Ctrl + Alt + Del, oder Taskmanager, unter VISTA sperren

[Assertor]

Zitat:

Zitat von Macci

TrueCrypt verschlüsselt die Daten mit AES-256, das von NASA als sicher genug für Daten der Sicherheitsstufe "Top Secret" eingestuft wurde.

lol, Macci :thumb: Dann muß das ja sicher sein. Oder gleich was vom "Kryptochef" nehmen :gruebel:

Wahrscheinlich meinst Du generelles AES und die NSA und nicht die NASA (andernfalls bitte Quelle). Aber dies betrifft ja nur die theoretische Umsetzung und erfordert - wie so häufig - eine entsprechendes Review, Audit und Zertifizierung der jeweiligen Technologie(umsetzung). Ich behaupte mal TrueCrypt hat keinerlei Zertifizierung durch irgendeine Behörde-mit-3-Buchstabenabkürzung auf der Welt.

Ich würde eher sagen, dank der guten Umsetzung und Transparenz (OpenSource) ist es angemessen für die zu schützenden Informationen gegen Diebstahl und Fremdmanipulation.

Alles andere ist doch arg theoretisch übertrieben. Weiß jemand, welche Seitenattacken gegen spezielle TrueCrypt-Funktionen mit unbegrenzten Mitteln/Resourcen möglich wären? In Anlehnung an das aktuelle Debian-OpenSSL-Debakel zum Thema Hash-Berechnung/Randoms ;)

Gruß Assertor

P.S.: Hagen ist a) nicht da oder b) liegt noch unter dem Tisch :)

[Luckie]

Falscher Thread?

[Assertor]

Zitat:

Zitat von Luckie

Falscher Thread?

Mahlzeit, Luckie. Nein, Nein, schon recht hier ;) Geht um Beitrag #15 von Macci oben.

Gruß Assertor

P.S:: Jetzt mußt ich selber nochmal nachlesen, da hier ja auch gerade ein anderer TrueCrypt Thread rumschwirrt. Aber dieser ist richtig.

[Macci]

Hi Assertor,

ja, sorry, klar meine ich die NSA.
Hier die Quelle:

Zitat:

In June 2003, after the NSA (US National Security Agency) conducted a review and analysis of AES, the U.S. CNSS (Committee on National Security Systems) announced in [1] that the design and strength of AES-256 (and AES-192) are sufficient to protect classified information up to the Top Secret level. This is applicable to all U.S. Government Departments or Agencies that are considering the acquisition or use of products incorporating the Advanced Encryption Standard (AES) to satisfy Information Assurance requirements associated with the protection of national security systems and/or national security information [1].



[1] U.S. Committee on National Security Systems (CNSS), National Policy on the Use of the Advanced Encryption Standard (AES) to Protect National Security Systems and National Security Information, CNSS Policy No. 15, Fact Sheet No. 1, June 2003, available at http://www.cnss.gov/Assets/pdf/cnssp_15_fs.pdf and also at http://csrc.nist.gov/cryptval/CNSS15FS.pdf.

http://www.truecrypt.org/docs/

Ich kann mir übrigens nicht vorstellen, wie man TrueCrypt so einfach - oder überhaupt - knacken könnte. Und was meinst du mit "generelles AES" ? TrueCrypt benutzt AES-256, das ist ein ganz normales, von mir aus auch generelles AES. Und dieses wurde von der NSA für sicher erklärt. TrueCrypt benutzt keine abgespeckte Variante von AES, und es wird weder das Passwort, noch ein Hash des Passworts, auf der Festplatte gespeichert.


@Luckie:

Joa, das weiss ich natürlich, ist aber kein Problem, weil ich diese Admin-Rechte ja habe. Ok, es nervt, jedesmal auf "Zulassen" klicken zu müssen... vielleicht werde ich einen Dienst installieren, der dann mit meinem Programm, welches dann nur mit normalen User-Rechten gestartert wird, kommuniziert. Nur dieser müsste dann ständig im Hintergrund aktiv sein, was mir auch nicht so recht gefallen mag. Ansonsten habe ich das Problem dank stOrms Hilfe ganz gut in den Griff bekommen :-D

Viele Grüsse,
Macci

[Assertor]

Das ist jetzt zieeeemlich Offtopic, aber trotzdem meine Antwort dazu.

Zitat:

Zitat von Macci

ja, sorry, klar meine ich die NSA.
Hier die Quelle:

Ok, für die NSA kenn ich die Dokumente. Ich habe mich unklar ausgedrückt - Internet/Forum-typisch halt. Ich meinte, falls Du eine Quelle hast, die sich auf die NASA bezieht ;)

Ich freue mich, daß ich nicht der einzige bin, der sich für die Materie interessiert und damit auseinandersetzt. Ich stimme Dir auch zu, daß ein einfaches Knacken bei der aktuellen Version wohl wahrscheinlich nicht gegeben ist - jedoch habe ich den Code mangels Zeit auch nicht selbst verifiziert bzw. glaube auch nicht, daß ich das notwendige Fachwissen in diesem Bereich habe.

Konrekt sehe ich keine Gefahr und nutze es selbst - für meine Daten reicht es, es geht nur um den mobilen Schutz von Geschäftsdaten.

Aber es gibt philosophisch/theoretisch - und manchmal auch praktisch - ja immer mehrere Angriffspunkte:

• Code-Schwachstellen oder Fehler, die z.B. wie beim bereits erwähnten OpenSSL Debakel. Hier waren ja/sind ja auch die erfolgreichen Angriffe gegen SSH/SSL/TLS beschrieben. So ist hier durch schwache Zufallszahlen ja ein Brute-Force praktisch durchführbar. 32.000 verschiedene Werte sind verhältnismäßig schnell geprüft. SSH/SSL/TLS mit 4096 Bit Schlüsseln gilt landläufig auch als sicher - nur hier nicht mehr - und demnach ein technologisch sicheres System kompromitiert.
• Generelles Bruteforce bzw. Dictionaryattacken gehen ebenso - was bringt TrueCrypt wenn das Passwort z.B. 6 Zeichen lang ist ;) Ich könnte mir z.B. vorstellen, daß man einen Wrapper schreibt, dank des Sourcecodes, der relativ schnell die möglichen Passwortvariationen durchprobiert und jeweils die Rückgabe auf den gefundenen - verschlüsselten TC Header - prüft. Truecrypt stellt ja daran fest, ob Dein Passwort richtig war. Dies kann doch durchaus auf leistungsstarken Systemen oder sogar verteilt berechnet werden - hierfür schlage ich mal das neue Tier-0 Grid des LHC vor *g*
• Mathematische Schwächen bei der Erzeugung der Zufallszahlen, den Hash-Funktionen oder der Verschlüsselungsalgorithmen. AES-256 sagt ja nichts über die beiden anderen Techniken aus. Nimmst Du AES-256 und als Hash MD5 wird es auch interessant ;)
• Stärke der Verschlüsselung in Verhältnis zur Rechenleistung (Mooresches Gesetz) und der Zeit, die für die Entschlüsselung verfügbar ist.

Gruß Assertor

P.S.: Interessant waren bei Heise auch vor ein paar Wochen die USB Sticks/Festplatten mit AES-256 "Hardwareverschlüsselung". Dies bezog sich nachweislich ja nur auf das Passwort, die Daten selbst waren in einer Hidden-Partition bzw. XORed ;) Trau-schau-wem...

[Macci]

Hi Assertor,

ich möchte jetzt auch nicht OffTopic hier besonders viel weiter diskutieren, aber was das Passwort betrifft hast du natürlich Recht. Ein 6-stelliges Passwort ist schnell geknackt. Mein Passwort hat aber über 20 Stellen, d.h. es gibt wenigstens 36(=A..Z,a..z,0..9)^20 = 13367494538843734067838845976576 Möglichkeiten, was wohl auch der schnellste Supercomputer nicht in absehbarer Zeit brute-forcen kann ;-) , und TrueCrypt speichert ja keinen HashCode des Passworts irgendwo ab.
Allerdings stimme ich natürlich zu, dass es in endlicher Zeit definitiv möglich ist, jedes Passwort durch Brute-Force zu knacken.

Viele Grüsse,
Macci