Onderzoekers vinden geen achterdeurtjes na afronden tweede TrueCrypt-audit

Na een tweede auditronde hebben onderzoekers die deel uitmaken van het Open Crypto Audit Project geen doelbewust aangebrachte achterdeurtjes of kritieke beveiligingsgaten in de opensource-cryptosoftware TrueCrypt gevonden. Wel zijn er enkele schoonheidsfoutjes gevonden.

In april vorig jaar verscheen een eerste rapport na een analyse van de kerneldriver voor Windows en de TrueCrypt-bootloader uitgevoerd door de firma iSEC Partners. Daarin werden geen backdoors of kritieke bugs gevonden die de versleuteling teniet zouden doen of zouden verzwakken. In februari werd aangekondigd dat er snel resultaten gepubliceerd zouden worden van een tweede auditronde, waarbij gekeken is naar de cryptografische mechanismen van TrueCrypt.

Inmiddels zijn de resultaten gepubliceerd. De belangrijkste conclusie is dat er ook in de tweede audit geen achterdeurtjes of kritieke bugs zijn gevonden. Volgens de onderzoekers van NCC Crypto Services is TrueCrypt een relatief goed ontworpen encryptiepakket, al zijn er wel enkele schoonheidsfoutjes in de code aangetroffen die in specifieke omstandigheden de betrouwbaarheid van de versleuteling zouden kunnen verminderen.

Als voorbeeld wordt de random number generator in de Windows-versie van TrueCrypt genoemd. Dit mechanisme wordt gebruikt om zo willekeurig mogelijke sleutels te genereren. Een 'voorspelbare' rng kan echter de encryptie uiterst kwetsbaar maken. TrueCrypt gebruikt in Windows diverse bronnen om willekeurige getallen te genereren, waaronder de Windows Crypto-api. Volgens het auditrapport kan in enkele zeer zeldzame gevallen deze api niet goed gestart worden, maar blijft TrueCrypt toch sleutels genereren, terwijl de software eigenlijk op dat moment zou moeten stoppen met dit proces. Toch zou de kans op misbruik gering zijn, omdat er uit voldoende andere bronnen uit de zogeheten entropy pool wordt geput voor het genereren van solide sleutels, zoals bewegingen met de muis. Wel wordt aan ontwikkelaars die op basis van de TrueCrypt-code forks willen maken, dringend aangeraden om dit mechanisme aan te passen.

Een ander schoonheidsfoutje is aangetroffen in hoe TrueCrypt zich wapent tegen zogeheten cache timing attacks als het aes-algoritme wordt gebruikt. Dergelijke aanvallen kunnen echter alleen uitgevoerd op systemen die gedeeld worden of als een derde code op een systeem kan draaien.

Reacties (61)

[et36s]

Toch vreemd dat de ontwikkeling van TrueCrypt abrubt gestopt is. Is daar al een verklaring voor gegeven?

[CAPSLOCK2000]

Eerst is nooit een definitieve verklaring gegeven maar er zijn een paar theorieen populair.

1. De auteurs zijn gedwongen te stoppen door een of andere geheime dienst die bang is voor crypto.
2. De enige overgebleven auteur heeft een baan gekregen voor een crypt-bedrijf waarbij z'n contract het niet toe staat om in z'n vrije tijd aan aan andere crypto-software te werken.
3. De auteurs weten dat er een haast onoplosbaar beveilingsprobleem is maar willen niet aan de grote klok hangen wat om de gebruikers zo lang mogelijk te beschermen.
4. De auteurs hebben er geen zin meer in.


Zelf geloof ik in de laatste reden, namelijk dat ze niet meer verder willen of kunnen werken en er daarom nu mee stoppen nu er nog geen grote problemen bekend zijn. Zo heeft iedereen de tijd om rustig naar iets anders over te stappen. Als ze wachten tot er wel een probleem wordt gevonden is het te laat. Als ze de code overdragen aan andere programmeurs dan bestaat de kans dat die nieuwe programmeurs incompetent zijn en de veiligheid verprutsen.

We weten niet eens zeker hoeveel auteurs er zijn maar er zijn aanwijzingen dat het er ooit meerdere waren en dat er tegen het einde nog maar ééntje over was. Ik denk dat die laatste besefte dat hij het alleen niet aan kon en daarom het project heeft gestopt.

[ThaStealth]

Ik betwijfel of het nummer 4 is, er is namelijk aangegeven dat je absoluut geen TrueCrypt meer moest gebruiken. Zie nieuws: TrueCrypt-website adviseert gebruikers software niet langer te gebruiken

Als je wil stoppen op het hoogtepunt (zoals het vaak genoemd word) zou je niet adviseren om je software niet meer te gebruiken. Je zou hoogstens een caution plaatsen dat de software niet meer onderhouden word en dus vatbaar is voor lekken. Ik denk dus optie 3 of (als je van complottheorieen houd: 1).

[CAPSLOCK2000]

Voor Windows XP heeft waarschuwen niet genoeg zoden aan de dijk gezet. Ik denk dat hij bang was dat men het op grote schaal zou blijven gebruiken. Door een stevig advies te geven zijn hopelijk een hoop mensen genoeg geschrokken om iets anders te gaan zoeken.

[lappro]

Dat stevige advies hield ook in om Microsoft Bitlocker te gebruiken, vraag me af of je dit een stevig advies vindt. IIRC was zelfs bekend dat de devs achter Truecrypt Bitlocker zagen als minderwaardige encryptietool (voordat dit advies kwam). Dus waarom zouden ze dat dan net doen.

Naar mijn idee was het bericht iets te plotsklaps en slecht gefundeerd om een normale gang van zaken te zijn. Waardoor eigenlijk opties 2, 3 en 4 afvalen.
Ik vind het er te veel uit zien als een soortgelijke zaak als bij Lavabit. Ze werden gedwongen data door te sluizen aan een geheime dienst of een achter deur in te bouwen. Vervolgens kregen ze daarover een NDA. Of ze konden mee werken of ze konden de hele zaak opgeven zonder daarvoor de echte reden te mogen geven.

[triflip]

Misschien werken ze nu voor MS aan bitlocker, zou een reden kunnen zijn

[lappro]

Dat zou inderdaad een goede verklaring zijn voor het Bitlocker advies. Toch blijft het een erg abrupt einde. In tegenstelling tot dat ze melden dat ze iets anders zijn gaan doen en daardoor dus einde ondersteuning Truecrypt.

[Trolladelaar]

Die caution hebben ze dus ook gegeven, namelijk in de vorm van het bericht dat je TrueCrypt niet meer moet gebruiken. Als er ooit een beveiligingslek wordt gevonden kan dat niet meer worden opgelost en is het al te laat voor gebruikers die nog steeds TrueCrypt gebruiken. Ik vermoed dat ze gebruikers daar voor wilden beschermen en daarom aangegeven hebben dat overstappen het verstandigste is.

[Verwijderd]

Ik hoop dat Edward Snowden ons kan vertellen wat er nou eigenlijk gebeurt is rond Truecrypt want ik ben toch wel erg benieuwd.

[PizzaMan79]

Dan heeft de audit waar dit artikel over gaat dus gefaald?

[Verwijderd]

De eerste is zeer onwaarschijnlijk omdat inlichtingendiensten niet bij machte zijn om zoiets te doen (in USA of NL). De NSA luistert alleen af maar heeft geen mensen met opsporingsbevoegdheid, net als de AIVD overigens.

Volgens mij zijn er altijd meerdere ontwikkelaars actief geweest met Truecrypt. Dus twee lijkt mij ook onwaarschijnlijk. Hoe zou het bedrijf moeten weten dat iemand aan Truecrypt werkte? Zover ik weet waren de ontwikkelaars anoniem.

Er is nooit een onoplosbaar beveiligingsprobleem ontdekt in Truecrypt. Sterker nog, ik ben er van overtuigd dat het niet te kraken is want anders hadden opsporingsdiensten er wel lucht van gekregen. Er zijn veel zaken geweest waar men niet tot veroordeling over kon gaan omdat verdachten hun hard disk hadden versleuteld. Truecrypt gebruikt bewezen standaard algoritmes.

[Ganja-Cape]

Volgens mij kunnen ze dat toch echt wel, nooit gehoord wat er met Lavabit is gebeurd? (zie ook https://www.eff.org/issues/national-security-letters) Die heeft een gag order gekregen, mocht niemand vertellen wat er gebeurde incl. familie/advocaat.

Toen was zijn enige keuze stoppen of de keys geven, en naar mijn mening is precies hetzelfde gebeurd met TrueCrypt.

Hier is ook een leuke "tool" voor: https://www.canarywatch.org/ wordt een aangemelde site niet meer geupdate, dan kan je er vanuit gaan dat er iets gebeurd is. Zo kunnen ze indirect toch het publiek informeren ook al mogen ze dat niet.

[Reactie gewijzigd door Ganja-Cape op 25 juli 2024 22:42]

[Verwijderd]

Waarom lezen jullie niet de informatie in de links die jullie zelf opsturen? Er staat duidelijk dat er met een NSL alleen informatie kan opgevraagd worden. Dat gebeurde bij Lavabit ook en zij wilden hier geen gehoor aan geven dus hun enige optie was om de zaak te sluiten.

Wat bedoel je met 'de keys geven'? Weet jij wel waar je over praat? Elke gebruiker maakt zijn eigen key die ook nog eens op hun eigen computer staat dus de Truecrypt ontwikkelaars kunnen hier geen gehoor aan geven.

[Juup]

Weet jij wel waar je over praat?
Edward Snowden’s E-Mail Provider Defied FBI Demands to Turn Over Crypto Keys, Documents Show

[Verwijderd]

Dat heeft betrekking op Lavabit omdat Lavabit een server / internet gebaseerde technlogie is welke geen end-to-end encryption gebruikte (althans niet zoals het zou moeten). Wat de FBI vroeg is domweg de SSL private key om het HTTPS verkeer te ontsleutelen.

Maar het kan geen betrekking hebben op Truecrypt omdat Truecrypt een client applicatie is.

[Juup]

Truecrypt genereert uit je password een private/master key die het in RAM houdt om de files te kunnen decrypten, zie bv. http://volatility-labs.bl...r-key-extraction-and.html

Een overheidsinstantie zou zo'n key op kunnen (proberen te) vragen.

[judgewooden]

Ik denk ook dat het nr. 4 is, 18 jaar geleden zijn ze begonnen met E4M en moet 't toch zat zijn. Inmiddels hebben ze kinderen, banen en ander interesses. De volgende stap zou zijn om UEFI secure boot te maken, dat alleen beteken dat je de UEFI specificatie moet kennen (2298 pagina's).

[Verwijderd]

Ik heb altijd argwaan gehad jegens UEFI want alle moderne besturingssystemen hebben geen BIOS nodig om te kunnen draaien. Je kan je afvragen waarom iemand dit verzonnen heeft.

[judgewooden]

sorry bigpilot (late reactie),

UEFI is vooral bedoeld voor software fabrikanten om hardware te verkopen die niet kan booten met een ander OS. Lelijk - maar toch innovatief.

[caipirinha]

Er is nog een 5e optie en dat is dat één van de auteurs code van zijn vorige werkgever heeft meegenomen en in een juridisch conflict terecht dreigde te komen.
Deze optie is op meerdere plaatsen voorbijgekomen en lijkt mij het meest logisch.

Maar mooi dat de audit is geslaagd, ik blijf truecrypt gewoon gebruiken tot veracrypt of cyphershed af is of dat het echt niet meer werkt. De komende 5 jaar blijft het gros van de zakelijke gebruikers toch gewoon windows 7 gebruiken dus geen pobleem.

[Blizz]

Het meest populair is toch theorie 5, de variant op 1?

5. De auteurs zijn ermee gestopt omdat een of andere NSA-achtige dienst wilde dat ze een backdoor inbouwden.

[Verwijderd]

Dat is in het GoT draadje uitvoerig besproken.
Er wordt vermoed dat dit een zgn 'warant canary' is. Met name om het MS alternatief te nemen in plaats van een opensource variant.

Niet om te mierenneuken, maar truecrypt was toch niet opensource?

/edit: truecrypt heeft/had een eigen licentie
de tekst is hier terug te vinden

[Reactie gewijzigd door Verwijderd op 25 juli 2024 22:42]

[xDiglett]

https://www.grc.com/misc/truecrypt/truecrypt.htm

[KeiFront]

Een echte verklaring nee, enkel de developers achter truecrypt kunnen daar duidelijk over scheppen maar ze zwijgen in alle talen.

TrueCrypt is op dit moment zeer sterk en op dit moment niet te kraken (er is in ieder geval geen bekende backdoor of flaw). Vermoedelijk heeft de NSA via een National Security Letter (https://en.wikipedia.org/wiki/National_security_letter) van de makers geeist dat er een backdoor in gebouwd moest worden zodat truecrypt toch kwetsbaar werd (op het moment dat je een NSL ontvangt mag je daar niets over zeggen, je hebt gewoon mee te werken).

Dus hebben de ontwikkelaars de ontwikkeling van truecrypt gestaakt en iedereen aangeraden om bitlocker te gebruiken wat al een warrant canary https://en.wikipedia.org/wiki/Warrant_canary kan zijn (bijna iedereen vermoed dat bitlocker een backdoor bevat van de NSA niemand die serieus met security bezig is zal bitlocker gebruiken). Er zijn nog meer hints die vermoedelijk verwijzen naar een NSL maar natuurlijk kan niemand dit confirmeren of bewijzen enkel de ontwikkelaars.

[Reactie gewijzigd door KeiFront op 25 juli 2024 22:42]

[Verwijderd]

Er zijn nog meer hints die vermoedelijk verwijzen naar een NSL maar natuurlijk kan niemand dit confirmeren of bewijzen enkel de ontwikkelaars.

En die mogen het niet bevestigen.

[Verwijderd]

Zucht... de NSA luistert alleen af!! Zij sturen geen Security Letters uit!! Dat kan alleen de FBI, DHS of CIA.

Een Security Letter kan alleen informatie opvragen. Men kan mensen niet dwingen om achterdeurtjes in te bouwen in wat dan ook.

[KeiFront]

En de NSA werkt nooit samen met de FBI, DHS of CIA. Er zijn genoeg voorbeelden te vinden van misbruik van NSL's etc https://www.eff.org/issues/foia/07656JDB Maar de orignele bedoeling van NSL is enkel informatie op te vragen.

[Reactie gewijzigd door KeiFront op 25 juli 2024 22:42]

[caipirinha]

Erg onwaarschijnlijk, de auteurs zijn bijna zeker geen amerikanen en niet woonachtig in de usa

[KeiFront]

De ontwikkelaars zijn anoniem, dus je kan er "bijna zeker" van zijn dat je niet weet wie ze zijn en waar ze wonen!

[caipirinha]

Er gaan geruchten dat ze uit het vm oostblok komen maar je hebt gelijk niets is zeker.

[Fermion]

Wat was de eenleiding voor een onderzoek?

[Black Piet]

Goed om te horen. Gebruik het graag om wat privézaken in containers te bewaren.

Blijf ik nog steeds met de vraag zitten waarom het van het een op andere moment de laatste versie als een kreupele versie is uitgebracht.. Las ergens dat het iets met de NSA te maken zou hebben

Edit:
Spelling

[Reactie gewijzigd door Black Piet op 25 juli 2024 22:42]

[Soldaatje]

Hierom: http://img.genbeta.com/20...00_truecrypt-inseguro.png
Zal wel een hack geweest zijn of de maker had een psychose.

Gebruik zelf encfs voor windows, geen idee of die veilig is, maar als de overheid het wil weten geef ik mijn wachtwoord toch wel, er staat niks illegaals in. (om Dokan te installeren moet je compatibele modus kiezen (windows 8.1))

[Black Piet]

Dat plaatje kende ik. En ook de verwijzing naar een Microsoft product waarvan je juiste werking nooit is aangetoond (Tenminste, niet dat ik weet).

Zal binnenkort maar eens gaan kijken naar die fork die is uitgebracht. Weet niet of deze ook al gevalideerd is.

[judgewooden]

Advies van de ontwikkelaar van truecrypt:

I don't feel that forking truecrypt would be a good idea, a complete rewrite was something we wanted to do for a while. I believe that starting from scratch wouldn't require much more work than actually learning and understanding all of truecrypt's current codebase.
I have no problem with the source code being used as reference..

[Reactie gewijzigd door judgewooden op 25 juli 2024 22:42]

[mindcrash]

Het OPA project heeft als een van de eerste akties een repo op GitHub gezet voorzien van sigs, en source code van de TrueCrypt versie die ze hebben geaudit. Je kunt er dus vanuit gaan dat deze vrijwel 100% veilig is (<paranoia-mode>tenzij GitHub wordt gehacked en de inhoud van de repo wordt aangepast, uiteraard</paranoia-mode>):

https://github.com/AuditProject/truecrypt-verified-mirror

[Reactie gewijzigd door mindcrash op 25 juli 2024 22:42]

[Verwijderd]

Hierom: http://img.genbeta.com/20...00_truecrypt-inseguro.png
Zal wel een hack geweest zijn of de maker had een psychose.

De maker is onder druk gezet door Amerikaanse Three Letter Agencies om zijn software, die zij niet kunnen kraken, offline te halen en in plaats daarvan een closed source oplossing aan te bevelen van een Amerikaans bedrijf (Microsoft).

[drdelta]

Dat is pure speculatie.

[Verwijderd]

Dat is common sense.

Deze audit toont nota bene aan dat er niets mis was met TrueCrypt. Waarom zou de maker dan beweren dat het wel zo is, en bovendien mensen adviseren om een zeer onveilig (en sowieso oncontroleerbaar) alternatief te gebruiken?

Je kunt zelf wel nagaan in wiens belang dit is.

[Reactie gewijzigd door Verwijderd op 25 juli 2024 22:42]

[Verwijderd]

Dat is common sense.

Deze audit toont nota bene aan dat er niets mis was met TrueCrypt. Waarom zou de maker dan beweren dat het wel zo is, en bovendien mensen adviseren om een zeer onveilig (en sowieso oncontroleerbaar) alternatief te gebruiken?

Je kunt zelf wel nagaan in wiens belang dit is.

Helemaal mee eens. Als de maker(s) zeggen dat hun eigen product niet veilig is moeten ze dat ook kunnen / willen / durven aantonen. En dat doen ze niet, dus is er echt meer aan de hand. Het is tamelijk naïef om te denken dat ze er gewoon geen zin meer in hadden, want zelfs als dat waar zou zijn, zouden ze toch nog wel wat meer met de buitenwereld willen communiceren en eventuele forkers willen wijzen op wat er precies mis is met de software, zodat mensen die er wel nog zin in hebben in de goede richting gewezen worden. Maar alweer: dat doen ze niet, ze lijken wel monddood (gemaakt). Het hele verhaal schreeuwt NSA en consorten.

[drdelta]

We weten niets, en jouw common sense is jouw gut feeling. We weten niet wat er aan de hand is, en doen alsof we dat wel weten of vermoeden (Het was de NSA!!!!) is speculatie. Het is zeker niet onwaarschijnlijk, maar zonder dat we meer weten is het totaal ongefundeerd. Ondanks dat het in de lijn der verwachting ligt, is er geen enkel bewijs dat dat zo ook is.

[lezzmeister]

Of hij werd onder druk gezet om een backdoor in te bouwen en in plaats daarvan haalt hij het hele zooitje offline.

[Rembert]

Inderdaad zou het me niet verbazen als hij gedwongen is te kiezen tussen: ontmoedigen dat gebruikers TrueCrypt nog gebruiken dan wel backdoor inbouwen. Die agencies hebben wel zo hun manieren om hun wensen enige kracht bij te zetten. Maar waar ze geen rekening mee hielden is dat juist die ontmoediging-zonder-inhoudelijke-uitleg het vertrouwen in TrueCrypt zelfs liet toenemen.

Veracrypt vertrouw ik op dit moment een stuk minder. Als ik geheime dienst zou zijn, zou ik direct TrueCrypt forken, een backdoor inbouwen en die op de markt brengen als alternatief voor TrueCrypt. Vraag is wanneer geheime diensten de via die weg gevonden informatie belangrijk genoeg vinden om de cover-up van deze fork op te geven.

[dehardstyler]

Heb je hier misschien een bron van?

[merccy]

Er is een theorie dat instanties het niet kunnen kraken en dat men ook niet gedwongen kan worden het wachtwoord te geven aangezien je 2 wachtwoord kunt instellen. Het neppe wachtwoord laat onschuldige bestanden zien maar het goede wachtwoord natuurlijk wat er echt in zit, als een rechter dan iemand dwingt het wachtwoord te geven kan deze het neppe geven. Hierom zou een instantie de ontwikkelaars bedreigd kunnen hebben oid.

tldr; Instanties kunnen het niet kraken dus offline halen.

[mindcrash]

2 wachtwoorden? fake files? Nee, sorry dat is niet wat men bedoelt met de "plausible deniability" feature in TrueCrypt. Dit houd in werkelijkheid in dat er een verborgen TrueCrypt container gewrapped is in een reeds bestaande (door TrueCrypt geencrypt filesystem of een file based container). Het is vervolgens quasi onmogelijk om aan te tonen dat er data in de verborgen container aanwezig is, en dat kan in geval dat je wordt gedwongen wordt om jou data aan een andere partij te overhandigen een levensreddende functie zijn.

Ik zeg hierbij expres quasi onmogelijk, omdat inmiddels door onder meer de bekende security researcher Bruce Schneier is aangetoond dat third party software sporen naar de verborgen partitie kan achterlaten, waaruit alsnog herleid kan worden dat er mogelijk ergens op het betreffende systeem een verborgen TrueCrypt volume aanwezig is. Wordt er echter slechts direct naar het verborgen volume geschreven dan is het zover ik weet volstrekt onmogelijk om te bewijzen dat het verborgen volume (of een meervoud daarvan) bestaat.

Overigens, licht offtopic maar wel interessant: Ik heb begrepen dat Edward Snowden middels TrueCrypt en deze feature de honderden gigabytes aan NSA documenten die hij heeft verzameld en uiteindelijk aan onder meer The Guardian en Washington Post heeft overhandigd door de Amerikaanse douane heeft weten te smokkelen.

[keesdewit]

De cryptografische random number generator in Windows benut toch precies dezelfde entropypool? Deze is overigens FIPS gecertificeerd.

[Monochrome]

Truecrypt gebruikt zn eigen entropy pool, waarin entropie uit diverse bronnen samengevoegd wordt. Onder andere de windows crypto api, maar ook mouse movement binnen de truecrypt window.

[elmuerte]

Dual_EC_DRBG was ook FIPS certified.

[GerardVanAfoort]

Sinds kort gebruik ik VeraCrypt. UI is gelijk aan TrueCrypt. Fijne software

[ilaurensnl]

Dat komt omdat veracrypt gebaseerd is op truecrypt.

[Verwijderd]

Maar nog niet gevalideerd.....

[Verwijderd]

Er zijn meerdere forks gemaakt maar er is geen reden om niet gewoon de oude Truecrypt te gebruiken. Had Veracrypt niet het aantal hash iteraties verhoogd naar 10.000 of zo? Leuk, maar als dat de enige wijziging is dan zou ik niet de moeite nemen.

[Verwijderd]

Veracrypt vertrouw ik op dit moment een stuk minder. Als ik geheime dienst zou zijn, zou ik direct TrueCrypt forken, een backdoor inbouwen en die op de markt brengen als alternatief voor TrueCrypt. Vraag is wanneer geheime diensten de via die weg gevonden informatie belangrijk genoeg vinden om de cover-up van deze fork op te geven.

Ik vroeg mij dat ook af: wie precies zitten achter die forks? Het kunnen goedbedoelde personen zijn, maar je weet nooit of een of ander Agency de touwtjes in handen heeft en stiekem dingen doet die voor ons niet zichtbaar zijn. Een sluwere overname is haast niet denkbaar.

[Verwijderd]

Maakt niet uit. De broncode is openbaar.

Waar ik me een klein beetje zorgen om maak is het build systeem van Truecrypt. Iemand heeft Truecrypt een keer gebuild en kwam idd met een identieke binary als wat op de site stond. Maar het was erg ingewikkeld. Ik zou toch graag zien dat iedereen eenvoudig met 1 druk op de knop bij wijze van spreken Truecrypt kan builden vanaf source code.

[mindcrash]

Op de wiki van de TrueCrypt fork CipherShed staat keurig uitgelegd hoe je vanuit de source binaries kunt bouwen. Gaat ook vrij eenvoudig, trouwens (mits uiteraard de gevraagde dependencies aanwezig zijn)

[Verwijderd]

Jeemig, nog een Truecrypt fork...

Hoeveel zijn het er nu al eigenlijk? Ik ken er nu al 3 (Veracrypt, Ciphershed en Truecrypt.ch).

[Reactie gewijzigd door Verwijderd op 25 juli 2024 22:42]

[Verwijderd]

Volgens mij is het probleem dat je niet kan bewijzen dat er geen verborgen container in zit. In veel landen ben je verplicht je wachtwoord te geven. "Geef het wachtwoord van je verborgen container!" "maar die heb ik niet" "kan je niet bewijzen!" dus hup de cel in.

[6820s]

Maarrrr. Kan ik het nog blijven gebruiken?

[Verwijderd]

Jazeker, geen enkel probleem.

[Verwijderd]

Mooi zo!!