it-swarm-eu.dev

C'è un motivo per usare TrueCrypt su VeraCrypt?

Sto cercando di crittografare alcune mie unità e il mio SOLO interesse è la sicurezza. Va bene se i miei volumi VeraCrypt non sono compatibili con TrueCrypt e viceversa.

Si parla molto di "TrueCrypt è morto" e sembra che ora ci siano due forchette che stanno guadagnando slancio. Quello più interessante per me è VeraCrypt, e dalla ricerca che ho fatto, questa sembra l'opzione "più sicura". Ma è così?

Ecco perché ti chiedo tutti qui. So cosa sostiene VeraCrypt, so che dicono che fanno più iterazioni di hash della password per derivare le chiavi di crittografia. Sembra bello e tutto, ma ...

Qualcuno ha esperienza nel mondo reale con Veracrypt ed è buono come pubblicizzato? Come si confronta con TrueCrypt?

Qualcuno ha un motivo di sicurezza per cui scegliere TrueCrypt su VeraCrypt? Qualche motivo per cui TrueCrypt è preferibile per te?

Non sono sul carro "TrueCrypt is dead", sto solo cercando di essere progressivo, quindi sceglierei una nuova opzione "migliore" se disponibile. Detto questo, sceglierei anche di scegliere l'opzione precedente se in realtà è migliore delle opzioni più recenti. I vostri pensieri?

60

Sceglierei TrueCrypt per una questione di trust e la teoria dei "molti occhi":

  • Dopo lo "scandalo TrueCrypt" tutti hanno iniziato a cercare la fonte per le backdoor.

  • TrueCrypt audit è terminato il 2 aprile 2015. Sono state rilevate vulnerabilità a basso rischio, incluse alcune che influiscono sulla funzionalità di crittografia dell'intero disco del bootloader, sebbene non vi siano prove di backdoor.

  • Se VeraCrypt inizia a modificare TrueCrypt rapidamente, potrebbe presentare alcune vulnerabilità. Dato che VeraCrypt è attualmente meno popolare di TrueCrypt, ci sono 'meno occhi' a guardare le modifiche al codice sorgente di VeraCrypt.

  • Ritengo che TrueCrypt 7.1a abbia tutte le funzionalità di cui ho bisogno. Un TrueCrypt verificato con le vulnerabilità corrette sarebbe la scelta perfetta. A meno che non guardi personalmente le differenze del codice sorgente di VeraCrypt, richiederebbe un controllo delle modifiche, o un elevato aumento della popolarità, o molti anni di manutenzione e comunità attiva per farmi fidare di loro più del buon vecchio TrueCrypt.

  • L'aumento delle iterazioni per mitigare gli attacchi di forza bruta influisce solo sulle prestazioni. Se hai scelto una password casuale a 64 caratteri, 1 milione di anni di forzatura bruta o 10 milioni di anni è lo stesso dal punto di vista della sicurezza.

(Ho scaricato la chiave pubblica di TrueCrypt admin anni prima dello scandalo. Quindi posso scaricare una copia di TrueCrypt 7.1a da qualsiasi fonte e verificarne l'autenticità)

Questa risposta può cambiare dopo aver pubblicato i nuovi risultati dell'audit. Inoltre, se sei lo sviluppatore di VeraCrypt, l'argomento trust non si applica (perché ti fidi di te stesso).

41
b2419326

Sì. Usa VeraCrypt.

Al 26 settembre 2015, i ricercatori sulla sicurezza di Google hanno scoperto un paio di vulnerabilità che interessano TrueCrypt 7.1a e VeraCrypt 1.14

sono CVE-2015-7358 e CVE-2015-7359

Il 26 settembre 2015 VeraCrypt ha rilasciato 1.15 che risolve tali vulnerabilità.

Il 17 ottobre 2016, l'audit di VeraCrypt da parte di QuarksLab è stato completato e, di conseguenza, VeraCrypt versione 1.19 è stata rilasciata per risolvere le vulnerabilità rilevate.

Fonti:

Modifica: aggiunte le informazioni di controllo di QuarksLab del 17 ottobre 2016

35
Unglued

Se fai una diff su TrueCrypt e VeraCrypt, rimuovi tutta la modifica del nome e il codice della versione, ti rimane una patch di dimensioni ragionevoli da guardare. VeraCrypt utilizza SHA256, che è migliore di SHA512 a causa del programma chiave. Oltre al conteggio delle iterazioni sopra menzionato, le altre modifiche importanti sono il supporto NTFS, il supporto WxWidgit aggiornato, la modifica del formato del volume e l'inclusione delle intestazioni PKCS11 di RSA. Piccoli cambiamenti sono cose come cambiare i file .tc in .hc, migliori opzioni di packaging per la distribuzione, ecc.

Dopo aver applicato il set di patch ridotto, ho aggiunto Keccak al mix per crittografia e hash. Il codice di flusso è bello da usare nel mezzo di una cascata come Serpent, Keccak (SHA3), quindi AES.

Stavo per aggiungere il supporto per i contenitori TrueCrypt, ma ho deciso di non farlo poiché penso personalmente che il cambio di formato sia un vantaggio.

Riassumendo, non è così difficile controllare usando il set di patch sopra menzionato.

Le migliori pratiche prevedono l'utilizzo della distro TrueCrypt 7.1a verificabile e il download delle proprie intestazioni PKCS11 da RSA. Se stai costruendo per un Mac, usa la tua copia di nasm invece di quella inclusa o scaricala tu stesso dalla sua pagina web.

Questo è quello che uso e continuerò a utilizzare fino a quando non dovrò modificare gli algoritmi di crittografia quando il tempo lo richiede.

6
Joe Blow

Uso TrueCrypt da anni su sistemi Linux e Windows e ne sono rimasto abbastanza soddisfatto. Di recente, ho aggiornato i miei PC Linux a Ubuntu 16.04 e ho pensato che sarebbe stato il momento giusto per passare da TrueCrypt a VeraCrypt. Sono andato avanti e ho convertito i contenitori TrueCrypt in contenitori VeraCrypt semplicemente cambiando la password come indicato nella documentazione. L'ho fatto soprattutto per un disco rigido interno da 1 TB formattato in due partizioni da 500 Mb. Sembrava che mentre la decodifica TrueCrypt delle mie partizioni fosse stata precedentemente eseguita in pochi secondi, la decodifica VeraCrypt ora richiede 4 minuti per ogni partizione. Questo è inaccettabile per me perché devo aspettare 8-9 minuti affinché il mio PC sia attivo e funzionante al mattino. Pertanto, ritengo di tornare a TrueCrypt, che - tutto sommato - sembra un buon compromesso tra maggiore sicurezza e convenienza.

2
Michel Dietrich