Truecrypts säkerhet ifrågasätts efter mystiskt meddelande på officiell webbplats

Det känns knappast säkert. Utan att ta fram foliehatten så är det inte helt osannolikt att NSA har grävt i Microsofts kod.

Och jo, det är ett problem även om jag har rent mjöl i påsen. Är det smutsiga händer som gräver i min påse så blir det ändå smutsigt mjöl.

För att NSA samt andra underhållstjänster har ju aldrig lagt press på dom stora Amerikanska företagen att kunna få fram information kring bakdörrarna i olika system.

Självklart är det NSA som tagit över Truecrypt så att man kan få tillgång till filerna när folket hoppar över till Win7/Win8.
Hatten är på nu grabbar!

*** raderat ***

NEJ!!!
Slut på folie

löjligt, aldrig att det där är den äkta anledningen. Det är så orimligt att man måste ha skrivit så med flit för att folk ska fatta att det rör sig om något annat.. Jag tar på mig foliehatten och finner inte teorierna kring påtryckningar omöjliga.

Om jag minns rätt, är certifikatet som använts för signaturen acceptabel. GPG signaturen är samma som använts för tidigare.

Det är visserligen teoretiskt möjligt att en attackerare skulle kunna komma åt dessa - men det tycker jag är osannolikt. En sådan incident skulle inte förvåna mig om vi snackar web-devs eller smartphone-app-devs; säkerhets kompetensen där är vanligtvis låg. Bland kompetenta/erfarna säkerhets programmerare skyddas dessa i regel ganska bra; ofta är den lagrad på ett separat system med airgap (inget wi-fi, LAN, eller internet).

Så sofistikationen för att komma åt denna information för en vanlig 'hacker' blir mycket hög. För hög för någon som bara vill sprida lite graffiti.

Så det som förmodligen har hänt är som många gissar:

Verkar helt snurrigt, man vet inte vad man ska tro, men som vanligt får man lite humor på köpet (från reddit):

BitLocker is a closed-source product, by Microsoft, built into Windows.

As far as cryptography goes, that's like running a marathon in a mine-field in North Korea whilst waving a flag that says "THE GREAT LEADER IS A PUSSY" and singing the America-song from Team America: World Police.

Som redan kommenterats kan Truecrypts status som öppen källkod (alltså inte bara kodens tillgänglighet) ifrågasättas, däremot är det fritt och har varit populärt på flera plattformar. Den här artikeln innehåller lite enkla förklaringar till varför vissa (mig inkluderat) valt bort Truecrypt och t ex valt Tcplay (finns tyvärr inte för Windows).

...

När det gäller openssl var problemet inte att det är öppen källkod, än om vissa med egenintressen gärna exploaterar den vinkeln. Det tragiska med openssl-säkerhetshålet är att en mängd vinstdrivande företag dragit nytta av att openssl är fri och öppen mjukvara men struntat blank i att engagera sig, göra ett jota för att hjälpa till och stödja utvecklarna ekonomiskt. Det är den verkliga förklaringen.

Utvecklarna har inte gett upp utan har under flera år jobbat hårt för att tillhandahålla openssl. Tyvärr finns det många utsugare som gärna ser andra jobba gratis och sedan pekar finger när något går fel och utvecklarna av openssl har gått på knäna.

Edit: korrigering av formulering angående frågan om öppen källkod

Man kan ju inte rekommendera Bitlocker utan insikt i om det finns bakdörrar eller inte. Med andra ord är hela den rekommendationen oärlig, vilket pekar på att myndigheter gått in och stoppa Truecrypt. Ser ingen anledning till varför man skulle rekommendera Bitlocker annars.

hmmm spännande, det verkar väldigt fishy det här ska bli kul att höra vad steve gibson säger på security now podcasten om detta