Software-update: Truecrypt 6.1

Vrijdag is versie 6.1 van Truecrypt uitgebracht. Truecrypt is een opensource-encryptieprogramma voor Windows 2000 en hoger, Linux en Mac OS X waarmee fysieke volumes (een harde schijf of een partitie) en virtuele volumes (een bestand dat als partitie wordt benaderd) kunnen worden versleuteld. Daarnaast is het ook mogelijk om een verborgen volume in de versleutelde disk aan te maken. Dit tweede volume is alleen zichtbaar als het juiste wachtwoord ingegeven wordt. Als je dus gedwongen wordt om het wachtwoord af te geven, dan kun je alleen dat wachtwoord geven dat toegang geeft tot de gehele versleutelde disk. Het tweede verborgen volume is dan volledig onzichtbaar. Meer informatie hierover kan op deze pagina gevonden worden.

In versie 6.1 is onder andere de mogelijkheid toegevoegd om een partitie te versleutelen zonder dat hierbij de bestaande data verloren gaat. Verder kan er nu gebruik worden gemaakt van Security Tokens en smart cards, zijn er maatregelen genomen om geheugen corruptie te voorkomen en zijn er diverse bugs verholpen. Het volledige changelog van deze release ziet er als volgt uit:

New features:

• Ability to encrypt a non-system partition without losing existing data on the partition. (Windows Vista/2008)
  Note: To encrypt a non-system partition in place, click 'Create Volume' > 'Encrypt a non-system partition' > 'Standard volume' > 'Select Device' > 'Encrypt partition in place' and then follow the instructions in the wizard. Please note that this is not supported on Windows XP/2000/2003 as these versions of Windows do not natively support shrinking of a filesystem (the filesystem needs to be shrunk to make space for the volume header and backup header).
• Support for security tokens and smart cards (for more information, see section Security Tokens and Smart Cards in chapter Keyfiles).
• The TrueCrypt boot loader can be prevented from displaying any texts (by selecting Settings > System Encryption and enabling the option 'Do not show any texts in the pre-boot authentication screen').
• The TrueCrypt boot loader can now display a custom message (select Settings > System Encryption and enter the message in the corresponding field) either without any other texts or along with the standard TrueCrypt boot loader texts.
• Pre-boot authentication passwords can now be cached in the driver memory, which allows them to be used for mounting of non-system TrueCrypt volumes (select Settings > System Encryption and enable the option 'Cache pre-boot authentication password').
• Linux and Mac OS X versions: The ability to mount a Windows system partition encrypted by TrueCrypt and to mount a partition located on a Windows system drive that is fully encrypted by a Windows version of TrueCrypt.

Improvements:

• Protection against memory corruption caused by certain inappropriately designed versions of some BIOSes, which prevented the pre-boot authentication component from working properly. (Windows Vista/XP/2008/2003)
• During the process of creation of a hidden operating system, TrueCrypt now securely erases the entire content of the partition where the original system resides after the hidden system has been created. The user is then prompted to install a new system on the partition and encrypt it using TrueCrypt (thus the decoy system is created).
  Note: Although we are not aware of any security issues (connected with decoy systems) affecting the previous versions of TrueCrypt, we have implemented this change to prevent any such undiscovered security issues (if there are any). Otherwise, in the future, a vulnerability might be discovered that could allow an attacker to find out that the TrueCrypt wizard was used in the hidden-system-creation mode (which might indicate the existence of a hidden operating system on the computer) e.g. by analyzing files, such as log files created by Windows, on the partition where the original system (of which the hidden system is a clone) resides. In addition, due to this change, it is no longer required that the paging file is disabled and hibernation prevented when creating a hidden operating system.
• Many other improvements. (Windows, Mac OS X, and Linux)

Bug fixes:

• Many minor bug fixes and security improvements. (Windows, Mac OS X, and Linux)

[break]

Versienummer	6.1
Releasestatus	Final
Besturingssystemen	Windows 2000, Linux, Windows XP, macOS, Windows Server 2003, Linux AMD64, Linux IA-64, Windows Vista, Windows Server 2008
Website	TrueCrypt Foundation
Download	http://www.truecrypt.org/downloads.php
Bestandsgrootte	2,99MB
Licentietype	Voorwaarden (GNU/BSD/etc.)

Reacties (31)

Ik vraag me toch af hoe veilig zoiets is, als het puntje bij paaltje komt. ..of onder druk van iemand toch blijk dat er een of andere 'back door' is.

Ik gebruik het zelf al enkele jaren om mijn externe HD te versleutelen.

Een backdoor kan absoluut niet bij deze software

Nou, als je bedoelt dat het slecht is voor het publieke plaatje van deze software ben ik het helemaal met je eens: zodra er een backdoor bekend is, is de software ten dode opgeschreven.

Andersom ben ik het niet echt met je eens: het is voor de meeste mensen onmogelijk om absoluut zeker te weten dat er geen backdoor in hun versie van de software zit en het is zeker wel mogelijk (al acht ik het zelf erg onwaarschijnlijk) dat er een backdoor in TrueCrypt zit.

De enige manier om het absoluut zeker te weten is 1) Een expert zijn op het gebied van toegepaste cryptografie, 2) Minutieus de volledige broncode geanalyseerd hebben en 3) Deze code gecompileerd hebben en vergeleken met de distributieversie.

En er zijn vast wel security experts die dit doen hoor

Dat kun je zelf controleren door de source te downloaden en na te lezen. Nu verwacht niemand natuurlijk dat je in je eentje de hele source naleest, maar hij wordt wel gereviewed. Een evidente backdoor zou dan snel aan het licht komen.

Mooi en vooral nuttig programma. Alleen jammer dat ik administrator moet zijn om het te kunnen starten. Ik zit nu bij een klant die de PC's helemaal dicht heeft zitten. Ik kan dus mijn stick niet gebruiken. Op zich geen ramp, maar wel lastig.

Er is een tool die je van/naar TC volumes laat lezen en schrijven als non-Admin (TC Explorer, het volume heeft dan wel geen eigen driveletter), maar die is helaas niet bijgewerkt voor het nieuwe filesystem.

En de dual password functie voor een image is awesome
Met 2e wachtwoord opent de drive even goed, maar daar kun je dan andere data in kwijt, zodat je originele data nog steeds safe is.

Als je hier bedoelt dat je naar hartelust bestanden kan wegschrijven naar de outer volume van een hidden partitie, dan heb je het mis. In de buitenste laag is de ruimte die de inner (hidden) volume inneemt gewoon zichtbaar als vrije ruimte, gevuld met random data. Zodra je naar die schijf gaat schrijven raakt je hidden partitie corrupt.

Inderdaad, die gegevens blijven alleen bewaard als je ook aangeeft dat er een hidden volume is en de juiste passphrase daarvoor opgeeft

Euh nee dat bedoelde ik helemaal niet. Wat ik bedoelde is dat je nu dus een fake drive kan maken met wat data in die het echt doet lijken en onder "dwang" dus het andere paswoord kunt geven. Waar het ding voor bedoelt is dus

Maar dat zegt Cheatah nou net
Maar vergeet je het vinkje aan te vinken dan kan het inderdaad de hidden partitie corrupt maken

en fake drive lijkt me lastig tenzij je het in de ram kan aanmaken...

Handig om je usb sticks mee te encrypten. Zou ook verplicht moeten zijn bij justitie, politie etc.

Daar zouden ze niet eens sticks moeten gebruiken. Is nergens voor nodig. Daar zijn beveiligde netwerken voor.

Die geroemde veiligheid van de verborgen schijf snap ik niet.
Ik denk dat het juist knap gevaarlijk is.
Er is nu zoveel over geschreven dat iedere crimineel weet dat het mogelijk is.
Dus als iemand ooit gedwongen wordt, zal hij altijd ook gedwongen worden een eventuele geheime partitie te openen.

Als je in de vingerknip of bedreigde kinder martelfase zit (zie diverse films), kan je die geheime partitie ook maar beter hebben, wat ze geloven je heus niet als je zegt dat die niet bestaat.

Dus maak die verborgen partitie en vul hem desnoods met onzin.
En hoop dat er nooit een variant komt met een onbeperkt aantal geheime partities.
Dat kost een hoop vingers.

SCS

Welk gedeelte van "Je kunt als je de container voor de eerste keer ziet nooit bewijzen dat een verborgen partitie bestaat." begrijp je niet?

Niet helemaal waar. Als de outer partitie gemount is, en je de totale hoeveelheid die hij inneemt vergelijkt met hoeveel er werkelijk aan data geschreven kan worden, kun je theoretisch aantonen of er wel of geen hidden volume aanwezig is.

Ehhh, hij kan de hidden partitie toch gewoon overschrijven ? En dan is de totale omvang dus gelijk aan de werkelijke hoeveelheid te schrijven data en is het verborgen volume dus niet te bewijzen

Inderdaad. Bij het mounten van een outer partition kan je aangeven dat je de inner partition niet wilt overschrijven: je moet dan een vinkje zetten en het pwd van de inner partition ook opgeven. Doe je dat niet dan overschrijf je de inner partition als je te veel data op de outer partition zet. Je bent de gegevens op je inner partition dan kwijt (want je partitie is kapot) maar je hoeft ze niet prijs te geven.

En dan kan je wel onder druk gezet worden om het juiste password op te geven voor de inner partition bij het mounten van de outer partition, maar dan zeg je gewoon dat die niet bestaat - niemand kan bewijzen dat jij daar een password voor kent. Je kan ook een verkeerd password opgeven en zeggen dat je het je niet kan herinneren.

Het is dan aan de "forcerende partij" om aan te tonen dat jij het "echte" password weet. In GB ben je verplicht dat te geven als je het kent - maar de clou is dat niemand aan kan tonen dat je het kent; je moet daarom geloofd worden als je zegt dat je het niet weet of dat de partition niet bestaat. Plausible deniability: geloofwaardige ontkenning.

Maar als ze niet kunnen bewijzen dat er een 2de paswoord mogelijk is, kunnen ze je ook niet aanklagen omdat je het niet afgeeft. Je kan gewoon de onschuldige uithangen en zeggen dat je geen hidden partitie hebt, ze kunnen het niet bewijzen (als je FAQ nauwkeurig volgt tenminste).

Je mist mijn punt. Daar gaat het juist om!
Als ze je dwingen het paswoord te gebruiken/geven, zullen ze je ook dwingen die van de verborgen partitie te geven.
Of ze kunnen bewijzen dat die bestaat, is niet van belang.
Als ze weten dat het mogelijk is, zullen ze doorgaan met eisen.
Ze geloven je toch niet.

Je kunt toch geen password geven van een partitie die niet bestaat?
Dat is alsof ze iemand van de straat zouden plukken en net zolang martelen tot diegene mijn pincode aan ze geeft, terwijl hij mij niet eens kent

Je moet wel een pathologische leugenaar zijn om vol te kunnen houden dat er geen hidden volume is.

Ondervragingstechnieken bij de overheid liegen er niet om. Criminelen hebben marteling tot hun beschikking.

Helemaal "safe" is zo'n hidden volume niet dus....

Over safe gesproken: Hoe zit het met het "koude opstart" lek van dit soort programma's? Al gedicht?

Daarom staat er ook in de FAQ dat je in de decoy partitie enkele gevoelige bestanden moet zetten waardoor deze echt lijkt, alsof er niet nog andere data is.

Hmm gezien de screenshot is er een normale partitie aangemaakt met een encryptie van alleen AES
Ik dacht dat het veiligere was om een whirlpool te maken zodat 3 encryptie mogelijkheden door elkaar worden geschudt en daardoor moeilijker wordt om het te achterhalen wat er gebruikt wordt

zolang op de normale partitie normale dingen staan kunnen ze niet zeggen ja je hebt een verborgen partitie waar de data opstaat
Mochten ze twijfelen over de inhoud, dan lijkt me wel het beste om de recover procedure mee te volgen aangezien ze dan moeilijk kunnen zeggen ja we hebben de verborgen partitie gevonden en weten wat er instaat

Don't trust anyone

TrueCrypt heb ik altijd al prima software gevonden. Hoewel er wel wat vergezochte functies tussen zitten imho

True , maar niemand verplicht je die te gebruiken en heb het gevoeld dat die extra functies het systeem niet trager maakt :-p

Werken met een gewone stuk schijf gebruiken heb ik inderdaad gemerkt dat het nauwelijks vertraagt. Iedere processor kan het zonder probleem aan. Met mijn dualcore AMD op 1000MHz haalt hij met AES ongeveer 80MB. Kopieren van ene naar andere partitie gaat al niet merkbaar trager maar de systeempartitie heb ik nog niet gedaan. Merkte je daar ook niets van behalve wachtwoord bij opstarten?

Ik werk nu drie maanden dagelijks (en de hele dag) met geëncrypte Windows systeempartities en ik merk geen verschil in snelheid. Het zal er ongetwijfeld zijn maar ik merk het niet. (Als systeembeheerder heb ik wel enige feeling voor of een systeem een normale snelheid heeft of niet.)

Waarschijnlijk bedoelt hij 80MB/s.
Wat een erg fijne rate is!