Software-update: VeraCrypt 1.24-Update6

Er is een nieuwe update voor versie 1.24 van VeraCrypt uitgekomen. VeraCrypt, een fork van TrueCrypt, is een opensource-encryptieprogramma waarmee complete harde schijven of partities en virtuele volumes kunnen worden versleuteld. VeraCrypt gebruikt de originele broncode van TrueCrypt, maar bevat diverse verbeteringen met betrekking tot de beveiliging. Volumes die met TrueCrypt zijn aangemaakt kunnen gewoon geopend en geconverteerd worden. De changelog voor deze uitgave kan hieronder worden gevonden.

Windows:

• Optimize performance for CPUs that have more than 64 logical processors (contributed by Sachin Keswani from AMD)
• Support specifying keyfiles (both in tokens and in filesystem) when creating file containers using command line (switches /keyfile, /tokenlib and /tokenpin supported in VeraCrypt Format)
• Fix leak of keyfiles path and name after VeraCrypt process exits.
• Add CLI switch /secureDesktop to VeraCrypt Format.
• Update libzip to version 1.6.1
• Minor UI fixes
• Fix PIM label text truncation in password dialog
• Fix wrong language used in installer if user selects a language other than English and then selects English before clicking OK on language selection dialog.

Versienummer	1.24-Update6
Releasestatus	Final
Besturingssystemen	Windows 7, Linux, BSD, macOS, Windows Server 2008, Windows Server 2012, Windows 8, Windows 10, Windows Server 2016
Website	VeraCrypt
Download	https://www.veracrypt.fr/en/Downloads.html
Bestandsgrootte	34,38MB
Licentietype	GPL

Reacties (27)

Prima programma, maar de auteur mag wel eens iets aan zijn versienummering gaan doen. 1.24-Hotfix1, 1.24-Update2, Update3, etc.

Spring gewoon eens naar versie 1.25, durf te leven...

Ik daarentegen ben grote voorstander van het oude model. Ik zit niet te wachten op Firefox 385.
Kleine veranderingen, kleine vernummeringen. Véél helderder.

Ja maar daar is die punt toch voor?
1.24 naar 1.25 voor kleine dingen en dan 1.24 naar 2.0 voor grote veranderingen.
Of anders voeg je nog een punt toe en krijg je 1.24.5 in dit geval.
Vele malen duidelijker dan wat er nu gebeurt.

[Reactie gewijzigd door ErikRedbeard op 10 maart 2020 23:29]

Volgens semver is het zelfs major.minor.patch. In dit geval is geen functionaliteit aangepast en dus gewoon een patch level omhoog. Bij backwards compatible aanpassingen is het een minor omhoog. Bij backwards incompatible aanpassingen een major.

Dingen achter de patch level (1.2.3-1463) zijn bijv het build nummer waar geen fixes zijn uitgebracht in de code maar puur aan de (build) omgeving er omheen bijv. Qua patch en build ben je zelf redelijk flexibel.

[Reactie gewijzigd door Ventieldopje op 11 maart 2020 01:31]

Backwards compatible en incompatible slaat meer op libraries naar mijn mening.

Want programma's werken niet met bestanden en instellingen?

Vaak worden ze omgezet maar de nieuwe bestanden zijn vaak niet te openen met oudere programma's als ze opgeslagen zijn in dat nieuwe formaat.

Zeker niet alleen voor libraries dus!

Ooit (vorige eeuw) van oracle eens een uitleg gezien met 5 velden 1.2.3.4.5. Die veranderen als:
1: voor upgrades: Alles kan anders zijn: De basis is nog het zelfde maar alle koppelingen en documentatie moet worden herzien. Er is mogelijk geen compatibiliteit.
2; voor major updates: De basis is er nog. Wel kunnen opties zijn toegevoegd. Er is vooral upwardse compatibiliteit: er wordt functionaliteit toegevoegd en eventueel iets depricated weggehaald.
3: De compatibiliteit wordt zo veel mogelijk behouden. Alles werkt zoals gedocumenteerd. Maar bugs kunnen natuurlijk zijn platgestreken.
4 en 5: Als alleen deze velden zijn aangepast dan is er iets speciaals aan de hand. Meestal een nieuwe build of een special build

Ik vind de geschiedenis van deze software wat vreemd. Uiteindelijk draait het bij dit soort applicaties om vertrouwen, en ik twijfel.

Veracrypt is ontstaan uit Truecrypt. "Opeens" hielden de makers met Truecrypt op, omdat het onveilig zou zijn. Zonder verdere uitleg. https://nl.m.wikipedia.org/wiki/TrueCrypt . Vlot daarna kwam de Veracrypt fork.

Waarom zou dit dan wel veilig zijn? Of moest Truecrypt stoppen onder externe druk? Zou die externe partij misschien achterdeurtjes in Veracrypt hebben gestopt? Of ben ik nu te achterdochtig?

Aluhoedje much? De NL wiki is ook echt bagger in veel gevallen.

https://en.wikipedia.org/wiki/TrueCrypt#Security_concerns Het werd al niet meer geüpdatet en bevatte veiligheidsgaten. Veracrypt wordt wel actief onderhouden (vandaar dat je hier bent!) en wordt door bijvoorbeeld de EFF aangeraden als disk encryptie tool onder Windows.

Desnoods ga je door de source struinen.

Dit is het enige open source full disk encryptie programma, welke volledig gereviewed is door een derde partij en waarvan alle bevindingen openbaar zijn:

http://istruecryptauditedyet.com/

Dat is een garantie die BitBlocker en FileFault niet kunnen geven. In dat opzicht is het redelijk te stellen dat het niet te kraken is. Ook de FBI heeft officieel moeten bekennen dat ze het niet kunnen kraken.

Er zijn echter ook twijfelachtige kanten aan het originele TrueCrypt. Zo hebben ze opzettelijk altijd een niet GPL licentie gebruikt welke nog steeds kopzorgen geeft. De originele fouten zijn gefixt, maar het blijft inderdaad enigsinds schimmig.

Zo raar is dat toch niet?
Stel makers TrueCrypt zijn amerikanen en krijgen dwangbevel om aan te passen. Ze weigeren en stoppen.

De nieuwe VeraCrypt gaat in Europa, dacht Frankrijk, verder.

Ik vond de uitleg van Steve Gibson in 2014 erg nuttig. (www.grc.com , maker van SpinRit)
https://media.grc.com/SN/sn-458-lq.mp3
Mijn aantekeningen:
-hij code bestudeerd, Iemand echt veel moeite om zo te wijz. Ook site bij SourceForce, geen hack.
Hij overtuigt dat de authors het zat waren, ook berichten dat klopt. Nu al 10j, Veel te weinig opbrengsten.
Grote moeite ook OS crypt, nu win8, GPT ipv Bios/Mbr. Heel veel werk. Ook crossplatform.
Hij zegt dat code zeer mooi geschreven en hoge kwaliteit, zelfs na 10jaar.
Waarom niet OpenSource?: net groot probleem OpenSSL, is door anderen verziekt.
Maker David wilde geen forks, bang fouten en onveilige versies!.
En zegt dat geen regeringsdruk. Dat Bitlocker "goed genoeg is". Altijd primair voor Windows.
code is niet OpenSource, maar Public=Openbaar.
Audit tot nu was voorlopig, goede nieuws: komt ook audit echte v7.1a
-ander zegt: niet gebruiken, zeggen zelf dat niet veilig. Gibson: is omdat ze vergeten willen worden.
ander dat gevaarlijk, omdat bron niet zeker is, omdat makers anoniem zijn.
Gibson: code kan alleen door makers zo veranderd zijn naar 7.20.

Spoiler... Ik zag al 1.24-Update6 voorbij komen

1.25-Update5 is nog niet beschikbaar via de website.
Wel te downloaden via https://sourceforge.net/p...VeraCrypt%201.24-Update5/

Volgens mij best veilig te noemen.

Na een audit van TrueCrypt (TC) bleek dat er een aantal vulnerabilities waren, en naar schijnt wilde de NSA een backdoor in laten bouwen. In plaats daarvan hebben de makers van TC het project stopgezet. Althans, dat wordt beweerd maar ook tegengesproken uit oude documenten van Snowden.

VeraCrypt heeft de vulnerabilities gefixt. Het is daarnaast open source, maar dus in principe continu te auditen. Of dit ook gebeurt is natuurlijk een tweede vraag.

Hier vind je nog meer info, alsmede hier nog meer informatie over TrueCrypt en waarom ze zijn gestopt.

[Reactie gewijzigd door Lohengrin op 10 maart 2020 21:15]

Hoe veilig is deze software eigenlijk?

Ik denk dat er weinig is dat een betere keus zou zijn. Het is open source, dus de kans op achterdeurtjes van de NSA is er eigenlijk niet. Hooguit zit er een onbekende fout is waardoor ze er in kunnen komen, maar dat ligt in ieder geval niet op straat. Tegen over closed source alternatieven is dit toch zeker de betere keuze.

Verder ligt het natuurlijk aan waar je het voor gebruikt. In mijn geval heb ik encryptie zodat ik overal in Windows ingelogt kan zijn en maar 1x een wachtwoord hoef in te vullen. Dit voorkomt dat al mijn data op straat ligt als mijn PC zou worden gejat en dat iemand in mijn email komt. Ik gebruik het puur voor beveiliging en gemak. Dat de NSA er wel of niet in zou kunnen komen boeit mij niet. Er staat toch niets boeiends op en tegen het jatten van mijn PC werkt het perfect. Ik zie een dief niet de moeite nemen om ook maar een poging te wagen er in te komen. Dus wat mijn doel betreft voldoet eigenlijk iedere vorm van encyptie, ook als het closed source is.

Er heeft een audit op de software plaatsgevonden. De kritische kwetsbaarheden zijn daarna verholpen.

Daarbij wordt er gebruik gemaakt van symmetrische encryptie die theoretisch zelf veilig zou moeten zijn voor Quantumdecryptie.

Waarschijnlijk heel veilig, voor nog grotere veiligheid moet je zelf de binaries compileren. Zodat je zeker weet welke source gebruikt wordt.

Niemand kan je namelijk garanderen dat de binaries met de online code gegenereerd is. Tijdens het build proces is het eenvoudig om code te vervangen door een versie met een backdoor.

Hoogst waarschijnlijk is dat hier geen issue, maar het zou wel eenvoudig kunnen en dat is lastig te controleren.

Heel veilig.

r/im14andthisisdeep is deze kant op.

Cryptografie valt onder wiskunde.

Gezien je naam, het tijdstip van reageren en de quote onderop, is je reactie misschien gekleurd of iets wat je overdag anders zou verwoorden.

Obfuscatie: https://nl.wikipedia.org/wiki/Obfuscatie_(software)
Encryptie: https://nl.wikipedia.org/wiki/Encryptie ("Binnen de cryptografie staat encryptie voor het coderen (versleutelen) van gegevens op basis van een bepaald *algoritme*")
Algoritme: https://nl.wikipedia.org/wiki/Algoritme ("Een algoritme is een recept om een *wiskundig* probleem op te lossen.")
O ja, "Deeltjes-golf-dualiteit" valt onder Quantum technology en heeft in principe niets met encryptie te maken...

[Reactie gewijzigd door beau-key op 11 maart 2020 17:38]

Ik vertrouwde veracrypt in eerste instantie niet zoals ik truecrypt vertrouw maar er is nu een audit op versie 18. Eens kijken wie die audit heeft gedaan (Frans bedrijf) en misschien toch maar eens updaten.