Verschlüsselung: Mails zu Veracrypt-Audit verschwinden spurlos

Ein Audit soll klären, ob der Truecrypt-Nachfolger Veracrypt Sicherheitslücken hat. Die Macher der Initiative berichten, dass der Versuch sabotiert werde - E-Mails würden unauffindbar verschwinden. Einer der beteiligten kritisiert die Veröffentlichung.

Artikel veröffentlicht am 15. August 2016, 17:18 Uhr, Hauke Gierow

Veracrypt soll auf Sicherheitslücken überprüft werden. (Bild: Veracrypt)

Die Initiative Ostif plant ein Audit der Verschlüsselungssoftware Veracrypt, befürchtet dabei aber eine Ausspähung beziehungsweise einen Manipulationsversuch. Der private Open Source Technology Improvement Fund (Ostif) hat für das Audit Gelder von der alternativen Suchmaschine Duckduckgo und dem Provider VikingVPN gesammelt.

Das Audit soll von dem Unternehmen Quarkslab ab Mitte August durchgeführt werden. Die Ergebnisse sollen voraussichtlich im September veröffentlicht werden. Sollten Sicherheitslücken gefunden werden, werden die Ergebnisse erst vorgestellt, sobald alle Lücken gepatcht sind.

Die Macher des Audits beklagen in einem Blogpost, dass es Versuche gebe, das Vorhaben zu sabotieren. Die E-Mails zwischen Veracrypt, Ostif und Quarkslab werden mittels PGP verschlüsselt. Doch in dem von Ostif verwendeten Google-Apps-for-Business-Account seien schon vier Mails verschwunden. Die Mails seien abgesendet worden, aber nie bei den Empfängern angekommen, schreibt das Projekt. Außerdem seien sie nach dem Absenden auch nicht im "Senden"-Ordner vorhanden.

Neue Kommunikationskanäle sollen Vertraulichkeit garantieren

Das Projekt möchte mit alternativen Kommunikationskanälen auf die Vorkommnisse reagieren, um künftig eine reibungslose private Kommunikation zwischen den Parteien zu ermöglichen.

Nach Beginn der NSA-Enthüllungen hatten mehrere Individuen ein Audit für Truecrypt per Crowdfunding finanziert, bei dem aber keine schwerwiegenden Sicherheitslücken gefunden wurden. Ein Audit ist aber keine Garantie: Später wurden mehrere Schwachstellen in den Windows-Treibern von Truecrypt gefunden.

Das Truecrypt-Team hatte die Entwicklung der Software im Jahr 2014 ohne Vorankündigung eingestellt, die Hintergründe sind bis heute unklar. Es gibt mehrere Forks des ursprünglichen Projektes, von denen Veracrypt die größte Verbreitung hat. Veracrypt wird von dem Franzosen Mounir Idrassi entwickelt. Idrassi will nicht nur Sicherheitslücken schließen, sondern auch neue Features hinzufügen, etwa die Unterstützung von UEFI und Secure Boot für Full-Disk-Encryption.

Ostif ist eine neue Initiative, die Bug-Bountys für Open-Source-Projekte zahlen und Audits für weitere Software durchführen will. Dahinter stehen Derek Zimmer, Mitgründer von VikingVPN, der Entwickler und IT-Auditor Amir Montazery und Zachary Graves.

Nachtrag vom 17. August 2016, 17:35 Uhr

Fred Raynal, CEO und Gründer von Quarkslab, hat die Mitteilung von Ostif mittlerweile kritisiert. Er sagte: "Ich denke, die Veröffentlichung war ein Fehler. Ich habe eine Nachricht verloren, die ich an Mounir Idrassi und Derek Zimmer geschickt habe. Diese hatten vorher dreimal ähnliche Probleme. Dann hat Derek das Statement herausgegeben, und er hätte das wirklich nicht tun sollen. Ich denke, dass auf meinem Rechner ein lokales Problem zwischen Mail.app und GPGMail vorliegt."