Sigue El lado del mal en Telegram
Chema Alonso en Threads
Chema Alonso en Mastodon
Chema Alonso en BSKY
Chema Alonso en Linkedin
DragonJAR
8.8 Chile
Ekoparty
e-Hack MX 
AREA 51 
Comunidad Dojo Panamá 
ARPAHE SOLUTIONS 
Acaba la auditoría de TrueCrypt con 4 bugs y 0 backdoors
El software de cifrado de volúmenes de disco TrueCrypt se convirtió por sí solo en una referencia en el mundo de la seguridad. Un software de código abierto que permitía cifrar discos completos o crear un volumen cifrado en cualquier sistema operativo, y a coste cero para todo el mundo, fue una referencia en el mundo de la seguridad informática y el hacking durante años. Pero... llegó la época de las sospechas cuando alguien comenzó a hacer preguntas sobre quién estaba realmente detrás de TrueCrypt. ¿Quienes estaban programando ese software y por qué?
 |
| Figura 1: Acaba la auditoría de TrueCrypt con 4 bugs y 0 backdoors |
Los creadores de TrueCrypt, al igual que sucede con BitCoin, no se conocían. Siempre se pensó que los programadores de esta suite de cifrado ocultaban sus identidades por miedo a represalias del gobierno de Estados Unidos, tan celoso él con la exportación de sistemas de cifrado - cosa que les llevó a terminar sufriendo en sus propias carnes FREAK -. Aún así, las sospechas continuaron creciendo día a día, con dudas sobre por qué se había perseguido a dominios como Wikileaks.org mientras que TrueCrypt.org permanecía sin ningún problema. Para todos, eso significaba que para el gobierno de loes Estados Unidos, el software de TrueCrypt no de les suponía amenaza alguna.
 |
| Figura 2: Software de cifrado TrueCrypt 7.1 para OS X |
Las sospechas sobre TrueCrypt
En medio de la avalancha de filtraciones de Edward Snowden sobre las técnicas de espionaje de la NSA, el proyecto TrueCrypt cerró, con una web que aún puede verse en la dirección TrueCrypt.sourceforge.net, en el que los más paranoicos - y algunos no tanto - vieron un mensaje oculto con esteganografía en la frase de despedida. Según ellos, al coger la primera letra de cada palabra de la frase, en latín se podía leer "If I wish to use NSA" y en otros idiomas algo más directo "I hear they are NSA". Esto podría ser más que factible, teniendo en cuenta lo que les gusta los juegos de criptografía a los científicos de la agencia de tres letras por excelencia.
 |
| Figura 3: Mensaje en la web de despedida de TrueCrypt |
Con toda esta avalancha de información y sospechas, se decidió comenzar un proceso de auditoría completa y exhaustiva de todo el código de TrueCrypt para intentar localizar puertas traseras y/o posibles bugs o debilidades que permitieran a alguien que los hubiera inyectado sacar partido de ellos. Hay que recordar que uno de los programas secretos de la NSA filtrado por Edward Snowden, llamado BullRun, hablaba de las capacidades "ground breaking" en el descifrado de códigos, permitiendo romper casi cualquier código. Para ello, se hablaba de poder haber inyectado errores en los algoritmos de cifrado, en los estándares o en las implementaciones de los mismos para conseguir tener una puerta trasera.
 |
| Figura 4: Información de las capacidades de BullRun |
Fueron muchos y en poco tiempo los sistemas de cifrado que resultaron tener problemas de seguridad, siendo el detonante de todas las dudas sobre la criptografía el fallo de GoTo FAIL en los sistemas operativos de Apple, justo después de que se hablara en el CCC de Alemania del programa de la NSA para infectar iPhone llamado DropOutJeep. Sí, Apple lo arregló, pero metiendo un generador de números pseudoaleatorio más inseguro que el que tenía hasta el momento.
 |
| Figura 5: Bug de GoTo Fail. Al llegar a esa línea, ya no se comprobaban más datos del certificado digital |
La auditoría de seguridad sobre TrueCrypt
Con estas miras, comenzó un programa de auditoría de código que ya ha concluido. Durante esta semana se han publicado las conclusiones en un documento [Informe de Auditoría de TrueCrypt - PDF -] en el que se han descubierto 4 bugs de seguridad, pero ningún backdoor apreciable. Cuando se habla de backdoor apreciable se refiere a ninguna puerta trasera ni ningún error que pudiera ser normal en el código, ya que las cuatro vulnerabilidades no parecen anormales.
 |
| Figura 6: Resumen de los bugs descubiertos tras la auditoría a TrueCrypt |
Si miramos los bugs descubiertos en detalle, los dos que aparecen de riesgo alto - que podrían permitir el descifrado de los datos al poder extraerse las claves - se dan en circunstancias muy raras. El primer fallo es un bug conocido en Windows XP que hace que la aleatoriedad de las claves sea mala en un caso muy concreto de baja probabilidad. El segundo bug, el utilizar un algoritmo vulnerable de AES en el proceso de cifrado, según parece es posible ya que las implementaciones de AesSmall.c son vulnerables a ataques de tiempo. Sin embargo, estos ficheros vulnerables no se usan en los sistemas operativos Intel para los que ya está la implementación en código Assembly dentro de TrueCrypt. Los otros dos bugs no son de nivel crítico.
Dicho esto, esos bugs son de importancia y deberán ser corregidos en todos los forks, pero las conclusiones del equipo de auditoría es que no existe un bug explotable para todos los casos posibles de uso de TrueCrypt, ni para casos tan comunes como sistemas operativos Windows 7 u OSX con microprocesadores Intel, por lo que no parece que hubiera una puerta trasera. Ahora eres tú el que decides si confiar o no en esta auditoría, que así funciona este mundo.
Saludos Malignos!
17 comentarios:
una sola entidad audite el codigo no garantiza nada.
prefiero lo libre asi que Veracrypt lo veo como mejor alternativa.
Al primer Anónimo:
Ves Veracrypt como mejor alternativa, pero es que Veracrypt no deja de sr un fork de Truecrypt que probablemente aún tenga estos 4 bugs sin solucionar.
muy buen artículo. Enlazado en mi blog. ¿Qué opinas de LUKS?
Al segundo anónimo:
justamente pensé lo mismo que tu mientras leia el primer mensaje, aunque su mensaje también tiene razón.
A mi todo esto me da muy mal rollo y muuuucha desconfianza.
A ver por donde revienta todo esto (espero verlo).
Un saludo y buen fin de semana
Pues mi opinion es que para proteger mis datos, mas que nada en un pc portatil, en caso de perdida o robo es mas que suficiente, ya que no creo que tenga tan mala suerte que como decia anteriormente, el que me lo robe o se lo encuetre en caso de perdida tenga el suficiente conocimiento para descifrar el HDD.
Por otra parte, la pregunta que se me antoja viendo tanta desconfianza y temor a un backdoor es, en que asuntos anda metido la gente? Si no tienes nada que ocultar no tienes nada que temer, si que es verdad que deberian de unirse mas entidades y realizar dicha auditoria al soft he incliso analizar y revisar con lupa la existente, que cuatro ojos ven mas que dos.
En ningun momento se habla ni de radares ni trojano ni nada por el estilo que pueda estar enviando informacion a un servidor expecifico, asi que por mi parte a sido es y sera el mejor software de cifrado hasta la fecha, ya digo para un usuario normal que solo busque proteger sus datos y archivos personales y no ande metido en asuntos turbios (me reitero, es mi opinion) es que sigue siendo la mejor opcion, claro esta siempre y cuando se corrigan los 4 bugs citados en el articulo, que por cierto, muchas gracias por la info Chema.
Saludos¡
Muy curioso que no des info sobre si en Linux pasa o no pasa.
Aparte, la última persona en comentar: un sofware de cifrado debe de ser seguro por defecto independientemente de su uso. Luego ya te preocuparás tú individualmente, pero en general sí que nos debe preocupar que un programa sea lo más seguro posible independientemente de su uso.
@Anonimo de las 8:30 p.m
Estoy de acuerdo con tigo, por eso hago incapie en que corrigiendo dichos bugs, por lo menos a mi me inspira confianza, a ti no?
Saludos¡
Querido Jonathan Novel, he oído comentarios como el tuyo repetidos como un mantra: "yo no tengo nada que ocultar, me da igual... no tengo nada que temer... lo que yo tengo no es importante...".
Te lo voy a poner con un ejemplo gráfico y es lo que pienso.
Soy un varón, sin ningún tipo de complejo pero tampoco ningún tipo de superior orgullo sobre mi miembro viril. Mi pene es... como el de cualquier otro, sin nada particular, pero en ningún caso me gustaría que cualquera pudiera visualizar mi pene sin mi consentimiento, que no se publicara en Internet, que cualquier funcionario pudiera tener acceso a mi pene... pienso lo mismo de otras mucha información sobre mi vida privada.
"Anonimo"
Creo que estas muy dolido desde comentarios en articulos anteriores y te tomas mis comentarios como algo personal, eres el mismo "Anonimo" cansino de siempre, tu prepotencia te delata pero, esta vez te has pasado tres pueblos tronco, haztelo mirar, que lo tuyo no se cura con pastillas, ahora si quedejas claro y como tu dices de forma grafica, que tienes un problema de actitud, yo te lo voy a decir directamente, cambia de camello
Y te recuerdo que mi cumpleaños ya ha pasado, lo siento por ti que no te puedas quedar conmigo, ya tengo perro y gato, ok?
Bay bay ;-)
Novell, mi comentario no tienen nada de ofensivo, disculpa, pero no entiendo tu comentario.
Que mi cuerpo densnudo sea como el de cualquier otro, no quiere decir que cualquiera pueda ver fotos mías, de mis hijos, familia, ni desnuda ni vestida etc... y no, no es nada especial, es como cualquier otro, y no creo que tenga nada que ocultar. Simplemente pongo de relieve que tu "matra" no es muy maduro y no profundamente reflexionado.
Novel, haztelo mirar tú porque la respuesta de anónimo es correctisima en el fondo y en las formas.
En relación al post imagino que fue testada la última versión de TrueCrypt. Yo aun uso la penúltima porque oí que la última tenia Backdoors posiblemente. Veo que no, al parecer!
Novel, haztelo mirar tú porque la respuesta de anónimo es correctisima en el fondo y en las formas.
En relación al post imagino que fue testada la última versión de TrueCrypt. Yo aun uso la penúltima porque oí que la última tenia Backdoors posiblemente. Veo que no, al parecer!
@Anonimo y @Lucas *.*
Que la respueta es correctisima? Estas bien? A cuento de que tanto rollo?
Trolerísmo crónico agudo es lo que "tenéis"...
Ya no pierdo mas el tiempo con esto, por mi parte desde que dije bay bay se acabó, no se que parte de bay bay no entendéis y por que alargáis mas vuestra agonía? y por certo, que fumais?
Anda ya hombre¡ con el cuerpo, el pene, los duendes y las hadas, yo no creo en lobos caperucita, haber...
Mi primer comentario es mi opinion, no espero que se comparta pero si que se respete y, el segundo comentario que es la contestacion a "Anonimo" y dice así...
_________________________
@Anonimo de las 8:30 p.m
Estoy de acuerdo contigo, por eso hago incapie en que corrigiendo dichos bugs, por lo menos a mi me inspira confianza, a ti no?
Saludos¡
3/4/15 9:00 p. m
_________________________
1º.- No responde a mi pregunta.
2º.- Donde esta el problema para semejante cacao mental?
3º.- Crees que la tecnología puede solucionar todos tus problemas de seguridad?
Ya deja bien claro con lo que piensa, aunque creo que sois la misma persona pero bueno...si me equivoco, te digo lo mismo que a el, lo siento pero no te puedes quedar conmigo...
aaa dios, y punto pelota <<-- Esto lo entiendes verdad?
PD: NO hace falta que respondas, ahorratelo ;-)
Niño, está claro que tienes menos de 15 años, pero no te preocupes, tu inmadurez se suele curar con el tiempo... con suerte.
@Francisco Javier, Aleluya hermano XD
Muchas Gracias, con tu comentario dejas claro que no era tan difícil de comprender, con un matiz, a buen entendedor pocas palabras bastan.
Lo que mas me jode es que se menos precie el trabajo de los demás de manera deliberada, desgraciadamente esto ocurre demasiadas veces a lo largo de la extensa red y es que el que puede hace y el que no critica, pero...
así es la life.
Por no tener no tengo ni porno, mi ordenador lo puede usar cualquier tipo de ususario o prefesional sin temor a nada, pero en caso de robo o perdida me parece estupendo, tan complicado no era mi comentario/opinion, pero hay personas que se han empeñado en que asi sea o__O?
Paz y Amor ;-)
Yo creo que la información de cada uno, es personal y que cada uno establece el grado de seguridad que merecen sus datos. Si me dicen que la NSA puede entrar en mis ficheros de TrueCrypt o VeraCrypt, a mí, personalmente no me importa, es más, que me pidan la clave que se la doy. Lo que busco, en mi caso, es complicarle la vida al corre-scripts que algún día rompa mi Wi-Fi y se dedique a buscar facturas, fotos... yo que sé. Si eres objetivo directo de los malotes que quieren pillarte... lo harán... contra esos poco puedes hacer... pero complicarles la vida... siempre es divertido :)
Por lo que veo hay gente lee este blog y no se entera de nada, no son capaces de comprender las palabras que el doctor Alonso escribe aquí.
Sólo hay que visitar las etiquetas:
http://www.elladodelmal.com/search/label/ciberespionaje
http://www.elladodelmal.com/search/label/ciberguera
Se debería intentar comprender y razonar esos escritos y dar las gracias a gente como Snowden o Assange.
Mientras haya gente "que no tiene nada que esconder" y que el precio de su libertad y privacidad valga cero , los demás tendremos problemas.
Cuando no tengamos privacidad ni libertad, y las aseguradoras consulten tus "app healt" para elaborar la prima del seguro, como también se explicó aquí, o los supermercados sepan qué coche tienes y cada cuánto repostas gasolina, como también se dijo aquí, y estés tan controlado que no vas a poder ir a mear sin que todo el mundo lo sepa... ahí te darás cuenta de tu error.
Como reflexión os dejo un bonito poema de :
Cuando los nazis vinieron a llevarse a los comunistas,
guardé silencio,
porque yo no era comunista,
Cuando encarcelaron a los socialdemócratas,
guardé silencio,
porque yo no era socialdemócrata,
Cuando vinieron a buscar a los sindicalistas,
no protesté,
porque yo no era sindicalista,
Cuando vinieron a llevarse a los judíos,
no protesté,
porque yo no era judío,
Cuando vinieron a buscarme,
no había nadie más que pudiera protestar.
Publicar un comentario