Truecrypts säkerhet ifrågasätts efter mystiskt meddelande på officiell webbplats

Lavabit nämnde inte explicit att det var myndigheterna som låg bakom, även om det förstås pekade mot det.

http://archive.today/i3sIB

Igår fick jag ett nyhetsbrev från "The Truecrypt Audit"-projektet (som jag donerade till), med en väldigt intressant avslutande mening:

"p.s. We hope to have some *big* announcements this week, so stay tuned."

Undras vad detta kan vara. Har de möjligen hittat ett allvarligt hål i TrueCrypt, och meddelat TrueCrypt-utvecklarna om detta, som i sin tur överlagt saken och kommit fram till att den bästa vägen ut är att lägga ned projektet, t.ex. för att de inte har tid/ork/möjlighet/lust att fixa det (särskilt med tanke på att det inte hänt ett skit efter TryeCrypt 7.1a som ju är tämligen gammal nu)?

Att det skulle bero på nedläggandet av WinXP, utan närmare förklaring varför, är en extremt uppenbar och till synes korkad bortförklaring; de vill eller kan inte avslöja den egentliga anledningen.

Jag tänker vänta på den egentliga anledningen innan jag gör något drastiskt, som att byta till BitLocker-skämtet.

Om det släpps ett verktyg som bitvis eller helt och hållet kan dekryptera en TC-volym, så är det ingen panik i mitt fall, då jag inte har något TC-krypterat placerat där någon enkelt kan komma åt det hur som helst. Alla maskiner och all backup här hemma, men då måste någon bryta sig in först.

Nej de har i twitter redan sagt att detta inte var något kopplat, informationen var angående något annat audit projekt de hade på horisonten.

Orkar inte leta länken men finns massa info om det på reddit.

Äh, man kan ju bara spekulera. Men jag tror som Steve Gibson på Security Now; Truecrypt har länge utvecklats och har fått väldigt lite stöd ekonomiskt och väldigt mycket gnäll. När det nu var dags att ta steget över från MBR till GPT (vilket utvecklarna själva påstod inte var en triviell förändring) så fanns det ett bra tillfälle att lägga ner.

Truecrypt självt fungerar inte med GPT. De planerade att implementera detta senare.
Jag vet inte vad du gjort men det låter häftigt.

Ja, eller hur.. vem kan ha det i dagens SSD-samhälle? Tydligen väldigt många om du kollade deras forum och efterfrågan på det där.

Ah, ok.

Tja, då framstår det hela bara ännu mer underligt. Det vore extremt intressant att få höra den egentliga anledningen till beslutet.

Fullt troligt, man varför säger de inte bara det då, rakt ut? Men de kanske bara gillar att jävlas med folk - att skylla på XP och låta paranoian och konspirationerna rusa iväg, det kanske är deras favoritunderhållning?

Delvis det, men också att de flesta inte har en aning om vad de pratar om men ändå väljer att prata om det. Folk vet tydligen inte att det finns de företag som skrivit på NDA för att få tillgång till källkoden för Windows och kunna titta ifall det finns några bakdörrar innan de använder sig av t.ex. Windows Server produkterna. Det är inte så att stora multi-miljon företag bara använder produkter huller om buller i deras system.

Det är lite det jag funderar på också. Slutet på support för XP har ju verkligen inte med något att göra.

Den där bloggen är ju något skum. Den har bara ett inlägg och ingen information om vem som ligger bakom. Är checksummorna på bloggen samma som de som fanns på truecrypt.org? Annars skulle de ju lika gärna kunna vara för en version med en backdoor.

Ja, checksummorna återfinns även på andra sidor...därav "t.ex." och är lätt att kontroller med sökverktyg...t.ex. ett som heter Google...

Men om du vill ta på dig den stora foliehatten så kanske alla sidor på nätet med checksummor för TC är delar av en enda gigantisk konspiration för att få oss att använda en NSA-kontrollerad variant av TC...

Om du verkligen läser vad du kallar "blogg" så ser du att de bara tillhandahåller checksummor, själva programmen skall laddas ned från en annan plats...t.ex. TrueCrypts hemsida (när den fanns)...sedan skall man jämför checksumman från en källa med resultatet av nedladdat material från en annan källa...

Själv stämmer min checksumma på 7.1a för Windows (som jag laddade ned långt innan debaclet började) 100% med de checksummor som återfinns på nätet.

Om det finns backdoors spelar det ju ingen roll hur många lager du lägger in det i, ingen kommer ta sig igenom krypteringen på disken med brute force, det är bara att glömma även om du bara kör TrueCrypt men så länge du använder program som har backdoors som någon har tillgång till kan du slänga på oändliga lager och den kommer iaf gå igenom det "like a hot knife through butter".

Grejen är ju att om det nu finns en backdoor i TC så är den inte allmänt känd, inte ens av världens olika rättsväsen (enda jag vet e cold boot), det finns (AFAIK) inga rapporter om data krypterat med TC som används i rätten om inte någon gett dem lösen, detta talar för att det antingen är en underrättelsetjänst som hittat och pressat skaparen. Många snackar om liknande händelser runt andra krypteringsprogram på reddit och warrant canary, något som faktiskt inte tas in i det hela är att det kanske är andra än NSA eller liknande.
Organiserad brottslighet och mindre trevliga underrättelsetjänster NSA må vara som de är men skulle ju hellre ha med dem att göra än t.ex. FSB, MOSAD eller MSS, utveckligen av TC har ju varit ganska suspekt även den, kan även vara så simpelt som att skaparen blivit hittad av någon och fått panik med tanke på hur det gått för andra.

Spekulation är ganska värdelöst utan mer info egentligen, det värsta är ju dock om det med truecrypt kommer en logger eller liknande som skickar info någonstans men det borde ju någon isf redan upptäckt.

Det är ju antaganden, villket du såklart tog bort ur ditt citat.

Står presumed i hans citat, så antaganden är precis vad de är och vad han citerade de som.