Sicherheit von TrueCrypt in Bezug auf möglicherweise vorhandene BackDoors?

[freeman303]

Hallo,

im Zuge der Snowden-Enthüllungen fragen sich sicherlich viele User, welche Software sie verwenden sollen.

Produkte von richtigen Commerziellen Firman fallen für mich persönlich weg, da diese mit erhöhter Wahrscheinlichkeit mit Backdoors versehen werden (siehe der andere Thread zu Utimaco).

Es stellt sich die Frage, wie sicher Truecrypt in seiner neuesten Version (7.1a) ist.

Klar, die Software ist OpenSource, jeder kann den Code einsehen. Aber wer hat schon die Zeit und die Mühe den kompletten Quellcode auf Backdoors zu prüfen und wer würde auch ein im Code gut verstecktes Backdoor erkennen können?

Daher die Frage, wie sicher ihr TrueCrypt einschätzt, in Bezug auf die Standfestigkeit gegenüber oberen Ermittlungsbehörden wie dem Bundeskriminalamt oder dem Bundesnachrichtendienst? Vorausgesetzt es wird die komplette Rechnerverschlüsselung als AES-Verschlüsselung in Truecrypt angewandt.

Bin auf eine interessante Diskussion gespannt.

Freeman

 

[dirk11]

Nenne Alternativen, dann kann man darüber reden. Ich nutze Linux, truecrypt ist für mich sowieso uninteressant.

 

[freeman303]

IMHO gibt es auch eine Truecrypt Version für Linuxe.

 

[NTB]

Truecrypt funktioniert wunderbar unter Linux.

Ich denke nicht, dass truecrypt eine backdoor für die NSA hat. Ist aber auch nur meine optimistische Meinung.

Geschrieben mit App

 

[contao]

Der Quellcode von TC ist ja frei verfügbar. Sollte da wirklich irgend eine Hintertür oder so sein, dann wäre dies bestimmt schon längst bekannt.

 

[dirk11]

IMHO gibt es auch eine Truecrypt Version für Linuxe.

Das mag sein, ich wollte damit ausdrücken, dass ich es nicht vermisse, weil es unter Linux verbreitetere Methoden gibt (dm-crypt mit Luks). Zu TrueCrypt steht ein interessanter Artikel in der aktuellen c't (16/2013).

 

[0711]

Der Quellcode von TC ist ja frei verfügbar. Sollte da wirklich irgend eine Hintertür oder so sein, dann wäre dies bestimmt schon längst bekannt.

bei der Überlegung gibt es 2 Probleme
- zum einen werden in aller regel binaries genutzt und nicht selbst kompiliert
- auch in codezeilen lassen sich unerwünschte Funktionen sehr gut bis nicht auffindbar verstecken (und letztlich kann eine etwaige Entdeckung auch zu "ups ein bug" eingestuft werden)

Daher die Frage, wie sicher ihr TrueCrypt einschätzt

als relativ sicher...

 

[Berlinrider]

Ich würde TrueCrypt als so sicher einstufen, dass es nicht mein erstes Ziel bei einem Angriff wäre.

Sagen wir mal du willst ein System knacken, welches per TrueCrypt geschützt ist. Darauf läuft ein Windows 7. Dieses Betriebssystem hat unbestritten eine Hintertür, also wäre es doch am Einfachsten über das OS einen Keylogger zu installieren, der sämtliche Passwörter loggt. Selbst wenn TC nicht direkt angegriffen wird, so ist die Wahrscheinlichkeit doch hoch, dass das Passwort auch woanders verwendet wird oder die Einrichtung von TC, die unter Windows angestoßen wurde, angreifbar war.

 

[FLiNTx]

Dieses Betriebssystem hat unbestritten eine Hintertür, also wäre es doch (...)

Belege?

(...) also wäre es doch am Einfachsten über das OS einen Keylogger zu installieren, der sämtliche Passwörter loggt. Selbst wenn TC nicht direkt angegriffen wird, so ist die Wahrscheinlichkeit doch hoch, dass das Passwort auch woanders verwendet wird oder die Einrichtung von TC, die unter Windows angestoßen wurde, angreifbar war

Um Keyloggern den Wind aus den Segeln zu nehmen verwendet man TrueCrypt ja auch zusätzlich mit Keyfiles ;-)


Ich glaube ehrlich gesagt nicht wirklich daran, dass es egal ob in Windows, TrueCrypt usw. solch offensichtliche Backdoors gibt... Zu leicht zu finden und im Fall der Fälle evtl. auch ein Risiko für die "eigenen Leute"...
Eher könnte ich mir vorstellen, dass z.B. in Verschlüsselungsroutinen gezielt Fehler eingeschleust werden könnten, um die Zeit zum Knacken einer Verschlüsselung bei Kenntnis des entsprechenden Fehlers um x Größenordnungen zu verkürzen...

Aber hey, wer weiss, wie krass die ganze Nummer noch wird... vll. stecken da noch viel mehr Organisationen mit drin und unsre Kühlschränke übermitteln den Jungs auch tagesaktuell, was wir so gegessen haben...
100%ig auszuschliessen ist glaub ich garnichts mehr...

 

[dirk11]

Um Keyloggern den Wind aus den Segeln zu nehmen verwendet man TrueCrypt ja auch zusätzlich mit Keyfiles ;-)

Ganz schlechte Idee. Das einzig sichere Passwort ist das, was nur in (m)einem Kopf gespeichert ist.

100%ig auszuschliessen ist glaub ich garnichts mehr...

Leider nicht. Aber so ist das nunmal, wenn man ********** an die Regierung lässt und dann so stumpfsinnig ist und daran nichts ändert. Im September wird sich nichts ändern. Leider...

 

[FLiNTx]

Ganz schlechte Idee. Das einzig sichere Passwort ist das, was nur in (m)einem Kopf gespeichert ist.

Deshalb ja auch Passwort UND Keyfile - und nicht "oder"... ;-)

 

[Jafp23]

Truecrypt funktioniert wunderbar unter Linux.

Ich denke nicht, dass truecrypt eine backdoor für die NSA hat. Ist aber auch nur meine optimistische Meinung.

Geschrieben mit App

ne sicher nicht kommt aus russland! die kompilierte wahrscheinlich für Sluschba wneschnei raswedkiund oder Federal'naya sluzhba bezopasnosti Rossiyskoy Federatsii (FSB) und oder Glawnoje Raswedywatelnoje Uprawlenije.
zur selber kompilieren wurde der code einer richtigen unabhängigen kryptoanalyse unterzogen??
gruß j.

 

[NTB]

Jafp32, wenn Du Dir Deinen eigenen Beitrag jetzt nochmal durchliest: Verstehst Du, was Du da geschrieben hast?
Ich jedenfalls nicht :O