PGP brengt encryptie-api en toolkits uit

PGP heeft api's en sdk's voor zijn encryptie-interfaces uitgebracht. Bedrijven kunnen hiermee eenvoudig het PGP Encryption Platform integreren in hun eigen applicaties en de interoperabiliteit verbeteren.

Op maandag heeft de PGP Corporation api's en sdk's voor zijn platform vrijelijk beschikbaar gesteld. "Crypto gaat over openheid en het laten testen door mensen. In de crypto-wereld geldt de regel dat hoe meer transparantie er is, hoe beter het is", aldus Phil Dunkelberger, ceo van PGP. De broncode van PGP's encryptiesoftware was al voor iedereen toegankelijk.

Het PGP Encryption Platform is een bundeling van applicaties voor onder andere de versleuteling van harddisks, e-mail en mobiele communicatie. Naast de nieuwe api kunnen de PGP Crypto-sdk en de PGP Messaging-sdk gebruikt worden om de functionaliteit van het platform, zoals sleutelbeheer, op te nemen in eigen software of om applicaties beter samen te laten werken met de beveiligingssuite van PGP.

PGP maakte maandag ook bekend dat het zijn encryptieproducten voor harddisks en zijn Universal Gateway Email-software heeft voorgedragen voor een Common Criteria-certificering. De Common Criteria for Information Technology Security Evaluation, zoals de standaard voluit heet, is een verzameling richtlijnen op het gebied van veiligheid die door 24 landen, waaronder Nederland, ondersteund worden. Een Common Criteria-certificering maakt de kans groter dat deze overheden voor de PGP-software kiezen.

Reacties (8)

[TVL]

Ik vraag me bij dit soort software altijd af of er een achterdeurtje inzit voor geheime diensten zoals de NSA. Of kijk ik te veel naar 24

[tuXzero]

Waarschijnlijk kijk je teveel 24 . Als er een achterdeurtje in zat dan was het allang ontdekt. Het is immers opensource software.

En dat is dan ook gelijk de reden waarom opensource zo sterk is. Je kunt zelf de integriteit van de software checken.

Je kunt beter de sourcecode vrij geven dan in je licentie zetten dat de sourcecode geheim is, want raad is wie zich niet aan die licentie houd en een deassembler draait? Dus met OSS wordt het makkelijker voor de aanvaller, maar er kijken ook een hoop mensen mee, en PGP is qwa dat betreft een goed bekeken onderwerp door cryptografie experts. In de meeste gevallen is er dan al een patch klaar voordat de aanvaller een proof of concept heeft.

[Arnoud Engelfriet]

Persoonlijk heb ik liever certificatie van mensen met verstand dan broncode. Mijn C++ is nogal roestig.

Bovendien, vertrouw jij je compiler? Je zal ze de kost moeten geven die een binary van gcc installeren en daarmee hun broncodes gaan compileren. Niet slim als je echt zeker van je zaak wilt zijn.

[dwizzy]

oh, die discussie is nieuw! Zoek maar even naar de lezing van Phil Zimmermann (maker van PGP) tijdens HAL2001 in Enschede.

[Verwijderd]

Hou het liever bij OpenPGP en GnuPG, al kom ik nog steeds bedrijven tegen die huiverig zijn van open-source. Het kost soms wat meer overtuigingskracht dan om hun te overtuigen dat het net zo veilig is (soms zelfs veiliger). Gelukkig zijn dezelfde personen vaak erg vatbaar voor het feit dat de open-source varianten geen licentie kosten met zich mee dragen.

Wat hardeschijf versleuteling betreft, CompuSec (closed-source freeware) en TrueCrypt (open-source) hebben zich al jaren lang bewezen, al is de TrueCrypt pre-boot encryptie voor Windows systemen wel zeer recent. CompuSec heeft geen 64-bit Vista ondersteuning, dus wij hebben de TrueCrypt versie al uitvoerig getest en gebruiken die nu voor produktie systemen.

[Verwijderd]

Ik denk wel dat dit altijd gevraagd zal worden, maar of de makers zwichten?

[--Andre--]

Ik heb inderdaad ooit een artikel gelezen, over een backdoor die in de compiler zat.
Of nog beter... die zat verwerkt in de compiler waarmee de compiler was gecompiled.
Hoe (on)veilig kan je software zijn. Als je echt zeker wil zijn, schrijf dan alles zelf in assembly. En ik zie niemand dat nog doen tegenwoordig. Maar, de compiler, kan inderdaad nog een gevaar zijn of worden.