将 TrueCrypt 容器文件与 DropBox 同步是否安全?

信息安全 真加密 保管箱
2021-08-13 08:45:26

我打算将我的敏感文件存储到云中。我不信任已经制作的端到端加密文件存储。我只信任 TrueCrypt。假设 TrueCrypt 本身是安全的,那么使用 DropBox 实时同步容器文件是否安全。在这种情况下,DropBox 将对此文件进行任何小的更改。这会影响安全吗?

3个回答

,这不安全。Truecrypt 使用 XTS 块模式进行加密,当您的对手能够看到数据如何随时间变化的快照时,这会出现严重问题。事实上,一篇名为You Don't Want XTS的文章,旨在让软件开发人员了解他们何时可以使用 XTS,何时不能使用 XTS,专门以 Dropbox 作为不使用 XTS 的示例。这不会是世界末日,导致您的密码被泄露或其他什么,但它确实带来了 XTS 中最糟糕的情况。

引用文章:

再次重申:XTS 的工作方式与 ECB 类似。这是确定性的。如果您正在寻找企鹅,它们就在那里,但您必须跨越时间而不是空间来寻找它们:对同一扇区块位置的连续写入将重复,但在不同位置对相同明文的加密将是随机的。

这意味着将它托管在 Dropbox 上会随着时间的推移而发生变化将“看到企鹅”。这也使得以可预测的方式篡改数据变得非常容易。虽然 XTS 不存在与 CBC 或 CTR 等相同的加密延展性问题,但它仍然存在一些问题,这赋予它们比任何其他攻击者更大的能力:

但是,当您在 Dropbox 上粘贴 Truecrypt 卷时,XTS 让您在物理媒体上获得的任何安全边际都可能会消失。从 Dropbox 的角度来看,攻击者的能力远远超出 XTS 设计者的计划。

如果您需要在远程服务器上托管加密数据,您可能需要查看duplicity,它实际上支持 Dropbox。它提供客户端加密,速度非常快,使用增量、修订备份,并对所有传输进行签名。这使得篡改不仅不可能,而且对服务器上数据的任何更改都以添加数据的形式出现,但清理操作除外。这是与远程服务器同步的非常有用的工具。

我很失望,已经有两个答案声称这很好,没有密码学背景,假设因为 Truecrypt 提供机密性,因此将 Truecrypt 同步到应该完全没问题。他们给出了危险的错误建议。

如果 TrueCrypt 是安全的,那么如果您使用强密码进行加密,它在 Dropbox 上也是安全的。但是,由于 TrueCrypt 仅在容器中加密,不能加密单个文件,因此同步文件可能需要很长时间。

不会,不会影响安全。

传输/同步的任何文件片段都由 TC 加密,因此使用该类型的同步与仅将容器文件复制到某处没有区别。

所以是的,它是安全的。