TrueCrypt soll professionelles Security-Audit erhalten

@pansensen: Danke für den Link. Liest sich sehr interessant und bestätigt zumindest mal meine Aussage zur exakten Gleichheit der Binaries bezogen auf unterschiedliche Architekturen/Plattformen. Dass sie hier "so" deterministisch sein wollen, dass sie tatsächlich z.B. Zeitstempel Fakten, war mir nicht bewusst. Ich meinte mit meiner Aussage, dass jeder gute Buildprozess tatsächlich die immer selben Schritte durchlaufen und bei gleicher Eingabe die "gleiche" Ausgabe ergeben muss (abgesehen von Zeitstempeln, die ein Compiler nun mal in ein Binary injiziert). Das ist das, was in dem Artikel als "reproduzierbarer Build" bezeichnet wird. In meinen Augen ist aber ein nicht reproduzierbarer Build gar kein Build.

@Ulti: Leider hat gutenmorgen1 hier definitiv recht. Es ist mehrfach vorgekommen, dass Firmen Eingriffe durch Geheimdienste zulassen mussten und nicht darüber sprechen durften. Dagegen klagen einige Firmen wie Yahoo, Microsoft und Google. Grundlage dafür ist ein Geheimgericht (FISC), dessen Verfahren geheim und dessen Urteile geheim sind. Das bedeutet, dass niemand darüber sprechen darf, dass es überhaupt so etwas gab. Bei Verstoß riskiert man Gefängnis. Siehe als Beispiel die Artikel zu Lavabit. Ob jetzt die NSA jemanden zwingen kann Lücken einzubauen, kann ich nicht beurteilen. Aber jemanden zwingen über Lücken zu schweigen, kann sie definitiv. Gefährdet ja die nationale Sicherheit. (Totschlagargument gegen alles). Außerdem hat die NSA selber in vielen Projekten Code beigesteuert. Beispiel: Selinux, welches Du in den üblichen Linux-Distributionen und auch Android findest. Das heißt aber natürlich nicht, dass da jetzt Hintertüren sein müssen...aber wenn, dann schweigen wir darüber. Und, ob in anderen Systemen wie OSX oder Windows Hintertüren der NSA sind, da scheigen wir auch drüber. Müssen wir.

@Nunk-Junge: "Siehe als Beispiel die Artikel zu Lavabit." Lavabit hat aber den Service eingestellt und offen darüber gesprochen, statt sich zu beugen und es stillschweigend hinzunehmen. Und die gleiche Option haben andere genauso. Dass man eine Firma, die in den USA ansässig ist, dazu zwingen kann zu kooperieren, ist logisch, aber wie will die NSA bitte unabhängige und internationale Entwickler zu etwas zwingen?

@Tr1mb: Lavabit hat seinen Dienst eingestellt. Aber sie haben über die Gründe nicht gesprochen. Sie haben nur gesagt, dass sie nicht darüber sprechen dürfen. Selbstverständlich steht es jedem frei, seine Firma einzustampfen, aber glaubst Du das ist im Falle Google oder Microsoft realistisch?

@Nunk-Junge: Um Google und Microsoft geht es doch auch gar nicht, sondern um einen Security-Audit und die Entwickler von Truecrypt.

@Zimbo: Glaubst Du, dass die Audit-Firma oder Truecrypt ihren Laden dicht machen, wenn sie nicht über gefundene Lücken berichten dürfen?

@Nunk-Junge: Der Audit ist aber keine Firma, sondern ein Projekt von Privatleuten mit dem Ziel TrueCrypt auf die Sicherheit hin zu überprüfen. Wenn die NSA sich einmischt, würde dieser Audit keinen Sinn mehr machen und in so einem Fall wohl eher verworfen werden. Die TrueCrypt Foundation entwickelt im Gegensatz zu Micorosft kostenlose Software und bezieht ihre Mittel lediglich aus Spenden, um die Entwicklung zu finanzieren. Beide Gruppen sind mit ihren Projekten (im Vergleich zu Microsoft und Co) also nicht auf wirtschaftlichen Erfolg aus und hätten deshalb auch kein Problem damit ihre Arbeit jederzeit einzustellen, wenn diese nicht mehr ihren Idealen entsprechen würde.

@Tripot: Ein richtiges Audit kannst Du aber nicht von irgendwelchen Privatleuten durchführen lassen. Gute Programmierer zu finden ist schon extrem schwer, aber selbst davon dürften die wenigsten in der Lage sein ein professionelles Audit durchzuführen. Dazu brauchst Du Experten. Und diesen kann natürlich die NSA einen Maulkorb verpassen. Und ob diese Experten oder TrueCrypt selbst kein Problem damit hätten ihre Arbeit auf den Müll zu werfen, das kannst Du wohl keinesfalls beurteilen.

@Nunk-Junge: Wenn diese Arbeit aber darin besteht, festzustellen, wie sicher eine TrueCrypt-Verschlüsselung im Hinblick auf Geheimdienste ist, aber dann genau diese vorschreiben würden, dass die Leute vom Audit genau das Gegenteil machen sollen, worin liegt dann noch genau der Sinn ihrer Arbeit?? Dann kann man es auch gleich bleiben lassen. Und da der Audit von Spenden finanziert wird, hätten die Leute doch eh nichts verloren, wenn sie das Projekt dann einfach wieder aufgeben und ggf. sogar das Geld zurückgeben. Wer würde denn bitte weiter arbeiten, wenn der Sinn der eigenen Arbeit genau ins Gegenteil verkehrt wurde? Doch wohl nur ein skrupelloser Schwachkopf oder?

@wischi: Naja, hier geht es um TrueCrypt, da darf man eure Aussagen wohl mit dieser Software in Verbindung bringen, oder? Davon abgesehen kann man mit Visual Studio auch native Software entwickeln, d.h. deine Aussage, dass man einen automatisch einkompilierten Keylogger in jedem Fall aufgrund der CIL merken würde, ist falsch.