Y a-t-il une raison d'utiliser TrueCrypt sur VeraCrypt?
Je cherche à chiffrer quelques-uns de mes disques, et mon seul intérêt est la sécurité. C'est OK si mes volumes VeraCrypt ne sont pas compatibles avec TrueCrypt, et vice versa.
On parle beaucoup de "TrueCrypt is dead" et il semble qu'il y ait deux fourchettes qui prennent de l'ampleur. La plus intéressante pour moi est VeraCrypt, et d'après les recherches que j'ai faites, cela ressemble à l'option "plus sécurisée". Mais en est-il ainsi?
C'est pourquoi je vous demande à tous ici. Je sais ce que VeraCrypt prétend, je sais qu'ils disent qu'ils font plus d'itérations de hachage du mot de passe pour dériver les clés de cryptage. Cela sonne bien et tout, mais ...
Quelqu'un a-t-il une expérience réelle de l'utilisation de Veracrypt et est-ce aussi bon que annoncé? Comment se compare-t-il à TrueCrypt?
Quelqu'un at-il une raison de sécurité pour laquelle il choisirait TrueCrypt plutôt que VeraCrypt? Y a-t-il des raisons pour lesquelles TrueCrypt vous est préférable?
Je ne suis pas dans le train "TrueCrypt is dead", je suis juste en train d'essayer d'être progressif, donc je choisirais une nouvelle option "meilleure" si elle est disponible. Mais cela étant dit, je choisirais également d'aller avec l'ancienne option si elle est en fait meilleure que les options plus récentes. Tes pensées?
Je choisirais toujours TrueCrypt pour une question de confiance et de la théorie des "nombreux yeux":
Après le "scandale TrueCrypt", tout le monde a commencé à chercher la source des backdoors.
TrueCrypt audit s'est terminé le 2 avril 2015. Ils ont trouvé des vulnérabilités à faible risque, dont certaines qui affectent la fonction de chiffrement complet du disque du chargeur de démarrage, bien qu'il n'y ait aucune preuve de portes dérobées.
Si VeraCrypt commence à changer TrueCrypt rapidement, ils peuvent introduire quelques vulnérabilités. Étant donné que VeraCrypt est actuellement moins populaire que TrueCrypt, il y a "moins d'yeux" en regardant les changements de code source de VeraCrypt.
Je considère que TrueCrypt 7.1a possède toutes les fonctionnalités dont j'ai besoin. Un TrueCrypt audité avec les vulnérabilités corrigées serait le choix parfait. À moins que je ne regarde personnellement les différences du code source de VeraCrypt, cela nécessiterait un audit des changements, ou une forte augmentation de popularité, ou de nombreuses années de maintenance et une communauté active pour me faire plus confiance que le bon vieux TrueCrypt.
L'augmentation des itérations pour atténuer les attaques par force brute affecte uniquement les performances. Si vous avez choisi un mot de passe aléatoire de 64 caractères, 1 million d'années de forçage brut ou 10 millions d'années sont les mêmes du point de vue de la sécurité.
(J'ai téléchargé la clé publique de l'administrateur TrueCrypt des années avant le scandale. Je peux donc télécharger une copie de TrueCrypt 7.1a à partir de n'importe quelle source et vérifier son authenticité)
Cette réponse peut changer après la publication de nouveaux résultats de l'audit. De plus, si vous êtes le développeur VeraCrypt, l'argument de confiance ne s'applique pas (car vous vous faites confiance).
Oui. Utilisez VeraCrypt.
Au 26 septembre 2015, les chercheurs en sécurité de Google ont découvert quelques vulnérabilités qui affectent TrueCrypt 7.1a et VeraCrypt 1.14
ce sont CVE-2015-7358 et CVE-2015-7359
Le 26 septembre 2015, VeraCrypt a publié la version 1.15 qui corrige ces vulnérabilités.
Le 17 octobre 2016, VeraCrypt's audit par le QuarksLab a été achevé et, par conséquent, VeraCrypt version 1.19 a été publiée pour corriger les vulnérabilités trouvées.
Sources:
Edit: a ajouté les informations d'audit QuarksLab du 17 octobre 2016
Si vous faites un diff sur TrueCrypt et VeraCrypt, supprimez tout le changement de nom et le code de version, il vous reste un correctif de taille raisonnable à regarder. VeraCrypt utilise SHA256, ce qui est meilleur que SHA512 en raison de la planification des clés. Outre le nombre d'itérations susmentionné, les autres modifications notables sont la prise en charge NTFS, la prise en charge WxWidgit mise à niveau, le changement de format de volume et l'inclusion des en-têtes PKCS11 de RSA. Les changements mineurs sont des choses comme la modification des fichiers .tc en .hc, de meilleures options de packaging pour la distribution, etc.
Après avoir appliqué le jeu de correctifs réduit, j'ai ajouté Keccak au mélange pour le chiffrement et le hachage. Le chiffrement de flux est agréable à utiliser au milieu d'une cascade comme Serpent, Keccak (SHA3), puis AES.
J'allais ajouter la prise en charge des conteneurs TrueCrypt, mais j'ai décidé de ne pas le faire car je pense personnellement que le changement de format est un avantage.
En résumé, ce n'est pas si difficile à auditer en utilisant l'ensemble de correctifs mentionné ci-dessus.
Les meilleures pratiques vous obligent à utiliser la distribution vérifiable TrueCrypt 7.1a et à télécharger vos propres en-têtes PKCS11 à partir de RSA. Si vous construisez pour un Mac, utilisez votre propre copie de nasm au lieu de celle incluse ou téléchargez-la vous-même depuis sa page Web.
C'est ce que j'utilise et je continuerai à utiliser jusqu'à ce que je doive changer d'algorithmes de chiffrement lorsque le temps l'exige.
J'utilise TrueCrypt depuis des années sur les systèmes Linux et Windows et j'en suis assez satisfait. Récemment, j'ai mis à niveau mes PC Linux vers Ubuntu 16.04 et j'ai pensé que ce serait le bon moment pour passer de TrueCrypt à VeraCrypt. J'ai continué et converti les conteneurs TrueCrypt en conteneurs VeraCrypt en changeant simplement le mot de passe comme indiqué dans la documentation. Je l'ai fait spécialement pour un disque dur interne de 1 To formaté en deux partitions de 500 Mo. Il est apparu que, alors que le décryptage TrueCrypt de mes partitions était précédemment effectué en quelques secondes, le décryptage VeraCrypt nécessite maintenant 4 minutes pour chaque partition. C'est inacceptable pour moi car je dois attendre 8 à 9 minutes pour que mon PC soit opérationnel le matin. Je pense donc à revenir à TrueCrypt, qui - tout bien considéré - ressemble à un bon compromis entre une sécurité et une commodité améliorées.