerverről le lehet tölteni az adott szoftvert.

-----
Innen most töltsünk tiszta vizet a nyílt kártyákba: ...

nem használom, első ránézésre korrekt sortwarenek tűnik. a főbb disztribúciók is használják. természetesen a ami világban nincs 100% biztonság, lásd a bagatell openssl ügy. de a KeePass mögött legalább nincsen olyan gyanús, zavaros háttér, mint a TC mögött. ha érdekel itt egy régi cikk a KeePass szerzőjétől.

( crown v | 2010. 07. 22., cs – 09:46 )

Biztonsag tekinteteben ez hogyan viszonyul az Ubuntuban levo titkositashoz?

Mikor utoljara probaltam a TC-et, valahogy nem volt tul seamless. Nem nagyon akarok minden boot-kor parancssorban butykolni. Van ennek rendes jelszo bekerese indulaskor, vagy valami, amivel kenyelmes hasznalni desktop-on?