Bevat de TrueCrypt-waarschuwing een verborgen boodschap?
Gebruikers van het populaire encryptieprogramma TrueCrypt stonden vreemd te kijken toen de officiële website opeens een waarschuwing bevatte dat de software onveilig was en niet gebruikt moest worden. Het ging om de Engelse tekst: "Using TrueCrypt is not secure as it may contain unfixed security issues".
Sommige internetgebruikers zien in deze vreemde Engelse zin een aanwijzing voor een verborgen boodschap. Door de eerste letters van elk woord in de zin te nemen verschijnt de tekst "uti nsa im cu si", wat in het Nederlands vertaald de tekst "als/tenzij ik de NSA wil gebruiken" zou zijn.
Een vrijwilliger van MediaWiki stelt dat in de context van de hele zin dit zou inhouden dat mensen TrueCrypt niet moeten gebruiken omdat het onder de controle van de NSA staat. Opmerkelijk genoeg werd dezelfde Latijnse tekst ook al twee weken geleden op Pastebin door een anoniem iemand geplaatst, die opmerkt dat "toekomstige TrueCrypt-versies" vermeden moeten worden, wat de samenzweringstheorie verder versterkt.
Of je truecrypt dus wel/niet zou moeten gebruiken is vooral afhankelijk van een risico analyse, waarin je kijkt tegen welke risico's je je wilt beschermen. Immers is de NSA niet altijd het risico waar je je tegen wilt indekken. Ik gebruik truecrypt, maar de NSA komt niet voor in mijn redenen om gebruik te maken van deze encryptie tool.
Laten we ons niet verlagen tot een heksenjacht of koffiedik kijken, dit is wat er nu bekend is:
https://opencryptoaudit.org/reports/iSec_Final_Open_Crypto_Audit_Project_TrueCrypt_Security_Assessment.pdf
Mijn 2 centen
stelletje gekken.
Laten we ons niet verlagen tot een heksenjacht of koffiedik kijken, dit is wat er nu bekend is:
https://opencryptoaudit.org/reports/iSec_Final_Open_Crypto_Audit_Project_TrueCrypt_Security_Assessment.pdf
Mijn 2 centen
Nadat de code een review heeft gekregen kunnen we zeggen wat er precies gaande is.
Ik denk zelf dat NSA in ditgeval de devs wou forceren om een backdoor te implementeren en dat de devs dan maar stoppen met TC.
En wat zegt die audit over de overwegingen van ontwikkelaars om de stekker uit TC te trekken ?
#B dat de mensen die reviewen niet onder druk staan van de NSA om bepaalde dingen niet te zien... (veel mensen vinden het vooruitzicht van waterboarden, (onschuldig) de gevangenis in gegooid worden om bogus aantijgingen niet echt prettig).
De Nederlandse zin: (Indien) ik de NSA wil gebruiken is in het Latijn: Uti NSA volo.
Ik denk dat de i in uti weggehaqaldf moet worden "ut nsa im cu si" maakt namelijk nog veel meer zin en maakt er een waarschuwing van ;)
Je kunt het vertalen als "Moet ik me zorgen maken van/over de NSA".
Maar dode talen zijn vrij levendig in dit soort dingen.
Thaddy
https://translate.google.com/#sr/nl/uti%20nsa%20im%20cu%20si
Nu blijkt dus dat er Serviërs achter TrueCrypt zitten, en dat ze afgeluisterd worden door de NSA!
(Wie weet er nog meer onzinnige, maar net zo verklaarbare oplossingen?)
Laten we ons niet verlagen tot een heksenjacht of koffiedik kijken, dit is wat er nu bekend is:
https://opencryptoaudit.org/reports/iSec_Final_Open_Crypto_Audit_Project_TrueCrypt_Security_Assessment.pdf
Mijn 2 centen
ik wil niet in complot theorieën denken of praten. maar de feiten liggen op tafel, dat de NSA zich met deze praktijken bezig houd. in het geval van RSA, is feitelijk een backdoor aangetroffen. het betekend dat de NSA de RSA onder controle heeft. dus wie zegt dat die hele truecrypt audit ook niet een NSA campange is ? in de zin van: "doe maar even een audit, laat het er zo technische mogelijk uit zien zodat alle professionals het wel moeten geloven en dit overbrengen op de IT analfabeet, maar laat onze backdoors buiten beschouwing."
als security professionals zullen we toch een bepaalde wantrouwen moeten hebben in dit geval. want er zijn toch aanwijzingen die ons duidelijk maken dat we in deze tijden zeeeeer voorzichtig moeten zijn.
mijn conclusie is, die hele audit is leuk, maar vertrouw het niet.
maarja je hebt zeker een punt hoor!
Het is niet alleen een acrostichon, maar ook een anagram. Als je "uti nsa im cu si" husselt krijg je "imus in tuscia". Volgens Google Translate betekent dat "We gaan in Toscane". De makers van TrueCrypt gaan dus gewoon een paar weekjes op vakantie in Toscane! Als ze terug zijn van vakantie gaan ze vast gewoon weer verder.
(Sorry voor de onzinnige posts, maar je kunt dit hele verhaal toch niet serieus nemen?)
Die zegt dit namelijk niet op deze wijze.
Die zegt dit namelijk niet op deze wijze.
Heeft toch iedereen wel eens last van?
Hoe zouden jullie een makkelijke/moeilijke verstopte publieke aankondiging plaatsen?
Mij mag je er wel op betrappen hoor, vooral vanwege de humor!
Ik denk dat ik mijn hoedje af zet en denk dat het waar is........
Thaddy ;)
Heeft toch iedereen wel eens last van?
volgens mij heb jij arnoud zn blog gelezen....
Hm. Het is wel latijn hoor, echt latijn....
Als schrijft men het sinds de Romeinen zo verrotte slecht op.
Niet zo'n slecht idee voor een neiuwe Cherokee code.
Hoe beter ik het lees en hoe langer ik het zie........
Pak het op.
|Geen grapje.
Thaddy
Mocht ik ongelijk hebben... soit, maar ik denk het niet. het is geen Servisch, het is latijn met een -mogelijk, voor mij althans - foutje. De slimmerik krijgt daar natuurlijk wel problemen mee als we dat niet gaan verdedigen.
Welke dev gaat nou van z'n eigen software zeggen dat het onveilig is omdat het niet meer ondersteund wordt ondanks dat er nog géén bekende kwetsbaarheden zijn gepubliceerd?
Welke dev gaat nou van z'n eigen software zeggen dat het onveilig is omdat het niet meer ondersteund wordt ondanks dat er nog géén bekende kwetsbaarheden zijn gepubliceerd?
Ik heb daarom wel eens ontslag genomen en hou nog steeds mijn mond. Twee weken later was het wel opgelost....
Het is allemaal wat suggestief wat er aan de hand zou zijn, maar merkwaardig is het wel.
Met de huidige informatie kun je er volgens mij het beste vanuit gaan dat Truecrypt "niet perfect" is.
(hier kun je m.i. bij om het even welk ander encryptieprogramma ook altijd maar het beste vanuit gaan)
Dit houdt niet in dat Truecrypt opeens waardeloos is, maar dat je er verstandig mee moet omgaan om de risico's beperkt
te houden. Houd daarom in gedachten dat (vooralsnog) weliswaar de meeste mensen niet in staat zullen zijn om jouw Truecrypt-data zomaar te ontcijferen, maar dat een bijzondere groep met gespecialiseerde kennis dit mogelijk wél kan.
En als jij een tamelijk onschuldig bericht stuurt aan tante Pollewop of zo, en vanwege het persoonlijke karakter besluit om
encryptie te gebruiken, dan heb je van zulke "special forces" niets te vrezen: zoiets is voor hen totaal niet interessant.
Maar ga je het criminele pad op, tja, dán loop je waarschijnlijk een keer tegen de lamp...
- De TrueCrypt-ontwikkelaars stoppen ermee. Dat is hun goed recht, maar om dan maar een Microsoft-product aan te gaan bevelen?
- Wel een nieuwe versie van TrueCrypt uitbrengen, maar alleen om te decoderen?
Ik weet niet goed welk standpunt ik in zal dienen te nemen: Goed van vertrouwen zijn, geloven dat er niets aan de hand is en overstappen op BitLocker? Of toch (gezonde) achterdocht?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?