Software-update: VeraCrypt 1.0f-1

Er is een update voor versie 1.0f van VeraCrypt uitgekomen. VeraCrypt is een zogenaamde fork van TrueCrypt, wat in mei vorig jaar onder nogal vage omstandigheden er mee op is gehouden. Met dit opensource-encryptieprogramma kunnen complete harde schijven of partities, en virtuele volumes, zoals een bestand dat als partitie wordt benaderd, worden versleuteld. VeraCrypt gebruikt de originele broncode van TrueCrypt, maar bevat wel diverse verbeteringen met betrekking tot de beveiliging. Volumes die met TrueCrypt zijn aangemaakt kunnen vanaf deze versie wel geopend en geconverteerd worden. De Fransman Mounir Idrassi is al sinds de zomer van 2013 met dit project bezig. De changelog voor deze uitgave ziet er als volgt uit:

All OSs:

• Add support for old TrueCrypt 6.0.
• Change naming of cascades algorithms in GUI for a better description.

Linux/MacOSX:

• Make cancel button of the preference dialog working.
  • Solve impossibility to enter a one digit size for the volume.
  • Add wait dialog to the benchmark calculation.

Windows:

• For Windows XP, correct the installer graphical artefacts.
  • Add TrueCrypt mode to the mounted volume information.

Versienummer	1.0f-1
Releasestatus	Final
Besturingssystemen	Windows 7, Linux, Windows XP, macOS, Windows Server 2003, Windows Vista, Windows Server 2008, Windows Server 2012, Windows 8
Website	Idrix
Download	http://sourceforge.net/projects/veracrypt/files/
Bestandsgrootte	7,31MB
Licentietype	GPL

Reacties (19)

[Verwijderd]

Ik gebruik nog steeds Truecrypt 7.1a en die werkt perfect, ik zie echt geen reden om over te schakelen. Als je rekening moet houden met al die vage vermoedens van "misschien is het niet veilig" kun je wel bezig blijven met updaten. Ik wacht nog wel even op een doorslaggevend en onweerlegbaar bewijs dat duidelijk aantoont dat Truecrypt niet veilig is.

[Harry_Sack]

Zo dacht ik er ook over, totdat ineens niet meer mogelijk was, na een internetverbinding. De software meldde dat het obsolete was en verzocht mij om windows encryptie of een andere oplossing te zoeken.

[t_captain]

Dan moet je op een of andere manier een automatische update naar versie 7.2 hebben ontvangen. Misschien dat je PC aan een bedrijfsnetwerk met een software update server hangt?
Ik gebruik ook 7.1a en heb nooit een update naar 7.2 ontvangen (of de prompt daarvoor).

[3raser]

Mijn TrueCrypt 7.1a werkt prima. Ik heb gewoon een internet verbinding en hij geeft geen enkele melding. Heb je niet toevallig geupdate naar de laatste versie van TrueCrypt?

[Coyote76]

Dat is al aangetoond: het aantal key-iteraties voor het hash-algortime is niet meer adequaat genoeg. Dat was genoeg in 2004, maar op termijn zal het risico te groot worden. Verder zijn er vele kleine foutjes gevonden die niet meer worden bijgewerkt.
Nu kan je Truecrypt nog wel even blijven gebruiken maar het is niet klaar voor de toekomst.

[geez]

Heb je daar een bron voor?

edit: Thanks!

[Reactie gewijzigd door geez op 25 juli 2024 13:09]

[Coyote76]

Staat gewoon in het eerste rapport van Open Crypto Audit, pagina 14:

https://opencryptoaudit.org/reports/iSec_Final_Open_Crypto_Audit_Project_TrueCrypt_Security_Assessment.pdf

Het is de grootste kwetsbaarheid in Truecrypt en er moet echt wat aan gedaan worden. 1k of 2k aantal iteraties voldoet gewoon niet meer.

Ook hier legt de maker van Veracrypt het nog eens uit waarom Veracrypt veiliger is en ook nadrukkelijk dus bij het 1e punt het aantal iteraties:

https://veracrypt.codeplex.com/discussions/569777

De maker van Veracrypt heeft inmiddels alle kwetsbaarheden dus gefixed die gevonden zijn in het eerste rapport van de Audit en heeft ook zelf een static analyses gedaan van de code en deze gevonden fouten er ook uit gehaald.

[Reactie gewijzigd door Coyote76 op 25 juli 2024 13:09]

[Verwijderd]

Gebruik ook nog Truecrypt 7.1A. Behalve als opstartschijf naast Windows ook in Linux en OSX te gebruiken en ook op Android met EDS, Minder dan enkele weken terug in een Amerikaanse krant in een artikel over een rechtszaak, bleken Amerikaanse inlichtingendiensten nog steeds niet de Truecrypt van een verdachten te kunnen kraken.

[honey]

Truecrypt heeft een audit doorlopen en tot nu toe is deze veilig gebleken.

Veracrypt is dan wel een fork van Truecrypt, maar daar is nu weer aan gesleuteld. In hoeverre kun je zo'n nieuwe variant vertrouwen? Misschien dat hier juist wel een backdoor inzit?

[Coyote76]

Jarenlang hebben mensen Trucrypt gebruikt zonder dat er ooit een audit is geweest. Pas tegen het einde van het bestaan van Truecrypt kwam er een audit. Dus de vraag of je Truecrypt al die jaren wel kon vertrouwen was eveneens terecht. Toch weerhield het mensen er niet van om het te gebruiken.

Het probleem met Truecrypt is dat het niet meer toekomstgericht is: nu de vele kleine foutjes (die met de audit zijn gevonden) niet meer worden gerepareerd. Op termijn kunnen dus hiervoor exploits worden ontwikkeld. Het aantal iteraties van het hash-algortime is ver ondermaats en is het grootste probleem om Truecrypt te blijven gebruiken.

[Reactie gewijzigd door Coyote76 op 25 juli 2024 13:09]

[zordaz]

Ik ben het op hoofdlijnen met je eens, je moet je echter ook afvragen welke risico's je wilt ondervangen met Truecrypt of andere encryptietools.

Voor mij is het voldoende om te weten dat als ik mijn laptop verlies, dat dan de data niet meteen op straat ligt. Want hoewel het aantal iteraties anno 2015 misschien ondermaats is, is de data toch echt niet zomaar gedecrypt. Aangezien ik al Truecrypt gebruiker was zie ik dus voorlopig geen reden naar een alternatief over te schakelen.

Een echte drop-in replacement voor Truecrypt zou ik trouwens wel willen overwegen, maar dat is Veracrypt niet.

[Coyote76]

Dat klopt, het is maar net voor of wat je de data wilt beschermen. Voor een dief of nieuwsgierige buurman heb je minder te vrezen dan bijv. een forensisch team.
Je hebt dan misschien zelfs geen Truecrypt nodig in dit soort situaties, WinRar heeft ook een optie om bestanden te versleutelen, gebaseerd op AES, werkt in dit soort gevallen net zo goed.

Truecrypt stond bekend als vrijwel onaantastbaar dus die lijn doortrekkende is het wel nodig om de fouten eruit te halen.

Wat zou voor jou wel een drop-in replacement zijn? Veracrypt is toch het dichtste bij een drop-in replacement zou ik zeggen en is aan de gang gegaan met de bevindingen van de audit en andere kleine verbeteringen. Ik zie geen reden om het niet te gebruiken, behalve dan dat het niet geaudit is. Maar de maker van Veracrypt zelf wil het product ook geaudit zien. Maar goed, de beschikbare mensen om te kunnen auditen zijn zeer schaars.

[zordaz]

Met 'drop in' bedoel ik normaal gesproken een (goed ondersteund) alternatief dat je zonder conversie / migratie kunt installeren ter vervanging.

Concreet zoek ik een alternatief dat in staat is Truecrypt volumes te openen en globaal dezelfde performance heeft. Dat maakt de overstap immer zeer eenvoudig, want pas in een later stadium kun je dan desgewenst een nieuwe volume aanmaken. Helaas voldoet Veracrypt niet aan beide wensen.

[Coyote76]

Met Veracrypt kan je inmiddels ook Truecrypt volumes openen en er is ook een mogelijkheid om Truecrypt-volumes om te zetten naar een Veracrypt-volume, maar dat hoeft dus niet.

De prestaties van Veracrypt zijn alleen minder op het moment van het "mounten", al is daar ook inmiddels wat aan gedaan doordat je nu het hash-algortime kan selecteren zodat niet alle hash-algortimes hoeven te worden doorlopen. Mounten duurt nu bij mij ruim 10 sec.

De prestaties van een gemount volume zijn echter wel gelijk (lezen en schrijven naar het volume).

[Reactie gewijzigd door Coyote76 op 25 juli 2024 13:09]

[honey]

Klopt, Truecrypt had geen audit gehad, maar er waren op dat moment geen alternatieven waar meer vertrouwen in bestond. Vertrouwen is helaas altijd nodig, omdat 99,9 procent van de gebruikers te weinig kennis heeft om de betrouwbaarheid te kunnen beoordelen. Ik hoor ook bij deze 99,9 procent. Ik gebruik Truecrypt omdat het een goede naam heeft en 'experts' zeggen dat het goed is. Ik geef toe, het is een schijnveiligheid, maar wel een educated guess.

Nu komt er een nieuwe speler. Ook hier ben ik niet in staat om te beoordelen of dit een product is van de NSA, in een poging om iedereen over te laten stappen of ... dat het wel een goed en veilige tool is. Krijg ik garanties? Wellicht niet, dus moet weer op basis van 'vertrouwen' een keuze maken, ... net als toen met Truecrypt.

[Qwerty-273]

Vertrouwen is natuurlijk maar een relatief begrip. Er zijn genoeg spelers op de encryptie markt waar je wel vertrouwen in zou moeten hebben. Ze voldoen aan verschillende standaarden, zijn goed gekeurd door de US, UK, EU etc. echter kosten ze geld, zijn ze niet opensource en vaak zijn het Amerikaanse bedrijven, waardoor "het onderbuik" gevoel bij sommigen al gelijk met rode vlagen begint te zwaaien. In mijn opinie onterecht, aan de andere kant voor thuis gebruik is Truecrypt/Veracrypt wel handig, daar heb je toch geen management soluties voor nodig om al je clients mee te beheren, compliance checks etc. etc. etc.

[dreamless]

Heeft deze versie nog steeds een minutenlange vertraging in full disk encryption mode? Vanwege absurde key iteraties.

[Coyote76]

Je kan bij het decrypten nu ook het hash-algoritme selecten die bij de container hoort. Zo worden niet alle hash-algortime's 1 voor 1 uitgeprobeerd. Bij mij decrypt het nu in iets meer dan 10 sec.

Met full disk encryption mode heb ik geen ervaring mee. Het is misschien absurd, maar het aantal key iteraties was bij Truecrypt veel te laag. Veiligheid heeft helaas een prijs, die meestal ten koste gaat van het praktisch gebruik.

[Reactie gewijzigd door Coyote76 op 25 juli 2024 13:09]

[mikaya]

Wat denken jullie van "Exlade Cryptic Disk" (de freeware versie)?
Is dit een goed alternatief?
Die kan ook werken met TrueCrypt-containers.