Software-update: VeraCrypt 1.24-Update8

Er is een nieuwe update voor versie 1.24 van VeraCrypt uitgekomen. VeraCrypt, een fork van TrueCrypt, is een opensource-encryptieprogramma waarmee complete harde schijven of partities en virtuele volumes kunnen worden versleuteld. VeraCrypt gebruikt de originele broncode van TrueCrypt, maar bevat diverse verbeteringen met betrekking tot de beveiliging. Volumes die met TrueCrypt zijn aangemaakt kunnen gewoon geopend en geconverteerd worden. Deze uitgave brengt alleen comptabiliteitsverbeteringen voor macOS Big Sur, de versies voor Windows en Linux zijn niet bijgewerkt..

Changes in 1.24-Update8:

• Fix compatibility issues with macOS Big Sur, especially on Apple Silicon M1 with macFUSE 4.0.x.

Versienummer	1.24-Update8
Releasestatus	Final
Besturingssystemen	Windows 7, Linux, macOS, Windows 8, Windows 10
Website	VeraCrypt
Download	https://www.veracrypt.fr/en/Downloads.html
Licentietype	GPL

Reacties (56)

[Eonfge]

Voor iedereen die zich af vraagt, waarom Vera Crypt en niet gewoon de OS ingebouwde encryptie?

Geweld en marteling.

De ingebouwde encryptie in Mac OS, Windows en Linux is wiskundig in orde, maar het is maatschappelijk kwetsbaar. Een vijand (agent, spion, of crimineel) kan jou op oneerlijke manieren onder druk zetten om de laptop te ontgrendelen. Dit is bekend, en geen van de betrokken partijen is heel actief in het tegengaan van deze 'kwetsbaarheid'.

Vera Crypt is eigenlijk de enige gangbare encryptie die deze kwetsbaarheid probeert te ondervangen. Je kunt verborgen volumes maken waardoor geen aanvaller met zekerheid kan stellen of jij wel het juiste wachtwoord hebt gegeven. Je kunt in Vera Crypt een onbeperkt aantal 'decoys' maken waardoor het naspelen van Hostel, theoretisch weinig uithaalt.

Of dat uiteindelijk werkt, dat is lastig om zeker te stellen. Je kunt er vanuit gaan dat zulke voorvallen het nieuws niet halen.

Andersom kun je hier trouwens ook misbruik van maken. Je kunt een Vera Crypt versleutelde USB op een verdachte plaatsen en in sommige landen (zoals het Verenigd Koninkrijk) kan zo iemand dan drie jaar de cel in. De verdachte kan immers nooit bewijzen dat hij het achterste van zijn tong heet laten zien.

[Reactie gewijzigd door Eonfge op 23 juli 2024 19:04]

[ByteArray]

Verborgen volumes zijn niet zo verborgen als veel mensen zich wijsmaken.

Er zijn verschillende manieren om de 'plausibele onkenbaarheid' toch wat minder plausibel te maken.

- Wie garandeert mij dat er in de logs van het zogenaamd enige volume op een schijf door het OS geen foutmeldingen in de logs staan dat het niet naar sommige delen van de schijf kan schrijven? Om de zoveel tijd moet je gebruik maken van het "enige volume" om geen argwaan te wekken, en daarbij moet je naast het wachtwoord voor het "enige volume" ook het wachtwoord voor het geheime volume opgeven zodat daar niet zomaar naar geschreven kan worden. Als je dat één keer vergeet kun je al dag zeggen tegen je data in je geheime volume.
- VeraCrypt + een kleiner volume dan de fysieke schijf zelf is ook verdacht.

Dus tsjah, als (!) ik crimineel zou zijn, of spion, zou ik je vingers er alsnog één voor één afknippen met een kniptang iedere keer als je weigert om je geheime volume te openen.

Precies de reden dat ik LUKS/dm-crypt gebruik, heb ik geen last van dat ze het alleen al kunnen vermoeden. Beter zet je gewoon een geheim OS op een micro sd-kaartje als je echt iets heel geheims hebt op te slaan en verstop je die gewoon héééél goed. Encryptie als extra laag voor de zekerheid mocht je hem kwijtraken. Overigens is dat ook onzin voor de meeste mensen, maar kan voor sommigen nuttig en legitiem zijn.

[Eonfge]

Verborgen volumes zijn niet zo verborgen als veel mensen zich wijsmaken. Er zijn verschillende manieren om de 'plausibele onkenbaarheid' toch wat minder plausibel te maken.

De bezwaren die je hier op noemt, zijn vooral terug te brengen tot RTFM. In de documentatie van Vera Crypt wordt uitgelegd hoe informatie kan lekken, en wat je per OS moet doen om dat te voorkomen.

Dat laatste punt, namelijk dat een aanvaller een kleiner volume ziet, is niet het geval. Het idee is dat je een zichtbaar volume hebt, met daarin een X aantal verborgen modules. Neem dit scenario:

Je bent gepakt met een 20GB USB stick toen je over de grens wilde vluchten. Als het goed geïnstalleerd is zien ze één 20GB gesloten volume. Na een avondje met-de-handen praten geef je ze het wachtwoord, en kunnen ze de USB stick ontgrendelen: 20 GB aan data is dan toegankelijk. Vervolgens pakken ze de zaag en beginnen ze je vingers af te zagen. Na drie vingers besluit je dat jouw loyaliteit aan de Rebels/Empire niet opweegt tegen het leed, en je geeft ze twee wachtwoorden. Nu zien ze één 5 GB volume en één 15 GB volume.

De crux is natuurlijk dat niemand behalve jij, ooit kan weten hoeveel volumes met wachtwoorden je hebt. Misschien dat de eerste drie decoys zijn. In de handleiding van Vera Crypt wordt er ook naar gerefereerd om ergere informatie dieper weg te stoppen: In laag één stop je gewoon je bank details, in laag vier zet je de tijd en locatie van de volgende bomaanslag tijdens een politieke bijeenkomst. De kinderporno in laag 2 is er alleen maar voor zodat je er met drie jaar cel makkelijk vanaf komt.

[Reactie gewijzigd door Eonfge op 23 juli 2024 19:04]

[3raser]

Nu ben ik toch wel benieuwd welke data je voor laag 3 gepland had.

[Eonfge]

NAW gegevens van minderjarige kinderen met bomgordels?

Laat ik er wel even bij zeggen dat ik het liefst in een vredige wereld leef. Alle techniek is a-politiek, en mensen bepalen of het voor goed of slecht wordt ingezet. Laten we hopen dat er meer democratische middelen getracht worden voordat kinderen met bomgordels nodig zijn.

[Reactie gewijzigd door Eonfge op 23 juli 2024 19:04]

[Aardbol_23564]

Die (micro)SD kaarten zijn makkelijk op te speuren met getrainde honden.

Veiligste manier naar mijn mening is om geen os permanent te draaien. Alles live cd in ram en elke keer opnieuw laden. Data die je moet bijhouden verdelen op verschillende media, verschillende plaatsen en op verschillende manieren versleutelen.

En hardware encryptie sleutels helpen ook om het nog veiliger te doen

[Reactie gewijzigd door Aardbol_23564 op 23 juli 2024 19:04]

[ByteArray]

Ja, klopt. Hoewel ik me wel afvraag of die honden ook zo goed zijn dat ze zo'n klein kaartje kunnen opsporen als je die écht goed verstopt, of zelfs in bijv. een brandmelder doet ofzo. De neus van honden is heel goed, heb zelf een hond, maar ook weer niet onfeilbaar.

Maar dan kun je nog zeggen dat je niet wist dat je dat kaartje nog had. Wie weet zijn complexe wachtwoord nog na vele jaren? Je geeft gewoon toegang tot alle andere computers en gegevensdragers, en klaar. De rechter zal het dan wel geloven in ieder geval. Plausibeler dan "plausibele onkenbaarheid" met VeraCrypt.

In het geval van professionele criminelen/spionnen moet je wel betere maatregelen treffen natuurlijk.

Beste is natuurlijk een nuldatabeleid, dus zoals jij zegt: niks permanent, met bijv. Tails. Eventuele data sla je anoniem op in de cloud. Lokaal versleutelen met sterk wachtwoord, met Tor uploaden.

Biedt nog steeds geen 100% (of 99,99%) garantie als ze van te voren een hardwarematige keylogger in je toetsenbord stoppen bijvoorbeeld. Dus het beste kun je een laptop in een plofkoffer stoppen, zoals ook met geld gebeurt bij geldtransport.

https://nl.wikipedia.org/wiki/Plofkoffer

[Reactie gewijzigd door ByteArray op 23 juli 2024 19:04]

[Iekozz]

Een ding wat je bij veracrypt niet hebt: De volledige flow van secureboot/uefi naar bitlocker. Dit stopt ook aanvallen en zorgt voor de integriteit van het boot process. Overigens is de code van bitlocker wel in te zien voor overheden. Wel met nda uiteraard.

[Jrnr601]

De ingebouwde encryptie in Mac OS, Windows en Linux is wiskundig in orde, maar het is maatschappelijk kwetsbaar.

Hoe ben je hier zo zeker van? Is de broncode van 'encryptie' in Windows en macOS publiekelijk beschikbaar? Indien ja, kunnen we verifiëren dat het daadwerkelijk deze code is die gebruikt wordt?

[Reactie gewijzigd door Jrnr601 op 23 juli 2024 19:04]

[Skit3000]

Als Windows en macOS zo gemeen zijn, zit er ondertussen ook wel een backdoor in de API's die VeraCrypt gebruikt. Ik denk dat Microsoft en Apple meer te verliezen dan te winnen hebben mocht ooit uitkomen dat hun encryptie expres zwakheden bevat.

[dimitrivisser]

Veracrypt is opensource. Er zijn genoeg mensen die alles controleren op zoek naar bugs. Ik denk dat Veracrypt een stuk betrouwbaarder is dan de door jouw genoemde producten.

[Saven]

Tja, tot dat je erachter komt dat er vrijwel niemand genoeg kennis, zin en tijd heeft om vrijwillig te zoeken naar ernstige kwetsbaarheden. Zoals bij 7zip bijvoorbeeld. Heeft jarenlang een lompe bug in gezeten die de encryptie vrijwel nutteloos maakte. En iedereen die dacht 'het is vast heel veilig, want open source'. Zo werkt het helaas niet

Misschien is er bij VeraCrypt wel een actieve groep die continue test en onderzoek doet naar kwetsbaarheden, maar over het algemeen staat opensource zeker niet gelijk aan veilig. Sterker nog: op de zwarte markt leveren dit soort bevindingen goud geld op, i.t.t. het melden van de bug.

En tot slot ben ik persoonlijk van mening dat een groot bedrijf met duurbetaalde programmeurs vaak meer kunnen dan een groepje hobbyisten. Er is immers veel meer budget voor onderzoek en ontwikkeling beschikbaar. Ja, de code is afgesloten. Maar jij en ik zijn toch geen cryptograven, en in combinatie met mijn verhaal hierboven heb ik persoonlijk meer vertrouwen in Bitlocker/Filevault.

[Reactie gewijzigd door Saven op 23 juli 2024 19:04]

[rachez]

precies de reden dat ik nog steeds truecrypt 7.1 gebruik.
Ze zoeken het maar uit met die backdoors van ze.

[SCS2]

Een reden om wel over te stappen nar VeraCrypt, is dat het aantal hash-berekening aanzienlijk verhoogd is, waardoor bruteforce aanvallen veel lastiger zijn geworden.

[dimitrivisser]

Maar jij en ik zijn toch geen cryptograven, en in combinatie met mijn verhaal hierboven heb ik persoonlijk meer vertrouwen in Bitlocker/Filevault.

Totdat iemand hierboven komt met een verhaal dat die duurbetaalde programmeurs opzettelijk backdoors inbouwen voor veiligheidsdiensten...

[ByteArray]

Er zijn ook genoeg bedrijven die belang hebben bij de veiligheid van LUKS/dm-crypt (Linux). Red Hat zorgt bijv. vaak ook goed voor de Linux-gemeenschap. Denk dat LUKS/dm-crypt nog steeds de beste optie is qua veiligheid.

[Stromboli]

Zoals bij 7zip bijvoorbeeld. Heeft jarenlang een lompe bug in gezeten die de encryptie vrijwel nutteloos maakte.

Dat is nieuw voor me, heb je daar iets van een link van?

[Marctraider]

Volgens mij is er echt never nooit iemand geweest (behalve wat leken) die daadwerkelijk hebben geloofd dat menig encryptie in archivers safe was.

[dimitrivisser]

Voor zip was zelfs een tool beschikbaar die het wachtwoord direct omzeilde.

[Stromboli]

Ja maar die ZipCrypto die door .zip archives gebruikt wordt is ook hopeloos ouderwetse encryptie.

Tenzij je moderne varianten van het .zip formaat gebruikt, die supporten ook AES encryptie (wat dan niet backwards compatible is met oudere versies).

[Maxxi]

Is gewoon AES hoor

[EchoWhiskey]

" Maar jij en ik zijn toch geen cryptograven,"

Hahaha, wat een onzin reden.
Dat is waarschijnlijk ook de reden dat jij en ik niet mee werken aan het ontwikkelen van VeraCrypt.

Maar sterker nog: Je hoeft helemaal geen cryptograaf te zijn omdat die algoritmes openbaar zijn en door iedereen (zonder noemenswaardige kennis) gewoon te implementeren zijn in code.
Je hoeft dus helemaal geen research budget te hebben voor onzoek naar cryptografie.
Ik vermoed zo maar dat je zelf geen ontwikkelaar bent.

[Triblade_8472]

Naast het feit dat er geen ziel is die die code helemaal goed heeft doorgenomen, is dit dan ook een knieval product na TrueCrypt. Althans, als je de verhalen geloofd dat TrueCrypt gekapt is na druk van de veiligheids diensten omdat de beveiliging té goed was. Hierna zijn de forks gekomen met backdoors wat de veiligheidsdienstel wel ok vonden.

Ik denk dat ik wel van dat kamp ben.

[mischaatje2]

Fake news zou ik zeggen. Veracrypt heeft meerdere audits laten doen op de gehele broncode. Is ook uitgebreid op de Frontpage hier op Tweakers aan de orde geweest.

[Triblade_8472]

Tenzij, bijvoorbeeld, er juist in zo'n encryptiemethode een achterdeur zit. Kan je auditen wat je wil, maar als de onderdelen\3rd party library's\software ook niet geaudit worden is het nog steeds niet sluitend.

Zelfs Grapperhaus\de Nederlandse regering wil dit!

reviews: Minister wil achterdeur in encryptie - Nieuwe ronde in oude discussie

[Atomsk]

Dat zijn redeneringen van het type "Wanneer ik een reden kan verzinnen waarom iets gebeurt (omdat een persoon/organisatie daar voordeel bij heeft), dan is dat ook zo. Je collega heeft een hekel aan z'n werk + hij breekt een keer z'n been. Conclusie: hij heeft expres zijn been gebroken zodat hij niet hoefde werken. Dat mensen ook zonder opzet, door een ongeluk, hun been kunnen breken laat je dan buiten beschouwing.

Er kunnen allerlei redenen zijn waarom ontwikkelaars ergens mee stoppen. Wanneer je verder geen "inside" info hebt, heeft het echter niet veel zin daarover te gaan speculeren.

[Skit3000]

Wat ik zei is dat VeraCrypt uiteindelijk APIs van het besturingssysteem gebruikt. Daarbij is ongetwijfeld rekening gehouden met dat die APIs en zwakheid kunnen bevatten (alleen al daarom heeft VeraCrypt een eigen RNG), maar alsnog kan een zwakheid in het besturingssysteem er voor zorgen dat VeraCrypt onveiliger is.

Om een theoretisch voorbeeld te noemen; stel dat VeraCrypt bij het versleutelen van elk bestand een API gebruikt om een bewerking tussen twee priemgetallen uur te voeren. Als het na het aanroepen van deze functie 100ms duurt tot de uitkomst wist teruggegeven dan kan een VeraCrypt ontwikkelaar er van uit zijn gegaan dat computers honderd keer sneller moeten worden voor dit in 1ms kan en op basis daarvan denken dat bruteforcen een bepaalde tijd duurt. Blijkt nu echter dat Apple/Microsoft opzettelijk een vertraging in deze functie heeft ingebouwd van 99ms, dan is nú al het punt bereikt waarop de ontwikkelaar dacht dat we pas over vijftig jaar zouden zijn.

[GeoBeo]

Ik denk dat Microsoft en Apple meer te verliezen dan te winnen hebben mocht ooit uitkomen dat hun encryptie expres zwakheden bevat.

Wel eens van Snowden gehoord? Er is al uitgekomen dat hun encryptie (met name Microsoft) omzeilt wordt. En wat heeft Microsoft daarmee verloren? Blijkbaar helemaal niets, wat uit de reacties van vele Tweakers blijkt. De implicaties hiervan zijn in Nederland niet tot amper in het nieuws gekomen.

Microsoft wordt betaald door de NSA om backdoors in te bouwen of in te laten bouwen. Nu zijn ze alleen in het geheim verplicht (spionagewetgeving) waar we dankzij Snowden achter zijn gekomen. De VS (en EU ook) zijn hard bezig diezelfde backdoors wettelijk verplicht te maken.

Je kunt er rustig vanuit gaan dat alle populaire Amerikaanse software en hardware (firmware) vol zit met backdoors die actief misbruikt en afgedwongen worden door de NSA (en hun 5-eyes collega's) bij bedrijven. De ex-directeur van de NSA werkt bij Amazon. Hoe duidelijk wil je het hebben?

Toen Snowden dit allemaal aan het licht bracht was de reactie van de overheden niet om te minderen. Nee, de reactie was om hun illegale en anti-democratische handelen te legaliseren. Zie sleepwet in Nederland en zie ook de backdoor verplichtingen en encryptie verboden waar de EU en de VS nu aan werken.

Als je denkt dat Microsoft spulletjes (of welke andere Amerikaanse tech dan ook maar) veilig is voor personen waar *het Westen* interesse in heeft dan is dat IMO eindeloos naief.

[Reactie gewijzigd door GeoBeo op 23 juli 2024 19:04]

[Skit3000]

Dus de conclusie is dat alles wat Snowden heeft gelekt uiteindelijk in de ogen van de meeste mensen wel meeviel. De vraag is nu vooral of dit er voor heeft gezorgd dat Microsoft en Apple meer of minder backdoors in hun software zijn gaan maken. Als het minder is, dan is dat winst voor iedereen, ongeacht wat overheden ook willen.

Toevoeging: Je weet trouwens dat RT een propagandakanaal is dat direct onder toezicht van de Russische overheid staat? De inhoud van het bericht komt overeen met wat ik uit andere bronnen heb vernomen, maar het is niet de meest betrouwbare bron om naar te verwijzen.

[Reactie gewijzigd door Skit3000 op 23 juli 2024 19:04]

[Aardbol_23564]

Die opmerking over RT een propaganda kanaal is wel kort door de bocht. Er is ongetwijfeld propaganda op en in grote mate ook op bepaalde momenten, maar het is meer dan dat. Want misschien zonder dat je het weet zijn wij met onze "vrije" westerse media ook dagelijks onder invloed van propaganda. Wanneer hoor je bijvoorbeeld iets positiefs over Russen, Chinezen, moslims, turkije en vriendjes van hen? Heel weinig. RT geeft je ook een kritieke blik op onze westerse maatschappijen, die we echt nodig hebben, op dezelfde manier dat bv. Russen en Chinezen onze media nodig hebben voor een "second opinion" over hun overheid en maatschappij. Je moet wel leren verder te kijken dan de duidelijke propaganda en naar mening is dat bij RT niet zo moeilijk. Je merkt gewoon op hoe direct ze regelmatig zijn en hoe ze hun (kritiek) mening ook laten horen terwijl je verwacht dat ze neutraal moeten blijven. Maar niet alle propaganda kan je gemakkelijk door zien en zeker niet als het iets is dat je keer op keer opnieuw hoort

Je vergeet dat elke media één belang streeft: het verdienen van geld. En dat alle grote media kanalen in handen zijn van een kleine groep rijke belanghebbenden die grote groepen mensen kunnen manipuleren via die weg.

[Skit3000]

Het probleem is dat je niet weet waar de Russische overheid precies voor heeft geschreven wie-wat-waar-waarom-hoe gepubliceerd moet worden. Westerse media verspreiden ook getekende berichten omdat nu eenmaal iedereen een ander beeld van de wereld heeft, maar die verslaggeving is niet direct zo gevormd onder dwang van een overheid.

Over Rusland specifiek; ik heb meerdere Nederlandse journalisten gesproken die actief zijn (geweest) in Rusland en hun bevindingen en uitspraken komen overeen met Russische mensen met wie ik jaren heb gewerkt. Ik vertrouw wat zij op papier zetten net zo veel als de journalisten die lokale berichten over mijn eigen gemeente schrijven. Dus in tegenstelling tot wat jij denkt, denk ik niet dat berichten over Rusland door Nederlandse journalisten een opzettelijk vertekend beeld geeft. Als er iets is dat het beeld van Nederlandse journalisten in Rusland vertroebelt, is dat wel de Russische overheid die niet altijd openheid van zaken geeft wanneer ze zaken proberen op te helderen.

[Aardbol_23564]

Het komt niet alleen voor in de vorm van met opzet hoor. Veel van ons nieuws wordt ook copy paste overgenomen van de grotere Amerikaanse nieuwszenders, die vaker wel sterk een politieke link hebben (hebben alle nieuwszenders in min of meerdere mate) en een tweede agenda hebben.

In elk geval is mijn bericht niet: vertrouw RT, maar vertrouw geen enkele nieuwszender. Blijf kritisch en volg media van verschillende landen om verschillende perspectieven te horen. Je zal merken hoeveel er ook fout wordt of onlogische dringen worden gezegd in onze media

[The Reeferman]

Dat directe toezicht van de Russische overheid valt wel mee als het over berichtgeving over het westen gaat. Ze geven vooral mensen uit andere landen een platform om hun artikelen te publiceren die andere (lokale)media weigeren. Het commentaar op bijvoorbeeld de VS word grotendeel geschreven door Amerikanen zelf die voor dat ze bij RT werkten het zelfde geluid lieten horen. Wat ook opvalt is dat RT minder eenzijdig is, zo zie ik regelmatig anti Trump en anti Biden artikelen voorbij komen en artikelen die beide politieke partijen afkeuren.
Voor kritische berichten mbt Rusland en Poetin kan je waarschijnlijk beter ergens anders kijken. Dat gaat ook op voor onze(en andere westerse landen) nationale pers. Is altijd al zo geweest zoals Noam Chomsky decennia geleden al aantoonde in zijn documentaire Manufacturing Consent. Zeker wat buitenlandse berichtgeving mbt onderwerpen waar het westen bij betrokken is is de propaganda hier in het westen ook behoorlijk dominant in de MSN.

[Skit3000]

Met betrekking tot Trump en Biden; dat een nieuwsbericht sowieso al zo bij jou binnenkomt dat je er uit opmaakt dat een partij wordt afgekeurd is duidelijk een stelling in nemen.

[The Reeferman]

Duidelijk stelling genomen door de schrijver van het artikel. Als er geschreven word dat de lompeling Trump eindelijk het witte huis verlaat en er weer een goed bestuur aantreed. Of het tegenovergestelde, dat als Biden word aangesteld de rapen gaar zijn, dan kan ik er weinig anders van maken dan dat het door een zwaar gekleurde bril is geschreven. En dat ligt er behoorlijk dik bovenop bij menig artikel. Ligt echt niet aan mij.

Ik neem toch aan dat je bij zender zoals CNN, MSNBC, ABC of kranten zoals New York Times of Washington Post ook wel door hebt dat het anti Trump/republikeinen en pro Biden/democraten gekleurd is. En bij netwerken zoals One American News, Sky new Australia of New Max het sterk de andere kant op

[Skit3000]

Ja en dat mogen al die partijen ook doen. Het verschil met RT is alleen dat de media die jij noemt hier zelf voor kiezen, terwijl RT vanuit de overheid voorgeschreven krijgt waar ze over moeten berichten.

[Malarky]

Nou ik lees graag RT voor de Russische invalshoek, maar laten we vooral niet doen alsof het ook maar enigzins neutraal is.

Berichtgeving is uitsluitend in lijn met officiele Kremlin kanalen en wanneer dat niet zo was, was de desbetreffende journalist geen lange carriere bij RT beschoren.

En daar is allemaal niets mis mee. Ik lees graag de Russische visie op zaken. Maar neutraal, allerminst.

En niet simpel vergelijken met onze media. Nederlandse media is traditioneel zeer regelmatig kritisch op vrijwel alle politieke partijen in tegenstelling tot RT. Zelfs media als Geenstijl pakken FvD en PVV regelmatig stevig aan.

[Reactie gewijzigd door Malarky op 23 juli 2024 19:04]

[N8w8]

Na de Snowden onthullingen was er veel volgens mij oprechte verontwaardiging van techbedrijven.
De reactie daarop was dat er een hoop werk werd verzet op het gebied van e2e crypto en dergelijke, iig geen "security theater" om aan de publieke opinie du jour tegemoet te komen, maar maatregelen die daadwerkelijk effectief kunnen zijn exploits op verbinding/servernivo nutteloos te maken.

Daaraan hadden we vlgs mij ook de e2e crypto in Whatsapp te danken bijvoorbeeld; voorheen was dat alleen beschikbaar voor computerfreaks met hun vage programmaatjes, nu kon "iedereen" dat standaard hebben zonder er ook maar iets voor te hoeven doen. Best revolutionair eigenlijk als je erover nadenkt.
En kwam Letsencrypt niet ook voort uit die ophef? Nu is https de norm, natuurlijk met dank aan die idealisten van de EFF, maar ook omdat techreus Google dat stimuleert via bijv zoekresultaten, Chrome UI (en mss ook Android app vereisten?).

Het kan wel zijn dat de aandacht daaromtrent weer wat verslapt is, en wat specifiek MS/Apple toen deden weet ik niet meer uit mn hoofd.
Wel is Apple n paar keer in t nieuws geweest omdat ze de FBI(?) niet konden helpen met het ontsleutelen van de iPhone van n terrorist oid. En dat ze dat niet konden, was ook precies de bedoeling van het zo implementeren.
(Je kan nog stellen dat het een kwestie van willen was, maar dat zou vergaande bijwerkingen hebben dus is imo niet zo simpel).
Er staat me vaag bij dat ook die implementatie deels een reactie was op die onthullingen, maar weet ik niet zeker.

[Reactie gewijzigd door N8w8 op 23 juli 2024 19:04]

[Skit3000]

Ik denk dat mijn stelling eerder dat de meerderheid van de mensen beveiliging nog steeds niet belangrijk denkt e vinden, nog steeds staat. Maar tegelijkertijd ben ik het ook met jou eens dat de mensen die er over gaan, sindsdien wél maatregelen hebben genomen. Dat eerste valt hier op Tweakers wel eens weg omdat we allemaal wel iets weten over beveiliging, maar gelukkig zijn "wij" ook de tweede gevormde persona en collectief degene die verbeteringen in beveiliging doorvoeren.

[GeoBeo]

Dus de conclusie is dat alles wat Snowden heeft gelekt uiteindelijk in de ogen van de meeste mensen wel meeviel. De vraag is nu vooral of dit er voor heeft gezorgd dat Microsoft en Apple meer of minder backdoors in hun software zijn gaan maken. Als het minder is, dan is dat winst voor iedereen, ongeacht wat overheden ook willen.

Als je gemiddelde Nederlanders er van overtuigd dat hun smartphone en laptop volledig afgeluisterd worden (met de leugen dat het in hun eigen belang is), dan krijg je waarschijnlijk te horen dat ze toch niks te verbergen hebben en dat ze het wel best vinden. Want "wij zijn de goeden".

Overigens is de Nederlandse media nooit zo ver gegaan als het hele plaatje schetsen van de Snowden implicaties zoals ik hierboven doe. Snowden durft gewoon te zeggen: als ze willen kunnen ze alles op je smartphone doen en zien wat jij zelf ook kunt (bron: zijn interviews). En dit kunnen ze bij iedereen inclusief politici e.d. In de Nederlandse kranten heb ik dat soort uitleg van de implicaties nooit gelezen. Het bleef bij allemaal vaag gel*l over de five-eyes en geheime diensten en Angela Merkel's telefoon (dus niet die van jou en mij). Ook over de implicaties van de NSA voor ons Europeanen als er een minder fijn regime opstaat in de VS of een wereldwijde crisis ontstaat heb ik nooit wat kunnen lezen in de kranten hier.

Toevoeging: Je weet trouwens dat RT een propagandakanaal is dat direct onder toezicht van de Russische overheid staat? De inhoud van het bericht komt overeen met wat ik uit andere bronnen heb vernomen, maar het is niet de meest betrouwbare bron om naar te verwijzen.

Een prefect kanaal dus om kritische berichten over onszelf en onze bondgenoten te lezen. Net als dat onze eigen "journalisten" een perfect propaganda kanaal zijn om kritisch over de Russen en Chinezen te lezen. Op de NOS website (bijvoorbeeld) zul je immers niet luid en duidelijk de vergaande implicaties van de Snowden revelaties kunnen lezen. Of denk je dat wij hier in het Westen geen staatspropaganda te zien krijgen in "het nieuws"? Een gemiddelde Rus snapt tenminste dat zijn journalisten en overheid door en door rot zijn. Dat is naar mijn mening minder eng dan de gemiddelde Nederlander die bijna gelovig en kritiekloos aanhangt dat zijn overheid en journalisten volledig neutraal bericht geven en handelen in *het belang van de burger*. Want *wij zijn immers de goeden*.

[Reactie gewijzigd door GeoBeo op 23 juli 2024 19:04]

[Skit3000]

Ik ga hier kort over zijn. Noem één Nederlandse journalist die door de Nederlandse overheid onder druk is gezet om een bericht op een bepaalde manier te publiceren.

Dat de NOS niet zo op de details zit vind ik juist goed, het is belangrijker dat zij een groot publiek aanspreken. Voor de details zijn andere media, zoals Tweakers, waar experts perfect extra informatie kunnen krijgen. Hetzelfde voor berichtgeving over bijvoorbeeld medische onderwerpen, bouwtechnische onderwerpen, zelfs het weerbericht van de NOS is niet zo gedetailleerd als de gemiddelde landbouwer nodig heeft.

[OruBLMsFrl]

Microsoft wordt betaald door de NSA om backdoors in te bouwen of in te laten bouwen. Nu zijn ze alleen in het geheim verplicht (spionagewetgeving) waar we dankzij Snowden achter zijn gekomen.

Enige mij bekend is dat de FBI Microsoft heeft gevraagd om een Bitlocker backdoor te voorzien zo rond 2013, Microsoft dat geweigerd heeft, FBI heeft gewezen op het meestal bestaan van een fysieke of digitale recovery key. Bitlocker zelf is dus niet lek, geen backdoor. De recovery key kun je natuurlijk direct vernietigen na aanmaken, met uiteraard het risico dat je al je data op enig moment kwijtraakt als er iets aan je systeem (TPM reset) zodanig verandert dat je Bitlocker niet meer kan decrypten met wachtwoord.

Als er bronnen zijn van waarlijk geïmplementeerde backdoors dan laat het vooral weten.

[GeoBeo]

[...]
Enige mij bekend is dat de FBI Microsoft heeft gevraagd om een Bitlocker backdoor te voorzien zo rond 2013, Microsoft dat geweigerd heeft, FBI heeft gewezen op het meestal bestaan van een fysieke of digitale recovery key. Bitlocker zelf is dus niet lek, geen backdoor. De recovery key kun je natuurlijk direct vernietigen na aanmaken, met uiteraard het risico dat je al je data op enig moment kwijtraakt als er iets aan je systeem (TPM reset) zodanig verandert dat je Bitlocker niet meer kan decrypten met wachtwoord.

Je weet niet dat het gebeurd, dus het gebeurd niet is je conclusie?

Ik had het niet over de FBI (die publiekelijk handelt) maar over de NSA (die in het geheim handelt). Het enige dat we van de NSA weten is wat Amerikaanse staatspropaganda ons verteld en wat Snowden heeft uitgelekt.

Als er bronnen zijn van waarlijk geïmplementeerde backdoors dan laat het vooral weten.

Die zijn er in algemene zin: Edward Snowden. Als je gelezen hebt wat hij naar buiten bracht, dan is de enige logische conclusie dat het extreem voor de hand liggend zou zijn dat de NSA linksom (door gewoon al jouw data te downloaden zodra jij je drive unlocked) of rechtsom (via een in het geheim afgedwongen backdoor bij Microsoft) je Bitlocker drive kan uitlezen.

Snowden bracht onder meer naar buiten dat expliciet Microsoft gewoon samenwerkt met de NSA. Uiteraard in het geheim. Dus een andere bron dan Snowden is er niet. Het ligt voor de hand dat Microsoft hier flinke en interessante vergoedingen voor krijgt (in geld en in politieke en juridische voordeeltjes), gezien het enorme jaarlijkse budget van de NSA en de hechte banden met de politiek.

[Reactie gewijzigd door GeoBeo op 23 juli 2024 19:04]

[OruBLMsFrl]

Dat artikel uit 2013 is inderdaad de bron voor de cloud opslag toegang en andere zaken. Ik lees weer niets over Bitlocker. Extreem voor de hand liggend is het andere uiterste. Het gaat namelijk ook extreem opvallen als iemands Bitlocker data uitlekt.

De suggestie dat hele drives gedownload zouden worden zodra je de drive unlocked gaat zover af van de inhoud en is zo vreselijk opvallend op netwerkniveau, dat ik die suggestie graag even laat bij wat het is.

Neem tot slot ook het volgende mee: als ooit uitkomt dat ze Amerikaanse staatsburgers afluisteren of diens encrypted data weggesluisd hebben zonder enige toestemming, dan worden ze maatschappelijk en politiek uitgekleed. Zo is de VS ook wel namelijk, en de kans is verdomde groot als je zo lukraak te werk zou gaan als jij suggereert, dat er ook Amerikaanse burgers in dat sleepnet terechtkomen.

Gaan we zover de complotten in dat we komen op "in het geheim afgedwongen backdoor", dan gaat zoiets toch ook gelijk op voor alle Amerikaanse technologiebedrijven, want Microsoft/Google/Apple hebben dezelfde NSA, FBI, regering en wetgeving?

Misschien is het meest voor de hand liggend dat die veiligheidsdiensten wat makkelijk bereikbare online opslag konden inzien via al die bedrijven. Dat ze die zo konden opvragen omdat er tot 2013 meestal nog maar beperkte beveiliging op zat. Dat ieders Bitlocker/Android/iOS encrypted disks gewoon veilig zijn, daarom ook niet iedere iPhone zomaar te lezen is voor de Amerikaanse veiligheidsdiensten. Graag tot er bewijs van het tegendeel is inderdaad, zoals dat toch ook voor de encryptiealgoritmes zelf al geldt.

[Eonfge]

Ik ga er vanuit dat de encryptie goed is, omdat organisaties zoals de NSA meer te verliezen hebben als deze niet goed is.

Het is natuurlijk mogelijk dat de Amerikaanse regering bedrijven onder druk zet om een achterdeur in te bouwen, en dat hebben ze ook enkele malen gedaan. Het resultaat is (en was!) alleen desastreus. Wat blijkt, als Windows of Mac OS een backdoor hebben voor de NSA, dan kan de KGB er ook bij... Blowback heet dat in beveiligingstermen.

Hier wordt gesproken over het beste voorbeeld van Blowback, Juniper routers:
https://www.youtube.com/watch?v=6RNKtwAGvqc

[Zwelgje]

voor 9 van de 10 gebruikers (99 van de 100 eerder) is de ingebakken encryptie (bitllocker, filevault) meer dan afdoende.

sure er zijn er die het nog even wat meer next-level willen, die gaan dit maar gebruiken. maar jan modaal? lekker built-in gebruiken wel zo makkelijk en ook zo veilig.

[Eonfge]

Correct. Je moet de techniek die je gebruikt, aanpassen aan het risico dat je loopt. Het is niet alsof Jan Modaal zomaar met staatsgeheimen of (para-)militaire plannen rond loopt.

[Jaïr.exe]

Deed me denken aan dit: https://imgs.xkcd.com/comics/security.png

[Eonfge]

Daarom is Vera Crypt inderdaad gemaakt

[turbojet80s]

Ik denk dat als iemand mijn gegevens wil hebben en bereid is om mij ervoor te martelen dat ik hem niet voor de gek hou door Windows te unlocken. Hij zal pas stoppen met martelen als jij de gevenes heeft die hij wil hebben.

[Eonfge]

Daarom ook dat de NATO martelen afraad. Ongeacht of je de gegevens hebt of niet, aan het einde zit je als ondervragen met een notitieblok vol aantekeningen en die moet je als ondervrager allemaal nagaan en valideren.

Er zijn heel veel gemene manieren om mensen onder druk te zetten, zonder geweld te gebruiken, maar zo komen kortweg op het volgende neer: Schets een scenario waarin de ondervraagde graag wilt meehelpen.

Neem een gevangen genomen soldaat en een mogelijk mijnenveld tussen jou en het volgende dorp. Je kunt zeggen dat het thuisfront denk dat hij is overgelopen, en dat ze zijn familie gaan lynchen. Dan heeft een soldaat er opeens belang bij dat jij snel door het mijnenveld heen gaat, om zo zijn familie te redden.

In televisie wordt dit vaak omschreven als good-cop, bad cop. Niet altijd mogelijk want vaak werk je alleen als ondervrager in het veld, maar er zijn wel scenario's waarmee je zo iets kunt naspelen. Ondervrager 1 kan gewoon zeggen van: "We sturen je naar een POW kamp waar jouw maten over jouw lot kunnen bepalen, verrader!" en ondervrager 2 kan dan zeggen "joh, als je ons zegt waar die mijnen liggen, dan hebben we jou niet meer nodig en laten we je gaan".

Hier de officiële (openbare!) handleiding van de NATO VS:
- https://fas.org/irp/doddir/army/fm34-52.pdf (Oud)
- https://fas.org/irp/doddir/army/fm2-22-3.pdf (Nieuw)

Edit. Is volgens mij niet de NATO versie. Even kijken waar ik die openbaar kan vinden.

[Reactie gewijzigd door Eonfge op 23 juli 2024 19:04]

[caipirinha]

Zolang veracrypt nog geen audit heeft gehad zoals truecrypt gebruik ik een hardware encrypted disk van apricorn met daarop een truecrypt volume.
Aan beide zitten wat haken en ogen maar als je daar rekening mee houdt is het veilig genoeg om zelfs de overheid buiten de deur te houden.
In het begin was de veracrypt ontwikkeling een beetje shady, geen idee hoe het er nu voorstaat.

[waagenaar]

Die audit is er wel degelijk geweest:

https://tweakers.net/nieu...ke-kwetsbaarheden-op.html

Inmiddels genoeg info te vinden op internet over de betrouwbaarheid van VeraCrypt

[caipirinha]

Kennelijk heb ik niet goed opgelet. Ik weet dat er in het begin nogal wat kritiek op veracrypt was, beetje een Frans feestje, de auditers lijken ook Frans. Misschien is mijn wantrouwen niet helemaal terecht ik ga me er eens in verdiepen.

[Reactie gewijzigd door caipirinha op 23 juli 2024 19:04]

[Wildfire]

Deze versie is alleen voor Mac-systemen. Windows en de rest zit nog gewoon op 1.24-Update7.

[HJ Oonk]

Ik probeer VeraCrypt op mijn Surface Pro X te installeren, maar loop tijdens de installatie steeds tegen de volgende melding aan:
Het laden van het stuurprogramma wordt geblokkeerd
Source DoDriverinstall:4372

Iemand een idee hoe dit op te lossen en de installatie af te ronden?