Encryptiesoftware VeraCrypt dicht dll-lek en versnelt opstarten
Er is een nieuwe versie verschenen van VeraCrypt, de op TrueCrypt-gebaseerde encryptiesoftware, waarin een lek is verholpen, alsmede allerlei verbeteringen zijn doorgevoerd. Het beveiligingslek betrof een dll-probleem waardoor een aanvaller, als hij een kwaadaardig dll-bestand in de directory wist te krijgen waar ook het installatieprogramma van VeraCrypt stond, de computer kon overnemen als de installatie werd gestart.
Dit probleem speelde alleen bij de Windowsversie. Verder is de Windowsversie nu met zowel het sha-1- als sha-256-algortime gesigneerd, zoals aanbevolen door Microsoft. Tevens worden nu unicode-wachtwoorden geaccepteert, is de tijd voor het opstarten door een slimme optimalisatie gehalveerd en is er ondersteuning voor exFAT-volumes toegevoegd. Specifiek voor de Linux- en Mac-versies is er een probleem opgelost waardoor wachtwoorden met een spatie niet goed werden verwerkt, alsmede een probleem waardoor alleen FAT-bestandsvolumes via de commandline konden worden aangemaakt.
Een volledig overzicht van alle aanpassingen is te vinden in de releasenotes van VeraCrypt 1.17. VeraCrypt werd eind 2014 door een Franse programmeur gelanceerd, nadat de TrueCrypt-ontwikkelaars met de ondersteuning van TrueCrypt waren gestopt. Ontwikkelaar Mounir Idrassi besloot daarop een 'fork' te ontwikkelen, een afsplitsing die op de originele TrueCrypt-broncode is gebaseerd, waar hij vervolgens verschillende verbeteringen aan toevoegde.
Gebruik dat nou maar in plaats van allerlei onbekende Kernelcode op je systeem te moeten knallen.
Voor de installatie van het Veracrypt PKK is ook weer een andere PKG installatie benodigd, OSXFUSE.
Wat installeert die code allemaal op je systeem? Weetnie?
De pest met PKG installers is dat je daarvan geen enkele notie hebt en dat het niet zoals met een appje plaatsen in je programmamap weer eenvoudig verwijderbaar is.
Als er al verwijderfunctionaliteit door de ontwikkelaar wordt geleverd werkt dat nooit helemaal goed en laat het altijd wel wat aan sporen achter.
Ik heb het nog niet uitgeprobeerd maar ik ben benieuwd of OS X El Captitan dit installeren van o.a. kernelcode klakkeloos toestaat.
Zou zomaar kunnen van niet en daar is nou net een goede reden voor; je systeem schoon houden en beschermen tegen geknoei van externe code van ontwikkelaars.
Gebruik bij voorkeur Mac OS X's eigen functionaliteit en stap pas op wat anders over als je daar hele goede onderbouwde redenen voor hebt.
Ik ben heel benieuwd waarom je dergelijk kritieke software van 1 (!) enkele ontwikkelaar op je systeem zou zetten als je systeem een goed werkend systeem zelf heeft.
Is dat niet vragen om moeilijkheden? Best vervelend als je encrypted bestanden/volume het ineens niet meer doen vanwege een foutje van die enkele ontwikkelaar.
Laat je niet gek maken/verleiden en blijf realistisch met dit soort zaken.
Ik zie de goede en overtuigende argumenten om met alle geweld VeraCrypt onder Mac OS X te installeren met interesse tegemoet.
Gebruik dat nou maar in plaats van allerlei onbekende Kernelcode op je systeem te moeten knallen.
Voor de installatie van het Veracrypt PKK is ook weer een andere PKG installatie benodigd, OSXFUSE.
Wat installeert die code allemaal op je systeem? Weetnie?
...
VeraCrypt is overigens OSS en een fork van TrueCrypt waarvan de code een **volledige** audit heeft ondergaan. Deze audit en een (geplande) audit van de wijzigingen die VeraCrypt t.o.v. TrueCrypt heeft doorgevoerd, i.c.m. de mogelijkheid de code zelf te compileren biedt wel enige zekerheden. (zie ook https://en.wikipedia.org/wiki/VeraCrypt).
Externe harde schijf insteken, ...
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
