The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

Аудит VeraCrypt выявил 8 критических уязвимостей

17.10.2016 21:45

Фонд OSTIF (Open Source Technology Improvement Fund), созданный с целью усиления защищённости открытых проектов, опубликовал результаты аудита безопасности проекта VeraCrypt, в рамках которого развивается форк системы шифрования дисковых разделов TrueCrypt. Аудит выполнен компанией QuarksLab на средства, пожертвованные проектами DuckDuckGo и VikingVPN. Работа была сосредоточена на анализе исправлений и дополнений, внесённых в VeraCrypt, так как оригинальный код TrueCrypt уже несколько раз был подвергнут аудиту.

В результате проверки обнаружено 36 уязвимостей, специфичных для VeraCrypt, из которых 8 получили статус критических, 3 отнесены к категории умеренных и 15 отмечены как незначительные. Большинство проблем затрагивают сторонние библиотеки сжатия и UEFI-загрузчик VeraCrypt. Наиболее опасная уязвимость в развиваемом проектом VeraCrypt загрузчике UEFI позволяет восстановить содержимое загрузочного пароля.

Одновременно сформирован релиз VeraCrypt 1.19, в котором устранено большинство проблемы, выявленных в процессе аудита. Исправления в VeraCrypt 1.19:

  • Полное удаление поддержки шифрования с использованием отечественного симметричного блочного шифра GOST 28147-89, так как применяемая в VeraCrypt реализация алгоритма отмечена как небезопасная из-за расширения предусмотренных алгоритмом 64-разрядных блоков до 128-разрядных блоков для соответствия режиму XTS (проблема специфична для VeraCrypt). Поддержка расшифровки оставлена, но создать новые разделы с шифрованием GOST 28147-89 теперь не получится;
  • Удалены XZip и XUnzip, которые заменены на более современную и защищённую библиотеку libzip. В составе VeraCrypt поставлялись устаревшие версии XZip и XUnzip, содержащие порцию критических уязвимостей;
  • Устранена уязвимость, позволяющая определить длину пароля в классическом загрузчике;
  • Устранена уязвимость, связанная с оставлением неочищенным буфера ввода после аутентификации в новом загрузчике;
  • Устранена уязвимость, связанная с отсутствием корректной очистки конфиденциальных данных в новом загрузчике;
  • Устранена уязвимость в новом загрузчике, которая может привести к повреждению содержимого памяти;
  • Устранена серия уязвимостей, связанных с разыменованием нулевого указателя в графической библиотеке, а также проблемами в функциях ConfigRead и EFIGetHandles.

Из проблем, остающихся неисправленными из-за необходимости существенной переработки архитектуры, отмечаются недоработки в TC_IOCTL_OPEN_TEST, отсутствие должной обработки ошибок в EncryptDataUnits() и подверженность реализации AES cache-timing-атакам (восстановление данных через оценку изменения состояния кэша процессора). К проблемам, которые остаются из-за необходимости изменения поведения и нарушения совместимости с TrueCrypt, отнесены некриптостойкий метод смешивания в файле ключей и наличие неаутентифицированных зашифрованных блоков в заголовках шифрованного раздела.

  1. Главная ссылка к новости (https://ostif.org/the-veracryp...)
  2. OpenNews: Инициирован аудит безопасности проекта VeraCrypt
  3. OpenNews: Релиз VeraCrypt 1.17, форка TrueCrypt
  4. OpenNews: Аудит алгоритмов TrueCrypt не выявил значительных проблем
  5. OpenNews: Спецслужбы Германии провели аудит TrueCrypt
  6. OpenNews: Проект CipherShed выпустил релиз ответвления TrueCrypt 0.7.4
Лицензия: CC-BY
Тип: Проблемы безопасности
Короткая ссылка: https://opennet.ru/45333-veracrypt
Ключевые слова: veracrypt
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение (73) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Анонимус_б61 (?), 21:53, 17/10/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • –8 +/
    ГОСТ замахались расшифровывать в АНБ?
     
     
  • 2.2, Michael Shigorin (ok), 22:04, 17/10/2016 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Вроде как даже старый: http://0x1.tv/201610018
     
     
  • 3.14, Ivan_83 (ok), 02:40, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • +3 +/
    3DES тоже старый и хорошо изученный однако всё это помогло лишь незначительно сократить время брута, а вот развитие выч мощностей убило его.

    Думаю что там какие то странные претензии к реализации XTS с блоками по 64 бита.
    Раз им так старый гост не понравился могли бы добавить новый, там всё как в AES в плане размеров.

     
     
  • 4.18, Аноним (-), 03:55, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > 3DES тоже старый и хорошо изученный однако всё это помогло лишь незначительно
    > сократить время брута, а вот развитие выч мощностей убило его.

    3des так вроде и не сломал никто при нормальных размерах ключа, но он медленный как черти-что, преимуществ не демонстрирует и к тому же схема с s-box которая уязвима к тайминг атакам, вот на него все и забили - по совокупности параметров он ни о чем.

     
  • 4.38, Аноним (-), 13:09, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • +3 +/
    > Думаю что там какие то странные претензии к реализации XTS с блоками

    никаких "претензий", просто оно с ними не работает, у нас "блок" равен размеру сектора.

    > Раз им так старый гост не понравился могли бы добавить новый, там
    > всё как в AES в плане размеров.

    добавляй, разрешаю.
    "им" не понравилось что имеющаяся реализация дырява, и герой, борющийся с NSA, и не использующий их проклятые вражеские шифры, наоборот, этой NSA в результате подставляется. Они сделали единственное, что можно сделать сразу - заблокировали ее использование, спасли героев.
    Страдальцам за эрефию никто не мешает прислать pull request.

     
     
  • 5.61, Аноним (-), 09:55, 21/10/2016 [^] [^^] [^^^] [ответить]  
  • +/
    >[оверквотинг удален]
    > никаких "претензий", просто оно с ними не работает, у нас "блок" равен
    > размеру сектора.
    >> Раз им так старый гост не понравился могли бы добавить новый, там
    >> всё как в AES в плане размеров.
    > добавляй, разрешаю.
    > "им" не понравилось что имеющаяся реализация дырява, и герой, борющийся с NSA,
    > и не использующий их проклятые вражеские шифры, наоборот, этой NSA в
    > результате подставляется. Они сделали единственное, что можно сделать сразу - заблокировали
    > ее использование, спасли героев.
    > Страдальцам за эрефию никто не мешает прислать pull request.

    Про реализацию писал. ГОСТ89 это обычный алгоритм в режиме ECB. Проблема в том что не соответствует XTS.

     
  • 4.60, Аноним (-), 09:48, 21/10/2016 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Я сделал загрузчик UEFI и реализацию ГОСТ89. Самый простой способ соответствовать XTS это шифровать два блока по 64 в режиме CBC, но это приводит к зависимости между частями из 128. при изменении второго блока открытого текста меняется только второй блок шифротекста, а не полностью 128 бит.
     
  • 3.17, Аноним (-), 03:46, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • –3 +/
    очередная шигоринская агитка, стандартного шигоринского уровня. криптоанализа независимыми криптографами не будет, бенчмарков в сравнении с другими алгоритмами - тоже, и вообше интересные слайды: пруфцов не покажем, но вы там работайте и реализуйте, ни о чем не беспокойтесь. разрабатывается при участии сообщества, только вам мы его не покажем.

    даже до всяких нистов доперло что так дела не делаются, и даже так им хватило всего одного провала с Dual EC DRBG чтобы полностью себя дискредитировать. а алгоритм на который даже криптоанализ ни один серьезный криптограф не делал и дискредитировать не требуется.

     
     
  • 4.28, Аноним (-), 09:23, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Криптоанализ 28147 любой желающий может найти самостоятельно с помощью Гугола и аналогов. Все они, так или иначе, сводятся к заключению "если прокрутить не 32 цикла, а только 8, или взять тривиальную S-матрицу, то можно подобрать ключ не за миллиард, а всего за тысячу лет".
     
  • 3.22, Прост (?), 08:03, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Миша,когда релиз?Четвёртый год как нет...
     
  • 2.47, Аноним (-), 22:30, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • +/
    Проблема в длине блока, XTS требует 128 бит. Для того чтоб соответствовать, ГОСТ89 шифровал два блока по 64 бит в режиме CBC. Как результат блоки зависимы и изменение открытого текста второго блока меняет только шифротекст второго блока, а не 128 бит полностью
     

  • 1.3, XXXasd (ok), 22:04, 17/10/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +3 +/
    всегда знал что эта школоподелка (в отличии от качественной cryptsetup/luks) -- курам на смех.

    достаточно почитать PDF (из новости) про их реализацию GOST 28147-89 и сразу станет ясно насколько там всё дилетантно

     
     
  • 2.15, arzeth (ok), 03:05, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • +3 +/
    > качественной cryptsetup/luks

    Удивительно, но ни одного аудита не нашёл: гуглил luks audit, dm-crypt audit, cryptsetup audit; по третьему запросу нашёл, что разработчик 7 месяцев назад написал, что аудит — дорого, поэтому его нет. А первый аудит часто что-нибудь да находит.

    И этим пользуются миллионы людей много лет. 7 400 000 000 людей на Земле, и никто задонатил на аудит. Как страшно жить на этих решётах Шрёдингера.

    Жалко нельзя сдирать (только кому и как?) каждый год (месяц? день?) по одной копейке с (либо каждый раз различного, либо золотого) миллиарда людей — они бы и не заметили, а мир стал бы лучше.

     

  • 1.4, тоже Аноним (ok), 22:04, 17/10/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +7 +/
    Хочется отметить два пункта:
    1. Дыры найдены именно в доделках поверх TrueCrypt.
    2. Никакой насущной необходимости менять TrueCrypt на этот форк за прошедшее с закрытия TC время так и не появилось.
    У меня все, пожалуй.
     
     
  • 2.5, XXXasd (ok), 22:07, 17/10/2016 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > 1. Дыры найдены именно в доделках поверх TrueCrypt.

    стоит отметить что VeraCrypt это проект который закрывает ДЫРЫ в TrueCrypt.

    например широченная дырень в PBKDF , зная о которой вообще не должно возникать желания использовать эти БлаблаCrypt

    --------------------------------------------------

    а тот факт что кроме закрытия TrueCrypt-дыр создаются и новые VeraCrypt-дыры -- тыг тут всё понятно: оба проекта школоподелки от игрунов-в-шпиёнов-от-мамы (какое может быть шифрование на венде и OS X ? и зачем кросплатформенность в ИМЕННО-ЭТОМ вопросе [кросплатформеннось в ущерб качеству], если всё-равно -- одно-шифрование-на-один-компьютер?).

    программа для шифрования пирацкой копии контр-страйка и скаченного порно :-) , ну лол же!

     
     
  • 3.6, Аноним (-), 22:33, 17/10/2016 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Можешь лучше - напиши. Крипто софта с двойным дном такого уровня больше нету, никто почему-то не взялся.
    Хотя ошибки действительно детские. Подумать только -  банально обновить библиотеку в криптософте не додумались. Или специально?
     
  • 3.10, Аноним (-), 23:14, 17/10/2016 [^] [^^] [^^^] [ответить]  
  • +7 +/
    > стоит отметить что VeraCrypt это проект который закрывает ДЫРЫ в TrueCrypt.

    Если бы вы почитали новость, то обнаружили бы упоминание о том, что большинство дыр найдено в EFI-загрузчике. Который является НОВОЙ фичей, реализованной лишь в этом году в прошлой версии. А если бы вы почитали официальный ченджлог, то даже нашли бы упоминание о дыре, которая досталась в наследство от TrueCrypt.

    Но комменты писать интереснее, чем читать первоисточники, я понимаю.

     
  • 3.23, Анонимко (?), 08:17, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • +2 +/
    О, сэнсэй, укажи нам неразумным путь истинный на шифрование праведное, безбагное и достойное всяческого применения!
     
  • 2.7, Владимир Путин (?), 22:34, 17/10/2016 [^] [^^] [^^^] [ответить]  
  • +1 +/
    2. Уязвимые алгоритмы шифрования и малое кол-во итераций pbkdf.
     
     
  • 3.13, Ivan_83 (ok), 02:37, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • +/
    Малое количество итераций критично только для коротких паролей.
     
  • 2.8, Аноним (-), 23:06, 17/10/2016 [^] [^^] [^^^] [ответить]  
  • +/
    Первый пункт не соответствует действительности, поскольку в TrueCrypt не было поддержки отечественных алгоритмов.
     
  • 2.9, Аноним (-), 23:10, 17/10/2016 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Второй пункт тоже не соответствует действительности, поскольку TrueCrypt не может шифровать систему, установленную на GPT-разделе.

    Продолжайте сидеть на железе 8-летней давности (на более новом уже EFI вместо BIOS, и по умолчанию системный раздел именно GPT), а для MBR надо танцевать с бубном.

    У меня всё, пожалуй.

     
     
  • 3.11, тоже Аноним (ok), 23:34, 17/10/2016 [^] [^^] [^^^] [ответить]  
  • +/
    Вы первый пункт точно правильно прочитали? Разжевываю: имелось в виду, что ошибки не в коде, оставшемся от ТС, а в добавленном VC (в т.ч. тот самый ГОСТовский алгоритм).

    Понимаете, какая штука. Я все-таки сужу со своей колокольни, а лично мне не требуется прятать от проверки ворованные винды с ворованными программами. Зачем еще может понадобиться шифровать систему - я не представляю. Линукс-систему шифровать вообще бессмысленно - в самой системе ничего, что стоило бы скрывать, просто нет.

    А вот TC-контейнер, в котором хранится то, что мне постоянно нужно, но не должно попасть в чужие руки, я не вижу никакого резона перешифровывать под какие-то форки, добавляющие откровенные уязвимости под разглагольствование об устранении теоретических.

     
     
  • 4.12, Аноним (-), 01:03, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Почему в контейнере ТС, а не в /home зашифрованной ОС или томе (контейнере) luks/dm-crypt?
     
     
  • 5.16, Аноним (-), 03:18, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Потому что всё это требует пердолинга? Контейнер TC проще закинуть на флешку, в облако и т. п.
     
     
  • 6.24, тоже Аноним (ok), 08:54, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • +/
    Во-вторых, да.
    Во-первых, мне совершенно нечего скрывать в /home рабочего компьютера - от кого бы то ни было.
     
  • 4.19, iPony (?), 07:30, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > Понимаете, какая штука. Я все-таки сужу со своей колокольни, а лично мне не требуется прятать от проверки ворованные винды с ворованными программами. Зачем еще может понадобиться шифровать систему - я не представляю. Линукс-систему шифровать вообще бессмысленно - в самой системе ничего, что стоило бы скрывать, просто нет.

    Ну вообще есть много мест, где можно найти много чего интересного. Например, своп/файл-подкачки.

     
     
  • 5.25, тоже Аноним (ok), 08:55, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • +/
    Если он, например, есть ;)
    Ну, и поиски интересного могут, внезапно, оказаться потенциально дороже стоимости найденного. Если разбирать реальные случаи, а не теоретически возможные ситуации.
     
     
  • 6.51, iPony (?), 07:01, 19/10/2016 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Внезапно... При криминалистической экспертизе анализ свопа/файла подкачки - это стандартная и не сложная процедура.
    И внезапно, зловредное ПО пишут не пони на радуге. А в Этой Стране уже и за это ответственность ввели. Раньше было только за распространение.
     
     
  • 7.53, тоже Аноним (ok), 08:05, 19/10/2016 [^] [^^] [^^^] [ответить]  
  • –1 +/
    К счастью, у меня нет ни свопа, ни желания нарушать законы.
     
  • 4.20, Меломан1 (?), 07:47, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • +/
    Вы не с колокольни рассуждаете, а из кроличьей норы. Т.к. не знаете, что криптоконтейнеры TC (в том числе VC) обнаруживаются и вскрываются, а в вашем хомяке содержится достаточно много интересного и для спецслужб и для посторонних людей в чьи руки попал ваш диск.
    Так что продолжайте лелеять в себе надежду, что вас не схватят за задницу, т.е. ваш контейнер никто не найдет и не вскроет.
    Зайчик вы наш...ути-пути.
     
     
  • 5.27, тоже Аноним (ok), 09:00, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Напомню, моя кроличья нора существует в реальности.
    А ваш странный мир, где спецслужбы и мафия хором, забыв о простом и надежном методе ТРКА, постоянно взламывают криптоконтейнеры и наверняка прослушивают мою клавиатуру - существует только в вашем же воображении.
    Особенно учитывая, что, увы, именно для вышеупомянутых страшных людей нет вот совершенно ничего интересного ни в моем "хомяке", ни в моем криптоконтейнере.
     
     
  • 6.29, Андрей (??), 09:42, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Особенно учитывая, что, увы, именно для вышеупомянутых страшных людей нет вот совершенно ничего интересного

    Про запас. То, что кажется неинтересным и мелочью сейчас, потом часто оказывается стоящей зацепкой.

     
  • 4.39, Аноним (-), 13:22, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • +/
    а на деле - в том числе и в оставшемся от Но вы ж не учили английский в достато... большой текст свёрнут, показать
     
     
  • 5.43, тоже Аноним (ok), 15:24, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Знали бы вы, юноша, сколько вы о себе рассказываете своими предположениями - вряд ли были бы столь красноречивы :)

    По той части, которая по делу. У меня, конечно, хранятся пароли в домашней папке. Но они делятся на те, которые не страшно упустить, и те, которые зашифрованы мастер-паролем браузера. Третья категория - ключи и пароли от редко используемых моих, а также от чужих аккаунтов - лежат в том самом криптоконтейнере, в частности. Зачем они мне в /home?

    Ну, и на случай, если вы следующим номером собираетесь предположить, что мне лень набрать пароль, скажем, при подключении удаленных серверов и они у меня где-то в системе хранятся - вынужден вас расстроить...

     
     
  • 6.54, . (?), 11:35, 19/10/2016 [^] [^^] [^^^] [ответить]  
  • +/
    > зашифрованы мастер-паролем браузера

    ну то есть - либо подсовываем слегка модифицированный браузер, либо слегка некошерный экстеншн - и у нас не только все пароли, но и "мастер пароль" впридачу.
    Не, незачем шифровать диски, я согласен - а то как я иначе буду эти пароли получать, я ж не фсбшник и не палач какой, да и палево этот ваш ректальный криптоанализ.

    > Ну, и на случай, если вы следующим номером собираетесь предположить, что мне лень набрать
    > пароль, скажем, при подключении удаленных серверов и они у меня где-то в системе хранятся

    а, ну да, ну да, у школьника же феноменальная память (и "серверов" целый один, полагаю)

    А вот кредитная карточка у него уже наверняка есть.

     
     
  • 7.56, тоже Аноним (ok), 12:26, 19/10/2016 [^] [^^] [^^^] [ответить]  
  • +/
    > подсовываем слегка модифицированный браузер,

    Господи! Зачем такие сложности? У меня в кабинете стеклянная дверь на балкон - достаточно просто раздобыть бинокль... Но учтите, что я в нее иногда выглядываю - маскировку не забудьте.

    > А вот кредитная карточка у него уже наверняка есть.

    Нет и не будет. Я и с дебетовками-то сразу пишу заявление об отключении овердрафта, если он там предполагается.
    А платить в интернетах предпочитаю с виртуальной Визы Яндекс.Денег - с нее больше, чем я закинул, списать будет трудненько, хоть все пароли своруй.

     
     
  • 8.57, ну раздобыл ичо (?), 17:26, 19/10/2016 [^] [^^] [^^^] [ответить]  
  • –1 +/
    что сложного в задачке подсунуть троянца в незащищенную физически систему Что с... текст свёрнут, показать
     
     
  • 9.58, тоже Аноним (ok), 18:16, 19/10/2016 [^] [^^] [^^^] [ответить]  
  • –2 +/
    В данном конкретном случае главная сложность - в отсутствии такого школьника, ко... текст свёрнут, показать
     
     
  • 10.59, ну раздобыл ичо (?), 18:44, 19/10/2016 [^] [^^] [^^^] [ответить]  
  • +/
    ну то есть тебе вообще никакая криптография ненужно , об этом, собственно, и ре... текст свёрнут, показать
     
  • 4.42, Аноним (-), 15:17, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • +/
    А я не пользуюсь контейнерами. Но ведь не пишу, что "контейнеры не нужны".
    Зато в рабочей ОС у меня есть кое-что. Из самого безобидного - исходники и наработки по реверсингу проприетарного софта. Не говоря уж об аккаунтах и логах, поскольку я всё это ещё и выкладываю в публичный доступ, а кое-что даже и продаю.

    И мне не очень хочется потом иметь в качестве улик на себя весь этот материал.

     
     
  • 5.44, тоже Аноним (ok), 15:30, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • +/
    Не очень понятно, что вам мешает держать "весь этот материал" в контейнере.
    Мне еще не встречалась IDE, которая была бы против того, что исходники лежат по указанному мной пути. Ну, и место для компилируемых файлов тоже обычно можно указать, если это С/С++. Так что снаружи - никаких следов...
     
     
  • 6.68, Anonplus (?), 16:44, 27/10/2016 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > Не очень понятно, что вам мешает держать "весь этот материал" в контейнере.
    > Мне еще не встречалась IDE, которая была бы против того, что исходники
    > лежат по указанному мной пути. Ну, и место для компилируемых файлов
    > тоже обычно можно указать, если это С/С++. Так что снаружи -
    > никаких следов...

    Windows оставляет в реестре массу следов о запускавшемся софте. Профиль браузера я перенесу, а вот кэш DNS и прочие следы - есть шанс что-то упустить. Проще всё зашифровать.

     
     
  • 7.69, Led (ok), 20:49, 27/10/2016 [^] [^^] [^^^] [ответить]  
  • +/
    > Windows оставляет в реестре массу следов о запускавшемся софте. Профиль браузера я
    > перенесу, а вот кэш DNS и прочие следы - есть шанс
    > что-то упустить. Проще всё зашифровать.

    Вендузятник должен страдать.

     
  • 5.55, Аноним (-), 11:40, 19/10/2016 [^] [^^] [^^^] [ответить]  
  • +/
    > И мне не очень хочется потом иметь в качестве улик на себя
    > весь этот материал.

    imho, это как раз случай, когда криптоконтейнер лучше тотального шифрования - его могут просто не найти, или хотя бы найти не все, а вот пароль - попросят ввести, и хрен ведь откажешь хорошим людям (учитывая некоторую специфичность содержимого - аргументы тоже будут, хм, специфические).


     
     
  • 6.67, Anonplus (?), 16:43, 27/10/2016 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Вы правы, поэтому в планах обеспечить такой сценарий, при котором я не буду знать пароль. Загрузка по ключевому файлу, файл, скажем, на SD-карточке - если её вовремя уничтожить, то расшифровать будет невозможно уже никому.
     

  • 1.21, бедный буратино (ok), 07:49, 18/10/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    все недостатки исправит NadezhdaCrypt. надеюсь.
     
     
  • 2.26, Анонимус_б6_выпуск_3 (?), 08:58, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • –1 +/
    что это?
     
     
  • 3.30, iCat (ok), 09:57, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • +4 +/
    Это предшественник LoveCrypt
     
     
  • 4.34, Анонимко (?), 10:27, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • –1 +/
    И универсальную обертку подо все это дело - SexCrypt.
     
  • 3.31, Аноним (-), 10:03, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Это то, от чего форкнется LubovCrypt
     
  • 2.32, Аноним (-), 10:08, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • +/
    > все недостатки исправит NadezhdaCrypt. надеюсь.

    Все уже исправили в FsbCrypt

     
  • 2.52, Аноним (-), 07:10, 19/10/2016 [^] [^^] [^^^] [ответить]  
  • +/
    Ну а за NadezhdaCrypt - придёт и LubovCrypt
     

  • 1.33, АнОн (?), 10:14, 18/10/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Хорошо, что уязвимости нашли и исправили.
     
     
  • 2.48, Анонимс (?), 22:48, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • +/
    надеюсь не все, а то было бы печально; и что они всё патчат да патчат..
     

  • 1.35, Аноним (-), 10:43, 18/10/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    А это по их мнению не уязвимость https://veracrypt.codeplex.com/workitem/186 ? Любой пользователь системы просто залогинившись имеет rw-доступ к контейнеру...
     
     
  • 2.40, . (?), 14:45, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • –4 +/
    это, очевидно, не уязвимость, а особенность работы По их мнению - имеющая отнош... большой текст свёрнут, показать
     
     
  • 3.62, Аноним (-), 13:07, 21/10/2016 [^] [^^] [^^^] [ответить]  
  • +/
    Этот тикет создал я, а они даже не удосужились ответить На любой системе window... большой текст свёрнут, показать
     
     
  • 4.63, . (?), 14:21, 21/10/2016 [^] [^^] [^^^] [ответить]  
  • +/
    ну, отсутствие ответа closed,wontwix уже хорошо на любойсистемеwindows нет ша... большой текст свёрнут, показать
     
     
  • 5.64, Аноним (-), 14:45, 22/10/2016 [^] [^^] [^^^] [ответить]  
  • +/
    Честно говоря, не понимаю зачем все эти разглогольствования. Есть факт - использование контейнера с настройками по умолчанию в windows в общем случае ПОНИЖАЕТ защищенность информации (без контейнера есть FS ACL, с контейнером нет). Об этом тикет. Тикету год, ответа нет - разработчки молчат. А аудиторы заморачиваются с аудитом кода вместо того, чтобы для начала обратить внимание разработчиков на очевидный существенный недостаток в дизайне работы приложения. Кто будет заморачиватся со взломом шифра ГОСТ, если можно и так получить все данные при разлоченном контейнере. Сделайте вменяемые настройки по умолчанию, а уже потом ищите целочисленные переполнения и т.п.
     

  • 1.36, Я в теме (?), 10:48, 18/10/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +4 +/
    Есть GnuPG! Остальное от нечистого!
     
     
  • 2.41, . (?), 14:47, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • +/
    > Есть GnuPG! Остальное от нечистого!

    есть только pgp версии 1-mit, остальное - подстава АНБ и ведет к проклятию души!


     
     
  • 3.45, Аноним (-), 17:03, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • –1 +/
    В курсе что такое pgp и gpg?
     
     
  • 4.70, Samor (?), 04:50, 28/10/2016 [^] [^^] [^^^] [ответить]  
  • +/
    А вы в курсе?
     

  • 1.37, Аноним (-), 11:33, 18/10/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Ничего существенного там не было найдено. Отказ от ГОСТ89 - это больше вопрос веры т.к. реальной атаки не было.

    Дыры в загрузчике, в ветке, которая не используются при простом вводе пароля. (есть проблема только при смене пароля, он в стеке остается)

     
     
  • 2.65, Аноним (-), 11:17, 24/10/2016 [^] [^^] [^^^] [ответить]  
  • –1 +/
    тк во первых gost89 - deprecated и в VeraCrypt - кузнечика с стрибогом запиливают на его замену. а во вторых - магму планируют вернуть, когда/если исправят(через рели-два, быть может?).
     

  • 1.46, Аноним (-), 20:14, 18/10/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Про терморектальный криптоанализ в комментариях уже было?
     
     
  • 2.49, Led (ok), 23:59, 18/10/2016 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > Про терморектальный криптоанализ в комментариях уже было?

    Нет, ты первый пострадавший.

    Рассказывай, как оно? правда ли что маководы лучше переносят его?

     

  • 1.50, Вареник (?), 00:30, 19/10/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    >> В результате проверки обнаружено 36 уязвимостей, специфичных для VeraCrypt

    - Чего-то подобного стоило ожидать. Закрыли пару дыр, открыли десятки.

     
  • 1.66, Alex (??), 18:54, 24/10/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Я так понимаю, из выявленных уязвимостей не было таких, которые находились бы в реализации создания и монтирования обычных зашифрованных контейнеров?
     
  • 1.71, Аноним (71), 09:08, 30/12/2016 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Парни кто шарит скиньте на почту подробную инструкцию по установке верактипт с двойным дном + советы как лучше юзаь если не сложно artberry@tuta.io за ранее благодарен
     
     
  • 2.72, Michael Shigorin (ok), 11:43, 30/12/2016 [^] [^^] [^^^] [ответить]  
  • +/
    > Парни кто шарит

    Зачем?  Разбирайтесь сами, иначе оно Вам незачем (и нет, это не издёвка).

    А то бывают ещё парни с обострённым чувством юмора, которые троллят таких вот наивных юношей, засылая похожие на правду инструкции с эквивалентом патча Бармина, к примеру...

     

  • 1.73, Аноним (-), 10:30, 02/06/2017 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Ребята! Шифрование ОООООчень ВАЖНО!!!
     
     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Спонсоры:
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2020 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру