Zamieszanie wokół TrueCrypta

wiraz

Jak filip z konopi wyskoczył temat, sieć jest dosłownie zasrana info nt. dziwnej akcji wokół oprogramowania szyfrującego TrueCrypt.
Team stojący za softem nie ułatwia sprawy, podając lakoniczne powody zawieszenia projektu:

http://truecrypt.sourceforge.net/ napisał:

WARNING: Using TrueCrypt is not secure as it may contain unfixed security issues

This page exists only to help migrate existing data encrypted by TrueCrypt.

The development of TrueCrypt was ended in 5/2014 after Microsoft terminated support of Windows XP.
Windows 8/7/Vista and later offer integrated support for encrypted disks and virtual disk images.
Such integrated support is also available on other platforms (click here for more information).
You should migrate any data encrypted by TrueCrypt to encrypted disks or virtual disk images supported on your platform.

Portale tematyczne sugerują wyciek klucza, którym był/jest podpisywany program, wskazując na podpisanie nim wersji programu 7.2.
Wersja ta ukazała się 2014-05-28 18:08:41 UTC i do teraz pobrano ją 3250 razy.
Poprzednia wersja 7.1a pojawiła się 2013-06-17.

Warto wspomnieć o publicznym audycie kodu źródłowego na podstawie wersji 7.1a,
z którego wstępny raport wskazuje brak backdorów w kodzie i generalnie duże bezpieczeństwo.

Mając na uwadze niedawne heartbleed-case (telegraficznie: krytyczna luka kodu OpenSSL, powodująca wyciek pamięci ram, a w konsekwencji pozyskanie klucza prywatnego)
możemy mieć doczynienia z działaniem operacyjnym w ramach programów bezpieczeństwa wiadomych sił.
W tej sytuacji trudno być czegokolwiek pewnym, lecz powściągliwość w aktualizacji wyżej wymienionego softu wydaje się być
rozsądnym krokiem.

Bimi

Faktycznie, niezłe jaja z tym.

Oficjalna strona TrueCrypt każe ludziom rozszyfrować swoje dane i przestać czym prędzej używać ich programu.
Powód: bo może nie być bezpieczny... z tym że co konkretnie jest w nim takiego niebezpiecznego, tego akurat nie wie nikt.

A do tego jeszcze mówią wprost, że zamiast ich darmowego open-source'owego softu należy od teraz używać zamkniętego microsoftowego BitLocker'a. Shocked

Natomiast wersja 7.2, którą opublikowali różni się od 7.1 tylko tym, że dalej pozwala rozszyfrować dysk, ale już nie ma opcji szyfrowania.

Jaja jak berety Smile

Matthew Green, a professor specializing in cryptography at Johns Hopkins University and one of the people who spearheaded the TrueCrypt audit, told Ars he had no advance notice of the announcement. He said the announcement appears to be authentic, an observation he repeated on Twitter. He told Ars he has privately contacted the largely secretive TrueCrypt developers in an attempt to confirm the site or get more more details.

http://arstechnica.com/security/2014/05/.....tly-warns/

TrueCrypt, leading encryption software touted and used by no less than Edward Snowden and Glenn Greenwald, now appears to be dead, according to its recently updated website, but no one seems to know why-or if the program's ominous warning is legitimate.

http://www.dailydot.com/technology/truecrypt-dead-unsecure/

Encryption Tool Endorsed By Snowden Abruptly Shuts Down

On Wednesday afternoon, the official website for the TrueCrypt encryption software - which allows users to encrypt hard drives and sensitive files - was updated to say that it is no longer safe to use. While the website does not provide additional details about potential security issues, it does state that development of the decade-old tool ended this month after Microsoft terminated support for Windows XP. The very top of the website now reads "WARNING: Using TrueCrypt is not secure as it may contain unfixed security issues," followed by instructions on how to migrate from TrueCrypt to BitLocker, Microsoft´s built-in full disk encryption solution.

http://www.forbes.com/sites/runasandvik/.....huts-down/

Aspelta

Trzeba szybko zassać wersję 7.1a zanim zniknie z sieci Smile

n.p. tu: http://filehippo.com/pl/download_truecrypt

Pozdrawiam
Aspelta

Bimi

Z sieci tak łatwo nie zniknie, ale warto utrwalić sumę kontrolną pliku:

Kod:

Truecrypt 7.1a Downloads und Hashwerte:

Windows : http://video.golem.de/download/13134

sha1: 7689d038c76bd1df695d295c026961e50e4a62ea
sha256: e95eca399dfe95500c4de569efc4cc77b75e2b66a864d467df37733ec06a0ff2
md5: 7a23ac83a0856c352025a6f7c9cc1526

---

Mac OS X: http://video.golem.de/download/13135

sha1: 16e6d7675d63fba9bb75a9983397e3fb610459a1
sha256: 04db58b737c05bb6b0b83f1cb37a29edec844b59ff223b9e213ee1f4e287f586
md5: 89affdc42966ae5739f673ba5fb4b7c5

---

Linux 32: http://video.golem.de/download/13136

sha1: 0e77b220dbbc6f14101f3f913966f2c818b0f588
sha256: 9d292baf87df34598738faef7305cddaa15ea9f174c9923185653fb28f8cfef0
md5: 09355fb2e43cf51697a15421816899be

---

Linux 64: http://video.golem.de/download/13137

sha1: 086cf24fad36c2c99a6ac32774833c74091acc4d
sha256: 43f895cfcdbe230907c47b4cd465e5c967bbe741a9b68512c09f809d1a2da1e9
md5: bb355096348383987447151eecd6dc0e

Bimi

Did the FBI Lean On Microsoft for Access to Its Encryption Software?

The NSA is reportedly not the only government agency asking tech companies for help in cracking technology to access user data. Sources say the FBI has a history of requesting digital backdoors, which are generally understood as a hidden vulnerability in a program that would, in theory, let the agency peek into suspects' computers and communications.

In 2005, when Microsoft was about to launch BitLocker, its Windows software to encrypt and lock hard drives, the company approached the NSA, its British counterpart the GCHQ and the FBI, among other government and law-enforcement agencies. Microsoft's goal was twofold: get feedback from the agencies, and sell BitLocker to them.

But the FBI, concerned about its ability to fight crime — specifically, child pornography — apparently repeatedly asked Microsoft to put a backdoor in the software. A backdoor — or trapdoor — is a secret vulnerability that can be exploited to break or circumvent supposedly secure systems.

For its part, the FBI categorically denies asking for such access, telling Mashable that the Bureau doesn't ask for backdoors, and that it only serves companies lawful court orders when it needs to access users' data. (And, legally, it would still need a warrant even if a backdoor did exist.)

Peter Biddle, the head of the engineering team working on BitLocker at the time, revealed to Mashable the exchanges he had with various government agents.

"I was asked multiple times," Biddle told us, confirming that a government agency had inquired about backdoors, though he couldn't remember which one. "And at least once the question was more, 'If we were to officially ask you, what would you say?'"

dalej: http://mashable.com/2013/09/11/fbi-microsoft-bitlocker-backdoor/

Aspelta

Stosując logikę, i zasadę Ockhama

Cytat:

Pamiętajcie, że przepisy amerykańskie karzą za ujawnienie współpracy z ich służbami. Więc jeśli to tamte służby to autorzy po prostu nie mogą podać tej przyczyny z uwagi na odpowiedzialność karną. Co więc mogli zrobić? Wypuścić nową wersję, jak tego chcieli smutni panowie, a przy tym napisać, że ich zdaniem jest niebezpieczna (tego prawo nie zakazuje).

http://niebezpiecznik.pl/post/koniec-tru.....-migracji/

Autorzy projektu wykazali się inteligencją i dużą dozą dobrego humoru Smile

No przecież ta nowa wersja ma nieusuwalny błąd, i nie jest bezpieczna.
Pozdrawiam
Aspelta

wiraz

sourceforge zmieniło 2014-05-21 hasła swoim użytkownikom

sourceforge.net napisał:

To make sure we’re following current best practices for security, we’ve made some
changes to how we’re storing user passwords. As a result, the next time you go to login
to your SourceForge.net account, you will be prompted to change your password. Once
this is done, your password will be stored more securely. We recommend that you do this
at your earliest convenience by visiting the SourceForge website and logging in.

jedną z możliwości, poza Nat.Sec.Letter to włam, lub któraś z bibliotek z których korzysta TC jest skompromitowana (w taki sposób lub w taki sposób)

tutaj inne archiwa TC:
DrWhax
cyberside.net

Bimi

TrueCrypt must not die

TrueCrypt.ch is the gathering place for all up-to-date information.

If TrueCrypt.org really is dead, we will try to organize a future.

http://truecrypt.ch/

jarondo

Dzięki Bimi. Ciężko by mi było przekonwertować dysk 500 gb na inny program szyfrujący.
P.s.
Jebane rządy, dbają o wolność ludzi.
Gdyby polityków/administracji nie było, ile czasu w życiu miałby człowiek dla siebie samego więcej?

AQuatro

Jest taka stronka oldversion.com
Hasło tej strony brzmi: "Because newer is not always better!" Smile

Co w przypadku niektórych programów się często sprawdza.
Polecam każdemu:
http://www.oldversion.com/windows/truecrypt/
_________________
Zobacz też tutaj

PCXT · Dołączył: 25 Mar 2010 Posty: 10 Post zebrał **0.000** mBTC Podarowałeś BTC

Nie wiem który programista by takie coś załatwił. Szczególnie, że dziurawy BitLocker nie jest obecny we wszystkich wersjach Windowsa. Nikt logicznie myślący nie złamałby zasady "lepsze takie szyfrowanie niż żadne". Dali by ogólny opis, że znaleziono dziury, ale program by pozostawili, bo dzisiaj i tak każdy analizuje źródła.
Są więc co najmniej 4 możliwości.
1. TC jest rzeczywiście szczelny, co rozwścieczyło żydków.
2. TC jest nieszczelny z założenia - czyli błąd dotyczy jakiejś podstawowej zasady, czego nie można naprawić patchem. Mało prawdopodobne, bo TC nie stosuje niesprawdzonych wynalazków z dziedziny kryptologii.
Są jeszcze dwie inne możliwości. Snowden potwierdził to, co było znane od 15 lat, czyli że w samym sprzęcie są luki. Więc mamy takie możliwości:
3. Audyt wykrył te luki korzystając np. z analizy typu "black box".
4. Deweloperzy dostali od żydków propozycję nie do odrzucenia, gdyż audyt był BLISKI dekonspiracji tych luk. Wątpliwe, bo dzisiaj gdyby odstrzelić co 10. goja w majestacie "prawa", nikt by nic nie powiedział.

I nie sugerować się tym, że ktoś nie potrafił kiedyś rozszyfrować wolumenu TC. Jedni potrafią, inni nie.

Bimi

PCXT napisał:

I nie sugerować się tym, że ktoś nie potrafił kiedyś rozszyfrować wolumenu TC. Jedni potrafią, inni nie.

Nono. Tak samo jak jedni potrafią chodzić po wodzie, a inni nie... Smile

Gdyby tylko napisali, że TrueCrypt zawiera luki więc odradzają go używać - to jeszcze bym zrozumiał.
Z tym że takie informacje zawsze się podpisuje imieniem i nazwiskiem, aby je uwiarygodnić, gdy pod tymi informacjami nikt się nie podpisał.

Ponadto, ktokolwiek się pod tym nie podpisał, stwierdził że TrueCrypt może zawierać poważne luki więc należy się czym prędzej przesiąść na rozwiązanie Microsoftu - to dopiero obłęd; bo co, rozwiązanie Microsoftu na pewno nie zawiera luk ni backdoorów? Hehe - w coś takiego to akurat nawet szczekan nie uwierzy Smile

W kwestii audytu który był ostatnio przeprowadzany, zresztą za forsę zdobytą poprzez publiczną zbiórkę, goście którzy go przeprowadzali mówią że nie znaleźli w sofcie żadnych luk ni backdoorów i są tak samo zdziwieni tym co się stało na stronie trucrypt.org jak i wszyscy pozostali.

Dla mnie coraz bardziej potwierdza to tylko, że TrueCrypt został oficjalnie uznany za soft nie do rozjebania - i właśnie dlatego ktoś kazał go zamknąć.
Kto to był? Tu możemy tylko spekulować, ale myślę, że na pewno nie był to Jezus.

Gdyby faktycznie chodziło o dziury bezpieczeństwa, to ludzie którzy się zajmowali rozwojem tego softu nie nabrali by wody w usta. Każdy autor odpowiada osobiście za soft który stworzył - a autorzy tego softu nagle nabrali wody w usta? I co, zamiast załatać dziury które rzekomo znaleźli, wypuścili nowa wersję która pozwala już tylko rozkodować dysk? Kurwa, toż to przecież fraszka dekady Laughing

Jedyne wyjaśnienie tego fenomenu jest takie, że ktoś im kazał odjebać ten numer - przekupił, albo zastraszył.
Z tym że nic to nie dało - bo ten numer jedynie spowodował, że ludzie nabrali większego zaufania do TrueCrypt, a mniejszego do BitLocker Smile

marcinm

@Bimi, ciekawa analiza. Po przeczytaniu paru artykułów doszedłem do podobnych wniosków, że ktoś musiał uznać, że algorytm jest nie do rozjebania w rozsądnym czasie i projekt trzeba zamknąć.

Nie mniej jednak, pojawiła się nowa grupa developerów, którzy planują kontynować projekt pod szwajcarską domeną.

http://truecrypt.ch/

Cytat:

TrueCrypt must not die

TrueCrypt.ch is the gathering place for all up-to-date information.

If TrueCrypt.org really is dead, we will try to organize a future.

PCXT · Dołączył: 25 Mar 2010 Posty: 10 Post zebrał **0.000** mBTC Podarowałeś BTC

Nie pisałem, że koniecznie chodzi tylko o dziury w TC.
Dziura w założeniu ogólnym wygląda ciekawiej i trudniej ją usunąć.
A dziura polegająca na aktywowaniu trybu szpiegowskiego wywołałaby dowolną nieprzewidzianą konsternację u deweloperów wywołaną kontaktem wywiadu.
Technicznie wyobrażam to sobie jako np. jakąś macierz stosowaną w kryptografii, która umieszczona odpowiednio w pamięci uruchamia zbackdoorowany firmware (nieznanego firmware mamy dużo w większości chipów VLSI). Ponieważ komputery są sprzętowo zamknięte (nie możesz sprawdzić co naprawdę dzieje się np. w chipie karcie sieciowej, bo takiej dokumentacji nikt nie wypuszcza, a czasy, kiedy w notach katalogowych były rysunki struktur i schematy odeszły do przeszłości) trzeba taką możliwość dopuścić. TC nie musiał być zabugowany. Wystarczyło, że intencjonalnie zabugowany był komputer.
I teraz wyobraźmy sobie taką sytuację. Robimy w ramach audytu analizę "black-box". Wychodzi, że pecet po dekryptażu rzuca przez kartę sieciową jakimiś pakietami, na oscyloskopie to widać, druga karta sieciowa je ignoruje. Analizujemy pakiety, zaszyfrowane, ale ilość wprost proporcjonalna do ilości odszyfrowywanych danych plus narzut kompresji. Dekonspiracja praktycznie wykonana. Nie TC, ale peceta. Wywiady rzucają się jak w ukropie, by sprawie ukręcić łeb, bo to już nie są niezidentyfikowane wycieki Snowdena, tylko jawna obserwacja zachowania sprzętu.

Bimi

piałeś o "rozszyfrowaniu wolumenu" - tak, czy nie?
wiesz co to jest wolumen?
dla mnie wolumen to z założenia coś co jest samą pamięcią stałą - zaszyfrowanym dyskiem albo plikiem.
wolumen nie może niczego uruchomić. aby coś "uruchomić", trzeba mieć najpierw komputer.
nie uruchomisz "trybu szpiegowskiego" na samych danych, bo dysk ani plik nie jest komputerem - czaisz?

natomiast mając działający komputer, nad którym atakujący ma możliwość przejęcia kontroli, oczywistym jest że potrafi odczytać dane z zaszyfrowanego dysku, który akurat jest rozszyfrowany - nie trzeba do tego geniusza, wystarczy chłopski rozum i żaden konkretny soft kodujący, z dziurami czy bez, nic mu tu nie pomoże.

siłą rzeczy szyfrowanie danych ma sens tylko wtedy, gdy atakujący nie ma w żadnym momencie dostępu do ich rozkodowanej wersji - czyli np. wtedy gdy rekwiruje ci zakodowany dysk.
bo akurat każdy głupi wie, że jak mu się ktoś włamie przez neta na kompa to żaden zaszyfrowany dysk nie przeszkodzi mu zajebać twoich danych, zwłaszcza gdy te akurat nie będą zakodowane.
chodzi o przypadki gdy ktoś np. zabiera ci dysk i próbuje odczytać z niego dane - jak sobie niby wyobrażasz, że ci coś wtedy na nim "uruchomi"?

jakie macierze? jaki narzut kompresji? jakie pakiety zaszyfrowane rzucane przez karę sieciową? co ty kurwa bredzisz?

wiraz

#_digit_ napisał:

#truecrypt hidden msg: Use 1st letters of warning = "uti nsa im cu si", then google translate latin->english ;D

uti nsa im cu si >>> jeśli chcesz korzystać z NSA
myślę, że to słuszny trop ;]

Bimi

TRUECRYPT CRYPTANALYSIS TO INCLUDE CROWDSOURCING ASPECT

TrueCrypt may yet get forked, but it won’t come at the hands of the Open Crypto Audit Project (OCAP), which has a working plan to move forward with a cryptanalysis of the open source encryption software.

OCAP is the brand name for the grassroots movement that arose out of the ashes of the Snowden revelations and concerns about the integrity of TrueCrypt, which has been downloaded close to 30 million times. The first phase of the audit, conducted by iSec Partners examining the TrueCrypt bootloader and kernel driver, found no backdoors; phase two, to begin shortly, will examine the cryptography holding up TrueCrypt.

“I want to be really clear about this: We are considering several scenarios, including potentially supporting a fork, but we’re certainly not doing it before the audit is done,” said Kenneth White, who along with Johns Hopkins professor Matthew Green kickstarted the TrueCrypt audit and OCAP. “We’re not set up to do software development. It’s an important point that we don’t want people to feel like they contributed to an audit and we’re funneling money to a development project.”

OCAP has reportedly raised upwards of $70,000, almost tripling the group’s initial funding goals; and already they’ve pledged to coordinate an audit of OpenSSL, which will be funded by the Linux Foundation under its Core Infrastructure Initiative. A critical vulnerability in OpenSSL was at the center of the Heartbleed storm.

dalej: http://threatpost.com/truecrypt-cryptana.....ect/106401

Kreatywny

Ciekawe czy to nie ma czasem coś wspólnego z tym:

Cytat:

More than 15,000 people in the UK have been infected with dangerous malware and have just two weeks to protect themselves before it attempts to empty their bank accounts and costs the UK "millions", warns the National Crime Agency.
"This warning is not intended to cause you panic but we cannot over-stress the importance of taking these steps immediately," said government-backed website Get Safe Online. We look at what you need to do to stay safe.

The software, called Gameover Zeus, has spread worldwide but has been temporarily disabled by an unprecedented international effort from law enforcement agencies. Potential victims can protect themselves, but have only a short time to do so before the hackers can rebuild their network.

ISPs will now be sending emails to thousands of Britons who have been infected with the malware, warning them and telling them what steps to take.

http://www.telegraph.co.uk/technology/in.....-Zeus.html

Bo strasznie śmierdzi mi to że mamy tylko dwa tygodnie żeby się zabezpieczyć, i że ISPs będą wysyłali maile co należy robić. Chociaż nie ma się co dziwić jeśli wirus był pisany na zlecenie agencji i jest pod ich kontrolą to trudno się dziwić że podają konkretne daty.

Aspelta

Jak się można było spodziewać Truecrypt 7.1a przeszedł pomyślnie audyt

http://www.purepc.pl/oprogramowanie/true.....zakonczony

Cytat:

[...]W między czasie trwał audyt starszej wersji oznaczonej numerem 7.1a, który ostatecznie utwierdza nas w przekonaniu, że oprogramowanie jest dosyć bezpieczne i nie zawiera żadnych tylnych furtek. Warto zaznaczyć, że audyt był podzielony na dwie części i pierwsza z nich również nie wykazała rażących luk w zabezpieczeniach. Aktualnie TrueCryprt 7.1a posiada dwa błędy – pierwszy z nich może doprowadzić do wygenerowania słabo losowego klucza, kiedy program nie ma dostępu do funkcji CryptAcquireContext znajdującej się w systemie Windows. W takiej sytuacji aplikacja powinna poinformować użytkownika o błędzie, jednak tego nie robi. Drugi problem związany jest atakiem typu cache-timing, lecz w związku z tym, iż te luki są ciężkie do wykorzystania program można uznać za dość bezpieczny i można przy jego pomocy (oczywiście mowa tutaj o wersji 7.1a) szyfrować ważne dane.[...]

Pozdrawiam
Aspelta

ZX7R · Dołączył: 23 Mar 2015 Posty: 22 Post zebrał **0.000** mBTC Podarowałeś BTC

Cytat:

The National Security Agency is able to infect hard drives with surveillance software to spy on computers, Reuters said on Tuesday, citing information from cyber researchers and former NSA operatives.

In a new report, Kaspersky revealed the existence of a group dubbed The Equation Group capable of directly accessing the firmware of hard drives from Western Digital, Seagate, Toshiba, IBM, Micron, Samsung and other drive makers. As such, the group has been able to implant spyware on hard drives to conduct surveillance on computers around the world.

In a blog posted on Monday, Kaspersky said this threat has been around for almost 20 years and "surpasses anything known in terms of complexity and sophistication of techniques." The security researcher called the group "unique almost in every aspect of their activities: they use tools that are very complicated and expensive to develop, in order to infect victims, retrieve data and hide activity in an outstandingly professional way, and utilize classic spying techniques to deliver malicious payloads to the victims."

Surveillance software implanted on hard drives is especially dangerous as it becomes active each time the PC boots up and thus can infect the computer over and over again without the user's knowledge. Though this type of spyware could have surfaced on a "majority of the world's computers," Kaspersky cited thousands or possibly tens of thousands of infections across 30 different countries.

Infected parties and industries include government and diplomatic institutions, as well as those involved in telecommunications, aerospace, energy, nuclear research, oil and gas, military and nanotechnology. Also, included are Islamic activists and scholars, mass media, the transportation sector, financial institutions and companies developing encryption technologies.

And who's responsible for this sophisticated spyware?

Kaspersky didn't name names but did say that the group has ties to Stuxnet, a virus used to infect Iran's uranium enrichment facility. The NSA has been accused of planting Stuxnet, leading Reuters to finger the agency as the source behind the hard drive spyware, especially based on outside information.

Kaspersky's analysis was right, a former NSA employee told Reuters, adding that the agency valued this type of spyware as highly as Stuxnet. Another "former intelligence operative" said that the NSA developed this method of embedding spyware in hard drives but said he didn't know which surveillance efforts used it.

Lead Kaspersky researcher Costin Raiu told Reuters that the creators of the spyware must have had access to the source code for the infected hard drives. Such code can pinpoint vulnerabilities that can be exploited by malicious-software writers.

"There is zero chance that someone could rewrite the [hard drive] operating system using public information," Raiu said.

A spokesperson for Western Digital told Reuters that the company had not "provided its source code to government agencies." A Seagate spokesman said the company takes secure measures to guard against tampering or reverse engineering of its hard drive firmware. And a Micron spokesman said that "we are not aware of any instances of foreign code."

However, the NSA has ways of accessing source code from technology firms, Reuters said, including simply asking for it directly and posing as a software developer.

"They don't admit it, but they do say, 'We're going to do an evaluation, we need the source code,'" Vincent Liu, a partner at security consulting firm Bishop Fox and former NSA analyst said. "It's usually the NSA doing the evaluation, and it's a pretty small leap to say they're going to keep that source code."

Responding to a request for comment, the NSA sent CNET the following statement:

We are aware of the recently released report. We are not going to comment publicly on any allegations that the report raises, or discuss any details. On January 17, 2014, the President gave a detailed address about our signals intelligence activities, and he also issued Presidential Policy Directive 28 (PPD-2 Cool

. As we have affirmed publicly many times, we continue to abide by the commitments made in the President's speech and PPD-28. The U.S. Government calls on our intelligence agencies to protect the United States, its citizens, and its allies from a wide array of serious threats - including terrorist plots from al-Qaeda, ISIL, and others; the proliferation of weapons of mass destruction; foreign aggression against ourselves and our allies; and international criminal organizations.

http://www.cnet.com/news/nsa-planted-sur.....es-report/

Jak było to proszę o wybaczenie Smile

Wiem, że niektórzy z Was nie mieszkają PL, ale czy ktoś z Was wie jaka jest skuteczność polskich "organów" w zabawie w odszyfrowywanie danych i czy dysponują takimi "zabawkami" typu NSA, żeby się w to zabawiać?

Bimi

Bimi napisał:

Oficjalna strona TrueCrypt każe ludziom rozszyfrować swoje dane i przestać czym prędzej używać ich programu.
Powód: bo może nie być bezpieczny... z tym że co konkretnie jest w nim takiego niebezpiecznego, tego akurat nie wie nikt.

A do tego jeszcze mówią wprost, że zamiast ich darmowego open-source'owego softu należy od teraz używać zamkniętego microsoftowego BitLocker'a.

Ale jaja.
Właśnie się okazało, że w Windows 10 można rozszyfrować dysk zakodowany BitLockerem nie podając żadnego hasła.
Trzeba tylko poczekać na aktualizację typu Feature Update i następujący po niej wymuszony restart systemu.
Wtedy wcisnąć Shift+F10 - i mamy dostęp do niezakodowanego dysku, z poziomu Administratora.

Zajebiste szyfrowanie w wykonaniu Microsoftu Smile

Shift-F10 podczas wymuszonego restartu Windows 10 i nie ma Bitlockera (jest za to admin)

Rozmaite serwisy rozpisują się o nowej podatności w Windows 10. W trakcie aktualizacji typu Feature Update, następuje wymuszony restart systemu i instalowane są aktualizacje. Nic w tym dziwnego, prawda…?

Dziwne, ukrywa się nieco głębiej – po restarcie systemu, a w trakcie instalacji wystarczy nacisnąć shift-F10 i Windows otworzy konsolę cmd z dostępnym odszyfrowanym naszym dyskiem (!). Co więcej, po nadpisaniu pliku sethc.exe za pomocą cmd.exe i można na ekranie logowania (naciskając pięć razy shift dostać konsolę cmd – uprawnienia admina):

Laiho says that by holding SHIFT + F10 while a Windows 10 computer is installing a new OS build, an attacker can open a command-line interface with SYSTEM privileges.

dalej: https://sekurak.pl/shift-f10-podczas-wym.....min/[/img]

de93ial

Win10 to jeden wielki maleware.

Wszystkie ifno śle do msu.
_________________
http://www.triviumeducation.com/
Punkt startowy dla wszystkich.
http://trivium.wybudzeni.com/trivium/
Wersja PL