Software-update: VeraCrypt 1.0e

VeraCrypt is een zogenaamde fork van TrueCrypt, wat in mei van dit jaar onder nogal vage omstandigheden er mee op is gehouden. Met dit opensource-encryptieprogramma kunnen complete harde schijven of partities, en virtuele volumes, zoals een bestand dat als partitie wordt benaderd, worden versleuteld. VeraCrypt gebruikt de originele broncode van TrueCrypt, maar bevat wel diverse verbeteringen met betrekking tot de beveiliging. Volumes die met TrueCrypt zijn aangemaakt zijn dan ook niet compatibel met VeraCrypt. De Fransman Mounir Idrassi is er al sinds de zomer van 2013 al mee bezig mee en verleden maand is versie 1.0e uitgekomen.

Changes between 1.0d and 1.0e (04 September 2014):

• Correct most of the security vulnerabilities reported by the Open Crypto Audit Project.
• Correct security issues detected by Static Code Analysis, mainly under Windows.
• Correct issue of unresponsiveness when changing password/key file of a volume. Reduce overall time taken for creating encrypted volume/partition.
• Minor fixes (look at git history for more details).

Changes between 1.0c and 1.0d (03 June 2014):

• Correct issue while creating hidden operating system.
• Minor fixes (look at git history for more details).

Changes between 1.0b and 1.0c (11 November 2013):

• Set correctly the minimum required version in volumes header.
• This also solves also the hidden volume issue

Changes between 1.0a and 1.0b (25 June 2013):

• Enhance RIPEMD160 implementation in BootLoaded by using the compiler uint32 type
• Don't position legacy flag in volume header for newer VeraCrypt releases

Versienummer	1.0e
Releasestatus	Final
Besturingssystemen	Windows 7, Linux, Windows XP, macOS, Windows Server 2003, Windows Vista, Windows Server 2008, Windows Server 2012, Windows 8
Website	Idrix
Download	http://sourceforge.net/projects/veracrypt/files/
Bestandsgrootte	5,48MB
Licentietype	GPL

Reacties (26)

[markvt]

Of op codeplex te vinden : https://veracrypt.codeplex.com/

[Dannydekr]

Ik gebruik Veracrypt momenteel, vind het de beste keuze in de grote warboel van schijfencryptie. De meeste problemen welke de securityaudit heeft blootgelegd in TrueCrypt zijn er immers uitgehaald. Dit waren al geen grote problemen om mee te beginnen, maar de extra beveiliging kan geen kwaad. Bovendien was Veracrypt al begonnen voordat TrueCrypt ermee stopte omdat men zelf al op/aanmerkingen had op de beveiliging.

De mysterieuze omstandigheden van TrueCrypt zijn enigszins zorgwekkend. Ik heb het gevoel dat er een substantionele fout/backdoor in de software zit waardoor geheime diensten vrije toegang hebben tot versleutelde bronnen. De abrupte beëindiging in de periode waar de snowden-onthulling erg actueel waren doen dit toch echt vermoeden, ook al zijn hier geen harde bewijzen voor.

[Reactie gewijzigd door Dannydekr op 25 juli 2024 10:36]

[asing]

Er is nooit een verklaring gegeven over het acute stoppen van TrueCrypt. Het idee dat de geheime diensten een backdoor hebben gevonden ga ik maar even naar het rijk der fabelen verwijzen. Besef je hoeveel waarde een backdoor in TrueCrypt heeft? Als de NSA/FBI/etc iets heeft gevonden waardoor ze daadwerkelijk in een TrueCrypt container kunnen kijken dan zullen ze dat zo lang mogelijk onder de pet willen houden.

De enige manier waarop publiekelijk bekend wordt dat ze het kunnen is uit documenten van een rechtzaak. De zaak moet wel van heel hoog belang zijn willen ze hun geheim prijsgeven. In alle andere gevallen zullen ze parallel construction gebruiken om de verdachte ergens anders op veroordeeld te krijgen.

Wel een logische verklaring : TrueCrypt is op dit moment te sterk en niet te kraken. Dus hebben ze van de makers geeist dat er een backdoor in gebouwd ging worden zodat ze toch kunnen kijken. De makers hebben vervolgens per direct de ontwikkeling gestaakt.

[-Colossalman-]

Wel een logische verklaring : TrueCrypt is op dit moment te sterk en niet te kraken. Dus hebben ze van de makers geeist dat er een backdoor in gebouwd ging worden zodat ze toch kunnen kijken. De makers hebben vervolgens per direct de ontwikkeling gestaakt.

Waarom zouden ze de ontwikkeling stoppen. Ik had eerder verwacht dat ze dan juist door zouden zetten en dit publiekelijk zouden maken. Betere reclame is er niet.

[asing]

en @magnifor :

Op het moment dat je een National Security Letter krijgt. Daar mag je niets over zeggen, je hebt gewoon mee te werken. Dus staken ze en wijzen ze met bitlocker iets aan waardoor de hele wereld denkt dat ze gek geworden zijn. Ze hadden ook veracrypt, bestcrypt oid kunnen wijzen maar de hint aan de wereld moest duidelijk zijn.

Opzet is in ieder geval geslaagd.

[Coyote76]

Sterker nog, het programma die zij adviseerden voor Mac-users was een screenshot waar de optie "encrypt" niet eens was aangevinkt...

Zo'n hint wordt ook wel een warrant canary genoemd. Als je ook de woordspeling op de voorpagina in acht neemt (Truecrypt is not secure as...)
Dan vind ik de warrant canary dus het meest waarschijnlijk.

[Reactie gewijzigd door Coyote76 op 25 juli 2024 10:36]

[-Colossalman-]

Als dit hun insteek is geweest dan hulde van mijn kant.
Hoe rechtsgeldig is zo'n NSL waar je het over hebt als men zich hier niet aan houdt?
Of moet ik dan aan een filmische verdwijning denken?

[downtime]

Een NSL heeft geen waarde als je niet in de VS woont en dus niet onder Amerikaans recht valt. Er zijn geen aanwijzingen dat de maker van TrueCrypt in de VS zat.

[asing]

https://securityledger.co...utter-in-wake-of-snowden/

Je moet die letters zeer serieus nemen en het negeren zal waarschijnlijk een arrestatie opleveren. De Amerikaanse regering verbiedt openbaarmaking ook. Dus je mag niet zeggen dat je er 1 gekregen hebt.

[Verwijderd]

Wel een logische verklaring : TrueCrypt is op dit moment te sterk en niet te kraken. Dus hebben ze van de makers geeist dat er een backdoor in gebouwd ging worden zodat ze toch kunnen kijken. De makers hebben vervolgens per direct de ontwikkeling gestaakt.

Als dat het geval zou zijn dan zou men bij Veracrypt toch ook eisen dat er een backdoor zou worden ingebouwd. Dit programma wordt echter wel doorontwikkeld. Hebben ze maling aan die backdoor of is er gewoon geen sprake van een backdoor?
Hetzelfde geldt voor andere encryptieprogramma's al is Veracrypt een speciaal geval omdat het erg op Truecrypt lijkt. Dat zou dus extra aandacht moeten krijgen zou je zeggen.

[asing]

Het ontwikkelen van de software is legaal, het verspreiden ook. Of de makers van TrueCrypt daadwerkelijk een NSL gekregen hebben is niet duidelijk. Daar mag men niets over zeggen.

Met andere woorden : je mag net zo lang doorontwikkelen tot je een groot genoege vis bent om te vangen. Dan krijg je een brief met een vraag/opdracht. Voldoe je daaraan, dan mag je nog steeds blijven ontwilkkelen. De vraag is of je produkt nog zinvol/betrouwbaar is als je eraan voldoet. Wil je niet aan het verzoek voldoen, dan kan je beter stoppen.

[Zeppo]

[...]

Als dat het geval zou zijn dan zou men bij Veracrypt toch ook eisen dat er een backdoor zou worden ingebouwd. Dit programma wordt echter wel doorontwikkeld. Hebben ze maling aan die backdoor of is er gewoon geen sprake van een backdoor?

Misschien het feit dat de ontwikkelaar in Frankrijk zit en de Amerikaanse geheime diensten daar minder te vertellen hebben?

[magnifor]

Maar waarom zou je dan Bitlocker aanraden wat afkomstig is van een Amerikaans bedrijf en vrijwel zeker een backdoor bevat? Ik ben van mening dat de ontwikkelaar(s) van TrueCrypt een flinke zak met geld hebben gekregen met de eis om de ontwikkeling te staken en een bepaald product aan te bevelen.

[mashell]

Ik ben bang dat de juiste verklaring is, ze hadden er gewoon geen zin meer in. En daarom is het interessant hier over Veracrypt te lezen.

[NEO256]

Ik vindt het een enge gedachte en zeker iets om over na te denken, maar ik mag hopen dat als iemand met het project aan de haal is gegaan dat hij hem ook op zijn minst alle bron code heeft gelezen.
En het lijkt me toch vrij lastig om een applicatie die op lokaal niveau werkt een stuk net code te verbergen in de source code. Tenzij er libraries mee gemoeid zijn die niet open source zijn.

[Timoo.vanEsch]

n.a.v. even gezocht en vind dit wel interessant:
https://en.wikipedia.org/wiki/TrueCrypt#Legal_cases

Lijkt me daarom ook niet ongeloofwaardig dat bovenstaande claim wordt gemaakt. Vooral omdat ze in Augustus 2013 de schijf van David Miranda in handen kregen, zonder sleutels, in TrueCypt versleuteld. Ik zou het dan ook niet vreemd vinden als ze begin 2014 "de hulp" van het TrueCrypt team hebben ingeroepen. Welke vervolgens de handdoek in de ring gooide...

[Paradox]

Wat ik juist zoek is een stukje software welke een Directory kan Crypten (gratis)
Zodat deze dan in de cloud geupload kan worden aka (dropbox Etc)
Vera kan net als true naar mijn idee alleen containers maken welke gecrpyt zijn. iemand een idee?

[vide]

BoxCryptor bijvoorbeeld? Of alternatieven als CloudFogger of SafeMonk?

Maar wat je precies vraagt is moeilijk/onmogelijk: ofwel ga je bestand per bestand encrypteren, ofwel ineens een volume. Een directory is een heel ander concept (en ja, ik heb van EFS gehoord en dat is hier geen optie). Een manier om dat te gaan omzeilen in Windows is met behulp van het commando junction (vergelijkbaar met mount points in BSD/Linux), maar dan ben je eigenlijk ook weer een geëncrypteerd volume aan het aanmaken.

Als je gegevens beveiligd in de cloud wil hebben, moet je anders SpiderOak eens bekijken.

Edit: ninja'ed door Dacuu Dus dan maar wat extra info toevoegen

[Reactie gewijzigd door vide op 25 juli 2024 10:36]

[Dacuuu]

https://www.boxcryptor.com/

[Jace / TBL]

Je kunt volumes -dus ook true/veracrypt containers- ook mounten als (virtuele) directory in een ander volume.

Je kunt ook SpiderOak of Wuala gebruiken ipv Dropbox, dan staat het lokaal niet encrypted (of ook, als je True/VeraCrypt of disk encryption van je OS gebruikt) maar dan wordt het in ieder geval cliend side encrypted voordat het naar de cloud gaat, dus niemand kan het lezen (ook die cloudproviders niet).

[biteMark]

Interessant! Ik vraag me nog steeds af waarom TrueCrypt moest stoppen, maar zo te zien is er een beter alternatief uit voortgekomen

[Jace / TBL]

Waarschijnlijk onder druk van overheden of geheime diensten. Dat TrueCrypt zogenaamd niet veilig zou zijn geloof ik niet zo, en dat ze dan als alternatief nota bene BitLocker gaan aanraden (een proprietary product van een Amerikaans bedrijf waar 100% zeker een backdoor in zit voor de NSA) maakt het al helemaal ongeloofwaardig.

Kennelijk werden er bepaalde partijen zenuwachtig van TrueCrypt, en dat is voor mij juist een positieve indicatie.

[Harry_Sack]

Grappig, het ziet er precies hetzelfde uit als Truecrypt, maar het is niet compatible. Daar moet je ook je best voor doen

[markvt]

Dat zit hem in de hoeveelheid iteraties die gedaan worden om de encryptie meer van deze tijd te maken.

[WhiteDog]

En optie om met TrueCrypt gemaakte volumes te mounten (read-only) of te converteren had desalniettemin leuk geweest. Maar goed ik ga niet zeuren over gratis software

[Neko Koneko]

Grappig, het ziet er precies hetzelfde uit als Truecrypt, maar het is niet compatible. Daar moet je ook je best voor doen

Valt wel mee, er zijn gewoon zaken onder de motorkap gewijzigd in de manier waarop de data encrypt wordt, aan de interface zelf is niet gesleuteld.