Thema: TrueCrypt ...

[SiLæncer]

Der Passwortknacker oclHashcat-plus kann in Version 0.15 TrueCrypt-Container mit Hilfe von Grafikprozessoren (GPUs) knacken. Nach Angaben des Hauptentwicklers atom klappt das so schnell wie mit keinem anderen Tool. Darüber hinaus bringt das Update viele weitere Verbesserungen; so wurde etwa die maximal mögliche Passwortlänge von 15 auf 55 Zeichen angehoben. Außerdem hält sich das Tool auf Wunsch Passwort-Policies, was die Knackdauer erheblich verkürzen kann.

Beim Knacken von TrueCrypt-Containern und -Laufwerken unterstützt oclHashcat-plus zwar alle möglichen Hash-Algorithmen, die Daten müssen allerdings AES-verschlüsselt sein. Die Verschlüsselungsverfahren Serpent und Twofish wollen die Entwickler als nächstes implementieren. Mit zwei Radeon-Grafikkarten des Typs HD6990 kann der Passwortknacker im günstigsten Fall 451.000 Kombinationen pro Sekunde durchprobieren – bei einem ausreichend langen und komplexen Passwort würde so immer noch beträchtliche Zeit ins Land ziehen, bis es oclHashcat-plus erraten hat. Wer sich an die von TrueCrypt empfohlene Mindestlänge von 20 Zeichen hält und keine vorhersehbaren Zeichenfolgen benutzt, muss sich keine Sorgen machen.

Der ganze Artikel

Quelle : www.heise.de

[SiLæncer]

Ein gut dokumentierter Versuch, die vom TrueCrypt-Projekt angebotenen Binärdateien für Windows aus dem öffentlichen Quellcode nachzubauen, zeigt: die Binaries stimmen mit den Quellen überein. Ob das Verschlüsselungs-Tool sicher ist, müssen weitere Analysen des Quelltextes zeigen. Aber zumindest ist jetzt klar, dass die vom Projekt zum Download angebotenen Dateien keine Hintertür enthalten, die nicht auch im Quelltext zu finden wäre.

Der ganze Artikel

Quelle : www.heise.de

[SiLæncer]

Die Betreiber des Verschlüsselungsprogramms Truecrypt warnen offenbar urplötzlich vor ihrer eigenen Software. Auf der Projektseite wird derzeit erklärt, wie man zu Bitlocker wechseln kann. Was dahinter steckt, ist noch unklar.

Auf der Internetseite des weitverbreiteten Verschlüsselungsprogramms Truecrypt ist plötzlich eine deutliche Warnung aufgetaucht. Gegenwärtig heißt es dort: "WARNUNG: Die Nutzung von Truecrypt ist unsicher, da nicht behobene Sicherheitslücken vorhanden sein können". Danach folgt eine ausführliche Erklärung, wie Nutzer von Truecrypt zu Bitlocker – ein Festplattenverschlüsselungsprogramm von Microsoft – wechseln können. Weitere Erklärungen beziehungsweise Hintergründe gibt es nicht, lediglich am Textende die erneute Warnung, dass Truecrypt unsicher sei.

Der ganze Artikel

Quelle : www.heise.de

[SiLæncer]

Einer der Entwickler von Truecrypt hat sich angeblich zu Wort gemeldet und die Beweggründe für das plötzliche Aus erklärt: Man habe das Interesse verloren. Einer Weiterentwicklung durch die Community steht er demnach kritisch gegenüber.

Einen Tag nach dem plötzlichen Ende von Truecrypt, hat sich offenbar einer der Entwickler der Verschlüsselungssoftware zu Wort gemeldet. Auf Twitter hatte Matthew Green, einer der Entwickler, die den jüngsten Truecrypt-Audit initiiert hatten, einen Austausch mit Steven Barnhart, der angeblich mehrere Mails eines Truecrypt-Entwicklers namens "David" erhalten hat. Demnach gebe es bei dem Entwicklerteam "kein Interesse" mehr an dem Projekt: "Nichts hält ewig." Der gegenwärtige Audit jedenfalls sei nicht der Auslöser gewesen, den habe man begrüßt.

Aus den kurzen Äußerungen zu dem E-Mail-Austausch geht noch hervor, dass die Truecrypt-Entwickler angeblich keinen Kontakt zu irgendeiner Regierungsbehörde hatten. Einzige Ausnahme sei eine Anfrage wegen eines "Support-Vertrags" gewesen. Das soll offensichtlich den Theorien widersprechen, dass hinter den Kulissen bei Truecrypt ähnliches abläuft, wie vergangenes Jahr bei Lavabit. In dem Fall dürften die Entwickler aber sowieso nicht darüber reden.

Der ganze Artikel

Quelle : www.heise.de

[Joutungwu]

Schade! Das unwürdige Entwicklungsende einer tollen Software. 

Die Schleichwerbung für den M$ BitLocker kommt ziemlich laut stampfend auf truecrypt.org daher.

Mobile Geräte würde ich trotzdem noch mit Truecrypt 7.1a verschlüsseln.

[SiLæncer]

Nach der spontanen Selbstauflösung des Truecrypt-Projektes arbeiten mindestens zwei verschiedene Organisationen daran, die Software weiterzuentwickeln. Allerdings begeben sich die Entwickler mit dem Vorhaben auf einen sehr steinigen Pfad.

Das Open Crypto Audit Project, welches Spendengelder gesammelt hatte, um den Quellcode des Verschlüsselungsprogramms zu begutachten, möchte seine Untersuchung von TrueCrypt 7.1 auch nach dem offiziellen Ende des Truecrypt-Projektes weiterführen. Man erwäge außerdem, einen etwaigen Fork des Quellcodes finanziell zu unterstützen. Das Projekt erhält im Rahmen der Core Infrastructure Initiative der Linux Foundation selbst finanzielle Unterstützung für seine Arbeit. Hier federführend beteiligt ist unter anderem Matthew Green, Professor für Kryptografie an der Johns-Hopkins-Universität.

Auch TruecryptNext will in der Schweiz einen Neuanfang schaffen. Das Vorhaben unter der Leitung von Thomas Bruderer und Joseph Doekbrijder hat es sich zum Ziel gesetzt, einen Fork des Truecrypt-Quellcodes zu organisieren. Auf der dazugehörigen Webseite heißt es, man habe als allererstes Truecrypt wieder als Download bereitstellen wollen. Als nächstes soll die rechtliche Lage ausgelotet werden, damit der Quellcode unter der Ägide eines Schweizer Vereins weiterentwickelt werden kann.

Der ganze Artikel

Quelle : www.heise.de

[SiLæncer]

Die in Saarbrücken ansässige Sirrix AG arbeitet offenbar an einem quelloffenen Nachfolger für die im Mai überraschend eingestellte Verschlüsselungssoftware Truecrypt.

Die bekannte Verschlüsselungssoftware TrueCrypt wurde für viele Nutzer ziemlich überraschend im vergangenen Monat eingestellt. Bis dato ist noch immer völlig nebulös, wer oder was hinter der mysteriösen Art und Weise der Einstellung des TrueCrypt-Projekts steckt. Die Projektseite TrueCrypt.org verwies zwischenzeitlich auf eine Sourceforge-Seite, die inzwischen auch nicht mehr erreichbar ist. Dort war bis vor ungefähr zwei Wochen eine Warnung zu lesen, TrueCrypt solle nicht verwendet werden, weil es unsicher und die Entwicklung daher im Mai 2014 eingestellt worden sei. Im Grunde war nie im Detail bekannt, woher TrueCrypt stammte und wer es geschrieben hat, so dass auch Spekulationen ins Kraut schossen.

Kurz nach dem Ende von TrueCrypt hatten zwei unabhängige Entwickler in der Schweiz begonnen, eine Webseite aufzubauen, die dazu dienen soll, Informationen und Unterstützer für eine wie auch immer geartete Fortführung von TrueCrypt zu finden. Sie verzeichnet mittlerweile über 30.000 Downloads und versucht offenbar, ein tragfähiges Modell für die weitere Entwicklung zu finden.

Jetzt kündigt das Saarbrücker Unternehmen Sirrix AG überraschend an, eine quelloffene Software unter der Bezeichnung »Trusted Disk« veröffentlichen zu wollen. Diese soll in Anlehnung an ein von Sirrix zusammen mit der Escrypt GmbH im Auftrag des BSI (Bundesamt für Sicherheit in der Informationstechnik) selbst vor ungefähr drei Jahren durchgeführtes TrueCrypt-Security-Audit auf bereinigten Code-Bestandteilen von TrueCrypt basieren. Sirrix verwendet die Bezeichnung »Trusted Disk Enterprise« bereits für eine Unternehmensversion zur Festplattenverschlüsselung mit PKI- und Smartcard-Support. Die kommerzielle Version wurde unter anderem deshalb zuerst fertig, weil zwangsläufig nicht alle Bestandteile der Software von Sirrix selbst entwickelt sind, weil sie unter der relativ merkwürdigen, von der Open Source Initiative (OSI) nicht anerkannten TrueCrypt-Lizenz standen. Erst wenn Sirrix auch diese Code-Bestandteile »nach-entwickelt« hat, soll Trusted Disk unter eine reguläre Open-Source-Lizenz gestellt und zur privaten Nutzung freigegeben werden.

Laut Sirrix-Vorstandschef Ammar Alkassar wolle man mit einem Open-Source Nachfolger für TrueCrypt sicherstellen, dass auch Privatanwendern in Zukunft eine vertrauenswürdige Verschlüsselungslösung mit einem hohen Sicherheitsniveau zur Verfügung stehe. Alkassar weiter: »Angesicht des Jahrestages der Snowden-Enthüllungen erscheint die Empfehlung der bisherigen TrueCrypt-Entwickler, auf Microsofts Bitlocker zu wechseln, unverständlich«.

Quelle : http://www.pro-linux.de

[SiLæncer]

In einer E-Mail lehnt ein Entwickler eine neue TrueCrypt-Version unter einer offeneren Lizenz rundweg ab. Statt dessen plädiert er für einen kompletten Neuanfang.

"Das ist nicht möglich" beschied einer der TrueCrypt-Entwickler die Anfrage um Erlaubnis, den Code unter eine der akzeptierten Open-Source-Lizenzen zu stellen und damit eine geregelte Nachfolge zu ermöglichen. Lediglich gegen eine Nutzung als Referenz für eine Neu-Implementierung hatte er keine Einwände.

Die Zukunft des verlassenen TrueCrypt-Projekts ist nach wie vor ungeklärt. Die Entwickler hatten das Projekt vor einigen Wochen überraschend für beendet erklärt und den Umstieg auf Microsofts Bitlocker empfohlen. Eines der Hauptprobleme für eine Weiterführung des Open-Source-Projekts ist die sehr eigenwillige Lizenz, die viele Nutzungsszenarien ausschließt. Der Koordinator der TrueCrypt-Audits Matthew Green bat deshalb die TrueCrypt-Entwickler um Erlaubnis, den Code unter einer der Standard-Open-Source-Lizenzen wie der GPL, der BSD- oder der MIT-Lizenz zu forken.

Doch der angeschriebene Entwickler lehnt dieses Ansinnen rundweg ab: "Es tut mir leid, das ist nicht möglich. Ich glaube nicht, dass ein Fork von TrueCrypt eine gute Idee wäre, wir wollten den Code ohnehin schon seit einiger Zeit komplett neu schreiben", heißt es in der von Green veröffentlichten Antwort. Das sei auch nicht viel mehr Arbeit als den aktuellen Code komplett zu analysieren und zu verstehen. "Ich habe kein Problem damit, wenn der Quellcode als Referenz genutzt wird" schließt er seine knappe Absage ab.

Der ganze Artikel

Quelle : www.heise.de

[SiLæncer]

Das Open Crypto Audit Project (OCAP) hat in seinem TrueCrypt-Audit kleinere Schwachstellen im Verschlüsselungs-Tool entdeckt, die aber einer Verwendung nicht entgegenstehen.

Die letzte Version 7.1a des Verschlüsselungsprogramms TrueCrypt ist sicher und kann bedenkenlos weiter genutzt werden. Zu diesem Ergebnis kam das Open Crypto Audit Project (OCAP) nach einer Analyse des Tools und des zugehörigen Quellcodes. Das Projekt hat ein umfangreiches Audit durchgeführt und nun den abschließenden Bericht dazu als PDF-Datei veröffentlicht.

Der ganze Artikel

Quelle : www.heise.de