Onderschepte VeraCrypt-mails waarschijnlijk lokaal probleem
Deze week kwam het Open Source Technology Improvement Fund (OSTIF) met een bericht waarin het stelde dat e-mails over een audit van het encryptieprogramma VeraCrypt werden onderschept, maar één van de betrokken partijen meldt nu dat het aan zijn kant zeer waarschijnlijk een lokaal probleem betreft.
VeraCrypt is een encryptieprogramma waarmee gebruikers bestanden en hun volledige harde schijf kunnen versleutelen. Het is gebaseerd op het populaire TrueCrypt, waarvan de ondersteuning in 2014 werd gestopt. De werking en code van VeraCrypt zijn nooit geaudit, waar het OSTIF nu verandering in wil brengen. De audit zal door beveiligingsbedrijf Quarkslab worden uitgevoerd.
Verschillende e-mails die tussen OSTIF, de VeraCrypt-ontwikkelaar en Quarkslab werden uitgewisseld bleken echter verdwenen te zijn. Volgens het OSTIF waren de berichten onderschept. "Ik denk dat de aankondiging een fout was. Ik verloor een bericht dat ik naar Mounir stuurde (Mounir Idrassi, de ontwikkelaar van VeraCrypt) en Derek (Derek Zimmer, ceo van OSTIF). Ze hadden drie keer eerder met soortgelijke problemen te maken gekregen", zegt Fred Raynal, ceo van Quarkslab, tegenover Threatpost. "Vervolgens kwam Derek met een verklaring, maar hij had dat niet moeten doen. Aan mijn kant weet ik vrij zeker dat het om een lokaal probleem op mijn computer gaat tussen Mail.app en GPGMail."
Audit
De audit zal zich op alle nieuwe code richten die sinds het verdwijnen van TrueCrypt is toegevoegd. Daarnaast zal er speciale aandacht aan EFI en schijfversleuteling, alsmede nieuw toegevoegde encryptie-algoritmes worden gegeven. Volgens Idrassi is EFI-encryptie de belangrijkste nieuwe feature ten opzichte van TrueCrypt. TrueCrypt ondersteunde namelijk alleen volledige schijfversleuteling van systemen met een master boot record (MBR).
Tegenwoordig beschikken steeds meer systemen over een Extensible Firmware Interface (EFI). Daardoor kunnen deze gebruikers TrueCrypt niet gebruiken. Sinds het toevoegen van EFI-ondersteuning aan VeraCrypt 1.18 kunnen deze gebruikers toch weer hun systeem versleutelen. De VeraCrypt-audit zou halverwege september moeten zijn afgerond. Het OSTIF wilde niet op vragen over de eerdere aankondiging reageren.
Prutsers.
Prutsers.
Veel vertrouwen heb ik niet in mensen die internet gebruiken, dat is toch zo onveilig.
"Never attribute to malice what can be adequately explained by stupidity"
Prutsers.
Jij begrijpt er helemaal niets van. Zoek eens op wat PGP is voordat je begint te schreeuwen en te doen.
https://www.security.nl/posting/481421/OSTIF%3A+e-mail+over+VeraCrypt-audit+wordt+onderschept
Zeker - maar wat voor security auditor ben je nou als je de communicatie met je partner over hoe veilig ze zijn nou niet controleert? Een auditor die Veracrypt wil auditen op hun veiligheid, maar die zelf vertrouwt op Google om z'n communicatie te beveiligen? Klinkt een beetje jammer...
De versleutelde communicatie die ze nu opzetten zal wel via een ander protocol gaan dan smtp, dat is volgens mij de strekking van het verhaal. Maar wie ben ik...
De opmerking op het eind over landen die meeluisteren is inderdaad een beetje tendentieus. Maar wat is er nou spannender dan 007? :-)
Mijn dag is weer goed :-)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
