[es] - jel to TrueCrypt zavrsio karijeru ?

Ivan Dimkovic

Administrator
Član broj: 13
Poruke: 16687
*.cidr.odn.ne.jp.

+7173 Profil

Re: jel to TrueCrypt zavrsio karijeru ?

^{07.06.2014. u 06:44 - pre 120 meseci}

@EArthquake,

Tacno. U principu, najveca prednost TC-a u odnosu na druga resenja je bila portabilnost.

Sa druge strane, IMHO, glavna primena ovakvih paketa je whole-disc enkripcija laptopova koji su poslovnim korisnicima najveci rizik za gubitak podataka. Nemam statistike pri ruci, ali ono sto sam ja video po sastancima sa velikim USA / EU firmama je da se mahom koriste komercijalna resenja (Bitlocker, PGP, itd.) verovatno zbog podrske i integracije sa Active Directory-jem, TPM i sl...

Moja firma koristi TC, ali mi smo mala firma bez komplikovane IT infrastrukture i u principu je TC izabran zato sto je jednostavan za koriscenje, besplatan (ne zbog cene vec zbog nemanja potrebe da se trosi vreme na kupovinu i knjigovodstvo vezano za licence).

Za poslovne primene za ogromnu vecinu firmi neko pitanje da li NSA ili Mossad imaju metod za razbijanje nije relevantna stvar - sve sto se trazi je da eventualna kradja ili gubitak laptopa ne rezultuju sa curenjem intelektualne svojine ili privatnih podataka. Taj problem resavaju sva komercijalna resenja.

Dodatna komplikacija u poslednjih par godina je UEFI - na zalost TC ekipa nije bila motivisana da ubace podrsku za UEFI. Kombinacija Windows + UEFI je verovatno najzastupljenija danas u kupovini novih sistema, pa se moze ocekivati da BitLocker dobije jos vise korisnika.

--

Nisam se udubljivao u problematiku, ali UEFI verovatno zahteva vise truda od BIOS arhitekture kada je whole-disc enkripcija u pitanju. Whole-disc enkripcija legacy sistema radi na jednostavan nacin:

- Pre OS boot-a "hook-uju" BIOS int 13h x86 pozive, koji su zaduzeni za I/O sa diskom na nivou sektora. Int 13h hook omogucava da OS bootloader ucita OS kernel i rane drajvere sa kriptovane particije. TrueCrypt ubacuje svoj mali bootloader, koji vas pita za sifru i OS bootloaderu "podmetne" dekriptovane sektore tako da OS bootloader pojma nema da cita podatke sa kritpovanog diska.

- U rane OS drajvere dodaju i volume filter drajver koji transparentno (za OS) radi en/de-kripciju tako da OS kernel uopste ne mora da zna da je particija kriptovana. Do momenta inicijalizacije OS kernela I/O ide preko int 13h, a posle toga ide preko volume-filter drajvera.

UEFI je komplikovaniji, zato sto pri UEFI boot-u ne postoji "legacy" faza pa je neophodno od samog starta raditi kriptovani I/O transparentan za OS bootloader. To znaci da je neophodno implementirati UEFI drajver inace OS bootloader nece biti u stanju da ucita kernel.

BitLocker i FileVault2 to jednostavno resavaju kroz prosireni UEFI OS bootloader. Na zalost, ova opcija nije dostupna otvorenim paketima (bar ne za Windows koliko znam, za OS X ne znam da li je dostupan kod za OS bootloader i da li je moguce prosiriti isti), pa resenje mora biti uradjeno kroz UEFI drajvere, IMHO.

Ne znam koliko je jednostavno raspisati UEFI drajver koji transparentno en/de-kriptuje I/O, ali pretpostavljam da postoji vise komplikcija vezanih za kompatibilnost sa kojekakvim UEFI firmware-om. Olaksavajuca okolnost je da su vecina UEFI firmware-a bazirani ili na Intel TianoCore SDK-u (za PC platformu) ili su Apple-ov kod (za Mac-ove).

Ako je neko zainteresovan za pisanje OSS paketa... javite se :-)

_{[Ovu poruku je menjao Ivan Dimkovic dana 07.06.2014. u 07:57 GMT+1]}

DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey

Odgovor na temu

bojan_bozovic

Član broj: 29028
Poruke: 3292
*.dynamic.sbb.rs.

Sajt: angelstudio.org

+392 Profil

Re: jel to TrueCrypt zavrsio karijeru ?

^{07.06.2014. u 10:26 - pre 120 meseci}

Ali boot particija ne mora biti enkriptovana, već samo particija sa podacima, pa ja ne vidim problem.

Odgovor na temu

Ivan Dimkovic

Administrator
Član broj: 13
Poruke: 16687
*.cidr.odn.ne.jp.

+7173 Profil

Re: jel to TrueCrypt zavrsio karijeru ?

^{07.06.2014. u 10:31 - pre 120 meseci}

Pa ne mora, ali ako zelis imunost na podmetanje nekog malware-a koji bi pokupio podatke, ne zelis da ti boot particija bude "cista" posto onda neko moze da se bootuje preko USB stick-a i onda patch-uje sistemske fajlove sa nekim malware-om.

Ako je i boot particija kriptovana, moze da ga du*a posto ne vidi ni jedan fajl.

Donekle to moze da se resi zabranom boot-a sa USB stick-a u firmware-u, sifrom za pristup firmware-u i validacijom boot fajlova. Ali sto rizikovati ako komplet enkripcijom izbegavas taj problem elegantno.

Odgovor na temu

mr. ako

Član broj: 65959
Poruke: 2367

+2294 Profil

Re: jel to TrueCrypt zavrsio karijeru ?

^{17.06.2014. u 03:39 - pre 119 meseci}

Za ljubitelje teorija zavere:
:)

Hidden message on the new sourceforge TrueCrypt site

Citat:

I have been informed that I may be the first person to publish this. There is a hidden message on the new sourceforge TrueCrypt site that says, approximately, "Don't use TrueCrypt because it is under the control of the NSA". I originally posted details about the message on my user page at MediaWiki.org, and then posted a mention of it on the talk page for the TrueCrypt article at Wikipedia (permalink). Decoding the message is simple. The first line of the site is this:

https://www.livebusinesschat.com/smf/index.php?topic=5629.0

- Il n'est pas important qui, importe c'est quoi!

Odgovor na temu

bogdan.kecman
Bogdan Kecman
"specialist"
Oracle
srbistan

Član broj: 201406
Poruke: 15887
*.dynamic.sbb.rs.

Sajt: mysql.rs

+2377 Profil

Re: jel to TrueCrypt zavrsio karijeru ?

^{22.07.2014. u 02:45 - pre 118 meseci}

Citat:

Ivan Dimkovic:
Err, najveci % whole-disk enkripcije je na laptopovima u poslovne svrhe tj. sprecavanje curenja poverljivih podataka u slucaju kradje / gubljenja laptopova na poslovnim putevima. Svi novi laptopovi danas dolaze sa UEFI instalacijom.

Sumnjam da IT departmenti velikih firmi zele da gube vreme i resurse na ne-default podesavanje sistemskog boot-a sto zahteva reinstalaciju OS-a a nekad nije ni moguce uraditi legacy boot na "zatvorenim" laptopovima. Cak i kad je to moguce, to je nepotreban posao koji kosta (zato sto neko mora utrositi vreme za pripremu, testiranje i deployment) + kako je u pitanju ne-podrazumevena instalacija OS-a takodje moze praviti problem sa OEM podrskom.

npr u oraklu je obavezan mcafe Endpoint Security Protection ... moze da se instalira na postojeci "nekriptovani" sistem, i sto je najjace ti nastavis da sljakas a on u pozadini polako kriptuje ceo disk (u medjuvremenu se resetujes kad ti treba i slicno) i kad zavrsi javi ti da je sada full security ovo ono ... ne mozes nikako da ga deinstaliras sam vec iskljucivo centralno (dakle odneses ga u firmu i on se okaci tamo na neki mcafe server koji mu dozvoli da se uninstalira, dekriptuje disk etc) .. centralno se postavlja policy (koliko cesto mora menjas pass etc) i naravno tvoj disk moze da procita neko iz firme bez obzira koji si pass ti stavio ..

ne radi ok sa dual boot-om win+lin niti sa lin, sljaka samo sa win (xp, 7, 8 ..)

ne preterano on-topic ali mozda interesantan info..

arhimed
http://www.mysql.rs/ | http://elco.crsndoo.com/

Odgovor na temu