Software proprietário de criptografia / segurança de código aberto

Question

Eu só tive uma discussão com colegas sobre a utilidade da BitLocker dirigir a criptografia para manter representantes do estado (FBI etc.) sem dados. Eles estavam convencidos de que os fornecedores de software proprietário têm backdoors em seus algoritmos que podem ser usados em casos graves, isto é, suspeita de terrorismo, etc.

A alternativa é, obviamente, TrueCrypt , porque, em teoria, o código é aberto e pode ser revisado pelo público. Na prática, embora eu conheça a linguagem de programação, não tenho conhecimento suficiente do algoritmo para conseguir localizar um possível backdoor ou um recurso que possa dar uma vantagem a um ataque criptográfico deliberado. Alguém sabe se o código foi revisado por uma terceira parte confiável? E se assim for, como é a confiabilidade deles estabelecida?

Então, para chegar às questões gerais:

1. Como uma empresa que realmente quer manter seus arquivos completamente secretos decide sobre sua solução criptográfica? Eles não podem ter 100% de certeza de que o BitLocker é seguro, podem? No entanto, eles poderiam, na prática, certificar-se de que TrueCrypt é?

2. Como você estimaria a chance de a Microsoft e empresas semelhantes trabalharem com agências do governo e darem a eles uma vantagem para quebrar sua segurança, para que não demore milhares de anos para quebrar (é quanto tempo o BitLocker deve levar? )?

Answer 1

A Microsoft praticamente afirmou que não há backdoor no Bitlocker, e eu não acho que seja do interesse deles, já que o backlash seria enorme.

O vazamento das ferramentas Microsoft COFFEE basicamente empacota muitos métodos já conhecidos da indústria de segurança em um produto fácil de usar para aplicação da lei, mas não onde é um hack / backdoor para o Bitlocker.

Eu não estou dizendo que não existe, mas acho altamente improvável.

Não há nada que o impeça de usar uma unidade Bitlocker e, em seguida, ter um arquivo criptografado Truecrypt dentro dela!

Eu acho que a maneira mais provável de criptografia como essa será quebrada é através da força bruta pura através do poder do super computador.

    

Answer 2

Para responder à sua primeira pergunta, a empresa poderia:

• Crie seu próprio sistema de criptografia (muito difícil)
• Contrate um consultor ou uma terceira parte confiável e legalmente responsável para analisar o código disponível publicamente
• Inscreva-se no programa SharedSource da Microsoft e analise o código da Microsoft
• Use várias camadas de criptografia (por exemplo, Bitlocker e Truecrypt juntos)

Deixo respondendo a segunda pergunta para alguém mais bem informado sobre o BitLocker.

    

Answer 3

Acho altamente improvável que haja um backdoor no Bitlocker. Considerando o quanto a Microsoft está sob escrutínio, há muitos programadores por aí que são capazes de detectar as tentativas da Microsoft em um backdoor. Além disso, há muitos clientes de alto perfil que deixariam a Microsoft.

Isso soa como um plano de negócios ruim.