Discussion :

[pcaboche]

Pcaboche > je suis bien d'accord avec ton message, cette histoire est pas clair du tout. Je disais juste qu'en passant à une solution se basant sur Truecrypt on garde la même problématique, contrairement à ce que Jitou avait l'air de dire.

Bon, en même temps, tout ce que je sais en cryptographie, c'est ce que me disent les média, à savoir :

- TruCrypt, c'est pas bien, il faut pas l'utiliser

- BitLocker, c'est mieux.
Mais si vous n'avez rien à cacher, pourquoi encrypter vos fichiers ?

- il y a des méchants virus qui viennent crypter vos fichiers et vous demandent de l'argent. Si vous vous retrouvez avec des fichiers bizarres que vous ne pouvez pas ouvrir, c'est un virus.


Et je les crois. Comme disait feue ma grand-mère, "si ça passe à la télé, c'est que ça doit être vrai...".

[NSKis]

TrueCrypt fiable pour les uns... Par fiable pour les autres?

Le FBI pouvait... Ou ne pouvait pas décrypter TrueCrypt?

TrueCrypt aurait... Ou n'aurait pas été la victime de la NSA?


On peut ergoter à l'infini... Aucun des membres de ce forum n'a les moyens de connaître la vérité! On en est au niveau de la croyance comme pour la religion avec les fervents croyants et les vilains athés!!!

Alors un conseil: Rester en à ce qui est vérifiable par vous-même!!!

[Michael Guilloux]

« TrueCrypt est plus sûr que les examens précédents le suggèrent »
Conclut un audit commandité par l’Office fédéral allemand pour la sécurité des TIC

Un nouvel audit de TrueCrypt, réalisé par Secure Software Engineering et financé par l’Office fédéral allemand pour la sécurité de l’information (BSI), vient de livrer ses résultats. La conclusion tirée par les chercheurs qui ont examiné le logiciel semble affranchir TrueCrypt de toutes les menaces de sécurité élevées auxquelles il a dû faire face ces deux dernières années.

Rappelons-le, TrueCrypt est un logiciel de chiffrement de disque. Il permet de créer un disque virtuel chiffré (volume TrueCrypt) et de le monter comme un disque physique réel. TrueCrypt permet également de chiffrer une partition entière ou un périphérique, comme une disquette ou une clé USB. Le chiffrement est automatique et se fait en temps réel.

Géré par des développeurs anonymes, le projet TrueCrypt a été abandonné en mai 2014 par ces derniers, laissant derrière eux de nombreux utilisateurs exposés à d’éventuels risques de sécurité élevés. Cela a également donné naissance à un vif débat sur les véritables raisons de l’abandon du développement de la solution de chiffrement.

Des raisons de sécurité étant évoquées pour justifier la fin du projet, une mission d’audit, déjà en cours à l’époque, a été accélérée pour clarifier les choses. Cette analyse du code de TrueCrypt a voulu rassurer les utilisateurs du logiciel de chiffrement de disque, toutefois, les résultats indiquaient quelques failles de sécurité dont la plus grave pourrait permettre à un attaquant de deviner la clé de chiffrement. Les résultats du nouvel audit de sécurité sont plus rassurants et les chercheurs concluent que « TrueCrypt est plus sûr que les examens précédents le suggèrent ».

Dans leur étude de la vulnérabilité de TrueCrypt, ils se sont intéressés tant à la conception qu’au code du programme. Et dans la réalisation de cette tâche, ils ont également considéré et examiné les résultats des évaluations de sécurité antérieures. Cela leur a permis de dire que les vulnérabilités critiques reportées ne sont exploitables que théoriquement.

Par exemple, parmi des vulnérabilités reportées dans le composant pilote il y a un mois, Project Zero de Google a révélé une faille critique qui permet à un code malveillant qui a déjà accès au système d’acquérir une élévation de privilèges. Les chercheurs estiment que ce genre de failles n’est pas intrinsèque à TrueCrypt et que des problèmes similaires pourraient survenir avec tout pilote de niveau noyau. En plus, cette faille « ne fournit pas à un attaquant un accès simplifié à des données chiffrées », ont-ils expliqué. « Pour exploiter cette vulnérabilité, l’attaquant doit avoir un large accès au système de toute façon, par exemple, via un cheval de Troie ou une autre forme d’accès direct ou à distance ».

D’autres vulnérabilités critiques ont été révélées dans le rapport de l’Open Crypto Audit Project (OCAP) livré en avril dernier. Il s’agit d’une vulnérabilité de dépassement de tampon et d’une autre dans la génération des clés de chiffrement sur Windows.

En utilisant des outils d’analyse statique tels que la machine virtuelle KLEE, l’étude financée par la BSI a été en mesure de prouver que les débordements de tampon mis en avant dans le rapport de l’OCAP « ne peuvent pas réellement se produire lors de l’exécution, et éventuellement ne peuvent donc pas être exploités ».

Dans leur rapport, les chercheurs de Secure Software Engineering ont également trouvé des failles dans la façon dont TrueCrypt récupère les nombres aléatoires qu’il utilise pour le chiffrement. Ils confirment donc, comme dans le rapport de l’OCAP, qu’un attaquant peut théoriquement facilement deviner la clé de chiffrement. Mais le problème se produit uniquement « en mode non interactif », ou lors de l’utilisation de certaines politiques de contrôle d’accès sur Windows. Pour cette raison, ils estiment qu’il est peu probable que ce problème ait réellement affecté des utilisateurs. Toutefois, pour se mettre à l’abri, ils suggèrent de rechiffrer les volumes avec une version de TrueCrypt dans laquelle ce défaut a été corrigé.

Pour conclure, les chercheurs affirment que TrueCrypt n’est pas aussi vulnérable qu’on pouvait le penser. « Les défauts que nous avons trouvés étaient mineurs, et des défauts semblables peuvent se produire aussi dans toute autre implémentation de fonctions cryptographiques », ont-ils résumé. « En ce sens, TrueCrypt ne semble pas mieux ou pire que ses alternatives. La qualité de code pourrait être améliorée… Mais en général, le logiciel fait ce pour quoi il a été conçu. »

Source : Secure Software Engineering

Et vous ?

Qu’en pensez-vous ?

Voir aussi

Forum Sécurité

[Volgaan]

Enfin si TrueCrypt a effectivement une faille majeur, ça ne me rassure pas qu'un autre logiciel se base dessus.

Oui, mais non : VeraCrypt est certes un fork de TrueCrypt, mais il corrige les failles qui ont été découvertes justement.

[Traroth2]

Depuis l'arrêt du projet il existe pourtant une alternative : VeraCrypt. Ce projet repose sur les sources de TrueCrypt et fonctionne à l'identique.

http://sourceforge.net/projects/veracrypt

En fait l'URL de VeraCrypt, c'est https://veracrypt.codeplex.com/

[MikeRowSoft]

J'espère que se ne sera pas partout. Heureusement que les administrateurs et administratrices de systèmes d'informations ne quitte pas brutalement leurs travails sans que personnes ne sachent comment reprendre le contrôle.

[macslan]

Le projet n'est pas mort il a été repris par des développeurs non anonyme et se situe en Suisse

[emilie77]

« L'audit du CCN n'a trouvé aucune preuve de portes dérobées délibérées ou des défauts de conception graves qui rendront le logiciel insécurisé dans la plupart des cas. »
C'est la NAS qui a dit de ne plus utiliser TrueCript... Si vous y croyez

[expertsecu]

Le principal problème de TrueCrypt reste de ne pas utiliser le TPM.

[ouiouioui]

BitLocker même la police Française à les moyens d'y décrypter ...

[expertsecu]

BitLocker même la police Française à les moyens d'y décrypter ...

depuis quand?

[rthomas]

J'ai toujours bien rigolé avec cette histoire TrueCrypt.

Soit il ne tourne pas et donc impossible de lire les données cryptés.
Soit il tourne et dans ce cas les données sont en clair.

Donc une faille, ok, mais pour quoi faire? Devenir admin sur Windows? Je pense que MS à du corriger depuis un moment.

Rémi