Visualizza messaggio singolo
Vecchio 05-05-2015, 16.43.59   #1
retalv
Forum supporter
WT Expert
 
L'avatar di retalv
 
Registrato: 13-03-2005
Loc.: Ultima stella a destra
Messaggi: 2.809
retalv è un gioiello raroretalv è un gioiello raroretalv è un gioiello raroretalv è un gioiello raro
VeraCrypt 1.13: aggiornamento...

Come sà chiunque si sia documentato sull'argomento anche solo a livello informativo, il noto software di crittografazione TrueCrypt è stato ufficialmente abbandonato dai suoi creatori da circa un anno (in pratica sono 3 ma facciamo finta che...): forse è meglio fare un poco di cronistoria e un punto della situazione.

TrueCrypt è stato, a mio modesto parere, il software che ha decretato il vero punto di rottura con il concetto obsoleto di crittografia in ambito personal computer. Quando venne rilasciato ormai tutti i produttori di sistemi operativi (Windows e Linux con figli, figliastri e cugini) avevano implementato sistemi di codifica proprietari o aperti ma messuno, volutamente o involontariamente, aveva considerato la crittografazione come una reale esigenza dell'utenza smaliziata(spiegherò cosa intendo per reale), relegando la funzione a mero accessorio folcloristico. Le cose stanno lentamente cambiando ma l'utente medio non ha ancora raggiunto la consapevolezza della sua importanza e nei sistemi operativi non sono stati implementati strumenti sufficientemente semplici per la gestione della crittografia da parte dell'utenza standard.

Perchè TrueCrypt è stato abbandonato?
Esiste solo una "pseudo" risposta a questa domanda: gli autori non erano più intessati al suo sviluppo.
Molte sono state le illazioni sull'argomento: spaziavano da "...l'NSA li ha minacciati di chiudere altrimenti...", "...il software ha backdoors..." e chi più ne ha più ne metta...
Probabilmente la risposta più semplice, data da chi ha seguito l'evoluzione del software, è quella vera: gli autori speravano nelle donazioni libere e quando hanno visto il coagularsi di opinioni favorevoli alle richiesta di un audit e che per questo le donazioni superavano quelle per il developement del software, hanno deciso di interromperne l'evoluzione per un anno ("mungendo" quel poco che rimaneva) prima di abbandonare definivamente il progetto.

Cosa è emerso dall'analisi in due fasi dei sorgenti di TrueCrypt?
A mio parere molto meno di quanto ci si aspettava. Alcune debolezze (principalmente nella gestione degli headers dei volumi crittografati) non rendono "de facto" il software insicuro per gli usi standard dell'utenza media e se utilizzato con accortezza, ignorando AES (tanto più AES-NI), potrebbe essere utilizzato ancora per diversi anni senza grosse paure ... (a meno non siate spie internazionali... )
Rimane comunque il fatto che siete soli: il software in quella veste non è ne verrà mai più supportato.

Quindi? Cosa rimane?
Ci sono diversi fork di TrueCrypt: alcuni sono ancora a livello embrionale (e forse rimarranno solo delle intenzioni senza seguito) e altri sono progetti tangibili e "testrabili".

Ad oggi i progetti (fork) sono quattro:
- VeraCrypt
- GostCrypt
- TCNext
- CipherShed

- CipherShed
Attualmente è in fase di rebranding della versione 7.1a di TrueCrypt: nessuna vesione ufficiale è stata rilasciata e consiferando la fiducia del Web su questo fork (almeno uno dei developers è o è stato consulente NSA e il procetto ha locazione USA) mai verrà rilasciata.

- TCNext
E' una delle versioni europee (made in Svizzera) dei fork elencati: anche questo progetto è in fase di rebranding (per altro forzato dalla vecchia licenza di TrueCrypt) e per ora ha solo dato la luce a una versione alpha senza particolari modifiche: siamo tutti in attesa di sviluppi o di fusione (sperata) con un altro fork... nota positiva è la dichiarazione di voler supportare (come per TrueCrypt) altri sistemi operativi quali Linux, OSX ecc.

- GostCrypt
Questo è un fork "anomalo" (made in Francia): a Gennaiol 2015 è stata rilasciata la versione 1.0 che altro non è che un TrueCrypt 7.1a a cui sono stati sostiuiti gli algoritmi di cifratura con un unico algorimo russo (il Gost 28147-89 appunto del '89, simmetrico e molto simile al DES) e gli algoritmi di "confusione" con i loro equivalenti russo dela serie GOST 34.11: tanto per dire, l'eseguibile di GostCrypt evidenzia tuttora la versione 7.1a di TrueCrypt. L'algoritmo è stato reso pubblico della Federazioni Russa ma ovviamente non è dato sapere il motivo per cui è stato abbandonato... ... ma se il DES è considerato ad oggi insicuro e 2+2=4... L'efficienza dell'algoritmo (MB processati al secondo) è molto bassa (50) se paragonata ai 3 algoritmi nidificati di TrueCrypt (150MB/Sec nella peggiore situazione).

- VeraCrypt
Ad oggi è l'unico fork (made in Francia) realmente attivo e che ha una propria e reale evoluzione: gli algoritmi utilizzati sono quelli del TrueCrypt 7.1a nidificati e non, nel modo che TrueCrypt ci ha abituato ad usare. Dalla versione 1.0f-2 (quella attualmente scaricabile) sono state teoricamente seguite le raccomandazioni di entrambi i livelli dell'audit di TrueCrypt.
Come detto, VeraCrypt non si ferma a un banare rimaneggiamento dei sorgenti ma a un loro irrobustimento (come il controllo di coerenza dell'header di volume), evolvendo sia nell'uso degli algorimi di hash (confusione) sia nel numero di interazioni nel calcolo delle password interne (si passa dalle 1000 di TrueCrypt alle 250.000 o 500.000 a seconda delle situazioni) e in una evoluzione (seppur parziale) della crittografazione del sistema operativo in versione multi-boot (è per ora supportato solo il multi-boot con un solo sistema operativo sul disco di sistema attivo, per approfondimenti vi rimando alla documentazione ufficiale...).

Purtroppo non tutto quello che luccica è oro: diversamente dall'intento di TCNext non pare sia nemmeno ipotizzata la gestione di sistemi operativi diversi da Windows e lo scotto di un'enorme maggior sicurezza nel calcolo delle password mutualemte indipendenti rende estremamente più lungo il tempo di primo accesso a un volume crittografato.
Tanto per fare un esempio: sul mio sistema con CPU Intel I5-2500K 3.30Ghz (non l'ultimo grido della savana ma nemmeno vecchissimo) e 13 partizioni disco tra logiche e primarie, se con cahe delle password pulita uso la funzione "Montaggio Automatico" per accedere a due partizioni crittografate con medesima password, attendo circa 5 minuti prima di aver accesso. Se accedo alle medesime partizioni con la cache delle password "sporcata da altre password il tempo di attesa dilata a 15 minuti e oltre. Con TrueCrypt avrei atteso al massimo 2 secondi in qualsiasi situazione.


"...reale esigenza dell'utenza smaliziata..."
Diverse volte, anche su questo forum, mi sono sentito interloquire...

"...ma cosa te ne farai poi della crittografazione tu che usi il computer per svago e a casa... cosa avrai mai da nascondere?!"

Quando non era un amico omettevo di rispondere, quando lo era chiedevo ...

"...se con il dito ti mostro la luna, tu guardi il dito o la luna?"

Non bisogna essere spie o terroristi o essere Edward Snowden per aver bisogno della crittografia: basta, per farla semplice e senza entrare troppo nel personale pur rimanendo nel legale, avere l'home banking e utilizzare i propri terminali per connettersi. Sono talmente tante le informazioni che rimangono sui nostri dischi che è sufficiente il primo "topo" di appartamento e il non sapere chi acquisterà la sua merce rubata per mettere a rischio i nostri conti correnti. Con queste considerazioni c'è qualcuno che pensa che perdere qualche secondo per digitare una password sia deprecabile o ancora peggio "stupido"? C'è ancora qualcuno che continua a guardare il dito?

Ai posteri...
retalv non è collegato   Rispondi citando