Vermeende TrueCrypt-ontwikkelaar ziet fork niet zitten
Een vermeende ontwikkelaar van het encryptieprogramma TrueCrypt vindt het geen goed idee als er een fork wordt gemaakt. Een fork is een afsplitsing gebaseerd op de originele code van de software. Het idee van een fork is afkomstig van cryptografieprofessor Matthew Green.
Green is betrokken bij de audit van TrueCrypt en stuurde één van de TrueCrypt-ontwikkelaars een e-mail. Het is onbekend of het werkelijk om een ontwikkelaar van TrueCrypt gaat, maar Green laat weten dat hij in het verleden met deze persoon vaker over de encryptiesoftware heeft gecommuniceerd.
In zijn e-mail, die nu op Pastebin is verschenen, stelt Green dat TrueCrypt op een verantwoorde wijze een doorstart moet krijgen. Onlangs verscheen op de website van TrueCrypt een melding dat het programma onveilig is om te gebruiken en de ondersteuning is stopgezet.
Licentiestructuur
De voornaamste zorg die Green heeft is de licentiestructuur en handelsnamen die met TrueCrypt geassocieerd zijn. Hij merkt op dat sommige mensen zich hier niets van aan zullen trekken en met een eigen fork zullen komen. Deze versnippering kan het programma onveiliger maken. Daarom vraagt Green om een deel van de huidige code onder een standaard opensourcelicentie te mogen gebruiken voor een fork. Ook vraagt hij om toestemming de TrueCrypt-handelsnaam te mogen gebruiken.
De vermeende ontwikkelaar zegt dat Green om het "onmogelijke" vraagt. "Ik denk niet dat een fork van TrueCrypt een goed idee zou zijn, het compleet herschrijven van de code was iets dat we al langer wilden doen. Ik denk niet dat het vanaf 'scratch' beginnen meer werk zal zijn dan het leren en begrijpen van de huidige TrueCrypt-code. Ik heb er geen probleem mee dat de broncode als referentie wordt gebruikt."
maw,de alu hoedjes hebben het weer druk met nostradamusje spelen.
je bent zelf een backdoor
Mijn gedachte is simpel, je ruimt eerst zelf de pijnpunten (lees: 'eventuele flaws') op, als je die kent, voordat je het bijltje er bij neer gooit. Zo niet, dan is het aannemelijk dat er andere overwegingen een rol hebben gespeeld. Tenslotte weet je als dev deksels goed waar de schoen wringt.
En nou pak ik even het alu hoedje.
Als men er qua licentie en merkrecht uitkomt, althans. Het "onmogelijk" in de reactie doet vermoeden dat dat tegen gaat vallen. En ondanks alle NSA-vermoedens geeft de (veronderstelde) ontwikkelaar misschien wel deksels goed aan waar de schoen wringt als hij stelt dat herschrijven al een wens was en weinig meer inspanning oplevert dan de bestaande code op orde krijgen. Ik heb de code nooit bekeken en heb er geen eigen oordeel over, maar kennelijk beschouwen de originele ontwikkelaars het als iets wat ze niet meer weten te beheersen.
Als er al inzicht is in de source-code, waarom wordt het dan niet gewoon van de grond af aan opnieuw geschreven?
Ik snap wel dat Truecrypt bestaat uit verschillende soorten code om onder andere op low-level hardware aan te kunnen roepen (wat een niche is in de wereld van 'apps') maar dat neemt niet weg dan een paar dedicated dev's zo'n projectje toch binnen afzienbare tijd uit de grond moeten kunnen stampen???
Tot die tijd blijf ik het gebruiken in ieder geval, ik heb geen beef met de NSA maar wil wel zeker weten dat als ik een USB-stickje kwijtraak de data niet makkelijk te benaderen is.
Ook blijf ik het vreemd vinden dat een dev zijn eigen product als onveilig bestempelt zonder nadere uitleg (behalve dat de ondersteuning is gestopt) en zonder dat er exploits bekend zijn bij het grote publiek.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.