Vermeende TrueCrypt-ontwikkelaar ziet fork niet zitten
Een vermeende ontwikkelaar van het encryptieprogramma TrueCrypt vindt het geen goed idee als er een fork wordt gemaakt. Een fork is een afsplitsing gebaseerd op de originele code van de software. Het idee van een fork is afkomstig van cryptografieprofessor Matthew Green.
Green is betrokken bij de audit van TrueCrypt en stuurde één van de TrueCrypt-ontwikkelaars een e-mail. Het is onbekend of het werkelijk om een ontwikkelaar van TrueCrypt gaat, maar Green laat weten dat hij in het verleden met deze persoon vaker over de encryptiesoftware heeft gecommuniceerd.
In zijn e-mail, die nu op Pastebin is verschenen, stelt Green dat TrueCrypt op een verantwoorde wijze een doorstart moet krijgen. Onlangs verscheen op de website van TrueCrypt een melding dat het programma onveilig is om te gebruiken en de ondersteuning is stopgezet.
Licentiestructuur
De voornaamste zorg die Green heeft is de licentiestructuur en handelsnamen die met TrueCrypt geassocieerd zijn. Hij merkt op dat sommige mensen zich hier niets van aan zullen trekken en met een eigen fork zullen komen. Deze versnippering kan het programma onveiliger maken. Daarom vraagt Green om een deel van de huidige code onder een standaard opensourcelicentie te mogen gebruiken voor een fork. Ook vraagt hij om toestemming de TrueCrypt-handelsnaam te mogen gebruiken.
De vermeende ontwikkelaar zegt dat Green om het "onmogelijke" vraagt. "Ik denk niet dat een fork van TrueCrypt een goed idee zou zijn, het compleet herschrijven van de code was iets dat we al langer wilden doen. Ik denk niet dat het vanaf 'scratch' beginnen meer werk zal zijn dan het leren en begrijpen van de huidige TrueCrypt-code. Ik heb er geen probleem mee dat de broncode als referentie wordt gebruikt."
maw,de alu hoedjes hebben het weer druk met nostradamusje spelen.
je bent zelf een backdoor
Mijn gedachte is simpel, je ruimt eerst zelf de pijnpunten (lees: 'eventuele flaws') op, als je die kent, voordat je het bijltje er bij neer gooit. Zo niet, dan is het aannemelijk dat er andere overwegingen een rol hebben gespeeld. Tenslotte weet je als dev deksels goed waar de schoen wringt.
En nou pak ik even het alu hoedje.
Als men er qua licentie en merkrecht uitkomt, althans. Het "onmogelijk" in de reactie doet vermoeden dat dat tegen gaat vallen. En ondanks alle NSA-vermoedens geeft de (veronderstelde) ontwikkelaar misschien wel deksels goed aan waar de schoen wringt als hij stelt dat herschrijven al een wens was en weinig meer inspanning oplevert dan de bestaande code op orde krijgen. Ik heb de code nooit bekeken en heb er geen eigen oordeel over, maar kennelijk beschouwen de originele ontwikkelaars het als iets wat ze niet meer weten te beheersen.
Als er al inzicht is in de source-code, waarom wordt het dan niet gewoon van de grond af aan opnieuw geschreven?
Ik snap wel dat Truecrypt bestaat uit verschillende soorten code om onder andere op low-level hardware aan te kunnen roepen (wat een niche is in de wereld van 'apps') maar dat neemt niet weg dan een paar dedicated dev's zo'n projectje toch binnen afzienbare tijd uit de grond moeten kunnen stampen???
Tot die tijd blijf ik het gebruiken in ieder geval, ik heb geen beef met de NSA maar wil wel zeker weten dat als ik een USB-stickje kwijtraak de data niet makkelijk te benaderen is.
Ook blijf ik het vreemd vinden dat een dev zijn eigen product als onveilig bestempelt zonder nadere uitleg (behalve dat de ondersteuning is gestopt) en zonder dat er exploits bekend zijn bij het grote publiek.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
