TrueCryptは本当に安全ですか？

私は今、長い間TrueCryptを使用しています。しかし、誰かが私にライセンスの問題を説明するリンクを教えてくれました。

IANALなので、私にはあまり意味がありませんでした。ただし、暗号化ソフトウェアをオープンソースにしたいのです。ハッキングできるからではなく、信用できるからです。

私はそれに気づいたいくつかの問題：

• ソースコード用のVCSはありません。
• 変更ログはありません。
• フォーラムは悪い場所です。あなたが本物の質問をしたとしても、彼らはあなたを禁止します。
• TrueCryptの本当の所有者は誰ですか？
• MD5チェックサムに手を加えたという報告がいくつかありました。

正直なところ、TrueCryptを使用した唯一の理由は、それがオープンソースであったためです。しかし、いくつかのことは正しくありません。

TrueCryptのセキュリティを検証した人はいますか？本当に心配する必要がありますか？はい、私は妄想です。暗号化ソフトウェアを使用する場合、私はそれを一生信頼しています。

私の懸念がすべて本物である場合、TrueCryptに代わる他のオープンソースの代替手段はありますか？

ポイントごとに記事を見ていきます。

誰がTrueCryptを書いたのか誰も知りません。誰がTCを管理しているのか誰も知りません。

その直後、チェコ共和国に住んでいるテサリックが商標を保持しているという引用があります。商標を所有している人なら誰でも製品を維持していると考えるのはかなり安全です。

TCフォーラムのモデレーターは、質問をするユーザーを禁止します。

これの証拠はありますか、それとも単なる逸話ですか？そして証明とは、一人称証明、スクリーンショットなどを意味します。

TCは、大衆向け暗号化（E4M）に基づいていると主張しています。また、オープンソースであると主張していますが、公開されているCVS / SVNリポジトリを維持していません

ソース管理は確かにグループプログラミングプロジェクトの重要な部分ですが、そのようなプロジェクトがないことは確かにそのようなプロジェクトの信頼性を低下させません。

変更ログを発行しないでください。

はい、彼らがやります。http://www.truecrypt.org/docs/?s=version-history。すべてのOSSが非常に明確な変更ログを公開するわけではありません。それは、時間がかかりすぎることがあるためです。

彼らは、変更ログまたは古いソースコードを要求するフォーラムからの人々を禁止します。

これはばかげた質問なので、変更ログがあり、古いバージョンがすでに利用可能であることを考えると。http://www.truecrypt.org/downloads2

また、説明なしでバイナリをサイレントに変更します（md5ハッシュが変更されます）。

これはどのバージョンですか？他の証拠はありますか？ダウンロード可能な署名済みの古いバージョンですか？

商標はチェコ共和国の男性が所有しています（（REGISTRANT）Tesarik、David INDIVIDUAL CZECH REPUBLIC Taussigova 1170/5 Praha CZECH REPUBLIC 18200.）

だから何？チェコ共和国の誰かが主要な暗号化技術の商標を所有しています。なぜそれが重要なのですか？

ドメインは、プロキシによってプライベートに登録されます。一部の人々は、バックドアがあると主張しています。

誰？どこ？何？

知るか？彼らはTCボリュームを見つけることができると言っています：http : //16systems.com/TCHunt/index.html

スクリーンショットのTCボリュームはすべてEND WITH .tcです。

連絡先ページでこの画像を見た人はいますか？

これらの記事を読んで、FBIはtruecryptで保護された5台のハードドライブの復号化に失敗しました

http://www.net-security.org/secworld.php?id=9506

http://techie-buzz.com/foss/fbi-fail-decrypt-hard-drive-truecrypt.html

TrueCryptは、クラックできない他の暗号化の使用を減らすために、バックドアのある暗号化を促進する目的で、NSA、CIA、またはそれらの大手連邦機関のいずれかによって提供される可能性があると考えています。それが彼らの秘密の理由であり、それはまた、それが商用製品でもオープンソース開発者の広範な参加を持っていなくても、優れたドキュメントを備えた非常に洗練された製品である理由です。

政府の目標は、キーを回復できる暗号化の普及を促進することであると説明している次のドキュメントを参照してください。http： //www.justice.gov/criminal/cybercrime/cryptfaq.htm

実際に、管理者は、さまざまな技術的アプローチを通じて平文へのタイムリーなアクセスを可能にする平文復元システムの開発を含む、暗号化されたデータの平文の復元を可能にする暗号化製品およびサービスの設計、製造、および使用を奨励していますデータの所有者、または合法的な権限の下で行動する法執行機関による。このようなシステムの広範な使用のみが、データの保護を強化し、公共の安全を保護します。

....

部門の目標-および管理者のポリシー-は、法的に許可された検索または監視。

...

この点で、回復システムを提供する信頼性の高い暗号化が利用可能になることで、他の種類の暗号化の需要が減り、犯罪者が回復可能な暗号化を使用する可能性が高まることを願っています。

TrueCryptプロジェクトは、部外者（匿名の開発者、変更ログなし）に受け入れられない/敵対的な方法で実行される可能性がありますが、それがどのように安全であるかとは関係ありません。

次のように見てください。開発者が本当にバックドアをTrueCryptに入れることで人々を台無しにしたいのであれば、彼らがいいのは理にかなっているので、人々はそれほど疑いません。

言い換えれば、ソフトウェアが信頼できるかどうかは、開発者が社交的な人々であるかどうかとはまったく無関係です。ソースコードの可用性がセキュリティを確保するには不十分であると思われる場合は、コード監査を整理する必要があります。確かにTrueCryptプロジェクトの外部にはソースコードを見る人がいるので、意図的なバックドアを隠すのは難しいかもしれませんが、隠れたバグがあるかもしれません。DebianのOpenSSLパッケージのこのバグは、長い間気付かれていませんでした。

誰もが欠けている点は、誰かがTruecryptを使用することを検討している場合、その人が安全であることを100％確信しなければならない、彼らの非常に命が危険にさらされない場合、それはFlash PlayerまたはiPhone用のFartアプリではない、それはアプリケーションです失敗した場合、発見された情報に関して誰かが殺されている可能性があります。

Truecryptの整合性が疑わしい場合、なぜこのアプリケーションを使用しますか？

ちなみに、Truecryptなどについての愚かな質問ではありません。

私は数年前からtruecryptを使用してきましたが、暗号化スキームを見ると、指摘した他の小さな問題はそのセキュリティに何も影響しません。15年のコンピューターエンジニア/暗号解読者でさえも感銘を受けました。

リポジトリがないからといって、オープンソースではないという意味ではありません。ダウンロードセクションに移動して、すべてのソースコードを入手することができます。

フォーラムは唯一の弱点です。私は禁止を見たことがありませんが、炎戦争だけです。禁止の証拠はありますか？

これまでの回答では、TrueCryptの暗号化にどれだけの信頼を置くことができるかについて説明してきました。ドキュメントによると、TrueCryptは適切な暗号化アルゴリズムを使用しています。ただし、暗号アルゴリズムはセキュリティ集約型プログラムの最も難しい部分ではないため、これは話の一部にすぎません。TrueCryptのソースコードはレビュー用に利用できますが、これは有利な点です。

機密データを保護するためにプログラムを評価する際に考慮すべき他のポイントがあります。

• プログラムはデータの整合性も提供しますか？TrueCryptはサポートしていません。データの整合性とは、コンピューターに一時的にアクセスできる人が、変更されたデータでデータを置き換えることができないことを意味します。オペレーティングシステムを保護することは特に重要です。誰かがあなたのデータを追いかけている場合、キーロガーをインストールして、次に入力するときにパスフェーズをキャプチャするか、データに間接的にアクセスする他のマルウェアがあります。そのため、このような改ざんを検出する方法がない場合は、コンピューターを放置しないでください。

• プログラムはどれくらい広く利用できますか？TrueCryptはその点でかなり高い評価を得ています。すべての主要なデスクトップオペレーティングシステム（Windows、Mac、Linux）で利用可能です。無料なので、ライセンスコストを心配する必要はありません。現在の開発チームが突然姿を消した場合、他の人が開発を引き受けることができるように、オープンソースです。広く使用されているため、現在のチームが姿を消した場合、誰かがステップアップする可能性があります。ただし、ソース管理システムへのパブリックアクセス（変更メッセージを含む個々のパッチ）の欠如は、反対のポイントです。

コールドブート攻撃は別として、Truecryptは100％安全ではありません。ブートローダーにフォレンジックトレースがあり、敵（コンピューターフォレンジックを知っている場合）にパスワードの入力を強制します。