Software-update: VeraCrypt 1.24

Versie 1.24 van VeraCrypt is uitgekomen. VeraCrypt, een fork van TrueCrypt, is een opensource-encryptieprogramma waarmee complete harde schijven of partities en virtuele volumes kunnen worden versleuteld. VeraCrypt gebruikt de originele broncode van TrueCrypt, maar bevat diverse verbeteringen met betrekking tot de beveiliging. Volumes die met TrueCrypt zijn aangemaakt kunnen gewoon geopend en geconverteerd worden. De changelog voor deze uitgave kan hieronder worden gevonden.

All OSs:

• Increase password maximum length to 128 bytes in UTF-8 encoding for non-system volumes.
  • Add option to use legacy maximum password length (64) instead of new one for compatibility reasons.
• Use Hardware RNG based on CPU timing jitter "Jitterentropy" by Stephan Mueller as a good alternative to CPU RDRAND (http://www.chronox.de/jent.html)
• Speed optimization of XTS mode on 64-bit machine using SSE2 (up to 10% faster).
• Fix detection of CPU features AVX2/BMI2. Add detection of RDRAND/RDSEED CPU features. Detect Hygon CPU as AMD one.

Windows:

• Implement RAM encryption for keys and passwords using ChaCha12 cipher, t1ha non-cryptographic fast hash and ChaCha20 based CSPRNG.
  • Available only on 64-bit machines.
  • Disabled by default. Can be enabled using option in UI.
  • Less than 10% overhead on modern CPUs.
  • Side effect: Windows Hibernate is not possible if VeraCrypt System Encryption is also being used.
• Mitigate some memory attacks by making VeraCrypt applications memory inaccessible to non-admin users (based on KeePassXC implementation)
• New security features:
  • Erase system encryption keys from memory during shutdown/reboot to help mitigate some cold boot attacks
  • Add option when system encryption is used to erase all encryption keys from memory when a new device is connected to the system.
  • Add new driver entry point that can be called by applications to erase encryption keys from memory in case of emergency.
• MBR Bootloader: dynamically determine boot loader memory segment instead of hardcoded values (proposed by neos6464)
• MBR Bootloader: workaround for issue affecting creation of hidden OS on some SSD drives.
• Fix issue related to Windows Update breaking VeraCrypt UEFI bootloader.
• Several enhancements and fixes for EFI bootloader:
  • Implement timeout mechanism for password input. Set default timeout value to 3 minutes and default timeout action to "shutdown".
  • Implement new actions "shutdown" and "reboot" for EFI DcsProp config file.
  • Enhance Rescue Disk implementation of restoring VeraCrypt loader.
  • Fix ESC on password prompt during Pre-Test not starting Windows.
  • Add menu entry in Rescue Disk that enables starting original Windows loader.
  • Fix issue that was preventing Streebog hash from being selected manually during Pre-Boot authentication.
  • If "VeraCrypt" folder is missing from Rescue Disk, it will boot PC directly from bootloader stored on hard drive
    • This makes it easy to create a bootable disk for VeraCrypt from Rescue Disk just by removing/renaming its "VeraCrypt" folder.
• Add option (disabled by default) to use CPU RDRAND or RDSEED as an additional entropy source for our random generator when available.
• Add mount option (both UI and command line) that allows mounting a volume without attaching it to the specified drive letter.
• Update libzip to version 1.5.2
• Do not create uninstall shortcut in startmenu when installing VeraCrypt. (by Sven Strickroth)
• Enable selection of Quick Format for file containers creation. Separate Quick Format and Dynamic Volume options in the wizard UI.
• Fix editor of EFI system encryption configuration file not accepting ENTER key to add new lines.
• Avoid simultaneous calls of favorites mounting, for example if corresponding hotkey is pressed multiple times.
• Ensure that only one thread at a time can create a secure desktop.
• Resize some dialogs in Format and Mount Options to fix some text truncation issues with non-English languages.
• Fix high CPU usage when using favorites and add switch to disable periodic check on devices to reduce CPU load.
• Minor UI changes.
• Updates and corrections to translations and documentation.

MacOS:

• Add check on size of file container during creation to ensure it's smaller than available free disk space. Add CLI switch --no-size-check to disable this check.

Linux:

• Make CLI switch --import-token-keyfiles compatible with Non-Interactive mode.
• Add check on size of file container during creation to ensure it's smaller than available free disk space. Add CLI switch --no-size-check to disable this check.

Versienummer	1.24
Releasestatus	Final
Besturingssystemen	Windows 7, Linux, BSD, macOS, Windows Vista, Windows Server 2008, Windows Server 2012, Windows 8, Windows 10, Windows Server 2016
Website	VeraCrypt
Download	https://www.veracrypt.fr/en/Downloads.html
Bestandsgrootte	34,24MB
Licentietype	GPL

Reacties (23)

In één woord: essentieel! Ik gebruik VeraCrypt voor zowel privé- als werkdoeleinden en zou niet meer zonder kunnen. Het is een standaard en onmisbaar onderdeel van mijn werkset geworden. Het staat niet alleen op elke computer die ik bezit, maar ook op mijn sleutelhanger als portable app. Zo kan ik altijd en overal bij mijn versleutelde bestanden.

Enige jammere is wel dat de Linuxversie van VeraCrypt alleen in het Engels is, en niet - zoals onder Windows - te kiezen is uit een locale. Ik hoop dat dit in de toekomst wel gaat gebeuren. Ik zou er zelfs best wel aan willen meewerken.

Voor de werking is het niet kunnen kiezen van een taal (onder Linux) uiteraard helemaal niet belangrijk, maar ik draai software nu eenmaal het liefst in de taal van het systeem. En dat is eigenlijk altijd Nederlands.

Voor de rest: dankbaar dat TrueCrypt een vervolg heeft gekregen met deze VeraCrypt en ook nog verder verbeterd is. Dát is nu de kracht van open source.

De kracht van open source is ook dat je gewoon zelf alle tekst kan aanpassen en daarna compileren

Klopt helemaal, maar dat is geen pretje om dat steeds opnieuw te moeten doen bij elke nieuwe versie die uitkomt. VeraCrypt volledig vertalen is bijna 1.500 regels tekst. Het zou een stuk makkelijker zijn als het, net als de Windows versie, vertaald werd door middel van XML-bestanden. Dan zou het een eitje zijn, want dat XML-bestandje is dan ook te gebruiken in toekomstige versies.

Ik had de source bekeken en het is zeker geen pretje. De ene regel code wordt er wel verwezen naar een langstring en de andere is weer hardcoded één of ander reden, gewoon recht onderelkaar en dat bijna overal. Ze moeten flink wat code onderhanden nemen voordat ze alles aan een xml bestand kunnen koppelen, anders krijg je een tweetalig programma en daar kan ik me flink om irriteren overigens bevat de Windows vertaling ook erg rare zinnen (Google translate?)

Je zou verwachten dat de verschillende OS-versies wel 1 codebase gebruiken. En dus de vertalingen die onder Windows werken, ook onder Linux zijn te gebruiken.
Maar kennelijk is dat dus niet zo...?

Als ik niet wil dat mijn bestanden na diefstal van hardware op straat komen te liggen, gebruik ik LUKS. Dat werkt op de meeste Linux distributies erg plug en play. Is er niet iets soortgelijks op Windows waardoor je geen extern programma nodig hebt?

BitLocker, is ingebouwd onder, onder andere: Microsoft Windows 10/Server 2016/2019, je zet het "aan" vanuit Control Panel, en hij begint met encryptie, als het klaar is, moet je de sleutel ergens op een andere plek opslaan, bv op een USB Key of Drive, of Netwerk share, of zelfs in Active Directory. Decrypting kan dan vanuit die key. Werkt perfect met AD.

Jup en vanuit Azure AD kan je versleuteling via Intune afdwingen op beheerdere apparaten en servers. Daar kan je vervolgens ook weer de recovery key terugvinden.

De maker(s) van TrueCrypt zijn er destijds ineens mee gestopt, zonder verdere opgaaf van redenen. Alleen meldden ze op hun site dat het verdere gebruik van TrueCrypt werd afgeraden. Dit is één van de mysteries van de IT-wereld. Kent iemand van jullie de makers persoonlijk, of hebben jullie ergens opgevangen wat er nu uiteindelijk aan de hand was? Gekraakt door een geheime dienst? Onder druk gezet door een regering om ermee te stoppen? Ik ken heel wat mensen uit de crypto-wereld, maar zelf zou ik niet eens weten wie de originele makers van TrueCrypt zijn en wat er gebeurd is.

Ik kan mij van jaren geleden een verhaal herinneren, dat ging over: True crypt, iPhone, criminelen en FBI/CIA. Hierbij ging, zoals gewoonlijk, de FBI, de True Cryot decryptie crack key afdwingen, en de TC ontwikkelaars wouden toen niet mee werken.

Dat verhaal heb ik ook gehoord, maar ja... het blijft een verhaal.
Overigens zou een "oudere" versie van TC nog wel "goed" zijn volgens die verhalen.

Daarnaast meen ik me te herinneren dat VeraCrypt in eerste instantie ook nog niet gecertificeerd zou zijn, zoals TC toen door Fraunhofer Institute for Secure Information Technology
Weet iemand of dat inmiddels al wel zo is? Want daar lees ik niets over op de VC site.

Over 'oudere' tc-versies: 7.2 en 7.3 zijn versie nummers die in mijn hoofd boven komen drijven.

Volgens mij was de laatste tc-versie alleen 'read-only' en konden versleutelde bestanden niet meer worden beschreven. Om tc volledige te blijven gebruiken moest je terug naar de vorige versie.

Voor zover ik weet was dat versie 7.1a die nog "goed" zou zijn.

Steve Gibson heeft er toen uitgebreid over gespeculeerd:
www.grc.com , van SpinRite , https://media.grc.com/SN/sn-458-lq.mp3 af ca 60-70%

Uit MIJN interne aantekeningen:
160331 Steve Gibson, www.grc.com heeft aangevuld,
- Yes . . . TrueCrypt is still safe to use.
Phase 2 of the TrueCrypt Audit FINISHED! : No significant cryptographic problems found
- hij jubelt of vakwerk en prachtige code. Dat begrijpt dat zij het anderen niet over wilden laten nemen.

141124 Steve Gibson, www.grc.com , van SpinRite , https://media.grc.com/SN/sn-458-lq.mp3 af ca 60-70%
-hij code bestudeerd, Iemand echt veel moeite om zo te wijz. Ook site bij SourceForce, geen hack.
Hij overtuigt dat de authors het zat waren, ook berichten dat klopt. Nu al 10j, Veel te weinig opbrengsten.
Grote moeite ook OS crypt, nu win8, GPT ipv Bios/Mbr. Heel veel werk. Ook crossplatform.
Hij zegt dat code zeer mooi geschreven en hoge kwaliteit, zelfs na 10jaar.
Waarom niet OpenSource?: net groot probleem OpenSSL, is door anderen verziekt.
Maker David willen geen forks, bang fouten en onveilige versies!.
En zegt dat geen regeringsdruk. Dat Bitlocker "goed genoeg is". Altijd primair voor Windows.
code is niet OpenSource, maar Public=Openbaar.
Audit tot nu was voorlopig, goede nieuws: komt ook audit echte v7.1a
-ander zegt: niet gebruiken, zeggen zelf dat niet veilig. Gibson: is omdat ze vergeten willen worden.
ander dat gevaarlijk, omdat bron niet zeker is, omdat makers anoniem zijn.
Gibson: code kan alleen door makers zo veranderd zijn naar 7.20.

Als je Bitlocker niet vertrouwt "want closed source", fair enough, maar dan moet je ook geen Windows gebruiken...

Ik gebruik VeraCrypt ook. Werkt inderdaad prima, maar ik merk dat het voor mindere IT goden toch lastig blijft. Is er geen mogelijkheid (Of ander programma) waarbij je dubbelklikt op een map dan een wachtwoord pop-up krijgt en dan aan het werk kan? Dus zonder te hoeven mounten / dismounten enzo.

Als je een volume/drive met Bitlocker vergrendeld dan krijg je een wachtwoord pop-up wanneer je die drive in verkenner dubbelklikt. Enige jammer is wel dat er geen makkelijke optie is om terug te locken, behalve reboot.

@GoBieN-Be ,
Een drive(partitie) of usb stick, maar dit werkt toch niet zo met een map of heb ik al die tijd iets over het het hoofd gezien? ;p

Ik heb ooit een batch bestand (oud ik weet het) gemaakt, die met een Shortcut op desktop staat:
Gebruiken mijn ouders voor Mounten én Unmounten

>>>>>>>>>>>>>
@echo *** Mount G-Data ***
@goto Start
----------
*Batch / Commmandline:
191008 zie www.veracrypt.fr/en/Command%20Line%20Usage.html

Als nog oude TrueCrypt volumes:
/tc Activate TrueCrypt compatibility mode which enables mounting volumes created with TrueCrypt 6.x and 7.x series.
DrvLet: 1809 VC wel spatie 130729 TC drv-let TEGEN commando zonder spatie , dan wel spec dismount! /dX

TrueCrypt Help 130730 v7.1 p80
/L X mount X , !! Vera juist spatie /L X
/P "password" (zou ik niet adviseren ;-)
/C cache passw , /H keep History (/H N = geen history), /K Keyfile (/k c:\qwwee\qqww)
/m mountoptions , /m rm removable (dus def niet), /m ts wijz timestamp
/Q Quit : sluit prog Truecrypt na afloop, kan "/q background" dan blijft prog als background.
/d Dismount all , /dX drv X , evt /F Force , /w Wipe cache passw

----------
:Start

Set DRV=G:

rem Als vast : set CRYP="k:\&drv-F\$data-G.vc"
rem Als volume in DEZELFDE dir:
set CRYP="%~dp0$data-G.vc"

rem set PROG="c:\Program Files\TrueCrypt\TrueCrypt.exe"
set PROG="c:\Program Files\VeraCrypt\VeraCrypt.exe"
rem Als afh. computer: if '%comp%'=='pc15' set Prog="c:\Program Files\VeraCrypt\VeraCrypt.exe"

rem -- Bestaat drv al? Dan unmount --
if exist %DRV%\*.* goto Unmount
rem 1509 soms niet unmounten, dan direct goto End

:Mount
@echo ** Mount **
%PROG% /L %DRV% /v %CRYP% /q /C
goto End

:Unmount
@echo ** UNmount **
%PROG% /d %DRV% /q

:End
rem pause

[Reactie gewijzigd door SCS2 op 8 oktober 2019 20:17]

Is LUKS een gelijkaardig alternatief voor debian? Dit kan ik als plugin installeren op m'n openmediavault-nas.

Jazeker. Maar volgens mij kan je niet een schijf waar al data op staat versleutelen. En je moet een wachtwoord intypen om hem te ontgrendelen. Ik weet niet hoe dat bij een NAS in zijn werk gaat, maar je zult bij iedere onvoorziene reboot (vermoedelijk) moeten inloggen om een wachtwoord in te typen.

Verder is het voor zover ik weet niet compatible met Windows, mocht je de schijf ooit direct aan een Windows-machine aansluiten.

Een niet vaak genoemde verbetering boven TrueCrypt: password invoeren op Secure Desktop
(system, pref , use Secure Desktop for password entry. )

Het grootste gevaar zijn (volgens mij) keyloggers.
In de help bij KeePass (die dit ook heeft) stond dat er geen bekende aanval methoden zijn voor de Secure Desktop van windows zelf.
Dus voor mij een belangrijke plus van vc boven tc.

Als er hacker-kenners zijn die dit kunnen bevestigen/tegenspreken, dan hoor ik dat graag.

Meest relevante quote uit de HN discussie:

From https://github.com/smuellerDD/jitterentropy-rngd

> Using the Jitter RNG core, the rngd provides an entropy source that feeds into the Linux /dev/random device if its entropy runs low. It updates the /dev/random entropy estimator such that the newly provided entropy unblocks /dev/random.

This is a red flag. Entropy doesn't run low. https://www.2uo.de/myths-about-urandom

I'm calling it now: Don't use VeraCrypt.

They made a very questionable decision based on the sort of ignorance that leads people to use /dev/random and haveged rather than RtlGenRandom (Windows), getrandom(2) (new Linux), or /dev/urandom (old Linux).

Cryptography engineering requires care and this sort of ignorance tends to undermine secure implementations.