TrueCrypt 7.1a Download und VeraCrypt als Alternative

J0hn.X3r / / Allgemein

Ahoi,

da TrueCrypt seine Entwicklung im Mai 2014 eingestellt hat (mit der Begruendung es sei unsicher und man sollte zu BitLocker wechseln, bla bla), ist es schwieriger geworden, das letzte vernuenftige Release runterzuladen.

Die 7.2er funktioniert – soweit ich weiß, habs nich getestet – nur stark eingeschraenkt und ist mehr “zum Entschluesseln” als zum Verschluesseln da.

Wer meiner Wenigkeit vertraut, kann sich das letzte “richtige” Release hier runterladen:
*klick*

Die Pruefsummen gibts hier:
*klick*

SHA1
=======
[...]
7689d038c76bd1df695d295c026961e50e4a62ea  TrueCrypt Setup 7.1a.exe

Es gibt ein Projekt, indem versucht wird, TrueCrypt zu analysieren und dessen Sicherheit zu testen, Infos dazu bekommt ihr hier.

Dort konnte nachgewiesen werden, dass sich kein Backdoor oder aehnliches im Source Code befindet und es dementsprechend noch als sehr sicher gilt.

Ich benutze TrueCrypt nach wie vor – auch die gepostete Version und kann nicht sagen, dass TrueCrypt unsicher ist, vorausgesetzt man verwendet auch ein starkes/sicheres Passwort.

Bin aber auch auf ein Projekt gestoßen, dem wohl eine aehnlich gute Zukunft vorher gesagt wird, naemlich VeraCrypt ( -> *klick* )

VeraCrypt basiert auf TrueCrypt, gibt aber an, eine Nummer “besser” zu sein – in jeglicher Hinsicht.

Was bietet VeraCrypt?

Dazu ein Zitat von der offiziellen Seite:

VeraCrypt adds enhanced security to the algorithms used for system and partitions encryption making it immune to new developments in brute-force attacks.
VeraCrypt also solves many vulnerabilities and security issues found in TrueCrypt. The following post describes parts of the major enhancements and corrections done so far: https://veracrypt.codeplex.com/discussions/569777#PostContent_1313325

As an example, when the system partition is encrypted, TrueCrypt uses PBKDF2-RIPEMD160 with 1000 iterations whereas in VeraCrypt we use 327661. And for standard containers and other partitions, TrueCrypt uses at most 2000 iterations but VeraCrypt uses 655331 for RIPEMD160 and 500000 iterations for SHA-2 and Whirlpool.

This enhanced security adds some delay only to the opening of encrypted partitions without any performance impact to the application use phase. This is acceptable to the legitimate owner but it makes it much harder for an attacker to gain access to the encrypted data.

Starting from version 1.0f, VeraCrypt can load TrueCrypt volume. It also offers the possibility to convert TrueCrypt containers and non-system partitions to VeraCrypt format.

UPDATE January 5th 2015 : Support of the old TrueCrypt 6.0 has been included in VeraCrypt 1.0f-1, which is a minor update of VeraCrypt 1.0f.

UPDATE December 30th 2014 : VeraCrypt 1.0f is out with many new features and enhancements. The most notable ones are the support of mounting and converting TrueCrypt volumes, and the speedup of the mounting process through the manual selection of the correct PRF algorithm.

Quelle: https://veracrypt.codeplex.com/

Somit ist es seit der 1.0f moeglich auch TrueCrypt verschluesselte Datentraeger/Dateien zu mounten.
VeraCrypt hat zusaetzlich noch den Verschluesselungsalgorithmus erweitert, was zwar laengere Zeit beim Mounten in Anspruch nimmt, aber zusaetzlich nen Stueck zur Sicherheit gegen Brute Force Attacken beitragen soll.

Was gibts noch zu sagen? Es aehnelt vom Design her stark an TrueCrypt, was es fuer bisherige Nutzer wohl einfacher fuern Umstieg machen soll.

Bin von dem Projekt beeindruckt und habe es auch installiert – sollte ich mal mein System neu aufsetzen, werde ich auf meinem Windows PC sicher mal VeraCrypt testen.

Bleibt also zu sagen, dass TrueCrypt (vorallem die Version 7.1a) nach wie vor als sicher gilt, es aber auch schon die ein oder andere wirklich gute Alternative gibt, an der aktiv weiterentwickelt wird.

Windows 8.1 (32/64 bit) – Privilege Escalation

J0hn.X3r / / Exploits

Ahoi,

auch wenn es etwas verspaetet kommt (da davon vor ein paar Tagen berichtet wurde), moechte ich der Sache dennoch einen eigenen Blogeintrag widmen. Wie die meisten vermutlich mitbekommen haben, hat das “Google Sicherheitsteam” eine Luecke in Windows 8.1. gefunden, mit der es u.a. moeglich ist, Prozesse als Administrator auszufuehren, ohne einer zu sein. Die Luecke befindet sich in einer Funktion (NtApphelpCacheControl) in der Datei ahcache.sys, die nicht richtig ueberprueft, ob der User ein Administrator ist.

James Forshaw hat die Luecke am 30. September 2014 an Microsoft gemeldet und ihnen eine Frist von 30 Tagen gegeben, die Luecke zu schließen. Da dies nicht geschehen ist, hat er die Luecke am 29. Dezember 2014 hier veroeffentlicht: https://code.google.com/p/google-security-research/issues/detail?id=118

Platform: Windows 8.1 Update 32/64 bit (No other OS tested)

On Windows 8.1 update the system call NtApphelpCacheControl (the code is actually in ahcache.sys) allows application compatibility data to be cached for quick reuse when new processes are created. A normal user can query the cache but cannot add new cached entries as the operation is restricted to administrators. This is checked in the function AhcVerifyAdminContext.

This function has a vulnerability where it doesn’t correctly check the impersonation token of the caller to determine if the user is an administrator. It reads the caller’s impersonation token using PsReferenceImpersonationToken and then does a comparison between the user SID in the token to LocalSystem’s SID. It doesn’t check the impersonation level of the token so it’s possible to get an identify token on your thread from a local system process and bypass this check. For this purpose the PoC abuses the BITS service and COM to get the impersonation token but there are probably other ways.

It is just then a case of finding a way to exploit the vulnerability. In the PoC a cache entry is made for an UAC auto-elevate executable (say ComputerDefaults.exe) and sets up the cache to point to the app compat entry for regsvr32 which forces a RedirectExe shim to reload regsvr32.exe. However any executable could be used, the trick would be finding a suitable pre-existing app compat configuration to abuse.

It’s unclear if Windows 7 is vulnerable as the code path for update has a TCB privilege check on it (although it looks like depending on the flags this might be bypassable). No effort has been made to verify it on Windows 7. NOTE: This is not a bug in UAC, it is just using UAC auto elevation for demonstration purposes.

The PoC has been tested on Windows 8.1 update, both 32 bit and 64 bit versions. I’d recommend running on 32 bit just to be sure. To verify perform the following steps:

1) Put the AppCompatCache.exe and Testdll.dll on disk
2) Ensure that UAC is enabled, the current user is a split-token admin and the UAC setting is the default (no prompt for specific executables).
3) Execute AppCompatCache from the command prompt with the command line “AppCompatCache.exe c:\windows\system32\ComputerDefaults.exe testdll.dll”.
4) If successful then the calculator should appear running as an administrator. If it doesn’t work first time (and you get the ComputerDefaults program) re-run the exploit from 3, there seems to be a caching/timing issue sometimes on first run.

Ein Proof of Concept ist auf der Quellseite verfuegbar, einen Mirror gibts auch hier.

Ich kann dazu nur sagen, dass es auf meinem eigenen System funktioniert hat. Getestet auf Windows 8.1 64bit – jedoch erst beim zweiten Ausfuehren.

Blog Relaunch!

J0hn.X3r / / Allgemein

Ahoi,

Frohes Neues 2015 miteinander! Mein Blawg ist back! Endlich! Lange hats gedauert, sehr lange! Doch warum hat es solange gedauert? Ich fasse mich “kurz”:

Zum einen hatte ich einfach kein !aktuelles! Backup (mal wieder) nachdem mein Blog damals von heute auf morgen (mal wieder) weg war und das nimmt einem ungemein die Lust den scheiß Blog nochmal hoch zu ziehen. Mein damaliger Hoster ließ sich zum einen nich mehr bezahlen, war von heute auf morgen weg und hatte dann kein Backup mehr fuer mich (mal wieder). Tja, was soll ich dazu sagen? Dann hat sich in meinem RL ungemein viel getan und ich musste schauen, dass ich das alles unter einen Hut bekomme und vom Geld noch etwas uebrig bleibt.. inzwischen hat sich alles etwas stabilisiert. Bin zufrieden so wies ist, Geld hab ich trotzdem keins. 😀

Who Cares. Diesmal ist alles anders. Mein Blog ist wieder online und ich habe an den Schrauben gedreht, die Locker waren. Meine “Backup Politik” funktioniert nun, ich habe neue Lust und Motivation gesammelt und es gab in letzter Zeit so viele Dinge, wo ich mir dachte “hm, damals haette ich ueber sowas nen Blogeintrag geschrieben” und das moechte ich in Zukunft wieder tun. Seien es irgendwelche Dubiosen Geschichten oder interessante Luecken. Auch moechte ich wieder ne Art “Wochen/Monats-uebersicht” machen, wo ich mir verschiedene Scene Boards/Seiten anschau und das ein oder andere dazu sage.

Einige Beitraege konnte ich dank dem web.archive “wiederherstellen” (4 Fehlen, aber das nicht so schlimm sein), die Kommentare dazu sind aber verloren und geschlossen. Nen Großteil meiner Linkliste tut leider auch nicht, was ich sehr bedauerlich finde, da dort doch einige sehr gute Projekte dabei waren, die es nun nicht mehr gibt.

Kommen wir zu den Aenderungen.. zum einen bleiben manche Dinge natuerlich gleich – das Themenspektrum und meine Sicherheitspolitik fuer User. Ich moechte im Grunde genommen allen Bloglesern die Moeglichkeit geben sich anonym zu meinen Beitraegen zu aeussern – was nun nicht mehr geht, sind irgendwelche Beleidigungen.
Damals hab ich mir das noch gefallen lassen, inzwischen werde ich das aber einfach Kommentarlos loeschen (Ich muss dazu sagen, es kam nicht so oft vor, wenns mal vorkam wars aber nervig). Kommen wir daher zu ein paar positiven Aenderungen, ich habe fuer euch Geld fuer ein SSL Zertifikat ausgegeben. Verschluesselung ist momentan das A & O, in jeder Hinsicht – Berichte ueber NSA & Co bestaetigen, dass diese sich selber an sowas die Zaehne ausbeißen – sei es die OTR Verschluesselung fuer Messenger oder Tor Netzwerke. Zum Thema Datenschutz werde ich demnaechst eine neue Seite fuer meinen Blog machen, auf dem ihr seht was mit euren Daten hier “passiert” – was, wie lange gespeichert wird.

Eine “neue” Kategorie ist auch dazu gekommen, naemlich “Real-Life”, aber keine Sorge, dort werde ich nicht mehr so Gedichte schreiben wie damals, sondern Dinge die wirklich interessant sind, mit meinem RL was zu tun haben oder im RL allgemein einfach nuetzlich sind. Die Kategorie “Die Gedanken sind frei” war 2013 mal dabei, ist aber wieder weg, da prinzipiell alle meine Beitraege auf diese Kategorie sich beziehen, da ich euch prinzipiell immer meine Gedanken und Meinung aeussere.

Ich werde das, was ich damals angefangen habe, zu Ende bringen (Linux Tutorials, etc); euch ueber Lustige Dinge der Scene (die ich mitbekomme) auf den Laufenden halten oder mit euch drueber lachen und eventuell das ein oder andere Exploit naeher analysieren oder veroeffentlichen und mit euch zusammen “drueber schauen” – Hintergrundgedanke ist dabei nach wie vor, dass ihr davon etwas lernen sollt – solltet ihr das nicht tun, habe ich es wenigstens versucht.

Was bleibt noch zu sagen? Fuegt meinen Blog wieder in euren RSS Feeds ein oder schaut oefters vorbei 🙂 Moechte wieder voll durchstarten!

J0hn.X3r

P.S.: Fuer einen neuen Laptop wie im letzten Statement angesprochen hats leider noch nicht gereicht. Die Tage werd ich ggf. am Theme noch etwas aendern oder allgemein einige Dinge am Blog rumbasteln.. eventuell werd ich meinen Theme auch modifizieren oder neue Funktionen testen oder hinzufuegen. Tote Links rausnehmen und bla. Gibt noch viel zu tun. Ich halte euch auf dem Laufenden.

Bist du gluecklich?

J0hn.X3r / / Real-Life

Ahoi,

nach langer Zeit gibts mal wieder einen Blogeintrag von mir – diesmal ueber meine freien Gedanken. Wir sind nun uebrigens an der Stelle angelangt, an der du nicht weiterlesen solltest, wenn dich meine Gedanken nicht interessieren, da sie verwirrend sein werden und du wohl nicht alles nachvollziehen kannst – in dem Fall warte aufn naechsten Eintrag, wobei ich mir ueberlegt hab, vllt etwas ueber das Samsung Galaxy S3 zu schreiben, dunno – vllt passiert auch was aufregendes und darueber kann ich bloggen.

Bist du gluecklich? ist der Titel von diesem Blogeintrag – doch wie ist die Frage zu verstehen? Fragt man einen Menschen “wie geht es dir?”, hoert man meistens die gleiche Antwort – kein wunder, es ist auch immer die gleiche Frage. Ich weiß ja nicht wie es euch geht, aber selbst bei der Frage “wie geht es dir?” muss man sich ueberlegen “sagt er/sie das nun weils ihn interessiert, oder weil er hoeflich sein will bzw. eine Konversation am Leben erhalten mag?”, von manchen Personen empfinde ich die Frage als nervig, weil ich weiß “hallo, es interessiert dich sowieso nicht.” Stellt man aber jemanden nun die Frage “bist du gluecklich?” werdet ihr beobachten koennen, die Person denkt erstmal nach, bevor sie antwortet.

Warum denkt man nach? Was ist Glueck? Wann ist man eigentlich gluecklich? Ist es ein momentaner oder kann es auch ein dauerhafter Zustand sein?

Wikipedia sagt dazu:

Als Erfüllung menschlichen Wünschens und Strebens ist Glück ein sehr vielschichtiger Begriff, der Empfindungen vom momentanen Glücksgefühl bis zu anhaltender Glückseligkeit einschließt, aber auch als ein äußeres Geschehen begegnen kann, z. B. als glücklicher Zufall oder als eine zu Lebensglück verhelfende Schicksalswende.

(Quelle: http://de.wikipedia.org/wiki/Gl%C3%BCck)

Es gibt einige Momente im Leben die man als “Glück” empfinden kann, wie oben genannt ein “glücklicher Zufall” im Spiel, Job, mit Menschen, etc. aber wie lange haelt dieser Zustand an und was passiert mit ihm?

Ich glaub jeder der als Kind etwas neues bekommen hat, hat sich anfangs ziemlich drueber gefreut, was es auch immer war, man hat sich intensiv damit beschaeftigt und Freude an dem Ding gehabt – doch nach ner Zeit vergeht das. Kann es also nur ein momentaner Zustand sein? Was ist dann damit passiert? Ist man nun nicht mehr gluecklich? Glueck oder Gluecksgefuehle verlieren nach einer Weile wohl ihre intensive Wirkung – was wird dann daraus? Zufriedenheit?! Ich denke das wird es sein.

Du kannst dir etwas kaufen, was dich gluecklich macht, nach ner Zeit vergeht es aber und du bist einfach “zufrieden”, dass du dir etwas gekauft hattest, das dich gluecklich gemacht hat.

Nebenbei definiert jeder Glueck anders – was auch wieder toll ist. Manche Leute sind gluecklich, wenn sie morgens aufstehen koennen/duerfen andere wiederrum sind erst gluecklich, wenn sie ein hohes festgelegtes Ziel erreicht haben.

Glueck ist vor allem Kopfsache und vieles davon spielt sich im Hirn ab – manche Leute denken sich oft “ich bin total ungluecklich” oder “wie kann ich gluecklich werden?” Fuer “Glueck” gibts eine Allgemeine Definition:

Glücklich ist, wer zufrieden ist und mehr angenehme als unangenehme Gefühle hat.

Das heißt, es “reicht also schon”, wenn man mehr angenehme als unangenehme Gefuehle hat. Was man mit dieser Aussage anfangen kann, werd ich 1:1 uebernehmen, weil ich es einfach genial finde:

Mit dieser Definition wird es recht einfach, festzustellen, wie glücklich Sie sind. Sie brauchen sich gar nicht damit auseinander setzen, was Sie haben oder brauchen, ein Blick auf Ihre Gefühle reicht und Sie wissen, ob Sie glücklich sind oder weniger glücklich sind. Die logische Schlussfolgerung aus dieser Definition ist, dass Sie nur nach Wegen suchen brauchen, die Ihnen positive Gefühle vermitteln und Sie werden automatisch glücklich. Mehr ist da nicht.

Aus http://www.siegfriedtrebuch.com/glueck/was-ist-glueck/

Was gibt _dir_ Positive Gefuehle? Auto zu fahren? Freunde zu besuchen? Mit einer Person die du gern hast zu Kommunizieren (egal ob im RL oder uebers Internet)? Etwas leckeres/süßes zu essen? Ein Musikinstrument zu spielen? Musik zu hoeren? Zu Singen? Sport zu treiben? Einen Film zu schauen oder ein Buch zu lesen?

Es gibt so viele “Kleinigkeiten”, die einen gluecklich machen koennen – fast unglaublich aber wahr. Selbst wenn es nicht dauerhaft ist, dann such nach neuen Wegen, die dir positive Gefuehle vermitteln und dich “automatisch” gluecklich machen.

Zum Abschluss von meinem Blogeintrag wuerd ich euch noch gern ein interessantes Video zeigen, indem Leute aussagen, wie sie Glueck definieren bzw. was sie gluecklich macht:

…Glück ist einfach, zu leben…

Neue Domain!

J0hn.X3r / / Allgemein

Aloah,

aus gegebenen Anlass ist mein Blog nun unter einer neuen Domain erreichbar.. die alte war auf zu vielen Seiten “Blacklisted” und das ist nix schoenes – wurde Schlussendlich sogar ausm Google Index genommen, was ich schade fand.

Nichts desto trotz gibts hier natuerlich nach wie vor nix schaedliches und ich werd (wie immer ^-^) mal schauen das es die Tage neue Blogeintraege gibt. Was mit der alten Domain passiert.. weiß ich noch nich.

Auch werd ich mir die Woche mal Zeit nehmen und Zeugs reuppen, was down ist und/oder tote Links beinhaltet, ein kleiner Beitrag ueber ACTA wirds auch noch mal geben und vielleicht noch etwas tolles, was mir einfach so einfaellt.

Bei der Endung musste ich lange ueberlegen.. .cc ist ausgelutscht, .to hoert sich komisch an, .xxx hab ich mir ueberlegt und fuer .me mich dann entschieden – die Endung hat ein wenig was persoenliches fuer Blogs.

Soviel von mir erstmal, wuensch euch ne tolle Woche (: