Desde que Edward Snowden abriu o bico sobre os projetos na NSA (Agencia Nacional de Segurança dos EUA), o que era ficção em filmes virou realidade. O governo não ta nem ai para a sua privacidade, e sim ele te espiona descaradamente. Não que há neste momento um agente da CIA olhando seus e-mails (mas se eles quiserem, eles podem), mas há data-centers espalhados por ai, com softwares monitorando tudo que cai na rede, e já é sabido que empresas como Microsoft (oi tio Bil !), Facebook, Twitter, Google etc, colaboram ativamente para isso, eles são grandes pois facilitam tudo, ao contrário estariam quebrados.
Desde então, a procura por serviços e softwares de criptografia aumentou e muito, e pelo que parece, as agências de segurança não estão gostando nada disso. Quebrar a criptografia, dependendo do caso é praticamente impossível (o Bitcoin ta ai pra provar isso), e isso tem sido uma dor de cabeça para eles, sendo assim, "eles" não estão medindo esforços para "dar um jeito nisso". Um exemplo disso no Brasil são os constantes bloqueios no WhatsApp, que tem criptografia de ponta-a-ponta, isso significa que um simples: "oi tudo bem" vira "d@#4¨¨3de*/!!&" ao sair do seu celular e chegar no celular de destino, e no celular de destino o "d@#4¨¨3de*/!!&" vira "oi tudo bem". Ou seja, nem os federais, nem o próprio facebook consegue ler o conteúdo das mensagens, nem mesmo que eles queiram. Os Federais sabem disso, e mesmo assim eles forçam o bloqueio do aplicativo como forma de forçar o Facebook a "dar um jeito nisso" (leia-se: "insira um backdoor nessa porra"), com a desculpa de que isso está impedindo eles de fazer as investigações etc etc etc ...
A questão é: Vale a pena sacrificar a sua privacidade por causa de um bando de maconheiro ? Alguns dizem: "Eu não faço nada de errado, sendo assim não tenho o que me preocupar", mas dai eu digo: "Você confia na justiça ?". Analise o seguinte caso: Você faz um comentário na internet, que foi interpretado como racista ou terrorista (mesmo não sendo), alguém denuncia, e essa denúncia vira um mandato de busca e apreensão, e sem que sequer você imagine isso, vão ter federais na sua casa bisbilhotando descaradamente tudo que você tem no seu PC, e vão levar seu HDD para perícia. Eles podem pensar que aquelas fotos inocentes da sua sobrinha são um indício que você seja pedófilo, ou aquela piadinha que você fez no facebook, é indício de que você realmente é racista, ou por algum acaso, você acessou alguma página que tenha uma suástica, vão achar que você é nazista. O que eu quero dizer é, eles vão procurar pelo em ovo pra pelo menos mostrar serviço. Não importa o que possam dizer, a verdade é que a criptografia é sua amiga, você tem o direito de não produzir provas contra sí mesmo e principalmente, há o principio da presunção da inocência.
Imagine também que sua casa ou seu notebook seja roubado, e agora vai saber o que eles vão fazer com seus arquivos. Ou seu notebook / PC se perca no aeroporto etc etc etc. São dezenas os casos em que depois você vai pensar: "Por que eu não criptografei tudo ?? Eu provavelmente estaria mais tranquilo agora".
Porém é aqui que o combustível da paranoia começa. As agências de segurança e o governo não gostam de criptografia (somente pra eles ...), e o simples fato de você usar, já te torna um possível suspeito, mesmo você tendo o direito à privacidade. Usar o bitlocker ou coisa parecida, cai naquilo que eu já mencionei antes, grandes empresas abrem as pernas para as agências de segurança, eles não estão nem ai, o que nos leva a crer que a NSA por exemplo pode ter alguma ferramenta que acessa um possível backdoor previamente posto na programação do bitlocker por exemplo, pois o mesmo não é open source, e podemos confiar apenas na palavra da Microsoft, em questão de que não tem nada escondido lá, mesmo especialistas nos alertando de que o Windows 10 está repleto de falhas de privacidade.
O TrueCrypt por outro lado, é opensource, e foi por quase uma década uma dor de cabeça para aqueles que se deparam com ele. Sim ele é inquebrável, já foi comprovado isso, poucas falhas de segurança foram encontradas, e até hoje a única forma de quebrar sua segurança é por força bruta (tentativa e falha). Ou seja, se você usa uma senha com mais de 20 caracteres, que não tenham nada a ver com você, faz com que leve séculos para conseguir quebrar a criptografia dele, mas isso se você usar uma boa senha, pois a mais poderosa ferramenta de criptografia não irá te proteger da burrice da data de aniversário sua ou de alguém.
Então está tudo resolvido, basta usar um software artisticamente programado, opensource, gratuito e comprovadamente por via de auditoria profissional, livre de backdoor. Correto ? Nem tanto.
Algo muito estranho aconteceu ano passado. A página oficial da TrueCrypt aparentemente foi "Hackeada", mas não. O projeto estava encerrado, depois de quase uma década, e pior, eles dizem ser inseguro e recomendam usar o bitlocker. Se a piada é essa, todo mundo entendeu. A NSA botou pressão nos caras (provavelmente pra inserir um backdoor nele) e eles resolveram lavar as mãos e não se meter em encrenca. Os autores do truecrypt falam cada um uma coisa. "Ahhh simplesmente acabou" ... "Cansamos ..." ... "Não temos mais interesse" ...
Mas se eles quisessem deixar um recado, o recado está na primeira linha da "nova página"
A verdade pode ter aparecido, quando um homem foi condenado depois dos federais terem quebrado a criptografia do TrueCrypt em seu computador. Uns dizem que os federais usaram o tal backdoor, outros dizem que a senha dele era fraca, outros. que eles estão explorando falhas de segurança no software, já que ele a anos não tem atualização, e por ai vai ...
Imagine também que sua casa ou seu notebook seja roubado, e agora vai saber o que eles vão fazer com seus arquivos. Ou seu notebook / PC se perca no aeroporto etc etc etc. São dezenas os casos em que depois você vai pensar: "Por que eu não criptografei tudo ?? Eu provavelmente estaria mais tranquilo agora".
Porém é aqui que o combustível da paranoia começa. As agências de segurança e o governo não gostam de criptografia (somente pra eles ...), e o simples fato de você usar, já te torna um possível suspeito, mesmo você tendo o direito à privacidade. Usar o bitlocker ou coisa parecida, cai naquilo que eu já mencionei antes, grandes empresas abrem as pernas para as agências de segurança, eles não estão nem ai, o que nos leva a crer que a NSA por exemplo pode ter alguma ferramenta que acessa um possível backdoor previamente posto na programação do bitlocker por exemplo, pois o mesmo não é open source, e podemos confiar apenas na palavra da Microsoft, em questão de que não tem nada escondido lá, mesmo especialistas nos alertando de que o Windows 10 está repleto de falhas de privacidade.
O TrueCrypt por outro lado, é opensource, e foi por quase uma década uma dor de cabeça para aqueles que se deparam com ele. Sim ele é inquebrável, já foi comprovado isso, poucas falhas de segurança foram encontradas, e até hoje a única forma de quebrar sua segurança é por força bruta (tentativa e falha). Ou seja, se você usa uma senha com mais de 20 caracteres, que não tenham nada a ver com você, faz com que leve séculos para conseguir quebrar a criptografia dele, mas isso se você usar uma boa senha, pois a mais poderosa ferramenta de criptografia não irá te proteger da burrice da data de aniversário sua ou de alguém.
Então está tudo resolvido, basta usar um software artisticamente programado, opensource, gratuito e comprovadamente por via de auditoria profissional, livre de backdoor. Correto ? Nem tanto.
Algo muito estranho aconteceu ano passado. A página oficial da TrueCrypt aparentemente foi "Hackeada", mas não. O projeto estava encerrado, depois de quase uma década, e pior, eles dizem ser inseguro e recomendam usar o bitlocker. Se a piada é essa, todo mundo entendeu. A NSA botou pressão nos caras (provavelmente pra inserir um backdoor nele) e eles resolveram lavar as mãos e não se meter em encrenca. Os autores do truecrypt falam cada um uma coisa. "Ahhh simplesmente acabou" ... "Cansamos ..." ... "Não temos mais interesse" ...
Mas se eles quisessem deixar um recado, o recado está na primeira linha da "nova página"
"WARNING: Using TrueCrypt is not secure as it may contain unfixed security issues"
Sim, há uma mensagem escondida ai. Pegue a primeira letra de cada palavra: "UTINSAIMCUSI" separando adequadamente dá: "uti nsa im cu si" que está em latim. Traduza isso do latim e você descobrirá a verdadeira frase escondida: "Se você usar a NSA". É isso ai, a falha de segurança pode ser na verdade um backdoor da NSA escondido no código. Apesar do código ter passado por 2 auditorias sem nenhum código malicioso ter sido encontrado, alguns dizem que até mesmo os auditores foram coagidos pela NSA, e como o código do truecrypt envolve avançada criptografia, certamente uma pessoa comum não iria achar nada lá, mesmo que estivesse em neon piscando.
A verdade pode ter aparecido, quando um homem foi condenado depois dos federais terem quebrado a criptografia do TrueCrypt em seu computador. Uns dizem que os federais usaram o tal backdoor, outros dizem que a senha dele era fraca, outros. que eles estão explorando falhas de segurança no software, já que ele a anos não tem atualização, e por ai vai ...
Não da mais pra confiar no TrueCrypt (mesmo tendo apenas 1 caso de quebra por enquanto), não sabe se realmente tem um monstrinho escondido no código ou eles acharam uma forma de quebra-lo, usando um exploit, baseado em alguma vulnerabilidade no já seu desatualizado código.
Porém nem tudo está perdido, Do legado truecrypt, nasceram 2 softwares baseados nele, o CipherShed e o VeraCrypt. Ambos são idênticos em funcionamento e aparência do truecrypt, e ambos prometem a mesma coisa: é o código do truecrypt só que melhorado. O CipherShed por exemplo é totalmente compatível com algum volume pré criado do truecrypt (ao contrário do VeraCrypt) e se comporta até mesmo como uma "atualização" do truecrypt, já o VeraCrypt se comporta como um software paralelo. Mesmo assim, não nos tira a pulga atras da orelha. Mesmo esses 2 sendo pouco conhecidos ainda, será que tem algum monstrinho da NSA escondido lá ? Olha só o que fala o CipherShed:
"Nós não negamos, nem tentamos esconder o fato de que alguns de nossos membros foram ou estão atualmente financiado por entidades governamentais ou empresariais. Queremos especialmente salientar que, na verdade, a única razão pela qual podemos ter, e têm confiança em CipherShed é que, mesmo embora nunca pode ter certeza sobre as identidades ou intenções dos nossos contribuintes individuais, podemos contar com o nosso rigoroso, descentralizado processo de revisão de auditoria de segurança para evitar adições maliciosas. Antes de aceitar contribuições de qualquer pessoa, eles vão, sem exceção, ser examinados por vários revisores independentes, sob a mesma premissa: que mudanças maliciosas podem ter sido feitas. Assim, acreditamos firmemente que a segurança de CipherShed reside no modelo de desenvolvimento, e que passados ou atuais filiações dos nossos colaboradores, sejam elas organizacionais, sexo, raça, crenças, orientação sexual ou outros, não importa."
E agora veja o que o VeraCrypt fala:
"Nós não implementamos qualquer 'backdoor' em VeraCrypt (e nunca implementaremos, mesmo se for solicitado por uma agência governamental), porque isso iria derrotar o propósito do software. O VeraCrypt não permite descriptografia de dados sem conhecer a senha correta ou chave. Nós não podemos recuperar seus dados, porque não sabemos e não pode determinar a senha que você escolheu ou a tecla você gerou usando VeraCrypt. A única maneira de recuperar seus arquivos é tentar "crackear" a senha ou a chave, mas isto pode levar milhares ou milhões de anos (dependendo do comprimento e da qualidade da senha ou keyfiles, sobre o desempenho do software / hardware, algoritmos e outros factores). Em 2010, houve notícias sobre o FBI não conseguir descriptografar um volume TrueCrypt após um ano de tentativas. Embora não possamos verificar se isso é verdade ou apenas um boato, em VeraCrypt nós aumentamos a segurança da chave derivação para um nível em que qualquer força bruta da senha é praticamente impossível, desde que toda a segurança requisitos sejam respeitados."
A Lavabit foi um serviço de e-mail criptografado que publicamente fechou depois que a NSA exigiu o acesso à criptografia do sistema. Foi um escândalo pois centenas de pessoas perderam suas contas devido a isso. O TrueCrypt mesmo publicamente não assumindo, há especulações de que o projeto tenha sido abandonado pelo mesmo motivo. Agora você acha mesmo que se chegasse os federais aos responsáveis de um dos projetos, eles simplesmente falariam: "Olha sinto muito, mas não podemos fazer isso"
Deixando a paranoia de lado, agora nós temos 3 alternativas:
1. Apesar de não ter (e não mais terá) atualizações no TrueCrypt, este passou por 2 auditorias de segurança e em nenhuma delas foi encontrado um código malicioso (backdoor), e destas 2 auditorias foram encontrados 11 vulnerabilidades de segurança sendo destas 3 de nível médio.
O relatório desta auditoria está resumidamente aqui e em termos leigos, estes podem ser um atalho para a criação de algum exploit, mas isso só seria eficaz se alguém tivesse acesso físico ao seu PC sem que você soubesse. Um Keyloger ou virus poderia ser eficaz para pegar sua senha no momento que você a digitar, e mesmo que você utilize a criptografia no disco inteiro do sistema, o próprio bootloader do TC poderia ser modificado para armazenar a senha digitada, mas como eu disse anteriormente um software malicioso teria que ser introduzido antes de você digitar a senha para que isso fosse viável.
2. O CipherShed não passou por nenhuma auditoria, e podemos apenas confiar na palavra dos desenvolvedores de que este realmente passa por uma auditoria interna a fim de que nenhum código malicioso tenha sido introduzido nele. Eles prometem ter corrigido os principais erros do TrueCrypt abordados nas 2 auditorias de segurança. Porem uma delas, a fraca derivação da chave continua a mesma. A resposta que eles dão quanto a isso é que o uso desta derivação de chave mais fraca se deve que apesar de fraca, a forma como ela é implementada (e foi isso que os auditores não perceberam) a torna forte. A implementação de uma derivação de chave mais forte, além de comprometer o desempenho (pra montar um volume pode levar vários segundos) ainda tornaria incompatível volumes criados pelo TrueCrypt.
3. O VeraCrypt também ainda não passou por nenhuma auditoria, e assim como o CipherShed, temos que confiar apenas nos desenvolvedores. A abordagem é a mesma em relação do CipherShed, mas eles vão além, pois eles não confiam na fraca derivação da chave, mesmo sendo segura à nível de execução. Isso aumenta e muito a segurança já inquebrável do TrueCrypt e CipherShed, mas isso tem um preço, que é a incompatibilidade com volumes criados pelo TrueCrypt e CipherShed e a demora para montar o volume, que em alguns casos, dependendo do computador, pode chegar a 30 segundos.
Agora tire suas conclusões. O TrueCrypt continua seguro, mesmo depois de anos sem atualização, mas com a certificação de 2 auditorias. Vale a pena sacrificar alguns segundos toda vez que for montar uma unidade por conta de uma confusão no algorítimo original do TrueCrypt (VeraCrypt), será esta implementação mesmo segura, ao ponto de não confiar na pericia dos auditores ao custo de usar volumes antigos e monta-los instantaneamente (CipherShed), agora é com você, tire suas próprias conclusões.
Deixando a paranoia de lado, agora nós temos 3 alternativas:
1. Apesar de não ter (e não mais terá) atualizações no TrueCrypt, este passou por 2 auditorias de segurança e em nenhuma delas foi encontrado um código malicioso (backdoor), e destas 2 auditorias foram encontrados 11 vulnerabilidades de segurança sendo destas 3 de nível médio.
O relatório desta auditoria está resumidamente aqui e em termos leigos, estes podem ser um atalho para a criação de algum exploit, mas isso só seria eficaz se alguém tivesse acesso físico ao seu PC sem que você soubesse. Um Keyloger ou virus poderia ser eficaz para pegar sua senha no momento que você a digitar, e mesmo que você utilize a criptografia no disco inteiro do sistema, o próprio bootloader do TC poderia ser modificado para armazenar a senha digitada, mas como eu disse anteriormente um software malicioso teria que ser introduzido antes de você digitar a senha para que isso fosse viável.
2. O CipherShed não passou por nenhuma auditoria, e podemos apenas confiar na palavra dos desenvolvedores de que este realmente passa por uma auditoria interna a fim de que nenhum código malicioso tenha sido introduzido nele. Eles prometem ter corrigido os principais erros do TrueCrypt abordados nas 2 auditorias de segurança. Porem uma delas, a fraca derivação da chave continua a mesma. A resposta que eles dão quanto a isso é que o uso desta derivação de chave mais fraca se deve que apesar de fraca, a forma como ela é implementada (e foi isso que os auditores não perceberam) a torna forte. A implementação de uma derivação de chave mais forte, além de comprometer o desempenho (pra montar um volume pode levar vários segundos) ainda tornaria incompatível volumes criados pelo TrueCrypt.
3. O VeraCrypt também ainda não passou por nenhuma auditoria, e assim como o CipherShed, temos que confiar apenas nos desenvolvedores. A abordagem é a mesma em relação do CipherShed, mas eles vão além, pois eles não confiam na fraca derivação da chave, mesmo sendo segura à nível de execução. Isso aumenta e muito a segurança já inquebrável do TrueCrypt e CipherShed, mas isso tem um preço, que é a incompatibilidade com volumes criados pelo TrueCrypt e CipherShed e a demora para montar o volume, que em alguns casos, dependendo do computador, pode chegar a 30 segundos.
Agora tire suas conclusões. O TrueCrypt continua seguro, mesmo depois de anos sem atualização, mas com a certificação de 2 auditorias. Vale a pena sacrificar alguns segundos toda vez que for montar uma unidade por conta de uma confusão no algorítimo original do TrueCrypt (VeraCrypt), será esta implementação mesmo segura, ao ponto de não confiar na pericia dos auditores ao custo de usar volumes antigos e monta-los instantaneamente (CipherShed), agora é com você, tire suas próprias conclusões.
